La legge 132/2025 è la prima legge italiana dedicata all’intelligenza artificiale: è in vigore dal 10 ottobre 2025 e affianca l’AI Act europeo, senza sostituirlo. Per le imprese introduce regole su lavoro, professioni, contenuti falsi generati con l’AI e controlli, e nel 2026 è stata completata da due decreti attuativi. Ecco cosa prevede e cosa è già operativo.
In breve
- La legge 23 settembre 2025, n. 132 è stata pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed è in vigore dal 10 ottobre 2025.
- Si interpreta e si applica in conformità al regolamento (UE) 2024/1689, cioè l’AI Act.
- Le autorità nazionali per l’intelligenza artificiale sono AgID e ACN, l’Agenzia per la cybersicurezza nazionale.
- I decreti attuativi sono il D.Lgs. 160/2026, in vigore dal 30 settembre 2026, e il D.Lgs. 179/2026, in vigore dal 23 ottobre 2026.
Che cos’è la legge 132/2025 e a chi si applica
È una legge di principi e deleghe: fissa le regole generali su sviluppo, adozione e applicazione dei sistemi di AI in Italia e affida al Governo il compito di completare il quadro con decreti legislativi. L’articolo 1 parla di un utilizzo «corretto, trasparente e responsabile» dell’AI, in una dimensione antropocentrica: la persona resta al centro.
Il regolamento europeo resta la norma di riferimento su obblighi, livelli di rischio e divieti; la legge italiana va applicata in modo conforme e aggiunge regole nazionali su lavoro, professioni, sanità, pubblica amministrazione e reati. Riguarda quindi anche le PMI che usano strumenti di AI acquistati da altri, come un assistente sul sito o un software che legge i curriculum. Prevede inoltre investimenti pubblici fino a un miliardo di euro in imprese di AI, cybersicurezza e tecnologie quantistiche (articolo 23).
Quali principi valgono per chi usa l’AI in azienda
L’articolo 3 elenca nove principi generali: trasparenza, proporzionalità, sicurezza, protezione dei dati personali, riservatezza, accuratezza, non discriminazione, parità dei sessi e sostenibilità. Per un’azienda sono una lista di controllo concreta: se non sai spiegare cosa fa uno strumento e con quali dati, difficilmente lo stai usando bene.
Per chi offre servizi di AI al pubblico conta anche l’articolo 4: l’accesso alle tecnologie di intelligenza artificiale da parte dei minori di 14 anni richiede il consenso di chi esercita la responsabilità genitoriale. Dai 14 anni il minore può dare il consenso da solo, purché le informazioni siano facilmente accessibili e comprensibili.
Cosa cambia per lavoro, professioni, sanità e pubblica amministrazione
- Lavoro (articolo 11): l’AI deve essere sicura, affidabile e trasparente e non può violare dignità e riservatezza. Il datore di lavoro o il committente deve informare il lavoratore dell’uso dell’AI nei casi e con le modalità dell’articolo 1-bis del D.Lgs. 152/1997. Presso il Ministero del Lavoro nasce un Osservatorio sull’AI nel lavoro (articolo 12).
- Professioni intellettuali (articolo 13): l’AI è ammessa solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale, e il professionista deve comunicare al cliente quali sistemi usa «con linguaggio chiaro, semplice ed esaustivo».
- Sanità (articolo 7): l’AI aiuta diagnosi e cura, ma la decisione resta sempre al medico.
- Pubblica amministrazione (articolo 14): la persona resta l’unica responsabile di provvedimenti e procedimenti.
Deepfake e nuovi reati: cosa prevede il codice penale
L’articolo 26 interviene sul codice penale e su altre leggi:
- una nuova aggravante per i reati commessi con sistemi di intelligenza artificiale, quando l’AI è un mezzo insidioso, ostacola la difesa o aggrava le conseguenze del reato;
- il nuovo reato di illecita diffusione di contenuti generati o alterati con l’AI (articolo 612-quater del codice penale);
- pene più severe per la manipolazione del mercato commessa con l’AI e un nuovo reato per l’estrazione illecita di testi e dati (text and data mining) in violazione del diritto d’autore.
In pratica: video, foto e voci sintetiche di persone reali conviene usarli solo con il loro consenso e dichiarando che sono generati.
Decreti attuativi: a che punto siamo a ottobre 2026
L’articolo 24 delegava il Governo ad adottare, «entro dodici mesi dalla data di entrata in vigore» della legge, i decreti per adeguare le norme italiane all’AI Act e per disciplinare gli usi illeciti dell’AI. Dopo l’esame preliminare del 10 giugno 2026, il Consiglio dei ministri ha approvato i testi in via definitiva il 4 agosto 2026. Oggi sono in vigore:
- D.Lgs. 9 settembre 2026, n. 160 (Gazzetta Ufficiale n. 214 del 15 settembre 2026, in vigore dal 30 settembre 2026): regola l’AI nelle attività di polizia e la responsabilità civile e penale. Introduce l’articolo 437-bis del codice penale, che punisce l’omessa adozione di misure di sicurezza nei sistemi ad alto rischio, e aiuta chi subisce un danno con l’accesso alla documentazione tecnica e la presunzione del nesso di causalità.
- D.Lgs. 7 ottobre 2026, n. 179 (Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre 2026): definisce i poteri delle autorità. AgID è l’autorità di notifica; ACN, Banca d’Italia, Consob, IVASS e Garante privacy sono autorità di vigilanza del mercato, ciascuna nel proprio ambito. Le sanzioni pecuniarie riprendono i massimi dell’AI Act, fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate; per PMI e start-up innovative vale il criterio più favorevole previsto dall’AI Act e per le violazioni di scarsa offensività sono possibili misure non pecuniarie. Nasce inoltre lo Spazio di sperimentazione italiano per l’IA (sandbox), gestito da AgID e ACN, con priorità di accesso per PMI e start-up.
Il D.Lgs. 179/2026 ha anche un capo su formazione, professioni, lavoro, sanità e pubblica amministrazione. Per le imprese conta soprattutto una regola: le decisioni su assunzione, modifica o cessazione del rapporto di lavoro, compresi provvedimenti disciplinari e licenziamenti, non possono basarsi unicamente su un trattamento automatizzato, e il licenziamento intimato in violazione di questo divieto è nullo. Secondo il comunicato del Governo, il testo è stato aggiornato alle modifiche dell’AI Act introdotte dal regolamento (UE) 2026/1744, così che le sanzioni scattino solo quando entrano in vigore i corrispondenti obblighi e divieti europei.
Da dove partire: i primi passi per una PMI
- Fai l’elenco degli strumenti di AI che usate: assistenti su sito e WhatsApp, software di selezione, strumenti di scrittura. Per ciascuno annota chi lo usa, per cosa e con quali dati.
- Controlla cosa riguarda i dipendenti: se uno strumento incide su assunzioni, turni o valutazioni, prepara l’informativa e fai decidere sempre una persona.
- Se sei un professionista, aggiorna la lettera d’incarico con i sistemi di AI che usi.
- Verifica i servizi aperti al pubblico: un assistente virtuale deve presentarsi come tale e passare la conversazione a una persona quando serve. Per il quadro europeo leggi il nostro articolo su AI Act e assistenti virtuali per le PMI.
- Forma le persone che usano l’AI: è il punto di partenza della nostra formazione sull’AI per le aziende.
Informazioni aggiornate a ottobre 2026. Questo articolo non è una consulenza legale: per il tuo caso verifica i testi vigenti su Normattiva e Gazzetta Ufficiale con un professionista.
Domande frequenti
La legge 132/2025 sostituisce l’AI Act?
No. L’AI Act è un regolamento europeo e si applica direttamente in tutta l’Unione. La legge 132/2025 va applicata in conformità al regolamento e aggiunge regole italiane su lavoro, professioni, sanità, pubblica amministrazione e reati.
Da quando sono in vigore la legge e i decreti attuativi?
La legge è in vigore dal 10 ottobre 2025. Il D.Lgs. 160/2026, su polizia e responsabilità civile e penale, dal 30 settembre 2026. Il D.Lgs. 179/2026, su autorità, sanzioni e uso dell’AI in professioni, lavoro, sanità e pubblica amministrazione, dal 23 ottobre 2026.
Una PMI che usa un chatbot sul sito deve fare qualcosa di nuovo?
Deve rispettare i principi della legge, in particolare trasparenza, accuratezza e protezione dei dati, e fare attenzione ai minori di 14 anni. È buona prassi che l’assistente si presenti come virtuale e passi la conversazione a una persona quando serve. Restano da verificare gli obblighi dell’AI Act per il tuo caso.
Cosa rischia chi diffonde un deepfake?
Con il nuovo articolo 612-quater del codice penale, chi diffonde illecitamente contenuti generati o alterati con l’AI e in grado di ingannare sulla loro autenticità rischia da uno a cinque anni di reclusione. Di regola si procede su querela.
Fonti
- Normattiva, «Legge 23 settembre 2025, n. 132 - Disposizioni e deleghe al Governo in materia di intelligenza artificiale», testo vigente
- Gazzetta Ufficiale, «Serie generale n. 223», 25 settembre 2025
- Normattiva, «Decreto legislativo 9 settembre 2026, n. 160», pubblicato il 15 settembre 2026
- Normattiva, «Decreto legislativo 7 ottobre 2026, n. 179», pubblicato l’8 ottobre 2026
- Dipartimento per gli Affari europei, «Consiglio dei Ministri del 4 agosto 2026», 4 agosto 2026
- Ministero del Lavoro e delle Politiche sociali, «Via libera al pacchetto attuativo della legge 132/2025», 10 giugno 2026