Dopo l'AI Act europeo, anche l'Italia si è dotata di una propria legge sull'intelligenza artificiale. Per le imprese il tema più concreto riguarda il lavoro: cosa bisogna comunicare ai dipendenti quando si usano sistemi di AI e quali documenti privacy potrebbero andare aggiornati.
In questo articolo vediamo cosa prevede la Legge 132/2025, quali obblighi informativi riguardano i datori di lavoro, una checklist pratica e il rapporto con AI Act e GDPR.
Cosa prevede la Legge 132/2025
La Legge 23 settembre 2025, n. 132 è in vigore dal 10 ottobre 2025. È la prima legge italiana organica sull'intelligenza artificiale e si affianca all'AI Act, il regolamento europeo sull'AI: non lo sostituisce, ma lo accompagna a livello nazionale.
La legge individua le autorità nazionali per l'intelligenza artificiale: AgID (Agenzia per l'Italia digitale) e ACN (Agenzia per la cybersicurezza nazionale).
Per un'azienda il messaggio di fondo è che l'uso dell'AI va governato: non basta adottare uno strumento, ma occorre sapere come viene usato, con quali dati e con quali effetti sulle persone coinvolte, in particolare i lavoratori.
La legge interessa quindi tutte le imprese che usano l'AI, non solo quelle che la sviluppano. Anche un'azienda che si limita ad adottare strumenti di terzi deve chiedersi come li usa e quali effetti hanno sulle persone coinvolte.
Lavoro e obblighi informativi
L'ambito del lavoro è disciplinato dall'art. 11. I principi sono chiari: l'intelligenza artificiale deve essere usata in modo sicuro, affidabile e trasparente, nel rispetto della dignità e della riservatezza dei lavoratori.
Due aspetti hanno un impatto diretto sull'organizzazione aziendale:
- Informare il lavoratore: il datore di lavoro deve informare il lavoratore dell'uso di sistemi di AI.
- Aggiornare i documenti privacy: se l'AI è usata per gestire il personale, può essere necessario aggiornare l'informativa privacy e il registro dei trattamenti.
Per adempiere in modo efficace serve prima di tutto sapere quali sistemi di AI sono in uso e in quali processi. Molte aziende scoprono di usare l'AI più di quanto pensassero, perché funzioni di intelligenza artificiale sono ormai integrate in molti software di uso quotidiano.
L'informazione ai lavoratori deve essere comprensibile: spiegare quale sistema viene usato, per quale scopo e in quali attività, evitando formule generiche. Una comunicazione chiara rafforza anche la fiducia interna verso l'uso dell'AI.
È utile coinvolgere fin dall'inizio le figure che si occupano di risorse umane e di privacy: conoscono i processi che riguardano il personale e i documenti che potrebbero dover essere aggiornati. Un confronto tra queste funzioni evita che l'uso dell'AI venga deciso solo dal punto di vista tecnico.
Cosa deve fare un'azienda: checklist
- Mappare gli strumenti di AI usati in azienda, compresi quelli integrati in altri software.
- Individuare gli usi che riguardano il personale, ad esempio selezione, organizzazione del lavoro o valutazione.
- Preparare l'informativa ai lavoratori sull'uso di sistemi di AI.
- Verificare informativa privacy e registro dei trattamenti e aggiornarli se l'AI è usata per gestire il personale.
- Definire una policy interna sull'uso dell'AI: strumenti ammessi, dati utilizzabili, responsabilità.
- Formare le persone che usano o gestiscono i sistemi di AI.
- Valutare i fornitori: dove sono i dati, se vengono usati per l'addestramento, quali garanzie offre il contratto.
- Rivedere periodicamente le scelte fatte, perché strumenti e normativa evolvono.
Per la parte privacy trovi una checklist di 10 controlli nella nostra guida su come usare l'AI in azienda in sicurezza.
La checklist non va completata una volta per tutte. Ogni nuovo strumento di AI, o ogni nuovo uso di uno strumento già presente, dovrebbe passare dagli stessi controlli. Tenere un registro aggiornato degli strumenti e delle valutazioni fatte rende questo lavoro più semplice e dimostrabile.
Rapporto con AI Act e GDPR
La Legge 132/2025 non è l'unica norma da considerare. Un'azienda che usa l'AI si muove all'interno di tre livelli:
- AI Act (Regolamento (UE) 2024/1689): definisce a livello europeo regole e obblighi in base al livello di rischio dei sistemi. Per le scadenze aggiornate leggi il nostro articolo su AI Act e Digital Omnibus.
- Legge 132/2025: accompagna l'AI Act a livello nazionale, con indicazioni specifiche, tra l'altro, sull'uso dell'AI nel lavoro.
- GDPR: continua ad applicarsi ogni volta che i sistemi di AI trattano dati personali, ad esempio quelli dei dipendenti.
Le tre discipline vanno lette insieme. In pratica, la stessa mappatura degli strumenti di AI serve sia per classificare il rischio secondo l'AI Act, sia per informare i lavoratori secondo la Legge 132/2025, sia per aggiornare la documentazione privacy.
Anche la scelta dello strumento conta. ThorIA, l'AI aziendale di Thorsoft, conserva i dati in Italia e non li usa mai per addestrare modelli; la DPIA è disponibile su richiesta, e Thorsoft dichiara ThorIA nella categoria a rischio limitato dell'AI Act.
In sintesi, la Legge 132/2025 chiede alle imprese di usare l'AI in modo consapevole e trasparente, soprattutto verso i lavoratori. Partire da una mappatura chiara degli strumenti è il modo più semplice per rispettare insieme le tre discipline.
Esempio pratico: un'azienda che introduce un assistente AI
Pensa a un'azienda che decide di dare ai dipendenti un assistente AI per cercare informazioni nei documenti interni. Prima di attivarlo, conviene fare un inventario dei sistemi in uso, indicare chi è responsabile del progetto e preparare una breve policy interna su cosa si può caricare e cosa no.
Poi è utile coinvolgere chi si occupa di privacy e di rapporti con il personale, così che le informazioni da dare ai lavoratori siano chiare e coerenti con le altre regole aziendali. Infine si stabilisce chi controlla periodicamente l'uso dello strumento.
Domande frequenti
Cos'è la Legge 132/2025?
È la Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025: la prima legge italiana organica sull'intelligenza artificiale, che si affianca all'AI Act.
Quali sono le autorità nazionali per l'AI?
AgID e ACN.
Cosa prevede per il lavoro?
L'art. 11 prevede che l'AI sia usata in modo sicuro, affidabile e trasparente, nel rispetto della dignità e della riservatezza dei lavoratori.
Devo informare i dipendenti se uso l'AI?
Sì, il datore di lavoro deve informare il lavoratore dell'uso di sistemi di AI.
Devo aggiornare i documenti privacy?
Se l'AI è usata per gestire il personale può essere necessario aggiornare informativa privacy e registro dei trattamenti.
Da dove comincia un'azienda che vuole adeguarsi?
Un buon punto di partenza è l'inventario degli strumenti di AI già in uso, con un responsabile interno e una policy che indichi come usarli.
Serve coinvolgere più funzioni aziendali?
Di solito sì: privacy, risorse umane, IT e direzione hanno ciascuna un ruolo nell'introdurre l'AI in modo ordinato.
Richiedi una demo
Scopri ThorIA, l'AI aziendale con i dati in Italia.
Informazioni di carattere generale, non costituiscono consulenza legale: verifica sempre la normativa aggiornata.