#Finsubito news – AI Act Italia: scadenze 2027 per studi legali e professionisti

Implementazione dei sistemi di Intelligenza artificiale: facciamo il punto alla luce della normativa italiana. Il quadro legislativo infatti è ormai completo: il Decreto legislativo n. 160/2026 (cosiddetto “Polizia”) è in vigore dal 30 settembre scorso; il Decreto legislativo n. 179/2026 (cosiddetto Governance – Sanzioni) lo è dal 23 ottobre scorso.
Ma un decreto in vigore non è ancora una regola applicata: servono decine di provvedimenti attuativi. E il calendario dice molto più di quanto sembri.
Quale atto arriva per primo, e quale invece non ha una data?
In questo articolo, Avvocato4punto0 parte dalle prime scadenze tassative e legge il calendario come una dichiarazione di priorità.
Questo articolo è utile per il tracciamento periodico e le attività di compliance.
Questo articolo risponde alle domande:
quali sono i primi provvedimenti attuativi dei decreti italiani sull’AI Act e entro quando vanno adottati?
Entro quando gli Ordini professionali devono adeguare la formazione iniziale e continua all’intelligenza artificiale?
Quali atti chiave, come il registro nazionale dei sistemi ad alto rischio e la sandbox giudiziaria, non hanno un termine tassativo?
Buona lettura!

Attuazione delle norme italiane sulla intelligenza artificiale: il primo traguardo è il 21 gennaio 2027 per costi della vigilanza di ACN (Agenzia per la cybersicurezza nazionale) e, soprattutto,  per la formazione scolastica.

Entro quella data, infatti, occorre adottare sia il decreto della presidenza  del consiglio dei ministri per il calcolo dei costi per le attività di vigilanza del mercato di ACN sui prodotti non conformi; sia i due atti del Ministero dell’Istruzione e del Merito sulla formazione scolastica, ossia il Piano di formazione docenti contro l’uso non consapevole di social/IA e dipendenze digitali e i criteri e modalità di erogazione della formazione sull’AI per docenti e studenti.

Il dato in controluce è che gli strumenti che rendono la vigilanza operativa, a partire dal registro nazionale dei sistemi ad alto rischio, hanno un termine qualificato come ordinario. Nessuna data.

In questo articolo, Avvocato 4.0 parte dalle prime scadenze tassative e legge il calendario dell’attuazione delle norme italiane come una dichiarazione di priorità.

Il quadro legislativo infatti è ormai completo: il Decreto legislativo n. 160/2026 (cosiddetto “Polizia”) è in vigore dal 30 settembre scorso; il Decreto legislativo n. 179/2026 (cosiddetto Governance – Sanzioni) lo è dal 23 ottobre scorso.

Ma un decreto in vigore non è ancora una regola applicata: servono decine di provvedimenti attuativi. E il calendario dice molto più di quanto sembri.

E dunque analizziamolo, tanto più che questa analisi è utile per il tracciamento delle  e ai  fini della compliance di pubbliche amministrazioni, aziende e studi professionali.

Lo scadenziario distingue due famiglie di provvedimenti: quelli a termine tassativo, con una data, e quelli a termine ordinario o regolamentare.

È questa distinzione, più dei singoli atti, a raccontare le priorità.

21 gennaio 2027: costi della vigilanza e scuola

Entro il 21 gennaio prossimo, come abbiamo visto, dovranno essere adottati tre atti: il primo è un DPCM, su proposta dell’ACN di concerto con il MEF, che fissa il calcolo dei costi delle attività di vigilanza del mercato sui prodotti non conformi (art. 10, comma 2). In altre parole, prima ancora di stabilire il “come” si vigila, si stabilisce quanto costa vigilare.

Il secondo è un piano di formazione per i docenti, che il MIM deve avviare sentito il Dipartimento per le politiche della famiglia della Presidenza del Consiglio (art. 37, comma 1). Il decreto parla di «emergenza educativa», legata all’uso eccessivo e non consapevole dei social media e alle dipendenze comportamentali, comprese quelle da «ambienti relazionali basati su sistemi di intelligenza artificiale». Dotazione: fino a 100 milioni di euro dal Programma nazionale «PN Scuola e Competenze 2021-2027» (art. 37, comma 2).

Il terzo atto è un decreto dello stesso Ministero per la individuazione dei criteri e le modalità della formazione sull’AI per i docenti, che definisce anche gli interventi per gli studenti (art. 38, commi 1 e 3). Nel frattempo continuano ad applicarsi le linee guida del D.M. n. 166 del 9 agosto 2025 (art. 38, comma 4).

Potremmo dunque concludere che il primo traguardo dell’attuazione dell’AI act è culturale prima che tecnico. Il legislatore mette in testa al calendario la comprensione della tecnologia come argine a un rischio preciso, quello dell’uso non consapevole.

23 aprile 2027: è il turno delle professioni e della sanità

Entro il 23 aprile 2027 i Consigli nazionali degli Ordini e dei Collegi, insieme alle associazioni professionali della Legge n. 4/2013 (che regolamenta le professioni intellettuali e i servizi non organizzati in ordini o collegi professionali), devono adeguare i regolamenti di formazione iniziale e continua (art. 47, comma 5, d.lgs. n. 179/2026) alla formazione sulla AI.

L’adeguamento segue le procedure di ciascuna categoria, compreso, dove previsto, il parere o l’approvazione dell’autorità vigilante.

Il contenuto minimo lo fissa già il Decreto legislativo n. 179/2026 (art. 47, comma 2): profili tecnici, comprese le tecniche di interrogazione e istruzione dei sistemi; profili giuridici, con al centro il regolamento AI; profili deontologici, cioè responsabilità del professionista, obblighi informativi verso il cliente e principio antropocentrico della legge IA.

Il decreto legislativo impone un «monte ore minimo» per ciascun periodo di valutazione della formazione continua (art. 47, comma 3), ma non dice quante ore. Il numero lo dovranno scrivere gli stessi Ordini. Ed è lì che si misurerà quanto sul serio ciascuna professione prende l’obbligo.

Sulla stessa data del 23 aprile 2027 converge la sanità: si tratta della messa a punto dell’accordo in Conferenza Stato-Regioni per portare l’AI nei programmi di Educazione continua in Medicina (ECM – il processo obbligatorio di aggiornamento professionale per tutti gli operatori della sanità): una delibera della Commissione nazionale per la formazione continua che fissa la quota di crediti triennali riservati all’AI (art. 51, comma 3, D.Lgs. 179),  e i  programmi AGENAS per i corsi manageriali dei dirigenti sanitari (art. 51, comma 4, D.Lgs. 179).

Settembre e ottobre 2027: polizia ed equo compenso

Il decreto legislativo n. 160 (cosiddetto Polizia) concede un anno, fino al 30 settembre 2027, perché ciascuna Forza di polizia adotti o adegui con atti interni i sistemi già in uso o in fase di sviluppo (art. 21, comma 1).

Il 23 ottobre 2027 scadono invece i dodici mesi per integrare i decreti sui parametri dell’equo compenso professionale, a cura dei Ministri competenti, tra cui Giustizia e MIMIT (art. 49, comma 2) (leggi anche AI negli studi professionali: il compenso ora si misura sul rischio).

Il criterio lo stabilisce il comma 1: «L’utilizzo di sistemi di intelligenza artificiale da parte del professionista può comportare una modulazione dell’equo compenso ai sensi della legge 21 aprile 2023, n. 49, secondo parametri che tengono conto della classificazione di rischio del sistema di intelligenza artificiale utilizzato, ai sensi del regolamento IA» (art. 49, comma 1, D.Lgs. 179/2026).

La norma appare interessante. Il parametro non è il tempo risparmiato né il tipo di attività: è la classe di rischio del sistema. E il verbo è «può comportare una modulazione», senza dire in quale direzione. Più compenso per chi usa sistemi ad alto rischio, e se ne assume la responsabilità? O meno compenso per chi delega alla macchina? Il decreto non lo dice.

La zona d’ombra: tutto quello che non ha una data

Nei decreti legislativi di attuazione della AI act, ci sono molti adempimenti di attuazione per cui non è previsto nessun termine perentorio.  Si tratta degli atti che danno sostanza alla vigilanza e alle garanzie, per i quali però il testo dei decreti non fissa alcun termine.

In questi casi, i tempi seguiranno le disposizioni dei regolamenti interni delle agenzie chiamate ad attuare e i tempi degli eventuali necessari concerti con altre istituzioni.

Non si tratta di atti minori ma di quelli che decidono chi controlla, come si controlla e a chi può rivolgersi chi subisce un danno. Vediamo di cosa si tratta.

Vigilanza e diritti dei cittadini

Partiamo dalla vigilanza. Il decreto legislativo n. 179 affida all’ACN i poteri ispettivi, ma il modo in cui li eserciterà lo dirà un regolamento da adottare con DPCM, ai sensi dell’art. 17, comma 3, della L. 400/1988 (art. 15, comma 3). Lo stesso vale per l’AgID, che con un proprio regolamento dovrà stabilire modalità e termini delle sanzioni di sua competenza (art. 24, comma 2). Manca dunque ancora, per così dire, il “manuale d’uso” dei loro poteri.

Poi c’è il cittadino. Chi vuole presentare un reclamo all’ACN dovrà attendere la procedura che il Direttore generale dell’Agenzia disciplinerà con un proprio decreto (art. 18, comma 2). E anche la registrazione nazionale dei sistemi ad alto rischio dell’allegato III, punto 2, del regolamento IA aspetta un decreto del Direttore generale ACN, d’intesa con AgID, che ne definisca le modalità (art. 14, comma 2).

Sandbox e sperimentazione

Lo Spazio di sperimentazione italiano è istituito, ma le regole di accesso e funzionamento e la composizione del Gruppo operativo che lo gestirà sono rinviate a decreti congiunti di AgID e ACN (art. 26, comma 2 e art. 28, commi 1 e 5). Ancora più lontani gli spazi settoriali, tra cui quello per i sistemi applicabili all’attività giudiziaria, da definire con DPCM sentito il Ministero della giustizia (art. 30, comma 1, lettera b). Resta da scrivere anche il raccordo tra lo Spazio e la sperimentazione per finalità di polizia, affidato a un regolamento previsto dal D.Lgs. 160 (art. 5, comma 4).

Biometria

E c’è, infine, la biometria. Il decreto legislativo n. 160/2026 rinvia a un decreto del Ministro dell’interno, di concerto con il Ministro della giustizia, i requisiti tecnici minimi di affidabilità e accuratezza dei sistemi di identificazione biometrica remota in tempo reale e il monitoraggio dei bias (art. 9, comma 5). Un secondo decreto dovrà indicare i criteri per individuare luoghi ed eventi in cui la videosorveglianza può predisporre il riconoscimento facciale a posteriori (art. 10, comma 12). Sono le garanzie tecniche sul terreno più delicato: anche queste senza data.

Giustizia

Un rilievo sulla giustizia. Il decreto legislativo n. 160 contiene una parte che non aspetta nessun attuativo: il nuovo art. 437-bis del codice penale, l‘art. 359-ter del codice di procedura penale e, nel processo civile, l’accesso alle prove sul funzionamento del sistema, la presunzione del nesso di causalità in caso di violazione del regolamento IA e l’azione diretta verso l’assicuratore (artt. 16-20). Sono in vigore dal 30 settembre scorso.