Decreto AI Act: dal 23 ottobre 2026 le regole per imprese e PA

Il 23 ottobre 2026 entra in vigore in Italia il decreto AI Act, che applica le regole europee sull’intelligenza artificiale a imprese, professionisti e pubblica amministrazione. La scadenza normativa arriva in un momento in cui le tecnologie cambiano già il lavoro dal basso. Nei centri di sicurezza informatica l’AI ha assorbito il triage di routine. Nelle scuole e nelle università milioni di studenti usano ChatGPT quotidianamente per studiare. Il nodo, ormai, non è la potenza degli strumenti, ma la capacità di persone e organizzazioni di usarli con giudizio. Per una PMI italiana significa ripensare competenze e processi prima di acquistare qualsiasi nuovo sistema.

L’intelligenza artificiale sta già modificando i ruoli, non solo gli strumenti

La prova più netta viene dalla sicurezza informatica. Secondo il SentinelOne Annual Threat Report, gli attaccanti operano ormai a velocità macchina. Alcuni exploit automatizzati scalano i privilegi in circa 30 millisecondi. Alcune catene di attacco passano dall’accesso iniziale alla persistenza in meno di 50 secondi. Nessun flusso di lavoro manuale può competere con questi tempi. Il problema è aggravato da uno squilibrio strutturale: quasi la metà dei team di sicurezza non riesce ad analizzare oltre il 50% degli alert ricevuti ogni giorno.

La risposta non è eliminare gli analisti, ma spostare il loro lavoro. I junior passano dal triage manuale alla revisione dei verdetti generati dall’AI. I senior passano dalla risposta reattiva al threat hunting proattivo. I manager passano dalla gestione tattica alla governance dei sistemi. Il modello a livelli resta, ma si ridefinisce sulle competenze e non più sulla capacità di reggere volumi. Anche nell’apprendimento la dinamica è simile. Leah Belsky, responsabile dell’istruzione di OpenAI, rileva che l’adozione dell’AI generativa è guidata dal basso, dagli studenti stessi. Non è più guidata dalle decisioni verticali dei responsabili informatici delle scuole.

Anche se non apprendevano competenze in modo approfondito, si accendeva in loro la convinzione di poter imparare qualsiasi cosa, e questo di per sé era potentissimo

Le competenze che decidono il valore dell’intelligenza artificiale

Il valore degli strumenti dipende da chi li usa, e qui le ricerche convergono. Maria Letizia Giorgetti è docente dell’Università degli Studi di Milano e direttrice del Master in Business Innovation. Indica tre competenze fondamentali per i manager: apprendimento continuo, trasversalità dei saperi e pensiero critico. Le tecnologie evolvono così in fretta che molte conoscenze diventano obsolete in pochi anni. La seconda edizione del Master aggiunge per questo focus su transizione energetica e cambiamenti geopolitici. Non tutti dovranno diventare programmatori, ma tutti dovranno comprendere il valore strategico di dati e AI.

Il discorso vale anche per l’istruzione. La ricerca di Benjamin Bloom, nota come Bloom’s 2 Sigma Problem, ha stabilito che il tutoraggio individuale uno-a-uno produce risultati nettamente superiori alla didattica d’aula. Belsky però avverte che i modelli attuali sanno rispondere come un tutor. Ma non è ancora chiaro come l’AI possa migliorare memoria e riflessione profonda: servono attrito cognitivo, cioè lo sforzo di rielaborare, non solo risposte rapide. Sapere quando non fidarsi dell’AI diventa la competenza più importante, come sottolineano gli stessi responsabili dei centri di sicurezza. È l’analista a definire il confine della fiducia, non il sistema.

Perché la PA possiede la Ferrari ma non ha la patente

Il ritardo maggiore si vede nella pubblica amministrazione. Un comune italiano può disporre di modelli di AI molto potenti, arrivati con l’aggiornamento del gestionale. Può però mancare di processi ripensati e di competenze diffuse per usarli. La metafora è quella di una Ferrari in un garage davanti a una strada sterrata. Il limite non è la potenza dei modelli, ma la capacità degli enti di adottarli davvero. Prima di nuovi acquisti servono processi, formazione e misurazione dell’impatto: meno add-on, più adozione concreta.

La lezione vale per le imprese, ed è esattamente ciò che il decreto legislativo 179/2026, 54 articoli, pubblicato in Gazzetta Ufficiale l’8 ottobre 2026, traduce in obblighi. Assunzioni, licenziamenti, provvedimenti disciplinari e valutazioni delle prestazioni vanno decisi da una persona: l’impostazione dichiarata è antropocentrica, l’IA supporta ma la responsabilità resta umana. Le aziende devono inoltre formare i dipendenti sui rischi dei sistemi in uso, e i lavoratori possono chiedere una spiegazione comprensibile delle decisioni che li riguardano.

Chi ci guadagna, chi paga i costi nascosti

I benefici esistono e sono misurati. Due studi IDC commissionati da SentinelOne indicano tempi di identificazione delle minacce più rapidi del 63%. I team che usano indagini basate sull’AI registrano anche un’efficienza delle indagini maggiore del 41%. Ma chi li raccoglie? Organizzazioni che hanno già ripensato i processi, non quelle che aggiungono strumenti sopra workflow vecchi. Il rischio è insegnato anche nel settore educativo: le piattaforme di corsi online hanno democratizzato l’accesso ai migliori docenti. Ma hanno registrato basse percentuali di completamento e il titolo di studio resta il filtro principale nelle assunzioni.

Chi paga i costi nascosti è chi resta indietro. Le sanzioni previste dal decreto arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale. Si applicano alle pratiche vietate, come il riconoscimento delle emozioni sul luogo di lavoro. Per le PMI si applica il più basso tra importo fisso e percentuale. A vigilare sono AgID, autorità di notifica, e ACN, autorità di vigilanza del mercato e punto di contatto unico. Il vantaggio va invece a chi costruisce ecosistemi favorevoli. Giorgetti ricorda che i Paesi che investono in istruzione, incentivi alla ricerca e sostegno all’imprenditorialità innovativa avranno maggiori opportunità di crescita.

Prima del 23 ottobre: cosa controllare nella vostra azienda

L’ordine degli ordini professionali ha sei mesi di tempo per inserire percorsi sull’IA nella formazione continua. I parametri dell’equo compenso vanno integrati entro dodici mesi. I consulenti che affiancano le PMI dovranno aggiornarsi per primi. Per le imprese che sviluppano soluzioni di AI, il decreto istituisce uno Spazio di sperimentazione gestito da AgID e ACN. PMI e start-up hanno priorità di accesso. È un ambiente controllato in cui testare i sistemi sotto vigilanza delle autorità.

Il primo passo operativo è un inventario: quali sistemi di AI usate oggi, anche quelli inclusi nei gestionali, e chi in azienda sa valutarne i limiti. La governance va definita prima che gli eventi si verifichino, collegando ogni azione automatizzata a policy scritte in anticipo dagli esseri umani. La giornata di un analista di sicurezza moderno parte da una coda già prioritizzata e chiude i casi con verdetti supportati da evidenze. Il tempo recuperato dall’automazione vale solo se viene reinvestito in giudizio umano. È lì, non nel budget per gli strumenti, che le PMI italiane devono ora investire.

Fonti: