Cosa prevede la legge 132/2025
La legge 132/2025 (“Disposizioni e deleghe al Governo in materia di intelligenza artificiale”) fissa i principi generali dell’uso dell’IA in Italia: approccio antropocentrico, sviluppo e utilizzo sicuri, trasparenti e responsabili, supervisione umana sulle decisioni rilevanti, tutela della riservatezza e della cybersicurezza. Il testo completo è consultabile su Normattiva.
La legge non è un doppione dell’EU AI Act, che resta direttamente applicabile: lo integra su tre piani.
- Governance nazionale: designa le autorità italiane competenti (AgID e ACN) e istituisce il coordinamento presso la Presidenza del Consiglio.
- Regole settoriali: disciplina l’uso dell’IA in sanità, lavoro, professioni intellettuali, pubblica amministrazione e giustizia, sempre con l’essere umano al centro della decisione.
- Deleghe al Governo: autorizza decreti legislativi per adeguare l’ordinamento, con novità anche su diritto d’autore (le opere create con l’ausilio dell’IA sono protette se c’è un apporto intellettuale umano) e diritto penale, incluso il nuovo reato di diffusione illecita di contenuti generati o alterati con IA (art. 612-quater c.p., reclusione da uno a cinque anni nei casi previsti).
Completano il quadro le misure di sostegno: fino a 1 miliardo di euro tramite CDP Venture Capital per PMI e imprese attive in IA, cybersicurezza e tecnologie quantistiche, e la regola per cui i minori di 14 anni accedono ai sistemi di IA solo con il consenso dei genitori.
Governance e decreti attuativi: AgID, ACN e le scadenze 2026
La legge assegna i ruoli operativi a due agenzie nazionali, ferme restando le competenze delle autorità di settore (Garante privacy, Banca d’Italia, Consob, IVASS):
AgID — Agenzia per l’Italia Digitale
Accredita e monitora gli organismi di valutazione della conformità dei sistemi di IA e promuove l’innovazione, in raccordo con le Linee Guida che già conosce chi gestisce documenti digitali.
ACN — Agenzia per la Cybersicurezza Nazionale
Vigila sui sistemi di IA immessi sul mercato o utilizzati in Italia, con poteri ispettivi e sanzionatori. È l’interlocutore da tenere presente quando si valuta il rischio di non conformità.
Il calendario è la parte più operativa. La delega al Governo per i decreti attuativi scade il 10 ottobre 2026. Il 10 giugno 2026 il Consiglio dei Ministri ha approvato in esame preliminare i primi due schemi di decreto legislativo, che intervengono su formazione e alfabetizzazione all’IA, lavoro, professioni, giustizia, attività di polizia e responsabilità civile e penale.
Tradotto per le imprese: le regole di principio sono già in vigore dal 2025, e i dettagli operativi arrivano nel corso del 2026. Chi usa l’IA nei processi — anche solo incorporata in un SaaS — dovrebbe adeguare adesso governance e documentazione, senza aspettare l’ultima versione dei testi.
IA sul lavoro: informativa e niente decisioni solo automatizzate
Il capitolo che tocca più da vicino chi automatizza processi interni è quello sul lavoro. La legge stabilisce che l’uso dell’IA nel rapporto di lavoro deve essere sicuro, affidabile e trasparente, rispettare la dignità e la riservatezza dei lavoratori, e che i lavoratori devono essere informati dell’impiego di sistemi di intelligenza artificiale. Presso il Ministero del Lavoro nasce un Osservatorio sull’adozione dell’IA nel mondo del lavoro.
I decreti attuativi in preparazione rendono il principio ancora più concreto: nelle decisioni che riguardano costituzione, modifica o cessazione del rapporto di lavoro, incluse le misure disciplinari, la decisione non può fondarsi sul solo trattamento automatizzato. In pratica, tra l’output dell’algoritmo e l’effetto sulla persona deve esserci un intervento umano effettivo — la stessa logica dell’art. 22 del GDPR, portata dentro il diritto del lavoro.
- Selezione e onboarding: screening dei CV assistito da IA sì, ma con revisione umana documentata prima di scartare o assumere.
- Valutazioni e provvedimenti: punteggi e segnalazioni automatiche sono input, non decisioni; l’approvazione resta a un responsabile identificato.
- Informativa: i lavoratori devono sapere quali processi usano IA e con quale ruolo; serve un censimento aggiornato, non una nota una tantum.
Lo stesso schema vale per le professioni intellettuali: l’IA può avere solo un ruolo strumentale e di supporto, e il professionista deve comunicare al cliente l’utilizzo di sistemi di IA. I decreti aggiungono obblighi di alfabetizzazione tecnica, giuridica ed etica, con gli ordini professionali chiamati ad aggiornare i propri regolamenti. In sanità e nella PA il principio è identico: l’IA supporta, la decisione resta al medico e al funzionario.
Come un BPM governato traduce la legge in processi
Letti in chiave operativa, i requisiti della legge 132/2025 sono proprietà di processo: chi decide, chi viene informato, cosa resta tracciato. È esattamente ciò che un BPM low-code con agenti IA governati incorpora nel flusso, invece di affidarlo a policy scritte e buona volontà.
| Requisito della legge 132/2025 | Risposta Dokuflex (BPM) |
|---|---|
| Supervisione umana sulle decisioni | Task di approvazione human-in-the-loop nei punti critici del flusso: l’IA propone, una persona identificata decide e la decisione resta registrata. |
| IA strumentale, non sostitutiva | L’IA documentale classifica, estrae dati e suggerisce; il processo definisce dove il suo output è vincolante e dove è solo un input. |
| Trasparenza verso lavoratori e clienti | Censimento dei processi che usano IA, con ruolo e finalità di ciascun modello: la base concreta per informative sempre aggiornate. |
| Tracciabilità e responsabilità | Audit trail completo: chi ha visto cosa, quale versione del flusso era attiva, quale suggerimento ha dato l’IA e chi lo ha approvato o corretto. |
| Protezione dei dati e cybersicurezza | Residenza dei dati in UE e conformità GDPR, con LLM e RAG governati sulla base documentale aziendale, senza addestrare modelli extra-UE. |
Il vantaggio del low-code è la velocità di adeguamento: quando un decreto attuativo precisa un obbligo, aggiungere un passaggio di approvazione o un’informativa a un flusso esistente è una modifica visuale, non un progetto software. È la stessa logica che consigliamo per l’automazione dei flussi di lavoro in generale.
Checklist di adeguamento in 6 passi
Prima che i decreti attuativi chiudano il quadro entro il 10 ottobre 2026, verifica il tuo livello di preparazione:
- Censisci i sistemi di IA in uso. Compresi quelli incorporati in SaaS, ERP e strumenti HR: se producono output che influenzano decisioni, rientrano nel perimetro.
- Classifica il rischio. Applica i livelli dell’AI Act e verifica se operi in un settore con regole specifiche della legge 132/2025 (lavoro, sanità, professioni, PA).
- Informa lavoratori e clienti. Prepara informative su quali processi usano IA e con quale ruolo, e tienile allineate ai flussi reali.
- Progetta la supervisione umana. Individua le decisioni che non possono essere solo automatizzate e inserisci task di approvazione nel processo, con responsabili nominati.
- Documenta tutto. Audit trail, versioni dei flussi, log dei suggerimenti dell’IA e delle decisioni umane: è ciò che dimostrerai in caso di verifica ACN.
- Forma le persone. L’alfabetizzazione all’IA è già un obbligo dell’AI Act e i decreti attuativi la rafforzano: pianifica formazione tecnica, giuridica ed etica per chi usa questi sistemi.
Domande frequenti
Quando è entrata in vigore la legge 132/2025? +
La legge 23 settembre 2025, n. 132, recante disposizioni e deleghe al Governo in materia di intelligenza artificiale, è entrata in vigore il 10 ottobre 2025. Con questo testo l’Italia è il primo Stato membro dell’Unione europea a dotarsi di un quadro normativo nazionale organico sull’IA, costruito per essere coerente con l’AI Act (Regolamento UE 2024/1689).
La legge 132/2025 sostituisce l’EU AI Act? +
No. L’AI Act è un regolamento europeo direttamente applicabile in Italia e la legge 132/2025 non può derogarvi. La legge nazionale lo integra: designa le autorità italiane (AgID e ACN), adatta l’ordinamento interno tramite deleghe al Governo e aggiunge regole specifiche su lavoro, professioni intellettuali, sanità, pubblica amministrazione, giustizia, diritto d’autore e diritto penale. Un’azienda deve quindi rispettare entrambi i livelli.
Quali autorità vigilano sull’intelligenza artificiale in Italia? +
La legge designa l’AgID (Agenzia per l’Italia Digitale) come autorità di notifica, responsabile di accreditare e monitorare gli organismi di valutazione della conformità, e l’ACN (Agenzia per la Cybersicurezza Nazionale) come autorità di vigilanza del mercato, con poteri ispettivi e sanzionatori. Restano ferme le competenze delle autorità di settore, come il Garante per la protezione dei dati personali, la Banca d’Italia, la Consob e l’IVASS nei rispettivi ambiti.
Cosa impone la legge ai datori di lavoro che usano l’IA? +
L’uso dell’IA nel rapporto di lavoro deve essere sicuro, affidabile e trasparente, nel rispetto della dignità e della riservatezza dei lavoratori, che devono essere informati dell’impiego di sistemi di intelligenza artificiale. Presso il Ministero del Lavoro è istituito un Osservatorio sull’adozione dell’IA nel mondo del lavoro. I decreti attuativi in preparazione precisano inoltre che le decisioni su costituzione, modifica o cessazione del rapporto e sulle misure disciplinari non possono fondarsi sul solo trattamento automatizzato: serve un intervento umano effettivo.
Cosa cambia con i decreti attuativi del 2026? +
Il 10 giugno 2026 il Consiglio dei Ministri ha approvato in esame preliminare i primi schemi di decreto legislativo attuativi della legge 132/2025, che completano l’adeguamento dell’ordinamento italiano all’AI Act con interventi su formazione e alfabetizzazione, lavoro, professioni, giustizia, attività di polizia e responsabilità civile e penale. La delega al Governo scade il 10 ottobre 2026, quindi il quadro operativo si sta chiudendo adesso: conviene adeguare i processi senza aspettare i testi definitivi.
Come aiuta un BPM low-code a rispettare la legge 132/2025? +
La legge chiede in sostanza IA strumentale, supervisione umana, trasparenza e tracciabilità: tutte proprietà che un BPM governato incorpora nel processo. In Dokuflex l’IA classifica documenti, estrae dati e suggerisce decisioni, ma i passaggi critici prevedono task di approvazione umana; ogni passo resta tracciato in un audit trail, gli utilizzi di IA sono censiti processo per processo e i dati restano in Europa sotto GDPR. Così la conformità diventa una proprietà del flusso, non un adempimento a posteriori.
Rendi la legge 132/2025 una proprietà dei tuoi processi
Prenotiamo una sessione guidata di 60 minuti per censire dove usi l’IA, individuare le decisioni che richiedono supervisione umana e vedere come il BPM low-code di Dokuflex incorpora informativa, approvazioni e audit trail nel flusso.