Das italienische Legislativdekret Nr. 179 vom 7. Oktober 2026 ist am 23. Oktober in Kraft getreten; der vollständige Text wurde am 8. Oktober in der Gazzetta Ufficiale, Ausgabe Nr. 234, veröffentlicht. Das Dekret mit 54 Artikeln überführt den EU-KI-Rechtsakt auf die nationale Vollzugsebene in Italien: Wer beaufsichtigt, wie hoch die Bußgelder sind und welche Grenzen Arbeitgeber beachten müssen, wenn sie KI zur Steuerung von Beschäftigten einsetzen, ist nun in nationalen Regeln festgelegt. Der Anwendungsbereich muss zuerst klargestellt werden: Das Dekret gilt nur in Italien, nicht als einheitliche EU-Regel, und vergleichbare Pflichten auf EU-Ebene werden deutlich später anwendbar.
Zuerst die zuständige Behörde bestimmen
Artikel 4 bestimmt die Agentur für das digitale Italien (AgID) zur notifizierenden Behörde, die Konformitätsbewertungsstellen bewertet, benennt, notifiziert und überwacht; Artikel 5 macht die Nationale Agentur für Cybersicherheit (ACN) zur Marktüberwachungsbehörde für KI-Systeme, und Artikel 6 macht sie zur einzigen Kontaktstelle gegenüber der EU und überträgt ihr außerdem die nationale Registrierung der in Anhang III Nummer 2 aufgeführten Hochrisiko-Systeme. Hochrisiko-Anwendungen in den Bereichen Bankwesen, Finanzvermittlung und Versicherung fallen jeweils in ihrem Zuständigkeitsbereich an die Banca d'Italia, die CONSOB und die IVASS; die Datenschutzbehörde handelt als Marktüberwachungsbehörde nur innerhalb der Grenzen, die Artikel 74 Absatz 8 des EU-Rechtsakts zieht. Das Dekret sieht außerdem einen interministeriellen Koordinierungsausschuss und Vereinbarungen zwischen den Behörden vor: Bei abweichenden Auffassungen zählt die Aussage der zuständigen Behörde, nicht ein pauschaler Verweis auf „EU-Vorgaben".
Arbeitgeber sollten zuerst zwei Punkte ändern
Artikel 41 regelt Personalentscheidungen unmittelbar: Setzt ein Arbeitgeber KI-Systeme zur Unterstützung von Entscheidungen ein, darf die endgültige Entscheidung über Begründung, Änderung oder Beendigung eines Arbeitsverhältnisses, einschließlich Disziplinarmaßnahmen und Leistungsbeurteilungen, nicht allein auf automatisierter Verarbeitung beruhen. Die endgültige Entscheidung muss bei einer natürlichen Person verbleiben, die eine wirksame und eigenständige Entscheidungsbefugnis ausübt. Die Einwilligung des Beschäftigten ist keine Ausnahme; die Suche nach Kandidatinnen und Kandidaten und deren Vorauswahl zählen dagegen nicht als endgültige Entscheidung, auch wenn das System eine Bewerbung von der nächsten Runde ausschließt. Vor Beginn der Verarbeitung muss der Arbeitgeber die Informationspflichten nach Artikel 1-bis des Legislativdekrets Nr. 152 von 1997 erfüllen, und die beschäftigte Person hat Anspruch darauf, über eine natürliche Person eine verständliche Erklärung zum Einfluss der KI und zu den wichtigsten Parametern zu erhalten; eine unter Verstoß gegen diese Regel ausgesprochene Kündigung ist nichtig, ebenso andere unter Verstoß dagegen getroffene Entscheidungen.
Artikel 42 regelt die Sicherheitsbewertung: KI-Systeme, die die Arbeitsorganisation, das Produktionstempo, die Art der Leistungserbringung oder sicherheitsrelevante Entscheidungsprozesse beeinflussen, müssen gemeinsam im Dokument zur Risikobewertung (DVR) nach Artikel 28 des Legislativdekrets Nr. 81 von 2008 bewertet werden, und Arbeitgeber müssen die Beschäftigten außerdem über die konkreten Risiken sowie die Präventions- und Schutzmaßnahmen informieren und schulen. Die Grenze ist diese: Artikel 42 behandelt nicht jedes KI-Werkzeug als eigenständiges Risiko; er erfasst nur Systeme mit den oben beschriebenen Auswirkungen.
Bußgelder in vier Stufen, und die Kosten für Arbeitgeber sind nicht nur Bußgelder
Artikel 23 legt vier Höchststufen für Bußgelder fest (außer wenn das Verhalten eine Straftat darstellt): bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für die verbotenen Praktiken nach Artikel 5 des EU-Rechtsakts; bis zu 15 Millionen Euro oder 3 % für die Pflichten von Anbietern, Einführern, Händlern und Betreibern; bis zu 7,5 Millionen Euro oder 1 % für unrichtige, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder Behörden; und bis zu 1 Million Euro oder 0,5 % für die Pflichten nach den Artikeln 27 und 86. Die Bußgelder werden von der AgID und den Marktüberwachungsbehörden jeweils in ihrem Zuständigkeitsbereich verhängt. Arbeitgeber sollten auch eine andere Linie beachten: Die Folge nach Artikel 41 ist die Nichtigkeit der Entscheidung, und eine nachträgliche Unterschrift einer Person kann eine bereits für nichtig erklärte Kündigung nicht retten.
Zwei weitere Punkte: vor dem Handeln lesen
Artikel 26 richtet die italienische KI-Regulierungssandbox ein, unter der unmittelbaren Aufsicht der nationalen KI-Behörden, damit Unternehmen in einem kontrollierten Umfeld experimentieren und die Aufsicht aus den Experimenten lernen kann; kleine und mittlere Unternehmen sowie Start-ups werden besonders genannt. Doch die Betriebsregeln der Sandbox warten noch auf spätere gemeinsame Rechtsakte, und der Experimentierkanal kann heute noch nicht betreten werden. Artikel 52 nimmt Trainingsdaten, Algorithmen und mathematische Methoden, die die Voraussetzungen erfüllen, in den Schutzbereich von Geschäftsgeheimnissen auf. Auch das Kapitel zur Aus- und Weiterbildung enthält einen Zeitplan: Die Kriterien für die Lehrkräftefortbildung müssen innerhalb von 90 Tagen nach Inkrafttreten durch Ministerialdekret festgelegt werden. Das Inkrafttreten ist nur der Ausgangspunkt: Bevor die Sandbox-Regeln, die Registrierungsverfahren und die Kriterien für die Lehrkräftefortbildung vorliegen, ist es wichtiger, Entscheidungsunterlagen, das Informationsverfahren und die DVR-Aktualisierung in Ordnung zu halten, als auf die Detailregeln zu warten.
