Autorità di vigilanza del mercato per l'AI Act
Pubblicata il · Aggiornata il
«Autorità di vigilanza del mercato» è l’organismo nazionale che controlla che i sistemi di intelligenza artificiale (AI) immessi sul mercato o in uso rispettino il regolamento, e che ha i poteri per intervenire quando non lo fanno. Ogni Stato membro ne designa almeno una.
Perché ne parliamo? Perché risponde a una domanda ovvia: chi viene a controllare? Guarda l’immagine in alto: un ispettore illumina con una torcia l’interno di un container aperto. L’ispettore è l’autorità di vigilanza del mercato. Se il tuo studio o la tua azienda usa un sistema di AI, sei nel ruolo di chi usa ciò che arriva dal porto, cioè del deployer di AI, e i poteri dell’autorità si estendono anche su di te.
Che poteri ha l'autorità di vigilanza sulla AI?
Sono quelli definiti dal regolamento (UE) 2019/1020, richiamati dall’AI Act: chiedere informazioni e documentazione, accedere alla documentazione tecnica, svolgere ispezioni, imporre misure correttive, disporre il ritiro o il richiamo di un sistema dal mercato, dare sanzioni.
L’attività può partire da una segnalazione, da una vigilanza programmata o da un incidente. Qualsiasi persona può presentare un reclamo all’autorità.
Chi esercita l'autorità di vigilanza sull'AI in Italia
La designazione di quale sia l'organismo che vigila sulla AI spetta agli Stati. In Italia l’articolo 20 della legge 23 settembre 2025, n. 132, designa l’ACN (Agenzia per la cybersicurezza nazionale) come autorità di vigilanza del mercato e l’AgID (Agenzia per l’Italia digitale) come autorità di notifica (comma 2). Per i sistemi usati dagli istituti finanziari il ruolo resta a Banca d’Italia, CONSOB e IVASS, come prevede l’articolo 74, paragrafo 6, dell’AI Act. Restano fermi anche i poteri del Garante per la protezione dei dati personali (comma 4).
Che cosa cambia per chi usa l’AI
Poco, finché non succede nulla. Se succede qualcosa, l’autorità può chiedere documenti: quali sistemi, con quale finalità dichiarata dal fornitore, con quali misure di alfabetizzazione, istruzioni al personale. Non esiste un certificato da mostrare: conta la traccia di ciò che il tuo studio o la tua azienda aveva fatto prima. È il contenuto del fascicolo di alfabetizzazione: vale la pena tenerlo aggiornato.
Cosa non è
Non è un ente certificatore: non rilascia bollini né approva sistemi in via preventiva. Non coincide con l’organismo notificato, che valuta la conformità dei sistemi ad alto rischio. Non è l’ufficio per l’AI della Commissione europea, competente in particolare sui modelli per finalità generali.
Domande frequenti
Il Garante privacy è una forma di autorità di vigilanza sulla AI?
Resta competente per il trattamento di dati personali, che l’AI Act non sostituisce.
Ultimo aggiornamento: 1 ottobre 2026. Contenuto aggiornato al Regolamento (UE) 2026/1744. Oltre al regolamento europeo, l’Italia sta completando le sue regole sull’AI. Le autorità sono già designate dall’articolo 20 della legge 23 settembre 2025, n. 132: l’ACN vigila sul mercato (per gli istituti finanziari, Banca d’Italia, CONSOB e IVASS) e l’AgID cura la notifica degli organismi. I decreti legislativi completano il quadro. Il primo, il decreto legislativo 9 settembre 2026, n. 160, sull’uso dell’AI da parte della polizia e sulle responsabilità penali e civili, è in vigore dal 30 settembre 2026. Il secondo è il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre 2026. È quello che conta di più per studi e imprese, perché dice con quali sanzioni si applicano le regole e come va fatta la formazione.