Chi vigila sul regolamento IA in Italia?

Avete letto che il mancato rispetto del regolamento sull'IA può costare caro, e la domanda successiva è quasi automatica: ma chi verrebbe a controllare, concretamente? Il Garante Privacy, come per il GDPR? Un'agenzia tecnica di cui non avevate mai sentito parlare prima? La risposta, in Italia, non sta in una sola sigla, e questo articolo prova a mettere ordine senza darvi per scontato che sappiate già come funziona il sistema.

Cosa impone il regolamento agli Stati membri: designare autorità, non crearne una sola

L'articolo 70 del regolamento sull'IA obbliga ogni Stato membro a designare almeno un'autorità di notifica e almeno un'autorità di vigilanza del mercato, entro una scadenza fissata al 2 agosto 2025. Il testo non impone di creare un organismo unico: lascia ogni Paese libero di scegliere tra affidarsi a un'agenzia dedicata, appoggiarsi a regolatori settoriali già esistenti, o combinare le due strade. La Spagna, ad esempio, ha creato ex novo un'agenzia dedicata, l'AESIA. L'Italia ha scelto una via diversa, descritta nel nostro articolo sul regolamento IA per le PMI italiane: due agenzie tecniche nazionali affiancate al Garante, invece di affidare tutto a quest'ultimo o di partire da zero.

AgID e ACN: le due agenzie designate dalla legge 132/2025

Con la legge 23 settembre 2025, n. 132, l'Italia ha assegnato ad AgID (Agenzia per l'Italia Digitale) il ruolo di autorità di notifica e di vigilanza del mercato ai sensi dell'articolo 70, con il compito di verificare che i sistemi di IA immessi sul mercato italiano rispettino i requisiti del regolamento. Ad ACN (Agenzia per la Cybersicurezza Nazionale) è affidata la componente legata alla sicurezza informatica dei sistemi ad alto rischio, un profilo che il regolamento europeo tocca solo in parte e che la legge italiana ha voluto rendere esplicito. Per alcuni ambiti già presidiati da un regolatore di settore, quel regolatore mantiene le proprie competenze invece di cederle ad AgID: è lo stesso principio di continuità istituzionale scelto dalla Francia con la CNIL e i regolatori settoriali.

Il Garante Privacy: competenza mantenuta, non sostituita

L'arrivo di AgID e ACN non toglie nulla al Garante per la protezione dei dati personali, che resta competente per il GDPR dal 2018 e continua a occuparsi di qualunque sistema di IA che tratti dati personali — la stragrande maggioranza di quelli usati davvero dalle PMI, tra selezione del personale, scoring clienti o assistenti virtuali. Il Garante ha già dimostrato, con il caso ChatGPT del marzo 2023 discusso nel nostro articolo su GDPR e regolamento sull'IA, di intervenire su questi temi anche in assenza di un testo europeo dedicato all'IA. Per una PMI, questo significa che il Garante resta spesso il primo interlocutore concreto, anche quando la competenza formale su un aspetto specifico spetterebbe ad AgID o ACN.

I regolatori di settore: AgID e Garante non coprono tutto

Per alcuni usi dell'IA, l'autorità che conta di più è quella che già vigilava sul vostro settore prima del regolamento sull'IA. Il principio è lo stesso applicato in altri Paesi UE: il regolatore che vi conosceva già resta, salvo eccezioni, il vostro interlocutore naturale, con questo testo in più da tenere presente.

• Pratiche commerciali, pubblicità o informazione al consumatore generate o assistite da IA: AGCM (Autorità Garante della Concorrenza e del Mercato).
• Credito, scoring finanziario, servizi bancari e assicurativi: Banca d'Italia e CONSOB, ciascuna sul proprio perimetro abituale.
• Dispositivi medici o diagnosi assistita da IA: Ministero della Salute e AIFA per i profili di competenza.
• Contenuti audiovisivi, piattaforme online e servizi di media: AGCOM.
• Sistema di IA che tratta dati personali (il caso più comune per una PMI: HR, clienti, chatbot): Garante Privacy.
• Nessuna di queste caselle sembra corrispondere al vostro caso: è la situazione più frequente, e partire dal Garante resta il riflesso più sicuro, salvo indicazioni contrarie specifiche del vostro settore.

Cosa cambia in pratica per una PMI

Per la maggior parte delle PMI italiane, questa architettura a più livelli cambia poco nella gestione quotidiana: il Garante resta l'interlocutore più familiare, perché quasi ogni uso reale dell'IA tocca dati personali in un modo o nell'altro. La distinzione tra Garante, AgID, ACN e regolatori di settore diventa rilevante soprattutto se la vostra azienda riceve una richiesta di informazioni o un controllo: sapere in anticipo chi è probabilmente competente evita di perdere tempo prezioso a orientarsi nel momento sbagliato. Per le sanzioni applicabili, indipendentemente da quale autorità agisca, l'articolo 99 del regolamento e i suoi massimali ridotti per le PMI restano gli stessi già descritti nel nostro articolo sul regolamento IA per le PMI italiane.

Una checklist per orientarvi

Quattro domande aiutano, in genere, a farsi un'idea ragionevole prima ancora di consultare un testo di legge:

• Il vostro sistema di IA tratta, anche indirettamente, dati riferibili a una persona identificata o identificabile? Se sì, il Garante è competente, da solo o insieme a un'altra autorità.
• Il sistema rientra tra quelli ad alto rischio secondo l'allegato III del regolamento (selezione del personale, scoring creditizio, dispositivi medici)? In questo caso AgID e, per i profili di sicurezza informatica, ACN entrano in gioco.
• Il vostro settore è già soggetto a un'autorità specifica (banca, assicurazione, sanità, media)? Quell'autorità mantiene verosimilmente un ruolo anche sui vostri usi dell'IA.
• In caso di dubbio persistente dopo le prime tre domande, il Garante resta di fatto il punto di partenza più accessibile e meglio documentato per una PMI italiana oggi.

Informazione generale, non una consulenza legale

Quanto sopra è un'informazione generale per orientarvi, non una consulenza legale sulla vostra situazione specifica. La ripartizione dei compiti tra Garante, AgID, ACN e regolatori di settore si sta ancora assestando attraverso i decreti attuativi della legge 132/2025, e alcuni dettagli qui descritti potranno essere precisati nei prossimi mesi. Quando Komplya pubblica questo tipo di contenuto, distinguiamo chiaramente ciò che è stato revisionato a livello giuridico da ciò che resta un documento di lavoro, in modo che possiate usarlo con consapevolezza.

Il modo più rapido per capire quale autorità corrisponde alla vostra situazione è partire dai vostri usi reali dell'IA invece che da un elenco generale. Rispondete a un breve questionario sul vostro utilizzo dell'IA e ottenete una lettura in linguaggio semplice della vostra situazione probabile, autorità per autorità.