Le décret législatif italien n° 179 du 7 octobre 2026 est entré en vigueur le 23 octobre, et son texte intégral a été publié le 8 octobre dans la Gazzetta Ufficiale, numéro 234. Ce décret de 54 articles transpose le règlement européen sur l'intelligence artificielle au niveau de l'application nationale en Italie : qui supervise, à combien s'élèvent les amendes et quelles limites les employeurs doivent respecter lorsqu'ils utilisent l'IA pour gérer des personnes relèvent désormais de règles nationales correspondantes. Le champ d'application doit être précisé d'abord : il ne s'applique qu'en Italie, et non comme une règle uniforme de l'Union, et des obligations comparables au niveau de l'Union s'appliqueront beaucoup plus tard.
Commencer par identifier l'autorité compétente
L'article 4 fait de l'Agence pour l'Italie numérique (AgID) l'autorité notifiante, chargée d'évaluer, de désigner, de notifier et de surveiller les organismes d'évaluation de la conformité ; l'article 5 fait de l'Agence nationale de cybersécurité (ACN) l'autorité de surveillance du marché pour les systèmes d'IA, et l'article 6 en fait le point de contact unique avec l'Union, également chargé de l'enregistrement national des systèmes à haut risque énumérés à l'annexe III, point 2. Les usages à haut risque dans la banque, l'intermédiation financière et l'assurance relèvent respectivement de la Banque d'Italie, de la CONSOB et de l'IVASS, dans leurs domaines de compétence ; l'autorité de protection des données n'agit comme autorité de surveillance du marché que dans les limites fixées par l'article 74, paragraphe 8, du règlement européen. Le décret prévoit aussi un comité de coordination interministériel et des accords entre autorités : en cas de positions divergentes, c'est la parole de l'autorité compétente qui compte, et non un renvoi générique aux « exigences de l'Union ».
Les employeurs doivent d'abord modifier deux points
L'article 41 encadre directement les décisions relatives au personnel : lorsqu'un employeur utilise des systèmes d'IA pour appuyer la prise de décision, la décision finale sur l'établissement, la modification ou la rupture d'une relation de travail, y compris les mesures disciplinaires et les évaluations de performance, ne peut pas reposer uniquement sur un traitement automatisé. La décision finale doit rester entre les mains d'une personne physique exerçant un pouvoir de décision effectif et autonome. Le consentement du salarié n'est pas une exception ; en revanche, la recherche et la présélection de candidats ne comptent pas comme une décision finale, même si le système écarte un candidat du tour suivant. Avant le début du traitement, l'employeur doit satisfaire aux obligations d'information prévues à l'article 1-bis du décret législatif n° 152 de 1997, et le travailleur a le droit d'obtenir, par l'intermédiaire d'une personne physique, une explication intelligible de l'influence de l'IA et des principaux paramètres ; un licenciement prononcé en violation de cette règle est nul, tout comme les autres décisions prises en violation de celle-ci.
L'article 42 encadre l'évaluation de la sécurité : les systèmes d'IA qui influent sur l'organisation du travail, le rythme de production, les modalités d'exécution du travail ou les processus décisionnels intéressant la sécurité doivent être évalués ensemble dans le document d'évaluation des risques (DVR) prévu à l'article 28 du décret législatif n° 81 de 2008, et les employeurs doivent aussi informer et former les travailleurs sur les risques précis et les mesures de prévention et de protection. La limite est la suivante : l'article 42 ne traite pas chaque outil d'IA comme un risque autonome ; il ne vise que les systèmes ayant les effets décrits ci-dessus.
Des amendes en quatre paliers, et le coût pour les employeurs ne se limite pas aux amendes
L'article 23 fixe quatre plafonds d'amende (sauf lorsque le comportement constitue une infraction pénale) : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les pratiques interdites visées à l'article 5 du règlement européen ; jusqu'à 15 millions d'euros ou 3 % pour les obligations des fournisseurs, des importateurs, des distributeurs et des déployeurs ; jusqu'à 7,5 millions d'euros ou 1 % pour la fourniture d'informations inexactes, incomplètes ou trompeuses aux organismes notifiés ou aux autorités ; et jusqu'à 1 million d'euros ou 0,5 % pour les obligations des articles 27 et 86. Les amendes sont infligées par l'AgID et les autorités de surveillance du marché dans leurs domaines de compétence respectifs. Les employeurs doivent aussi surveiller une autre ligne : la conséquence prévue à l'article 41 est la nullité de la décision, et une signature humaine apposée après coup ne peut pas sauver un licenciement déjà jugé nul.
Deux autres points : à lire avant d'agir
L'article 26 crée le bac à sable réglementaire italien pour l'IA, sous la supervision directe des autorités nationales de l'IA, afin que les entreprises puissent expérimenter dans un cadre contrôlé et que les autorités tirent des enseignements des expérimentations ; les PME et les jeunes entreprises y sont mentionnées en particulier. Mais les règles de fonctionnement du bac à sable attendent encore des actes conjoints ultérieurs, et le canal d'expérimentation ne peut pas être emprunté aujourd'hui. L'article 52 fait entrer dans le champ de la protection des secrets d'affaires les données d'entraînement, les algorithmes et les méthodes mathématiques qui remplissent les conditions requises. Le chapitre sur la formation fixe aussi un calendrier : les critères de la formation des enseignants doivent être définis par décret ministériel dans les 90 jours suivant l'entrée en vigueur. L'entrée en vigueur n'est qu'un point de départ : avant l'arrivée des règles du bac à sable, des procédures d'enregistrement et des critères de formation des enseignants, il importe davantage de tenir en ordre les traces des décisions, la procédure d'information et les mises à jour du DVR que d'attendre les règles détaillées.
