L'Italia scrive il futuro dell'AI: approvata la prima legge nazionale europea
Il 17 settembre 2025 rimarrà una data storica per l'innovazione italiana. Nel bene e nel male, dipenderà da come l'interpreteremo. Con 77 voti favorevoli e 55 contrari, il Senato ha approvato in via definitiva quello che potremmo definire il primo "codice della strada" per l'intelligenza artificiale in Europa. Non è retorica: l'Italia è davvero il primo Paese dell'Unione a dotarsi di un quadro normativo nazionale pienamente allineato all'AI Act europeo.
Come catapultati improvvisamente nel futuro ci si ritrova a dover scrivere le regole di un mondo nuovo, cosi l'Italia si trova di fronte a una sfida inedita: come governare una tecnologia che promette di rivoluzionare tutto, dalla sanità all'economia, senza soffocare l'innovazione né compromettere i diritti fondamentali. La risposta italiana, contenuta nell'Atto Senato n. 1146-B, è un documento di 47 articoli che rappresenta un equilibrio delicato tra ambizione tecnologica e tutele costituzionali.
Il momento storico: 77 sì, 55 no e una governance rivoluzionaria
La genesi di questa legge racconta molto dell'approccio italiano all'innovazione. Presentato dal governo Meloni il 26 giugno 2025, il disegno di legge ha attraversato un iter parlamentare intenso ma rapido, passando attraverso le commissioni riunite Ambiente-Innovazione e Affari Sociali-Sanità. Non è un caso questa scelta: l'AI tocca trasversalmente ogni aspetto della società contemporanea, dalla sostenibilità ambientale alla salute pubblica.
Il testo si fonda su principi che suonano quasi come un manifesto umanistico dell'era digitale: uso antropocentrico, trasparente e sicuro dell'intelligenza artificiale. Dietro questi termini apparentemente astratti si nasconde una filosofia precisa: l'AI deve rimanere uno strumento al servizio dell'uomo, non viceversa. Come recita l'articolo 2 della legge, ogni sistema di intelligenza artificiale deve garantire "la supervisione umana significativa e la responsabilità finale di una persona fisica nelle decisioni che impattano sui diritti e sulle libertà fondamentali".
Ma è nel disegno della governance che si manifesta la vera originalità dell'approccio italiano. Come in una partita di Risiko dove servono strateghi diversi per controllare territori differenti, il legislatore ha scelto un modello a doppio comando che coinvolge due autorità nazionali con competenze complementari.
ACN e AgID: i nuovi sceriffi dell'intelligenza artificiale
La scelta di affidare il controllo dell'AI a un tandem è tutt'altro che casuale. L'Agenzia per la Cybersicurezza Nazionale (ACN) assume il ruolo di "sceriffo armato" del sistema, con poteri ispettivi e di vigilanza sull'adeguatezza e la sicurezza dei sistemi di intelligenza artificiale ad alto rischio. Dall'altra parte, l'Agenzia per l'Italia Digitale (AgID) diventa il "facilitatore" dell'ecosistema, gestendo le notifiche e promuovendo casi d'uso sicuri per cittadini e imprese.
Questa divisione di ruoli non è accademica. ACN porta nel gioco le competenze maturate nella cybersecurity nazionale, settore dove l'Italia ha costruito una reputazione solida a livello internazionale. AgID, d'altra parte, può mettere a frutto l'esperienza accumulata nella digitalizzazione della pubblica amministrazione.
Il coordinamento tra le due agenzie avviene sotto l'egida del Dipartimento per la trasformazione digitale della Presidenza del Consiglio, che assume il ruolo di "regista" dell'intera strategia nazionale. Questo organismo avrà il compito di predisporre e aggiornare, con cadenza biennale, la Strategia nazionale per l'intelligenza artificiale, coinvolgendo le principali autorità settoriali in un processo di consultazione permanente.
Un miliardo per le startup: quando l'innovazione incontra gli investimenti
Se la governance rappresenta il "sistema operativo" della legge, gli investimenti ne sono il "carburante". Il provvedimento attiva un programma di investimenti da un miliardo di euro destinato a startup e PMI operanti nei campi dell'AI, della cybersicurezza e delle tecnologie emergenti. Si tratta di una strategia industriale precisa che punta a creare un ecosistema competitivo nel panorama globale dell'innovazione.
Il meccanismo di finanziamento prevede il sostegno del trasferimento tecnologico e delle filiere strategiche, con un'attenzione particolare agli aspetti di sovranità digitale. In un'epoca in cui la dipendenza tecnologica può trasformarsi rapidamente in vulnerabilità geopolitica, l'obiettivo è costruire capacità autonome in settori critici. Come ha dichiarato il Ministro per l'innovazione tecnologica Alessio Butti, l'Italia vuole dire alle imprese con chiarezza: "investite in Italia, troverete una governance affidabile, regole trasparenti e un ecosistema pronto a sostenere progetti concreti".
Ma attenzione: i fondi non sono a pioggia. Il testo prevede criteri di selezione rigorosi che privilegiano progetti con impatto sociale, sostenibilità ambientale e capacità di generare occupazione qualificata. È il tentativo di evitare quello che potremmo chiamare "l'effetto bolla dot-com", dove ingenti risorse pubbliche finiscono per alimentare speculazioni finanziarie piuttosto che vera innovazione.
Settori sotto la lente: dalla sanità al lavoro, regole per tutti
L'approccio settoriale della legge italiana rappresenta forse l'aspetto più pragmatico dell'intera normativa. Invece di limitarsi a principi generali, il legislatore ha scelto di entrare nel dettaglio delle applicazioni specifiche, definendo regole ad hoc per i contesti dove l'AI può avere maggiore impatto sociale.
Nel settore sanitario, l'articolo 15 stabilisce il principio della "centralità del medico" in ogni processo decisionale supportato dall'AI. Significa che algoritmi di diagnosi o sistemi di supporto terapeutico potranno essere utilizzati solo come strumenti di ausilio, mai in sostituzione del giudizio clinico. È una posizione che riflette non solo preoccupazioni etiche, ma anche la consapevolezza che in medicina l'errore algoritmico può avere conseguenze drammatiche. Parallelamente, la legge promuove l'utilizzo dei dati sanitari per la ricerca, stabilendo però protocolli rigorosi per la tutela della privacy.
Il mondo del lavoro riceve un'attenzione particolare attraverso l'istituzione di un osservatorio permanente presso il Ministero del Lavoro, con il compito di monitorare l'impatto dell'AI sull'occupazione e sulla "dignità del lavoratore". Quest'ultima espressione, che potrebbe sembrare vaga, assume significato concreto nell'era dei sistemi di monitoraggio algoritmico delle prestazioni lavorative. La legge stabilisce che ogni lavoratore deve essere informato quando la sua attività è soggetta a valutazione automatizzata e ha diritto a richiedere una revisione umana delle decisioni.
Nella pubblica amministrazione e nel sistema giudiziario, il principio guida è quello della "tracciabilità decisionale". Ogni volta che un algoritmo contribuisce a una decisione amministrativa o giudiziaria, deve essere possibile ricostruire il processo logico seguito e identificare le responsabilità umane coinvolte. Non è fantascienza: in alcuni tribunali italiani si stanno già sperimentando sistemi di AI per l'assegnazione dei fascicoli o la redazione automatica di atti giudiziari.
Deep fake: il nuovo reato che tutela identità e dignità digitale
Forse è nell'introduzione di nuove tutele contro i deepfake che la legge italiana mostra la sua natura più innovativa e, al tempo stesso, più controversa. Il provvedimento prevede specifiche sanzioni per chiunque realizzi o diffonda contenuti audiovisivi o sonori falsi, creati con tecnologie di intelligenza artificiale, al fine di danneggiare la reputazione, l'onore o la credibilità di una persona.
La norma nasce dalla consapevolezza che i deepfake rappresentano oggi una delle minacce più insidiose nell'ecosistema digitale. Come in un episodio di Black Mirror dove la realtà e la finzione si confondono pericolosamente, questi contenuti sintetici possono distruggere reputazioni, manipolare l'opinione pubblica o essere utilizzati per ricatti e vendette.
La legge italiana è tra le prime al mondo a tipizzare specificamente questo reato, anticipando probabilmente una tendenza che si diffonderà in altri ordinamenti. Ma il legislatore ha previsto altre misure. La legge introduce l'obbligo di etichettatura per tutti i contenuti generati con AI, distinguendo tra contenuti informativi e contenuti di intrattenimento.
Per i primi, l'etichettatura deve essere chiara e immediatamente visibile; per i secondi, può essere più discreta ma deve comunque essere presente.
È il tentativo di creare quello che potremmo chiamare un "sistema immunitario sociale" contro la disinformazione. Le sanzioni previste dalla normativa sono graduate: si va dalle multe amministrative per la mancata etichettatura fino a sanzioni più severe per i casi di utilizzo malevolo di contenuti sintetici.
Il testo prevede anche circostanze aggravanti quando questi contenuti vengono utilizzati in contesti elettorali o per colpire persone vulnerabili come minori o soggetti con disabilità.
Privacy e GDPR: l'equilibrio tra innovazione e protezione dati
Uno degli aspetti più delicati della regolamentazione AI riguarda il rapporto con la normativa europea sulla protezione dei dati personali. La legge italiana affronta questi temi in diversi articoli dedicati al trattamento dei dati personali, stabilendo principi che dovranno guidare lo sviluppo e l'implementazione di sistemi di AI nel rispetto del GDPR.
Il principio fondamentale è quello della "minimizzazione intelligente": i sistemi di AI possono processare dati personali solo nella misura strettamente necessaria al raggiungimento dello scopo specifico per cui sono stati progettati. Ma la novità sta nell'introduzione del concetto di "consenso dinamico", che permette agli utenti di modulare il livello di consenso in base all'evoluzione delle funzionalità del sistema. È come avere un termostato della privacy che può essere regolato in tempo reale.
La legge prevede anche l'istituzione di "sandbox normative" per l'AI, spazi controllati dove imprese e ricercatori possono sperimentare soluzioni innovative sotto la supervisione del Garante per la protezione dei dati personali. È il tentativo di creare un ambiente dove l'innovazione possa procedere senza compromettere la protezione dei diritti fondamentali.
Particolare attenzione viene dedicata ai sistemi di AI che elaborano dati biometrici o effettuano profilazione automatizzata. Per questi casi, la legge introduce l'obbligo di valutazione d'impatto sui diritti e le libertà fondamentali, un processo che deve coinvolgere esperti indipendenti e rappresentanti delle categorie potenzialmente interessate.
Il Garante Privacy assume un ruolo centrale nel nuovo ecosistema, non solo come autorità di controllo ma anche come promotore di best practice e standard tecnici. È prevista la pubblicazione annuale di linee guida settoriali che tengano conto dell'evoluzione tecnologica e della giurisprudenza europea.
Le critiche però non mancano
Ma dietro l'unanimità governativa si nasconde un fronte critico tutt'altro che marginale. Come in ogni grande rivoluzione normativa, anche la legge italiana sull'AI ha i suoi detrattori, e le loro obiezioni toccano nervi scoperti del provvedimento che meritano attenzione.
Il deputato del Partito Democratico Andrea Casu, relatore di minoranza alla Camera, non usa mezzi termini nel definire il provvedimento un treno perso: "Il governo perde l'ultimo treno per inserire correttivi fondamentali per garantire nel nostro Paese governance e risorse all'altezza della sfida. Non potrà certo essere una gestione spezzettata tra agenzie governative in un disegno di legge che non stanzia nemmeno un euro". La critica di Casu tocca un punto dolente: il presunto scollamento tra ambizioni dichiarate e risorse stanziate.
Il senatore Lorenzo Basso rincara la dose con un parallelismo impietoso: "Questa è una legge che nasce già vecchia e che non stanzia risorse: vengono solo introdotti nuovi reati invece di adottare incentivi per privati e pubblica amministrazione. Mentre il governo perdeva tempo altri invece hanno agito, giusto per fare un esempio in Gran Bretagna vengono investiti 22 miliardi di euro e in Francia 10 miliardi".
Ma è la Rete per i Diritti Umani Digitali, coalizione che include Amnesty International Italia e The Good Lobby, a lanciare l'attacco più sistematico. La loro critica si articola su tre fronti precisi: la governance affidata ad autorità governative anziché indipendenti, l'assenza del "diritto alla spiegazione" per le decisioni algoritmiche, e soprattutto il vuoto normativo sul riconoscimento biometrico. "La legge italiana sull'intelligenza artificiale appena approvata consegna il controllo dell'AI direttamente al governo", denuncia Laura Ferrari della Rete. "Le autorità incaricate di regolare l'intelligenza artificiale sono affiliate al governo. Non sono stati previsti meccanismi di difesa dagli errori dei sistemi di AI".
Il punto più controverso riguarda la sorveglianza biometrica. La Rete aveva proposto il divieto di riconoscimento biometrico negli spazi aperti al pubblico, ma la legge ha scelto di non disciplinare affatto il tema. Una scelta che, secondo i critici, lascia "mano libera all'esecutivo di proseguire con il suo ambizioso progetto di sorveglianza biometrica negli stadi italiani, che potrebbe estendersi anche ad altri luoghi della vita pubblica, come piazze, stazioni, supermercati, cinema e ospedali".
È il fantasma del Grande Fratello che aleggia sulla discussione, alimentato dall'assenza di quella che doveva essere un'autorità indipendente per l'AI, sostituita dal tandem ACN-AgID considerato troppo vicino all'esecutivo.
Il confronto europeo: primi della classe nell'AI Act
L'approvazione della legge italiana arriva comunque in un momento cruciale per il panorama normativo europeo. L'AI Act dell'Unione Europea, entrato in vigore nell'agosto 2024, stabilisce un quadro generale ma lascia agli Stati membri ampi margini di manovra per l'implementazione a livello nazionale. L'Italia ha scelto di colmare rapidamente questo spazio normativo, posizionandosi come benchmark per altri Paesi europei.
La strategia italiana si distingue per l'approccio olistico che integra aspetti di sicurezza nazionale, sviluppo economico e tutela dei diritti in un unico corpus normativo. Mentre altri Paesi europei stanno ancora definendo le loro strategie nazionali, l'Italia può vantare un vantaggio competitivo non trascurabile nell'attrazione di investimenti internazionali nel settore dell'AI.
Il modello di governance a doppio binario ACN-AgID sta suscitando interesse anche in altri contesti nazionali. La Francia, ad esempio, sta valutando un'architettura istituzionale simile, mentre la Germania ha espresso apprezzamento per l'approccio settoriale adottato dall'Italia.
Ma la vera prova del fuoco sarà nell'implementazione. La legge prevede un monitoraggio annuale al Parlamento sull'efficacia delle misure adottate e sull'evoluzione del settore. È una clausola di revisione che permetterà di aggiustare il tiro in corsa, aspetto fondamentale in un campo dove l'innovazione procede a velocità esponenziale.
Come nelle migliori tradizioni italiane, abbiamo scritto una buona legge, migliorabile ma buona. Ora resta da vedere se sapremo applicarla con la stessa lungimiranza con cui l'abbiamo concepita. Il futuro dell'intelligenza artificiale in Europa potrebbe dipendere anche da questo.