Legge 132/2025 sull'IA: cosa aggiunge all'AI Act per le imprese

In vigore da ottobre 2025, la legge 132/2025 e’ la prima legge italiana organica sull’intelligenza artificiale. La domanda che ci fanno i CEO e i DPO e’: “ho gia’ fatto i compiti sull’AI Act, ora devo rifare tutto?”

Risposta onesta: no. Ma qualcosa si aggiunge, e conviene sapere cosa.

In breve:

• La legge 132/2025 non sostituisce l’AI Act europeo: si affianca, definisce principi nazionali e individua le autorita’ competenti italiane.
• Le due autorita’ di riferimento sono AgID (notifica e promozione) e ACN (sicurezza e ispezioni).
• E’ previsto un fondo fino a 1 miliardo di euro per investimenti in IA, cybersicurezza e tecnologie emergenti, orientato a startup e PMI, ma subordinato ai bandi attuativi.
• Per la maggior parte delle PMI gli adempimenti operativi restano quelli dell’AI Act: chi e’ gia’ allineato deve solo colmare un piccolo delta.
• Non aspettare i fondi pubblici per costruire il business case dell’IA: il ROI va misurato sul tuo processo, non sul bando.

Cosa e’ la legge 132/2025 (in 40 parole)

La legge 132/2025 e’ la normativa nazionale italiana sull’intelligenza artificiale, entrata in vigore a ottobre 2025. Stabilisce principi generali (centralita’ della persona, trasparenza, sicurezza, supervisione umana), individua le autorita’ competenti nazionali e introduce misure di sostegno agli investimenti, in coordinamento con il Regolamento europeo IA.

Come si sovrappone all’AI Act

L’AI Act europeo resta la fonte primaria per gli obblighi sostanziali, soprattutto sui sistemi ad alto rischio (recruitment automatico, scoring, sanita’). Se hai gia’ seguito la nostra guida all’AI Act per le aziende, la parte pesante l’hai gia’ impostata.

La legge italiana lavora su tre piani diversi:

1. Principi nazionali: riafferma centralita’ della persona, tutela dei lavoratori, trasparenza verso chi interagisce con un sistema IA.
2. Autorita’ competenti: designa AgID e ACN come punti di riferimento italiani per notifiche, vigilanza e sicurezza.
3. Sostegno agli investimenti: il fondo dedicato a startup e PMI.

Non e’ un secondo AI Act. E’ il quadro con cui l’Italia applica e integra quello europeo.

AgID e ACN: cosa cambia in pratica

Per una PMI che usa 2-3 agenti IA sui propri processi, l’operativita’ quotidiana non cambia il giorno dopo. Ma cambia con chi ti interfacci se arriva un controllo o una notifica:

• AgID presidia notifica e promozione dell’IA a livello nazionale.
• ACN vigila sul profilo di sicurezza e cybersicurezza, con poteri ispettivi.

Tradotto: gli audit log immutabili, il risk assessment e la documentazione che gia’ servono per l’AI Act diventano ancora piu’ utili, perche’ sono cio’ che mostri se qualcuno chiede conto di come un tuo sistema decide.

Il fondo da 1 miliardo: opportunita’, non certezza

La legge prevede un fondo fino a 1 miliardo di euro per investimenti in IA, cybersicurezza e tecnologie emergenti, orientato a startup e PMI. E’ un segnale forte, ma va letto con calma:

• Non e’ un contributo automatico: dipende dai bandi attuativi e dai veicoli di gestione.
• La platea e’ ampia, quindi la competizione sara’ alta.
• Il rischio e’ costruire il business case dell’IA aspettando il fondo.

Il nostro consiglio da 40+ progetti consegnati: costruisci il caso sul ROI del tuo processo. Se poi arriva il fondo, e’ un acceleratore, non il presupposto.

Cosa fare, concretamente

Se sei gia’ allineato all’AI Act, il delta della legge 132/2025 e’ gestibile:

1. Mappa i tuoi sistemi IA per livello di rischio (l’hai gia’ fatto per l’AI Act).
2. Verifica la trasparenza verso utenti e lavoratori: chi interagisce con un tuo agente deve saperlo.
3. Tieni pronta la documentazione (risk assessment, audit log, DPA art. 28) da mostrare ad AgID o ACN.
4. Nomina un referente interno per IA e compliance, anche part-time, spesso il DPO.
5. Non partire dalla compliance per fare adoption: parti dal processo, poi impacchetta la governance sopra.

Se non hai ancora una mappa dei tuoi sistemi IA, la costruiamo nell’assessment. E se ti serve un partner che conosce il contesto italiano (gestionali, fatturazione elettronica, GDPR), la nostra pagina sulla consulenza AI in Italia spiega come lavoriamo.

Quando NON serve una consulenza dedicata

Te lo dico chiaro: se usi solo ChatGPT aziendale per drafting e ricerca, senza sistemi che decidono su persone, la legge 132/2025 non ti impone quasi nulla oltre alla trasparenza interna. Non pagare una consulenza legale complessa per un rischio che non hai. Serve invece quando hai agenti in produzione su recruitment, finance o processi che toccano diritti delle persone.

La compliance e’ un sottoprodotto di un’adozione fatta bene, non un progetto a se’. Nel nostro percorso di AI Adoption governance e uso quotidiano crescono insieme.

Vuoi capire in quale livello ricade la tua azienda e cosa serve davvero fare? Parliamone in 20 minuti o inizia dal check-up di 3 minuti. Nessun pitch, ti diciamo onestamente cosa e’ obbligatorio e cosa no.