VEDI ANCHE Newsletter del 29 luglio 2026

[doc. web n. 10275626]

Parere su uno schema di decreto legislativo di adeguamento della normativa interna alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024 (infra: “regolamento IA”), in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione - 14 luglio 2026

Registro dei provvedimenti
n. 532 del 14 luglio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vice presidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

Visto il Regolamento (UE) 2016/679, del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito: “Regolamento”) e, in particolare, l’articolo 36, par. 4;

Visto il decreto legislativo 30 giugno 2003, n. 196 e s.m.i. (Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, di seguito: “Codice”);

Vista la richiesta di parere della Presidenza del Consiglio dei Ministri − Dipartimento per gli affari giuridici e legislativi;

Vista la documentazione in atti;

Viste le osservazioni del segretario generale, rese ai sensi dell’articolo 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Pasquale Stanzione;

PREMESSO

La Presidenza del Consiglio dei Ministri – Dipartimento per gli affari giuridici e legislativi ha richiesto il parere del Garante su di uno schema di decreto legislativo di adeguamento della normativa interna alle disposizioni del regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024 (infra: “regolamento IA”), in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione.

Il provvedimento- trasmesso alle Camere come Atto del Governo n. 421-  costituisce esercizio della delega legislativa di cui all’articolo 24, commi 1 e 2, lett. a), b), c), d), e), f), g), i), l), m) e n), della legge 23 settembre 2025, n. 132, laddove lo schema di decreto legislativo (Atto del Governo n. 418), parimenti all’esame del Garante, è espressione della delega legislativa di cui all’articolo 24, commi 1 e 2, lettera h), 3 e 5 della medesima legge.

RILEVATO

Il decreto legislativo si compone di cinquantuno articoli, suddivisi in cinque Capi, di cui si illustrano le norme di maggiore interesse in termini di protezione dei dati.

Il Capo I, dedicato alle “Disposizioni generali”, reca, all’articolo 1, una norma dedicata alle definizioni, tra le quali quelle di “autorità nazionali per l’intelligenza artificiale”, individuate nell’AgID e ACN, ai sensi dell’articolo 20, comma 1, della legge 23 settembre 2025, n. 132 (lett. a) e di “autorità nazionali di vigilanza del mercato” tra le quali è compreso anche il Garante, limitatamente alle attribuzioni di cui all’art. 74, p. 8, del regolamento IA (lett. b).

Il Capo II disciplina i poteri delle Autorità nazionali per l’intelligenza artificiale precisando, all’articolo 2, comma 1, che il decreto legislativo introduce nell’ordinamento interno le disposizioni necessarie per l’adeguamento alla fonte unionale e alle relative norme tecniche di regolamentazione e attuazione, con particolare riferimento ai poteri delle autorità individuate dall’articolo 20 della legge di delegazione, nonché alle misure volte ad assicurare il coordinamento con la normativa settoriale vigente.

L’articolo 2, comma 2, dispone l’applicazione del decreto legislativo ai soggetti indicati dall’articolo 2, par. 1, del regolamento IA.

L’articolo 3 reca i principi generali e l’articolo 4, in attuazione dell’articolo 70, par. 1, del regolamento IA, designa l’AgID quale Autorità nazionale di notifica, attribuendole funzioni relative alla predisposizione e all’esecuzione delle procedure di valutazione, designazione e notifica degli organismi di valutazione della conformità, nonché al monitoraggio del mantenimento dei requisiti da parte degli organismi notificati.

L’articolo 5 individua le autorità nazionali di vigilanza del mercato, ferma restando la competenza dell’Ufficio europeo per l’IA prevista dagli articoli 75, 88 e 89 del medesimo regolamento. In particolare, la norma designa l’ACN, competente per la vigilanza del mercato sui sistemi di IA ai sensi dell’articolo 70 del regolamento IA (c. 1, lett. a); la Banca d’Italia, la CONSOB e l’IVASS, quali autorità competenti per i sistemi di IA ad alto rischio impiegati, rispettivamente, nell’erogazione di finanziamenti e servizi bancari e creditizi (c. 1, lett. b) e il Garante, limitatamente a quanto sancito all’articolo 74, paragrafo 8, del regolamento IA (c. 1, lett c).

L’articolo 7 disciplina le forme di cooperazione tra l’Autorità nazionale di notifica e le Autorità nazionali di vigilanza del mercato. Il comma 1 prevede la stipula di accordi ai sensi dell’articolo 15 della legge n. 241 del 1990 per assicurare la tempestiva condivisione di dati e informazioni e per istituire meccanismi di risposta rapida in caso di incidenti gravi. All’Autorità nazionale di notifica è affidato il coordinamento con le autorità di notifica degli altri Stati membri, anche tramite protocolli d’intesa, per favorire lo scambio di informazioni e buone pratiche (c.2).

Al fine di promuovere l’innovazione e lo sviluppo dell’intelligenza artificiale, il comma 3 dell’articolo 7 legittima l’Autorità nazionale di notifica e le Autorità nazionali di vigilanza del mercato a stipulare convenzioni e protocolli d’intesa con enti di ricerca, AFAM e ITS Academy per iniziative di ricerca, sperimentazione e formazione. Il comma successivo prevede che le Autorità nazionali di vigilanza del mercato definiscano forme di coordinamento con le autorità competenti per la tutela dei diritti fondamentali, oggetto di comunicazione ai sensi dell’articolo 77 del regolamento IA, tra le quali andrà peraltro compreso il Garante.

Il comma 5 dispone invece che le Autorità nazionali per l’intelligenza artificiale e le Autorità del settore finanziario definiscano forme di coordinamento operativo e informativo con il Garante, anche quale autorità di vigilanza del mercato (art. 74, par. 8, del regolamento IA), al fine di assicurare, ove necessario, la tempestiva e completa condivisione dei dati e delle informazioni rilevanti per l’esercizio delle rispettive competenze.

Il comma 6 dispone che l’ACN, nell’esercizio dei poteri di vigilanza e ispettivi di cui all’articolo 15 del decreto, individui forme di collaborazione con la Guardia di finanza, in relazione ai compiti previsti dalla disciplina di settore.

L’articolo 8 prevede che l’ACN, ai sensi dell’art. 74, par. 3, del Regolamento IA coordini le attività di vigilanza con le Autorità settoriali competenti (c. 1). Le Autorità settoriali informano tempestivamente l’ACN quando la verifica di conformità riguarda prodotti contenenti sistemi di IA disciplinati dalla fonte unionale (c. 4). La disposizione legittima, infine, ACN e le Autorità settoriali a stipulare accordi ai sensi dell’articolo 15 della legge 241 del 1990 per l’esercizio coordinato delle rispettive attività (c. 5).

L’articolo 9 prevede poi una collaborazione strutturata tra l’ACN e le Autorità del settore finanziario per la vigilanza sui sistemi di IA utilizzati dagli istituti finanziari, con la possibilità per l’ACN di avvalersi del supporto della Guardia di finanza (c. 2).

Con particolare riferimento ai sistemi di IA non ad alto rischio impiegati nei contesti indicati dall’art. 74, par. 8, del regolamento IA, la norma prevede una cooperazione sia tra ACN e Garante (c. 3), sia tra le Autorità finanziarie e il Garante (c. 4). È inoltre previsto che le autorità nazionali di vigilanza del mercato e quelle competenti sugli istituti finanziari collaborino mediante scambio di informazioni ove rilevanti per l’esercizio delle rispettive competenze (c. 5).

L’articolo 11 consente alle Autorità nazionali per l’IA e alle Autorità finanziarie di adottare linee guida, raccomandazioni e buone pratiche per assicurare un’applicazione uniforme e coerente delle norme, mentre l’articolo 12 disciplina il Comitato di coordinamento, con una clausola di salvaguardia rispetto alle competenze, ai compiti e ai poteri del Garante e dell'Autorità per le garanzie nelle comunicazioni, quale Coordinatore dei Servizi Digitali.

L’articolo 13 attribuisce all’AgID, quale autorità di notifica, i poteri necessari per attuare le procedure di valutazione, designazione e notifica degli organismi di valutazione della conformità (cc. 1 2), assicurando il monitoraggio continuo dei requisiti con audit periodici e straordinari e potendo avviare procedimenti di limitazione, sospensione o revoca della designazione (c. 3).

L’articolo 14 assegna all’ACN la competenza per la registrazione nazionale dei sistemi di IA ad alto rischio, definendo modalità operative da definirsi tramite decreto del direttore generale (c. 2) e prevedendo il coordinamento con il punto di contatto unico (c. 3).

L’articolo 15 conferisce all’ACN i poteri di vigilanza e ispettivi previsti dal regolamento IA e dal regolamento (UE) 2019/1020 (c. 1), mentre l’articolo 16 la individua quale autorità competente per le misure di vigilanza previste dagli artt. 79, 80, 82 e 83 del Regolamento IA, avviate su segnalazione di incidenti gravi, reclami o d’ufficio.

Gli articoli da 19 al 25 delineano complessivamente il sistema sanzionatorio, sotto il profilo sostanziale e processuale, prevedendo la pubblicazione dei relativi provvedimenti sui siti istituzionali delle autorità competenti, in forma anonima ove la pubblicazione ordinaria comporti (o possa comportare) la diffusione di dati personali in modo sproporzionato rispetto alla violazione, ingenerare rischi per la cybersicurezza o compromettere indagini penali, arrecare un pregiudizio sproporzionato ai soggetti coinvolti.

L’articolo 26 istituisce lo Spazio di sperimentazione italiano per l’IA, sotto la vigilanza delle Autorità nazionali per l’intelligenza artificiale, ai sensi dell’art. 57 del regolamento IA. Esso offre ai fornitori un ambiente controllato di sperimentazione, gestito congiuntamente da AgID e ACN, con modalità demandate a provvedimenti dei rispettivi direttori generali (c.2).

L’articolo 28 istituisce il Gruppo operativo, composto pariteticamente da AgID e ACN, incaricato della gestione tecnica e operativa dello Spazio di sperimentazione, consentendo la partecipazione di altre amministrazioni competenti e il coinvolgimento di università e centri di ricerca per valutazioni tecniche e analisi dei rischi.. Il comma 5 demanda a decreti congiunti AgID ACN la definizione della composizione, del funzionamento, dei servizi offerti e dei criteri di eleggibilità mentre il comma 6 impone il rispetto della riservatezza dei dati e delle informazioni, ai sensi dell’art. 78 del regolamento IA.

L’articolo 29 legittima le Autorità nazionali per l’intelligenza artificiale a coinvolgere vari attori del mondo IA nelle attività di cooperazione pubblico privato, mentre l’articolo 30 consente lo svolgimento della sperimentazione FinTech anche nello Spazio di sperimentazione italiano per l’IA.
L’articolo 34 impone il rispetto della disciplina di protezione dei dati e dei principi di necessità, proporzionalità e minimizzazione nello svolgimento delle attività di coordinamento operativo e informativo previste dal decreto, anche se in deroga al segreto d’ufficio.

Il Capo III dello schema reca la disciplina per i percorsi formativi, le professioni, il lavoro, la sanità e la pubblica amministrazione.

In tale contesto, l’articolo 35 disciplina la parte relativa alla formazione degli studenti, prevedendo attività volte a sviluppare un uso responsabile e consapevole dei sistemi di IA. L’articolo 36 istituisce un piano di formazione per i docenti sull’uso dei social media e delle piattaforme digitali, con interventi educativi rivolti agli studenti per contenere l’impatto dell’uso dei social sul benessere dei minori e tutelarli nello spazio digitale.

L’articolo 37 disciplina la formazione dei docenti e degli studenti in materia di intelligenza artificiale, prevedendone l’orientamento allo sviluppo di “competenze digitali avanzate con particolare attenzione alla valutazione critica delle informazioni digitali, alla sicurezza, alla tutela della privacy e dell’identità digitale, all’interoperabilità dei dati e all’adozione di pratiche digitali sostenibili, in coerenza con il quadro europeo delle competenze digitali”.

La fonte attuativa dovrà definire gli interventi rivolti agli studenti, per promuovere l’alfabetizzazione digitale, la comprensione dei sistemi algoritmici e un uso etico, responsabile e trasparente dell’IA, nel rispetto dei diritti fondamentali, della protezione dei dati personali, dell’equità e della non discriminazione (comma 3, lett. b).

L’articolo 40 onera il datore di lavoro che utilizzi sistemi di intelligenza artificiale della garanzia del fatto che le decisioni – comprese quelle sulla costituzione, modifica o cessazione del rapporto- non siano adottate unicamente sulla base di un trattamento automatizzato, dovendo la decisione finale deve essere sempre assunta da una persona fisica dotata di potere effettivo e autonomo.

La norma dispone che l’uso dei sistemi di IA deve avvenire nel rispetto della dignità, della riservatezza del lavoratore e del principio di non discriminazione e che, prima dell’avvio del trattamento, il datore di lavoro fornisca l’informativa prevista dal d.lgs. n. 152/1997. Il lavoratore ha, peraltro, diritto a ottenere una motivazione intelligibile della decisione, con indicazione dell’incidenza dell’IA e dei parametri considerati, oltre ai diritti di accesso e alle tutele previste dagli artt. 13, 15 e 22 del Regolamento.

L’articolo 49 modifica l’articolo 98 del codice della proprietà industriale, includendo tra le informazioni aziendali e le esperienze tecnico industriali protette anche i dati, gli algoritmi e i metodi matematici utilizzati per l’addestramento dei sistemi di intelligenza artificiale, purché ricorrano le condizioni già previste dal comma 1 dell’art. 98. Sono ricompresi, in particolare, le architetture dei modelli, le funzioni di ottimizzazione, le procedure e configurazioni di addestramento e ogni altro elemento tecnico computazionale funzionale allo sviluppo dei sistemi di IA.

L’articolo 51 reca la clausola d’invarianza finanziaria che tuttavia, per quanto concerne il Garante, dovrà essere inscritta all’interno di un’organica revisione degli stanziamenti riservati all’Autorità, oggi insufficienti rispetto alle sue esigenze funzionali necessarie all’efficiente ed efficace svolgimento delle numerose competenze ascrittele (anche) rispetto agli ambiti di cui all’articolo 74, par.8, del regolamento IA. 

RITENUTO

Lo schema di decreto legislativo -complessivamente coerente con il Regolamento (UE) 2024/1689 e i criteri di delega della legge n. 132 del 2025- merita alcune integrazioni, volte a rafforzare le garanzie rispetto al trattamento dei dati personali sotteso all’uso di tecniche di IA nei contesti considerati e assicurare maggiore funzionalità all’azione amministrativa, in particolare dell’Autorità.

In questa prospettiva, al corretto richiamo delle competenze ascritte al Garante dall’articolo 74, p.8 del regolamento IA dovrebbe anche corrispondere, specularmente, il riconoscimento all’Autorità del potere di adottare linee guida, raccomandazioni e buone pratiche nell’ambito di riferimento. L’articolo 11 potrebbe, dunque, essere integrato in tal senso.

Per altro verso, secondo il paradigma delineato dall’articolo 24- che rinvia alle regole procedurali di settore la disciplina del procedimento sanzionatorio svolto dalle singole Autorità indipendenti – per le sanzioni irrogate dal Garante dovrebbe, parimenti, farsi espresso rinvio alla norma di cui all’articolo 166 del Codice, ivi incluso il comma 7 in ordine alla destinazione dei proventi della riscossione.

Nella medesima prospettiva, derivando al Garante, dalle competenze di cui all’articolo 74, par.8 del regolamento IA, la qualità di organismo notificato in materia di valutazione della conformità, ai sensi e per gli effetti dell’articolo 43, par.1, del medesimo regolamento, dovrebbe esplicitarsi se, ai sensi dell’articolo 31, par. 9, lo Stato si consideri direttamente responsabile di tale valutazione.

Inoltre, l’articolo 26, relativo allo Spazio di sperimentazione italiano per l’IA, non contempla la partecipazione del Garante nei progetti che comportano il trattamento di dati personali, in contrasto con quanto previsto dall’articolo 57, par. 10, del regolamento IA. Sarebbe pertanto opportuno integrare la norma prevedendo il coinvolgimento del Garante, per quanto di competenza, nelle attività connesse allo Spazio di sperimentazione ai sensi e per gli effetti di cui al citato articolo 57, par. 10.

Per altro verso, per elevare il livello delle garanzie rispetto il divieto di assunzione di decisioni fondate unicamente su trattamenti automatizzati, previsto all’articolo 40- strettamente correlato al disposto di cui all’articolo 22 del Regolamento- potrebbe essere opportunamente esteso alle decisioni di carattere valutativo (parimenti contemplate nell’articolo 1-bis d.lgs. 152 del 1997, richiamato dallo stesso articolo 40), suscettibili di determinare implicazioni significative sul rapporto di lavoro.

IL GARANTE

ai sensi dell’articolo 36, par. 4, del Regolamento, esprime parere favorevole sullo schema di decreto legislativo, con:

a) le condizioni, esposte nel “Ritenuto”, relative all’esigenza di:

1) integrare l’articolo 11 estendendo al Garante l’attribuzione dei poteri ivi previsti;  

2) rinviare all’articolo 166 del Codice per la disciplina del procedimento sanzionatorio di competenza del Garante, anche relativamente alla destinazione dei proventi della riscossione;

3) precisare quale delle opzioni prefigurate dall’articolo 31, par.9 del regolamento IA si intenda adottare relativamente alla responsabilità per la valutazione di conformità di cui all’articolo 43, par.1, del medesimo regolamento, rispetto alle attribuzioni del Garante quale organismo notificato;

4) integrare l’articolo 26 con riferimento alla partecipazione del Garante nei progetti che comportano il trattamento di dati personali e:

b) l’osservazione, esposta nel “Ritenuto”, relativa alla valutazione dell’opportunità di estendere alle decisioni di carattere valutativo, suscettibili di determinare implicazioni significative sul rapporto di lavoro, il divieto di assunzione di decisioni fondate unicamente su trattamenti automatizzati, previsto all’articolo 40.

Roma, 14 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori