In vigore il d.lgs. 179/2026: poteri ispettivi, sanzioni fino a 35 milioni, ricorsi all’Arbitro Assicurativo. Ma gli obblighi sul pricing vita e salute partono solo il 2 dicembre 2027
Il decreto legislativo 7 ottobre 2026, n. 179, in vigore dal 23 ottobre, dice chi fa rispettare l’AI Act in Italia, con quali poteri ispettivi e con quali sanzioni. Per compagnie e intermediari l’interlocutore diventa IVASS, ma solo per una parte dei sistemi che usano: quelli ad alto rischio, i cui obblighi scattano fra oltre un anno.
Un ruolo già previsto dalla legge 132
IVASS non riceve una competenza nuova. La legge 23 settembre 2025, n. 132, all’art. 20, aveva già affiancato alle due autorità nazionali per l’intelligenza artificiale, AgID e ACN, il ruolo di Banca d’Italia, CONSOB e IVASS come autorità di vigilanza del mercato nei rispettivi settori. Il d.lgs. 179, che attua la delega dell’art. 24 della stessa legge, ne fissa ora confini, strumenti e sanzioni.
L’art. 5, lett. b), del decreto attribuisce all’Istituto la vigilanza «quale autorità competente sui sistemi di IA ad alto rischio utilizzati nell’esercizio dell’attività assicurativa o riassicurativa e di distribuzione di prodotti assicurativi». L’art. 1 definisce istituti finanziari, fra gli altri, «le imprese di assicurazione o di riassicurazione, gli intermediari assicurativi e riassicurativi». Il perimetro ricalca l’art. 74, par. 6, del regolamento, che affida alle autorità finanziarie i sistemi ad alto rischio solo quando immissione sul mercato, messa in servizio o uso sono direttamente collegati alla prestazione del servizio.
Assistenti conversazionali e strumenti generativi restano all’ACN
Il confine conta perché per gli altri sistemi usati da compagnie e intermediari vigila l’Agenzia per la cybersicurezza nazionale, autorità di vigilanza del mercato in via generale (art. 5, lett. a), del decreto). L’art. 9 prevede che, su questi sistemi, ACN e autorità del settore finanziario collaborino, anche con accordi ai sensi dell’art. 15 della legge 241/1990, e si scambino le informazioni rilevanti.
In pratica, l’assistente conversazionale sul sito di un broker, gli strumenti generativi usati per testi e comunicazioni con la clientela e gli eventuali obblighi di trasparenza dell’art. 50 del regolamento che ne derivano rispondono all’ACN, con IVASS in collaborazione. Lo stesso intermediario può quindi avere due autorità di riferimento, a seconda dello strumento.
Pricing vita e salute, una vigilanza che parte nel 2027
Per il settore assicurativo il caso tipico di alto rischio è l’Allegato III, punto 5, lett. c), del regolamento, cioè i sistemi destinati alla valutazione dei rischi e alla determinazione dei prezzi per le persone fisiche nelle assicurazioni vita e salute. Dopo il Reg. (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, gli obblighi per i sistemi dell’Allegato III si applicano dal 2 dicembre 2027. I poteri che il decreto mette oggi in mano a IVASS hanno quindi un oggetto in larga parte futuro.
Gli strumenti sono quelli dell’art. 17: i poteri di vigilanza previsti dal regolamento e, sulle prove in condizioni reali dei sistemi ad alto rischio, controlli e ispezioni «a distanza o in loco, anche senza preavviso». IVASS può inoltre adottare disposizioni attuative del decreto (art. 17, comma 3) e linee guida, raccomandazioni e buone pratiche (art. 11). Finora nessuna iniziativa in questo senso è stata annunciata. Sull’intelligenza artificiale l’Istituto si era rivolto alle imprese il 17 luglio 2026, con una comunicazione al mercato su resilienza operativa digitale e modelli avanzati di IA.
L’Arbitro Assicurativo competente anche sull’IA
L’art. 18 porta l’AI Act dentro la risoluzione stragiudiziale delle controversie. I reclami previsti dall’art. 85 del regolamento vanno all’autorità competente e, se presentati a quella sbagliata, sono trasmessi d’ufficio. Soprattutto, l’Arbitro Assicurativo, operativo dal 15 gennaio 2026, diventa competente sui ricorsi per violazioni del regolamento commesse da imprese e intermediari aderenti, come accade per ABF e ACF nei rispettivi ambiti.
La competenza vale «nei limiti delle competenze attribuite alle Autorità del settore finanziario» dall’art. 74, par. 6, quindi sull’alto rischio legato al servizio, e per le violazioni commesse nelle attività di cui l’Arbitro già si occupa.
Sanzioni, uno scaglione che il regolamento non prevede
L’art. 23 riprende i massimali europei, sempre come il maggiore fra importo fisso e percentuale del fatturato mondiale annuo dell’esercizio precedente: fino a 35 milioni di euro o al 7% per le pratiche vietate dall’art. 5 del regolamento; fino a 15 milioni o al 3% per gli obblighi degli operatori, fra cui quelli del deployer (art. 26) e la trasparenza (art. 50 del regolamento); fino a 7,5 milioni o all’1% per informazioni inesatte, incomplete o fuorvianti. Per PMI, microimprese e start-up innovative vale invece l’importo minore, secondo l’art. 99, par. 6, del regolamento.
Il decreto aggiunge un gradino italiano: fino a 1 milione di euro o allo 0,5% per gli obblighi degli artt. 27 e 86 del regolamento, ai quali l’art. 99 dell’AI Act non dedica uno scaglione. L’art. 27 è la valutazione d’impatto sui diritti fondamentali, richiesta fra gli altri ai deployer dei sistemi dell’Allegato III, punto 5, lett. b) e c): merito creditizio e, appunto, pricing vita e salute. L’art. 86 dà alla persona interessata il diritto di ottenere dal deployer una spiegazione del ruolo svolto da un sistema ad alto rischio dell’Allegato III in una decisione che produce effetti giuridici o la incide in modo analogo.
Per le violazioni di «scarsa offensività o pericolosità» l’art. 22 consente, in alternativa alla sanzione pecuniaria, di ordinare l’eliminazione dell’infrazione o, se cessata, una dichiarazione pubblica; se l’ordine non è eseguito nel termine, si applica la sanzione pecuniaria aumentata fino a un terzo, entro i massimali dell’art. 23. Nella quantificazione pesa anche la natura «sostanziale o formale» dell’obbligo violato.
La procedura è quella del Codice delle assicurazioni: l’art. 311-septies per le imprese, il 324-octies per intermediari, esponenti e personale delle società di intermediazione. Per questi ultimi significa contestazione entro 120 giorni (180 per i residenti all’estero), atti al Collegio di garanzia istituito presso IVASS, deduzioni difensive e richiesta di audizione entro 60 giorni.
Il gemello del decreto sulla responsabilità civile
Il d.lgs. 179 ha seguito lo stesso iter del d.lgs. 9 settembre 2026, n. 160, sulla responsabilità civile per i danni da intelligenza artificiale: deliberazione preliminare del Consiglio dei ministri il 10 giugno, definitiva il 4 agosto 2026. Letti insieme, compongono il quadro nazionale: il d.lgs. 160 stabilisce chi risponde del danno, il d.lgs. 179 chi vigila e chi sanziona.
Con il decreto la ripartizione delle competenze è completa. Mancano le regole di dettaglio di IVASS e, per la parte che tocca il cuore tecnico del mestiere, resta più di un anno di attesa. Fino al 2 dicembre 2027, l’AI Act che entra negli uffici di compagnie e intermediari passa soprattutto dall’ACN.
