Legge 132/2025 sull'IA: cosa cambia per le PMI nel 2026
La Legge 132/2025, in vigore dal 10 ottobre 2025, è la prima normativa italiana sull'AI: obblighi, fondo da 1 miliardo e sandbox per le PMI.
Solo il 7,7% delle PMI italiane con almeno 10 addetti utilizza l'intelligenza artificiale, contro una media europea del 13,5% (ISTAT 2024, dati ripresi da Agenda Digitale). Da ottobre 2025 l'Italia ha anche una legge nazionale sull'AI, quasi sconosciuta alle PMI.
La Legge 23 settembre 2025, n. 132 è entrata in vigore il 10 ottobre 2025 ed è il primo intervento normativo organico che l'Italia dedica all'intelligenza artificiale (Dipartimento per la Trasformazione Digitale). Non sostituisce il Regolamento UE 2024/1689 — l'AI Act europeo — lo affianca. Per una PMI questo significa che gli obblighi si sommano: quello che sai sull'AI Act non basta più, e quello che la legge italiana prevede per le piccole imprese (fondo di investimento, sandbox, sconti sulle certificazioni) è più selettivo di quanto sembri a prima lettura. Questa guida spiega cosa cambia davvero, articolo per articolo, e cosa fare da qui a fine 2026.
Punti chiave
- La Legge 132/2025 è in vigore dal 10 ottobre 2025, 28 articoli, e si affianca all'AI Act europeo — non lo sostituisce
- Obbligo di informativa immediato: se usi l'AI per gestire personale (art. 11) o come professionista verso i clienti (art. 13), devi informarli
- Il fondo da 1 miliardo di euro (art. 23) esiste davvero, ma è capitale di rischio per startup e PMI innovative in fase seed/scale-up — non un contributo per l'adeguamento normativo delle PMI ordinarie
- Sandbox regolamentari e sconti sulle tariffe di certificazione sono previsti per PMI e startup che vogliono sperimentare sotto supervisione
- Diversi decreti attuativi (sanzioni, poteri di vigilanza, dati di addestramento) sono ancora mancanti: il quadro non è completo
Cos'è la Legge 132/2025 (e perché non basta conoscere l'AI Act)
La legge è stata approvata dal Senato il 18 settembre 2025 (77 sì, 55 no, 2 astenuti), pubblicata in Gazzetta Ufficiale il 25 settembre e in vigore dal 10 ottobre 2025 (Dipartimento per la Trasformazione Digitale). È organizzata in 28 articoli che toccano lavoro pubblico e privato, professioni intellettuali, sanità, ricerca, giustizia e sicurezza nazionale, con un principio guida dichiarato: la centralità della persona nelle decisioni assistite dall'AI.
Il punto che la maggior parte delle PMI italiane non ha ancora messo a fuoco è la doppia compliance: l'AI Act europeo (Regolamento UE 2024/1689) definisce le regole comuni per tutta l'Unione — classificazione del rischio, obblighi di trasparenza, sanzioni — mentre la Legge 132/2025 aggiunge regole nazionali che si applicano in parallelo, non in alternativa (ICT Security Magazine). Se la tua azienda ha già iniziato a mappare gli obblighi AI Act (ne abbiamo scritto anche qui: AI Act agosto 2026 — i 3 sistemi a rischio per le PMI), quel lavoro resta valido ma non è più sufficiente da solo.
Un esempio concreto: uno studio di consulenza del lavoro con 8 dipendenti che usa un tool AI per pre-filtrare i CV in selezione rientra già, oggi, in due obblighi distinti e cumulativi. Verso l'AI Act, deve verificare se quel sistema rientra tra quelli ad alto rischio dell'Allegato III (la selezione del personale è uno dei casi tipici). Verso la Legge 132/2025, deve comunque informare i candidati e il personale interessato ai sensi dell'art. 11 — un obbligo che esiste indipendentemente dalla classificazione di rischio del tool. Sono due adempimenti diversi, con due basi normative diverse, che si sommano sullo stesso strumento.
Gli obblighi che riguardano la tua PMI da subito
Due articoli producono effetti concreti e immediati, indipendentemente dai decreti attuativi ancora in arrivo.
Usi un tool AI per selezionare o valutare il personale
Obbligo di informativa art. 11 già attivo
Sei un professionista e usi l'AI in un incarico per un cliente
Obbligo di informativa art. 13 già attivo
Usi solo un assistente AI generico per te stesso, senza impatto su lavoratori o clienti
Nessun obbligo specifico ex Legge 132/2025 — verifica comunque l'AI Act
Sei una startup o PMI innovativa in cerca di capitale per sviluppare un prodotto AI
Puoi valutare il fondo art. 23 tramite CDP Venture Capital
A questi si aggiunge l'art. 25, sul diritto d'autore: chi produce contenuti (testi, immagini, video, presentazioni) con l'ausilio dell'AI deve tenerne conto nella tutela dell'opera, un punto rilevante per chi usa l'AI in marketing e comunicazione (Agenda Digitale).
Cosa manca ancora
Diversi aspetti operativi — sanzioni specifiche, poteri di vigilanza, regole sui dati di addestramento — sono demandati a decreti attuativi non ancora tutti pubblicati. La legge è in vigore, ma l'impianto sanzionatorio completo no: non è un motivo per rimandare l'adeguamento, perché gli obblighi di informativa (art. 11 e 13) sono già vincolanti oggi (Agenda Digitale).
Il fondo da 1 miliardo: a chi va davvero
È la misura più citata quando si parla di Legge 132/2025 e PMI, ed è anche quella più fraintesa. L'articolo 23 autorizza fino a 1 miliardo di euro di investimenti in equity e quasi-equity, gestiti tramite il Fondo di sostegno al venture capital e CDP Venture Capital (Dipartimento per la Trasformazione Digitale). Il sottosegretario all'Innovazione Alessio Butti ha confermato che il ruolo decisionale su allocazione e incremento delle risorse resta al Dipartimento per la trasformazione digitale.
Il destinatario reale, però, non è "la PMI" in senso generico: sono startup e PMI innovative nelle fasi seed, early stage e scale-up, attive in AI, cybersicurezza e tecnologie abilitanti (quantum, 5G, edge computing, web3), con una quota di risorse riservata anche a imprese più grandi candidate a diventare "campioni nazionali" tecnologici. Secondo il comunicato del Consiglio dei Ministri n. 117 del 10 giugno 2026, 300 milioni di euro risultano già allocati da CDP Venture Capital su oltre 150 startup AI e 20 fondi SGR terze, con 500 milioni di investimenti aggiuntivi previsti nel prossimo triennio e il lancio, dal 2026, del Polo SophIA con una dotazione iniziale di 30 milioni di euro dedicata ad AI e cybersicurezza (comunicato CdM n. 117).
Perché la distinzione conta
Se la tua azienda è una PMI tradizionale (non una startup innovativa) che vuole solo adottare l'AI nei propri processi — non svilupparla come prodotto — questo fondo probabilmente non fa per te. Il capitale di rischio dell'art. 23 finanzia chi costruisce tecnologia AI, non chi la compra e la usa. La confusione tra le due cose è il motivo per cui molte PMI pensano di avere "un miliardo a disposizione" quando in realtà si applicano regole di ammissibilità molto più strette.
Sandbox e sconti sulla certificazione: la parte che interessa alle PMI operative
Per le PMI che vogliono sperimentare l'AI in modo controllato, la parte più concretamente utile della legge non è il fondo, ma le misure di accompagnamento: sandbox regolamentari — spazi di sperimentazione supervisionati dalle autorità, pensati per ridurre il rischio di non conformità durante lo sviluppo — e sconti proporzionali sulle tariffe di certificazione per PMI e startup, insieme a iter burocratici semplificati per l'accesso (ICT Security Magazine). Sono strumenti pensati per chi vuole testare un progetto AI prima di renderlo definitivo, senza dover affrontare da subito il costo pieno di una valutazione di conformità.
A differenza del fondo di venture capital, qui il destinatario è più vicino alla PMI "ordinaria": non serve essere una startup in cerca di capitale, serve avere un progetto AI abbastanza definito da poter essere testato — per esempio un nuovo processo interno o un servizio rivolto ai clienti che utilizza l'AI in modo sostanziale, non un singolo abbonamento SaaS già pronto sul mercato. Il contesto di mercato aiuta a capire l'urgenza: il mercato AI italiano vale 1,8 miliardi di euro nel 2025, in crescita del 50% sul 2024, ma meno del 10% delle PMI ha adottato l'AI in modo strutturale, contro il 71% delle grandi imprese che ha già avviato almeno un progetto AI (comunicato CdM n. 117, 10 giugno 2026). Il divario non è di interesse, è di struttura organizzativa per affrontare compliance e implementazione insieme.
Cosa fare da qui a fine 2026
Elenca ogni strumento con componente AI in uso: software HR, CRM con scoring automatico, chatbot, tool di generazione contenuti. Senza questo inventario non puoi capire quali obblighi della Legge 132/2025 e dell'AI Act ti riguardano davvero.
Se un sistema AI interviene su selezione, valutazione o gestione del rapporto di lavoro, aggiorna l'informativa secondo la Legge 152/1997 e verifica il registro dei trattamenti privacy (art. 11).
Comunica esplicitamente quando l'AI supporta un incarico, mantenendo la responsabilità della decisione finale sul professionista (art. 13).
Controlla se un tuo sistema rientra anche nel Regolamento UE 2024/1689: le due normative si sommano, e un sistema può essere soggetto a obblighi di entrambe.
Se stai pianificando un progetto AI sostanziale (non un singolo tool SaaS), valuta se puoi accedere a una sandbox regolamentare o a tariffe di certificazione agevolate prima di partire.
Nei nostri Step 1 con le PMI italiane il problema non è quasi mai la mancanza di volontà di adeguarsi: è non sapere da dove iniziare, perché la legge cita insieme obblighi immediati (informativa) e strumenti selettivi (fondo, sandbox) senza distinguerli chiaramente. Un audit gratuito parte proprio da lì: mappare dove l'AI è già in uso in azienda, prima di decidere cosa serve davvero tra compliance e opportunità.
FAQ
La Legge 132/2025 sostituisce l'AI Act europeo?
No. La Legge 132/2025 integra il Regolamento UE 2024/1689 con regole nazionali aggiuntive — obblighi di informativa verso lavoratori e clienti, un fondo di investimento, sandbox regolamentari — che si applicano insieme, non al posto delle regole europee (ICT Security Magazine).
Da quando sono vincolanti gli obblighi per le PMI?
Dal 10 ottobre 2025, data di entrata in vigore della legge. Gli obblighi di informativa verso lavoratori (art. 11) e clienti di professionisti (art. 13) sono già applicabili oggi, mentre diversi aspetti sanzionatori e attuativi restano subordinati a decreti non ancora tutti pubblicati (Agenda Digitale).
Il fondo da 1 miliardo di euro è accessibile a qualsiasi PMI?
No. È capitale di rischio (equity/quasi-equity) gestito da CDP Venture Capital, destinato principalmente a startup e PMI innovative in fase seed, early stage o scale-up attive in AI, cybersicurezza e tecnologie abilitanti — non un contributo per l'adeguamento normativo di una PMI che semplicemente adotta strumenti AI esistenti (Dipartimento per la Trasformazione Digitale).
Cosa succede se non informo i lavoratori dell'uso dell'AI?
L'art. 11 richiama gli obblighi di informativa della Legge 152/1997: la mancata comunicazione espone l'azienda a contestazioni sul piano del rapporto di lavoro e della privacy, oltre a un rischio reputazionale crescente man mano che i decreti attuativi definiscono le sanzioni specifiche (Agenda Digitale).
Sono un libero professionista: cosa devo fare in concreto?
Informa il cliente ogni volta che un sistema AI interviene nell'incarico (bozze, ricerche, analisi), documenta questa informativa e mantieni sempre la revisione umana sulla decisione finale: l'art. 13 qualifica l'AI come "supporto strumentale", non come sostituto del giudizio professionale.
Cosa sono le sandbox regolamentari e chi può accederci?
Sono spazi di sperimentazione controllata in cui testare un sistema AI sotto la supervisione delle autorità, riducendo il rischio di non conformità durante lo sviluppo. La Legge 132/2025 prevede accesso prioritario e tariffe di certificazione agevolate per PMI e startup (ICT Security Magazine).
Devo preoccuparmi subito o posso aspettare i decreti attuativi?
Gli obblighi di informativa (art. 11 e 13) sono già in vigore e non dipendono dai decreti mancanti: aspettare significa accumulare un debito di conformità che si somma a quello dell'AI Act europeo, i cui obblighi principali sono già scattati nel corso del 2026.
Se non hai ancora una mappa di dove l'AI è già in uso nella tua azienda, è il punto da cui partire prima di qualsiasi valutazione su Legge 132/2025 o AI Act: puoi richiedere un audit gratuito o vedere come lavoriamo su automate-pro.com.
Quale agente AI potrebbe lavorare per te?
Compila l'audit gratuito: in 24 ore ricevi un'analisi personalizzata sulla tua azienda.
Inizia l'audit gratuito