La nuova legge italiana sull’intelligenza artificiale
Con la Legge n. 132/2025 del 23 settembre 2025, pubblicata sulla Gazzetta Ufficiale n. 223 del 25 settembre 2025 e in vigore dal 10 ottobre 2025, l’Italia è divenuta il primo Stato membro dell’UE ad affiancare al Regolamento (UE) 2024/1689 (“AI Act”) una disciplina nazionale organica in materia di intelligenza artificiale (“IA”).
Segnaliamo di seguito le novità più rilevanti:
Viene modificato l’art. 1 della Legge sul Diritto d’Autore (L.d.A.), aggiungendo le parti sottolineate: “sono protette […] le opere dell'ingegno umano […] qualunque ne sia il modo o la forma di espressione, anche laddove create con l'ausilio di strumenti di intelligenza artificiale, purché costituenti risultato del lavoro intellettuale dell'autore”. Viene confermato così l’orientamento europeo secondo cui sono tutelabili solo gli elementi delle opere realizzate con l’IA che sono il risultato della autentica creatività umana, vero fulcro della protezione del diritto d’autore, lasciando ancora aperto il tema della proteggibilità delle opere interamente prodotte dall’IA.
Viene introdotto l’art. 70-septies L.d.A., il quale prevede che “le riproduzioni e le estrazioni da opere o da altri materiali contenuti in rete o in banche di dati a cui si ha legittimamente accesso, ai fini dell'estrazione di testo e di dati attraverso modelli e sistemi di intelligenza artificiale, anche generativa, sono consentite in conformità alle disposizioni di cui agli articoli 70-ter e 70-quater”. Queste due disposizioni consentono, rispettivamente:
“le riproduzioni compiute da organismi di ricerca e da istituti di tutela del patrimonio culturale, per scopi di ricerca scientifica […] nonché la comunicazione al pubblico degli esiti della ricerca ove espressi in nuove opere originali”;
le riproduzioni e le estrazioni da parte di tutti gli altri potenziali utenti, anche privati, “quando l'utilizzo delle opere e degli altri materiali non è stato espressamente riservato dai titolari del diritto d'autore e dei diritti connessi nonché dai titolari delle banche dati”.
In altre parole, viene consentita l’attività di “Text and Data Mining” (“TDM”) tramite sistemi di IA quando si ha legittimo accesso alle opere utilizzate, ferma restando la possibilità dei titolari dei diritti su tali opere di esercitare l’opt-out, escludendo così le proprie opere protette dalle attività di TDM. La formulazione della nuova disposizione non sembra limitare l’attività di TDM ai soli fini di addestramento dei sistemi dell’IA, come invece prevede l’AI Act (considerando 105), ma pare potenzialmente consentirla anche per casi d'uso più ampi, quali la memorizzazione nei “Large Language Models” o l’impiego della “Retrieval Augmented Generation”. Tale impostazione potrebbe avere un impatto rilevante sullo sviluppo dei sistemi di IA, in quanto consentirebbe l’utilizzo di grandi volumi di dati provenienti da fonti costantemente aggiornate.
All’art. 171 L.d.A. viene aggiunta la nuova lettera a-ter), che punisce con multa da € 51,00 a € 2.065,00 chi, senza averne diritto, “riproduce o estrae testo o dati da opere o altri materiali disponibili online o in banche dati in violazione degli articoli 70-ter e 70-quater, anche mediante sistemi di intelligenza artificiale”, estendendo così l’ambito di rilevanza penale di tali condotte anche quando compiute tramite strumenti di IA.
Il trattamento di dati personali nella realizzazione di sistemi di IA per fini di sanità e ricerca, sia a livello pubblico che privato, viene qualificato di rilevante interesse pubblico. Inoltre, è consentito l’uso secondario di tali dati, privati degli identificativi diretti, senza necessità di acquisire un nuovo consenso, purché sia fornita un’adeguata informativa, anche tramite pubblicazione online. La necessità che i dati siano privi di identificativi diretti è esclusa solo nei casi in cui la conoscenza dell'identità degli interessati sia inevitabile o necessaria al fine della tutela della loro salute. Sono poi comunque ammessi, previo parere etico dei competenti comitati e informativa online, trattamenti finalizzati all’anonimizzazione, pseudonimizzazione o creazione di dati sintetici, da comunicare al Garante Privacy.
Sul fronte del lavoro, si chiarisce che l’IA può essere utilizzata solo per migliorare le condizioni lavorative, nel rispetto della dignità, della salute e della privacy. Il datore di lavoro deve inoltre informare preventivamente i lavoratori dell’uso di sistemi di IA.
Nelle professioni intellettuali, il professionista deve informare il cliente dei sistemi di IA impiegati, utilizzando un linguaggio chiaro, semplice ed esaustivo.
Nella pubblica amministrazione l’IA può essere utilizzata per aumentare efficienza e qualità dei servizi, garantendo però trasparenza, tracciabilità e adeguate misure tecniche, organizzative e formative. Nel settore della giustizia è ammesso l’uso di sistemi di IA, ma ogni decisione giurisdizionale resta di esclusiva responsabilità del magistrato, cui spetta l’interpretazione delle norme, la valutazione delle prove e l’adozione dei provvedimenti.
Viene stabilito che le controversie relative all’ utilizzo di dati, algoritmi e metodi matematici per l'addestramento di sistemi di IA, nonché i diritti e gli obblighi gravanti sulla parte che intenda procedere al suddetto utilizzo, siano devolute alle sezioni specializzate in materia di impresa.
Nel codice penale vengono introdotte alcune nuove disposizioni per reprimere l’uso illecito di sistemi di IA. Si tratta, in particolare, di un’aggravante comune (art. 61 n. 11-decies c.p.), applicabile quando il fatto è commesso mediante l'impiego di sistemi di IA utilizzati in maniera insidiosa, e di un’aggravante a effetto speciale (art. 294 c.p.) per i reati di attentato contro i diritti politici del cittadino, qualora venga posto in essere un inganno mediante l'impiego di sistemi di IA. Di rilevante interesse è poi l’introduzione del nuovo reato previsto dall’art. 612-quater c.p., relativo all’illecita cessione, pubblicazione o diffusione, senza consenso, di immagini, video o voci falsificati o alterati mediante l'impiego di sistemi di IA (i cosiddetti “deepfake”), idonei a indurre in inganno sulla loro genuinità.