Legge 132/2025, i decreti attuativi e il nuovo assetto AgID-ACN: chi deve presidiare la governance AI in azienda (e perché è un tema di persone, non di IT)
I decreti attuativi della Legge 132/2025 e il nuovo assetto AgID-ACN ridisegnano la governance AI in Italia. Perché ogni azienda ha bisogno di un referente con mandato esplicito.
EXECUTIVE SEARCH
Legge 132/2025, i decreti attuativi e il nuovo assetto AgID-ACN: chi deve presidiare la governance AI in azienda (e perché è un tema di persone, non di IT)
Il 10 giugno 2026 il Consiglio dei Ministri ha approvato, in esame preliminare, due schemi di decreto legislativo che danno attuazione alla legge 23 settembre 2025, n. 132 e adeguano la normativa nazionale al Regolamento europeo sull'intelligenza artificiale. È passato quasi inosservato fuori dagli ambienti legali specializzati. Ma è il passaggio che trasforma una legge quadro, fino a quel momento largamente teorica, in un impianto di governance con nomi, ruoli e poteri definiti. E per chi si occupa di executive search come me, è anche il momento in cui compare, con contorni sempre più netti, un profilo professionale che fino a un anno fa non esisteva in questi termini.
Una legge quadro che ora prende forma
La legge 132/2025, in vigore dal 10 ottobre 2025, è la prima disciplina nazionale in Europa esplicitamente allineata al Regolamento (UE) 2024/1689. Copre professioni, lavoro, pubblica amministrazione, giustizia e diritto d'autore, nei limiti delle competenze che restano allo Stato membro, mentre l'applicazione diretta dell'AI Act resta di competenza europea. È una legge quadro nel senso più tecnico del termine: definisce i principi e affida al Governo la delega per i decreti attuativi che ne specificano il funzionamento operativo.
I due schemi approvati a giugno 2026 fanno esattamente questo. Definiscono la governance nazionale, individuano le autorità competenti, istituiscono uno spazio nazionale di sperimentazione controllata e disciplinano l'impiego dell'intelligenza artificiale in settori sensibili come la pubblica amministrazione, la formazione, il lavoro e la sanità. Il testo tiene inoltre conto delle modifiche introdotte dal Digital Omnibus europeo, coordinando il regime sanzionatorio nazionale con l'effettiva entrata in vigore degli obblighi corrispondenti a livello europeo, in modo da evitare che una condotta venga sanzionata in Italia prima che la relativa disposizione europea sia realmente operativa.
Due agenzie, due mestieri diversi
Il modello italiano assegna la governance a due soggetti con compiti distinti, ed è una distinzione che ogni azienda dovrebbe avere chiara. L'Agenzia per l'Italia Digitale opera come autorità di notifica: si occupa di promozione, di accreditamento degli organismi di valutazione della conformità, di supporto al percorso di qualificazione. L'Agenzia per la Cybersicurezza Nazionale ha invece un ruolo di vigilanza del mercato, con poteri ispettivi e sanzionatori. È lì che passeranno i controlli quando il regime sarà a pieno regime, ed è per questo che diversi osservatori legali segnalano che la conformità all'intelligenza artificiale in Italia si sta consolidando come materia di sicurezza operativa, non solo come adempimento burocratico.
A sostegno di questo impianto, la legge attiva un programma di investimenti nazionali da un miliardo di euro, il primo segnale concreto che lo Stato considera la capacità di adeguamento del tessuto produttivo italiano un tema di competitività, non solo di compliance.
Il nuovo profilo che sta emergendo
Qui arrivo al punto che mi tocca più da vicino professionalmente. Diversi contributi tecnici pubblicati nelle ultime settimane insistono tutti sullo stesso concetto: serve un referente per la governance dell'intelligenza artificiale, anche in una piccola o media impresa. Non un consulente esterno chiamato una volta l'anno per un audit. Una persona, o una funzione, con la responsabilità esplicita e continuativa di censire i sistemi in uso, qualificare il ruolo dell'organizzazione come fornitore o come utilizzatore, valutare il rischio, presidiare i contratti con i fornitori tecnologici, e garantire formazione e supervisione umana sui processi automatizzati.
È un profilo che nella pratica ho visto emergere in tre forme diverse a seconda della dimensione dell'organizzazione. Nelle grandi aziende, sta diventando una funzione dedicata che riporta direttamente al board, spesso in prossimità del Chief Information Officer o come figura autonoma di Chief AI Officer. Nelle società di media dimensione, tende ad aggregarsi in un comitato che riunisce legale, IT, sicurezza e procurement, con un responsabile unico di coordinamento. Nelle PMI, più spesso ricade su una figura già esistente, tipicamente il responsabile IT o il direttore operativo, a cui viene attribuito un mandato esplicito che prima non aveva.
In tutti e tre i casi, il tratto comune è che la responsabilità deve essere nominata, non presunta. Ho visto troppe organizzazioni dare per scontato che "qualcuno se ne stia occupando", per poi scoprire, quando emerge un problema, che nessuno aveva davvero il mandato di intervenire.
Perché è una decisione di leadership, non di organigramma
La tentazione naturale, di fronte a un tema che sembra tecnico, è di risolverlo con una casella nell'organigramma. È l'errore più comune che vedo commettere, e anche il più costoso da correggere in un secondo momento. La governance dell'intelligenza artificiale non funziona come un compito che si assegna e si esaurisce. Funziona come una competenza trasversale che richiede autorità reale su funzioni diverse, capacità di dialogare con il board in termini di rischio e non solo di tecnologia, e la sensibilità organizzativa per capire dove, in azienda, l'intelligenza artificiale si sta già insinuando senza che nessuno l'abbia formalmente autorizzata.
Non è un caso che le ricerche di questo profilo che arrivano oggi ai fondi di private equity e alle società partecipate non chiedano più "un esperto di intelligenza artificiale". Chiedono qualcuno capace di costruire consenso tra funzioni che tradizionalmente non parlano tra loro, e di farlo con la credibilità sufficiente per essere ascoltato da un consiglio di amministrazione. È, in altre parole, una ricerca di leadership organizzativa applicata a un dominio nuovo. Non una ricerca tecnica.
Cosa fare da qui a fine anno
Con i decreti attuativi in dirittura d'arrivo e i controlli di ACN destinati a diventare operativi, la finestra per costruire questa funzione con calma si sta chiudendo. La domanda che porrei oggi a qualsiasi consiglio di amministrazione italiano non è tecnica: è se esiste, con nome e cognome, la persona che risponderà quando qualcuno chiederà conto di come l'intelligenza artificiale viene usata in quell'organizzazione. Se la risposta non c'è ancora, è il momento di costruirla, prima che sia la normativa a imporla in emergenza.
Silvio Fontaneto è Strategic Advisor e Executive Search specialist in Digital, Tech e AI. Senior Partner, Beaumont Group, dove guida la practice Tech & Digital Executive Search per l'Italia. Autore di "Stop Fearing AI" e della trilogia "The Vector". Da oltre 35 anni supporta organizzazioni e leader nella trasformazione tecnologica.
Esplora il Knowledge Hub completo: www.silviofontaneto.com 📬 Iscriviti alla newsletter "AI Impact on Business" per ricevere analisi settimanali: LinkedIn Newsletter Approfondisci: www.silviofontaneto.com/articles (filtra: Executive Search)
#ExecutiveSearch #AIGovernance #ChiefAIOfficer #Leadership #Legge132 #AI2026
Connect
Reach out for tailored AI leadership guidance
© 2026 Silvio Fontaneto. All rights reserved.