il Garante dice sì (condizionato) anche allo schema di decreto attuativo.
Il 14 luglio 2026 il Garante si è espresso sui due schemi di decreto attuativo della Legge 132/2025: parere favorevole, ma con condizioni sia all’uso di intelligenza artificiale nell’attività di polizia, sia al decreto in materia di Autorità nazionali AI e formazione con sistemi intelligenti. Il parere del 14 luglio 2026, su quest’ultimo schema tra riconoscimento di coerenza sistemica e quattro correttivi puntuali.
Di Gianluca Sivieri
Con il parere reso il 14 luglio 2026, il Garante per la protezione dei dati personali ha chiuso un altro tassello del mosaico attuativo della legge 23 settembre 2025, n. 132. Lo schema di decreto legislativo in esame – trasmesso alle Camere come Atto del Governo n. 421 – non è un provvedimento qualsiasi: cinquantuno articoli distribuiti in cinque Capi che disegnano l’architettura italiana di governance dell’AI Act (Regolamento UE 2024/1689), toccando insieme autorità di vigilanza, sandbox regolatoria e uso dell’intelligenza artificiale nella formazione, dalla scuola al lavoro.
Chi si aspettasse un parere ostativo resterà deluso e chi conosce la prassi recente dell’Autorità non ne sarà sorpreso: il Garante riconosce la coerenza complessiva dell’impianto con il regolamento europeo. È lo stesso registro già visto nel parere sulle Linee guida IA per la scuola dell’agosto 2025 – un “sì, ma” tecnico, non un veto sistemico. Le quattro condizioni poste, infatti, sono tutte interventi mirati: un articolo da integrare, un rinvio normativo da esplicitare, mai una riscrittura dell’impianto.
Le quattro correzioni richieste
La prima riguarda i poteri di soft law: l’art. 11 dello schema attribuisce al Garante un ruolo di autorità di vigilanza del mercato limitatamente alle competenze dell’art. 74, par. 8 AI Act, ma non gli riconosce il potere di adottare linee guida, raccomandazioni e buone pratiche. Un disallineamento che il Garante segnala con una formula che vale la pena riportare: al corretto richiamo delle competenze dovrebbe corrispondere il riconoscimento dei relativi poteri attuativi, principio elementare di coerenza normativa, eppure evidentemente non scontato in sede di redazione.
La seconda condizione chiede un rinvio esplicito all’art. 166 del Codice Privacy per il procedimento sanzionatorio, per evitare che l’AG 421 costruisca un canale procedurale parallelo e potenzialmente disallineato rispetto a quello già rodato.
La terza tocca un nodo più delicato: la responsabilità statale nella valutazione di conformità ex art. 31, par. 9 del Regolamento UE 2024/1689, quando il Garante agisce come organismo notificato ai sensi dell’art. 43. Qui la domanda non è meramente tecnica. È la domanda su chi risponde, in ultima istanza, se la valutazione di conformità di un sistema ad alto rischio si rivela carente.
La quarta, e probabilmente la più sostanziale, riguarda lo Spazio di sperimentazione italiano per l’AI (art. 26), la sandbox nazionale gestita da AgID e ACN. Nella formulazione attuale, la partecipazione del Garante non è prevista per i progetti che comportano trattamento di dati personali, un’assenza che il Garante stesso definisce in contrasto con l’art. 57, par. 10 del regolamento IA, norma che impone il coinvolgimento delle autorità di controllo competenti proprio in questi casi. È il rilievo con la maggior probabilità di produrre effetti pratici: una sandbox che sperimenta sistemi di IA senza un presidio strutturato sulla protezione dei dati è un rischio di compliance che si materializza a valle, non a monte.
Un’osservazione che guarda al lavoro
Accanto alle condizioni, un’osservazione non vincolante ma di sostanza: l’art. 40 vieta le decisioni sul rapporto di lavoro assunte esclusivamente tramite IA, in linea con l’art. 22 GDPR. Il Garante suggerisce di estendere il perimetro del divieto anche alle decisioni valutative, ossia quelle che, pur non essendo formalmente dispositive del rapporto, incidono su carriera, progressioni e condizioni di lavoro. È un’estensione logica più che innovativa: la distinzione tra decisione “dispositiva” e decisione “valutativa” è spesso più teorica che reale nella pratica organizzativa, e un algoritmo che orienta le valutazioni di performance produce effetti concreti quanto uno che licenzia.
La lettura pragmatica
Per chi opera nella compliance pubblica, il messaggio di questo parere è duplice. Da un lato conferma che l’assetto multi-autorità disegnato dal legislatore delegato – ciascuna con competenze ritagliate per settore – regge alla prova del confronto con l’AI Act, senza le criticità strutturali che alcuni commentatori avevano paventato in sede di prima lettura dello schema. Dall’altro, ricorda che la tenuta di un sistema di governance multilivello si gioca proprio nei dettagli di raccordo: poteri attuativi coerenti con le competenze attribuite, procedimenti sanzionatori non duplicati, partecipazione effettiva – non solo nominale – nei luoghi in cui l’IA viene sperimentata su dati reali.
Il testo torna ora alle Commissioni parlamentari, con termine per il parere fissato al 16 agosto 2026. Se le quattro condizioni verranno recepite, l’AG 421 avrà probabilmente attraversato l’iter più agevolmente di quanto la complessità della materia lasciasse presagire.
