IA in azienda: dal 23 ottobre 2026 entra nella valutazione dei rischi

IA in azienda: dal 23 ottobre 2026 entra nella valutazione dei rischi

Che cosa chiede l'art. 42 del decreto legislativo 7 ottobre 2026, n. 179 e come portarlo nel DVR senza rifarlo da capo. A cura di Alessandro Richard.

Negli ultimi mesi l'evoluzione dell'intelligenza artificiale e, specialmente, l'introduzione di regole europee e nazionali impongono alle aziende e ai professionisti una riflessione. Comprendere l'impatto delle novità è essenziale per integrare la tecnologia nei processi aziendali in modo adeguato trasformando l'innovazione in sicurezza effettiva.

Per questo motivo presentiamo oggi un contributo di un nostro lettore, Alessandro Richard (RSPP, formatore della sicurezza, auditor di sistemi di gestione e innovation manager), che affronta il tema dell’intelligenza artificiale in azienda.

IA in azienda: dal 23 ottobre entra nella valutazione dei rischi

Dal 23 ottobre 2026 è in vigore il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell'8 ottobre. È uno dei decreti che adeguano la normativa italiana al Regolamento (UE) 2024/1689 sull'intelligenza artificiale. Per chi si occupa di sicurezza sul lavoro l'articolo da leggere è il 42, dedicato a intelligenza artificiale, salute e sicurezza nei luoghi di lavoro.

Che cosa dice l'articolo 42

In sintesi, quattro cose. Il Ministero del lavoro coordina l'applicazione delle regole sull'IA in materia di salute e sicurezza (comma 1). I sistemi di IA che incidono sull'organizzazione del lavoro, sui ritmi produttivi, sulle modalità della prestazione o su decisioni rilevanti per la sicurezza devono essere considerati nella valutazione dei rischi dell'art. 28 del d.lgs. 81/2008 (comma 2). I lavoratori vanno informati e formati sui rischi specifici legati all'uso di questi sistemi e sulle misure adottate (comma 3). L'IA può essere usata anche come strumento di prevenzione, per analizzare dati, individuare pericoli e supportare le decisioni (comma 4).

Che cosa non cambia

Il decreto non modifica il testo del d.lgs. 81/2008: lo richiama. Non nasce un documento nuovo accanto al DVR e l'articolo 42 non ha sanzioni proprie. Restano gli obblighi e le sanzioni già previsti per la valutazione dei rischi. In pratica, un DVR che ignora un sistema di IA rilevante è un DVR incompleto, con le conseguenze di sempre.

La domanda giusta: che cosa fa il sistema, non come si chiama

L'errore più facile è pensare solo ai chatbot. I sistemi che rientrano nel comma 2 sono spesso dentro software già in uso: il programma che compone i turni, il terminale di magazzino che assegna i prelievi e ne misura i tempi, le telecamere con analisi automatica delle immagini, la manutenzione predittiva che decide quando fermare una macchina, l'assistente che risponde agli operatori sulle procedure. Per ciascuno la domanda è la stessa: incide su come, quanto e con quali decisioni si lavora?

Un metodo in quattro passi

1. Censimento. Un registro dei sistemi di IA in uso: nome, fornitore, reparto, chi lo usa, che cosa fa, quali dati tratta. Senza questo elenco la valutazione non ha una base.
2. Ambiti. Per ogni sistema si indica su quale dei quattro ambiti del comma 2 incide: organizzazione, ritmi, modalità della prestazione, decisioni di sicurezza. Un sistema può toccarne più d'uno.
3. Grado di autonomia. Conta quanto il sistema decide da solo: se informa, se suggerisce, se decide con la conferma di una persona o se decide senza conferma. Più autonomia significa, a parità di danno, una probabilità più alta che un errore arrivi fino al lavoratore.
4. Misure e controllo. Per ogni rischio si scrivono le misure e, soprattutto, chi controlla l'output del sistema, con quale frequenza e dove resta traccia del controllo. Una verifica umana che non lascia traccia, davanti a un ispettore, non esiste.

Quando un sistema cambia (nuova versione, nuove funzioni, nuovo reparto) vale la regola di sempre dell'art. 29, comma 3: se la modifica è significativa per la sicurezza, la valutazione va rielaborata.

Formazione: specifica, non generica

Il comma 3 non chiede un corso generale sull' intelligenza artificiale. Chiede di formare i lavoratori sui rischi dei sistemi che usano davvero e sulle misure adottate: che cosa fa il programma dei turni, che cosa non bisogna dargli per buono, a chi segnalare un'indicazione che sembra sbagliata. Un modulo breve, costruito sul registro dei sistemi, vale più di molte ore di teoria.

L'IA come strumento di prevenzione

Il comma 4 apre una possibilità utile: usare l'IA per leggere i dati degli infortuni e dei quasi incidenti, individuare pericoli, aiutare le decisioni. Vale però la stessa regola: lo strumento propone, la persona competente decide e firma. Un'analisi del rischio prodotta da un sistema di IA e copiata nel DVR senza verifica resta responsabilità di chi la firma.

Tre errori da evitare

• l'allegato generico sull'IA, uguale per tutte le aziende, che non nomina nessun sistema reale;
• il censimento limitato agli strumenti che si presentano come «intelligenza artificiale», dimenticando quelli inclusi nei gestionali;
• la valutazione fatta senza il rappresentante dei lavoratori per la sicurezza, che va consultato sulla valutazione dei rischi come sempre (art. 50).

Il punto di partenza, per la maggior parte delle aziende, è semplice e si può fare subito: compilare il registro dei sistemi in uso. Il resto della valutazione si costruisce su quello.

Il consiglio che do ai datori di lavoro è di cominciare con una domanda semplice ai propri fornitori di software: «Nel programma che ci avete venduto c'è un sistema di intelligenza artificiale? E che cosa decide?». La risposta, scritta, è la prima riga del registro.

Alessandro Richard

RSPP, formatore della sicurezza, auditor di sistemi di gestione e innovation manager

Licenza Creative Commons