Post di Gianluigi Marino, Head of AI & Digitalisation, Osborne Clarke, Italia –

La legge 132/2025 “Disposizioni e deleghe al Governo in materia di intelligenza artificiale“, recentemente approvata e in vigore dal prossimo 10 ottobre 2025, si inserisce nel quadro del Regolamento (UE) 2024/1689 (“AI Act“), intervenendo su specifici settori demandati dall’AI Act alla competenza dei singoli stati membri.

Si tratta di un intervento normativo che ha l’intento di fissare principi cardine in materia di “ricerca, sperimentazione, sviluppo, adozione e applicazione di sistemi e di modelli di intelligenza artificiale“. Effettivamente nella maggior parte dei casi le previsioni sono per lo più petizioni di principio prive di reale portata pratica e, soprattutto, prive di sostanziali novità. Il testo copre molti ambiti. Qui di seguito, alcuni commenti, senza alcuna pretesa di esaustività.

1. L’approccio “umano-centrico” e le sue lacune applicative

Il nucleo della legge sull’intelligenza artificiale è fondato su un approccio “umano-centrico” e su un’IA concepita come mero “supporto” all’attività umana. Si tratta di concetti che non rappresentano certo una novità nel contesto normativo italiano, ma piuttosto la codificazione di un orientamento giurisprudenziale già consolidato.

Per esempio, con riferimento all’uso dell’intelligenza artificiale nella pubblica amministrazione, da anni la giurisprudenza amministrativa ha già delineato i principi da applicare per un uso “legittimo” degli algoritmi nel contesto pubblico, stabilendo in modo inequivocabile (i) l’obbligo di piena conoscibilità della logica algoritmica per superare l’effetto “scatola nera” (black box); (ii) il principio della non esclusività della decisione automatizzata e (iii) la necessità di una motivazione rafforzata che illustri anche il funzionamento dell’algoritmo.

Il testo normativo in oggetto, quindi, si limita a recepire un patrimonio giuridico preesistente, svolgendo una funzione più compilativa che innovativa.

La criticità principale del testo non risiede in ciò che enuncia, ma in ciò che omette. Mentre riafferma principi ormai assodati, la legge tace sugli strumenti pratici per garantirne l’applicazione, generando un paradosso normativo: stabilisce parametri astratti (ma comunque vincolanti) senza delinearne le modalità di adempimento e verifica.

Si prenda ad esempio il tema delle professioni intellettuali: in questo campo, l’uso di sistemi di intelligenza artificiale deve essere “finalizzato al solo esercizio delle attività strumentali e di supporto all’attività professionale” e “con prevalenza del lavoro intellettuale oggetto della prestazione d’opera“.

Ebbene, come si distingue con certezza il confine tra il legittimo “supporto” fornito dall’AI e un’indebita sostituzione del giudizio del professionista (medico, avvocato, ingegnere)? Chi valuterà l’adeguatezza di tale supporto? Il testo tace su questi concetti chiave. Di conseguenza, la valutazione del carattere “ausiliario” di un sistema di intelligenza artificiale resta vaga e indefinita.

Resta quindi la petizione di principio della necessità della prevalenza del lavoro intellettuale umano. Sempre su questo tema, appare difficile da capire come informare il cliente dell’eventuale utilizzo di questi strumenti sia necessario “per assicurare il rapporto fiduciario tra professionista e cliente“.

2. Il nucleo innovativo della legge: ricerca sanitaria, opere dell’ingegno e deepfake

In un impianto normativo che per lo più consolida principi già acquisiti, la legge introduce alcune disposizioni effettivamente innovative, intervenendo su tre fronti particolarmente sensibili.

La prima di queste disposizioni, e forse la più rilevante sul piano operativo, sancisce le condizioni per riutilizzare dati sanitari – e altre categorie particolari di dati – una volta anonimizzati o pseudonimizzati, a supporto di ricerca e sperimentazione scientifica nello sviluppo di sistemi di AI in ambito sanitario. Questo intervento è significativo perché fornisce una base giuridica esplicita a università, IRCCS e altri enti di ricerca, sbloccando un patrimonio informativo cruciale per l’innovazione medico-scientifica, pur nel rispetto dei principi di protezione dei dati personali.

Sul fronte della creatività, il legislatore affronta la spinosa questione della tutela di opere generate con l’utilizzo di AI intervenendo direttamente sulla nozione di “opera dell’ingegno” presente nella legge sul diritto d’autore: da un lato, specifica che l’opera deve essere dell’ingegno “umano”, tracciando una netta linea di demarcazione rispetto a creazioni puramente algoritmiche (che restano prive di tutela); dall’altro, stabilisce il criterio dell'”ausilio” dello strumento di intelligenza artificiale, purché il risultato sia attribuibile al lavoro intellettuale umano dell’autore.

Si tratta del tentativo di risolvere una delle questioni più dibattute a livello globale: un’opera generata da un’intelligenza artificiale può essere protetta da copyright? La risposta fornita è affermativa, ma solo a condizione che l’apporto umano sia stato determinante e non marginale. Si giunge così a una soluzione di compromesso che, se da un lato pone un principio chiaro, dall’altro apre a complesse questioni interpretative su come misurare e dimostrare tale “prevalenza” (o meglio tale “ausilio”) in un processo creativo sempre più ibrido.

Di notevole rilievo è anche l’intervento normativo in materia di deepfake. Il legislatore ha abbandonato l’approccio restrittivo di precedenti proposte normative, focalizzate sulla repressione di contenuti a sfondo sessuale (“deepnude“), introducendo – con il nuovo articolo 612-quater del codice penale – una fattispecie di reato che punisce la diffusione di qualsiasi contenuto (immagine, video o voce) falso o manipolato con sistemi di AI, idoneo a indurre in inganno sulla sua genuinità, nella misura in cui cagioni un danno ingiusto ad una persona.

3. Il nodo critico delle deleghe e della mancanza di fondi

La legge contiene due elementi che ne condizioneranno certamente l’efficacia applicativa. In primo luogo, il provvedimento contiene un’ampia serie di deleghe al Governo, che di fatto rimandano a data futura alcune delle questioni tecniche più complesse (tra cui la definizione dei poteri di vigilanza di AgID e ACN, autorità di controllo designate ai sensi dell’AI Act).

In secondo luogo, la clausola di invarianza finanziaria impone di attuare l’intera legge (deleghe al Governo incluse) “senza nuovi o maggiori oneri per la finanza pubblica“. Trasparenza algoritmica, vigilanza, auditing e formazione di competenze hanno costi reali e ineludibili. Sancire principi ambiziosi senza stanziare le risorse necessarie rischia di trasformare la legge in un mero esercizio di stile, un guscio normativo destinato a rimanere privo di sostanza operativa.

Chi colmerà i vuoti lasciati dal legislatore?

In conclusione, la legge sull’IA si presenta come un’opera di sistematizzazione che, fatte salve le (complessivamente poche) novità sopra richiamate, non fornisce all’interprete significativi strumenti pratico-applicativi. Ancora una volta, i vuoti lasciati dal legislatore saranno colmati dalla creazione di prassi di mercato e, successivamente, dall’intervento dei tribunali, perpetuando quel ruolo supplente della giurisprudenza che una legge così attesa avrebbe potuto, almeno in parte, superare.