Legge 132/2025: cosa cambia davvero per aziende, professionisti e Pubblica Amministrazione.

Premessa: perché questa legge è diversa dalle precedenti

L’Italia è il primo Paese dell’Unione Europea ad aver adottato una legge nazionale organica sull’intelligenza artificiale in attuazione del Regolamento UE 2024/1689 (AI Act). La Legge 23 settembre 2025, n. 132 — pubblicata nella Gazzetta Ufficiale n. 223 del 25 settembre 2025 ed entrata in vigore il 10 ottobre 2025 — non è una trasposizione meccanica delle norme europee. È un testo che introduce disposizioni specifiche per il contesto giuridico italiano, colma lacune lasciate dall’AI Act e, soprattutto, crea nuove responsabilità concrete per chi opera già oggi con sistemi di intelligenza artificiale.

Non è una legge del futuro. È una legge del presente. E per questo merita un’analisi che vada oltre i titoli dei comunicati stampa.

Struttura e impianto generale

La legge si articola in sei capi. Il Capo I enuncia le finalità: promuovere lo sviluppo dell’IA secondo un approccio antropocentrico, garantire la supervisione umana nei processi decisionali, tutelare i diritti fondamentali. L’art. 1, co. 2, stabilisce che le disposizioni si interpretano e si applicano in conformità all’AI Act — il che significa che il Regolamento europeo rimane il quadro di riferimento primario, mentre la legge nazionale lo integra e lo operazionalizza nei settori di competenza degli Stati membri.

Il Capo II è il più rilevante sul piano pratico: introduce disposizioni settoriali specifiche per la sanità (artt. 7 e 10), il trattamento dei dati personali (art. 9), il lavoro (artt. 11–12), le professioni intellettuali (art. 13), la pubblica amministrazione (art. 14), l’attività giudiziaria (art. 15) e la cybersicurezza (art. 18).

L’art. 13: le professioni intellettuali. Il punto più delicato

L’articolo 13 è probabilmente la disposizione che avrà il maggiore impatto immediato su avvocati, commercialisti, notai, medici e tutti i professionisti intellettuali. Il testo stabilisce che l’utilizzo dei sistemi di intelligenza artificiale nelle professioni intellettuali è consentito solo come strumento di supporto e per attività strumentali rispetto alla prestazione professionale principale, che deve sempre mantenere la prevalenza del lavoro umano e intellettuale.

Tradotto in pratica: un avvocato può usare l’IA per ricercare giurisprudenza, generare bozze, redigere schemi argomentativi. Non può delegare all’IA la valutazione strategica del caso, la scelta della linea difensiva, la firma del parere. La prestazione intellettuale — il cuore del mandato professionale — deve rimanere umana. Questo non è solo un precetto etico: è un obbligo normativo la cui violazione comporta responsabilità disciplinari e, in certi contesti, anche civili.

Nota operativa: Chi usa sistemi di IA generativa per produrre atti o pareri professionali senza un’adeguata revisione critica si espone a responsabilità deontologiche. La legge impone che la supervisione umana sia reale, non formale.

L’art. 14: la pubblica amministrazione

Le pubbliche amministrazioni possono — e in alcuni casi devono — utilizzare sistemi di IA per aumentare l’efficienza, ridurre i tempi dei procedimenti e migliorare la qualità dei servizi. Ma l’art. 14 è molto chiaro: l’IA opera “in funzione strumentale e di supporto all’attività provvedimentale”. Il potere decisionale e la responsabilità del provvedimento restano in capo alla persona fisica. Nessun atto amministrativo può essere adottato sulla sola base dell’output di un sistema automatizzato.

Le PA sono inoltre tenute ad adottare le misure tecniche, organizzative e formative necessarie a garantire un utilizzo responsabile dell’IA. Un obbligo che, in assenza di risorse dedicate, rischia di tradursi in un adempimento sulla carta.

Il Capo V: le nuove fattispecie penali

È qui che la legge introduce novità di immediato rilievo pratico per penalisti e consulenti forensi.

Art. 612-quater c.p. — Illecita diffusione di deepfake

Chiunque, senza il consenso della persona interessata, diffonde immagini, video o voci falsificati o alterati mediante sistemi di IA — idonei a indurre in inganno sulla loro genuinità — è punito con la reclusione da uno a cinque anni. Il delitto è procedibile a querela, salvo che sia connesso a un reato procedibile d’ufficio o sia commesso nei confronti di persona incapace o di una pubblica figura.

La fattispecie colma un vuoto rilevante. Prima del 132/2025 i deepfake erano perseguibili solo attraverso norme generali (diffamazione, sostituzione di persona, art. 612-bis per i casi di revenge porn) con risultati spesso insoddisfacenti. Ora esiste una norma specifica, con una cornice edittale significativa.

Art. 61, n. 11-decies c.p. — L’aggravante IA

È introdotta una nuova circostanza aggravante applicabile a qualsiasi reato commesso mediante l’impiego di sistemi di intelligenza artificiale, quando questi abbiano costituito un mezzo insidioso, abbiano ostacolato la pubblica o privata difesa, o abbiano aggravato le conseguenze del reato. L’aggravante si applica, ad esempio, ai reati di aggiotaggio e manipolazione del mercato (art. 2637 c.c.; art. 185 TUF) e agli attentati ai diritti politici del cittadino (art. 294 c.p.) quando commessi mediante sistemi di IA.

L’impatto pratico è rilevante: significa che l’uso di un algoritmo per orchestrare una frode, generare disinformazione o automatizzare un attacco non è più considerato neutro dal punto di vista sanzionatorio. Il mezzo tecnologico diventa elemento qualificante del disvalore del fatto.

La governance: AgID e ACN come autorità nazionali

L’art. 20 designa l’Agenzia per l’Italia Digitale (AgID) e l’Agenzia per la Cybersicurezza Nazionale (ACN) quali autorità nazionali responsabili dell’attuazione della normativa italiana ed europea in materia di IA. Restano ferme le competenze del Garante per la Protezione dei Dati Personali, della Banca d’Italia, della CONSOB e dell’IVASS nei rispettivi settori di vigilanza.

Cosa fare ora

La legge è in vigore. Non attendere la circolare interpretativa o la pronuncia del Garante. Le responsabilità esistono già.

• Mappare i sistemi di IA in uso all’interno della propria organizzazione, classificarli per categoria di rischio ai sensi dell’AI Act e verificare la conformità alle disposizioni settoriali della L. 132/2025.
• Verificare che le procedure interne garantiscano la supervisione umana significativa sulle decisioni assistite da IA, in particolare per le attività soggette all’art. 13 (professioni intellettuali) e all’art. 14 (PA).
• Aggiornare i contratti con i fornitori di sistemi di IA per includere clausole di conformità all’AI Act e alla L. 132/2025.
• Formare il personale sulle nuove responsabilità e sui rischi connessi all’uso non conforme di sistemi automatizzati.