12 Ottobre 2026 Ambiente e Sicurezza

D.Lgs. 7 ottobre 2026, n. 179: l’intelligenza artificiale entra nel DVR

A cura della Redazione

Dal 23 ottobre 2026 il nuovo D.Lgs. 7 ottobre 2026, n. 179 porta l’intelligenza artificiale dentro la valutazione dei rischi dell’articolo 28 del D.Lgs. 81/2008. Ogni sistema che organizza il lavoro, detta i ritmi, cambia il modo di eseguire i compiti o orienta decisioni rilevanti per la sicurezza va valutato e documentato, e va spiegato ai lavoratori con informazione e formazione dedicate. Sul rapporto di lavoro arriva la riserva di umanità: assunzioni, licenziamenti, sanzioni disciplinari e valutazioni non possono dipendere solo da una macchina, pena la nullità. Per RSPP, HSE manager e HR il lavoro comincia da una domanda semplice: dove, in azienda, decide già un software?

COSA TRATTA

Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre, è per gran parte un provvedimento di architettura istituzionale. Adegua l’ordinamento italiano al regolamento (UE) 2024/1689, l’AI Act. Assegna all’AgID il ruolo di autorità di notifica e all’Agenzia per la cybersicurezza nazionale quello di autorità di vigilanza del mercato e punto di contatto unico. Definisce le sanzioni e istituisce lo Spazio di sperimentazione italiano per l’IA. Sono cinquantaquattro articoli che parlano soprattutto a fornitori di tecnologia, autorità e istituti finanziari.

Poi, quasi in fondo, arrivano gli articoli 41 e 42. Sono pochi commi, scritti con una sobrietà che rischia di farli passare inosservati. Per chi si occupa di prevenzione pesano più di tutto il resto del testo.

Il decreto entra in vigore il 23 ottobre e chiude il cerchio aperto dalla legge 23 settembre 2025, n. 132. È la prima legge italiana sull’intelligenza artificiale, e all’articolo 11 chiedeva già di impiegare l’IA anche per tutelare l’integrità psicofisica dei lavoratori. Quello che era un principio diventa un adempimento con un indirizzo preciso: il documento di valutazione dei rischi. E l’articolo 42 non prevede alcun periodo transitorio.

L’ALGORITMO DIVENTA UN FATTORE DI RISCHIO

Il comma 2 dell’articolo 42 stabilisce che va valutato nel DVR, ai sensi dell’articolo 28 del D.Lgs. 81/2008, l’uso di sistemi di intelligenza artificiale che incidono su uno di questi aspetti:

1. Organizzazione del lavoro,
2. Ritmi produttivi,
3. Modalità di esecuzione della prestazione
4. Processi decisionali rilevanti ai fini della sicurezza.

Il legislatore non chiede di valutare l’IA in astratto. Chiede di guardare ai suoi effetti su queste quattro leve molto concrete, che chiunque abbia redatto un DVR riconosce subito.

La prima è l’organizzazione del lavoro. Il pensiero corre agli algoritmi che nella logistica e nel delivery assegnano consegne, compongono turni e distribuiscono missioni ai carrellisti. Incrociano ordini, storico delle prestazioni e tempi standard, e restituiscono un piano che sulla carta è ottimale. Il problema è che l’ottimo viene calcolato sulla media, mentre i lavoratori stanno anche sulle code della curva. C’è chi regge carichi più alti e chi, magari con un giudizio di idoneità con limitazioni, non dovrebbe mai superare una certa soglia. C’è chi rende meglio al mattino e chi in squadra, chi preferisce scadenze brevi e chi ha bisogno di pianificare. Chi fa audit nei magazzini lo sente dire spesso, quasi con sollievo: «i turni li fa il programma». È proprio lì che il rischio si nasconde, perché nessuno si sente più titolare della scelta. C’è poi un fattore che i questionari sullo stress lavoro-correlato faticano ancora a intercettare: il timore, fondato o no, che domani una parte delle mansioni venga assorbita dalla macchina.

La seconda leva sono i ritmi produttivi. «Tanto lo fa l’IA» è ormai una frase tipica di una riunione, e porta con sé una banalizzazione del lavoro umano: se lo strumento è veloce, allora anche la persona deve esserlo. Negli uffici è già evidente sulle attività di analisi e produzione di contenuti, ma in produzione l’effetto è più misurabile e più pericoloso. Se un sistema di pianificazione alza la cadenza di una linea, l’indice OCRA calcolato due anni fa su quella postazione non descrive più la realtà, e la valutazione dei movimenti ripetitivi va rifatta. Esiste un limite fisiologico di attenzione e recupero che nessun modello può comprimere. Ignorarlo produce stress ed errori, e alla lunga un peggioramento degli indici di frequenza e gravità.

La terza riguarda le modalità di esecuzione della prestazione, dove i pericoli sono più facili da vedere. Un controllo macchina basato su logiche deterministiche ha un comportamento collaudato. Un sistema che apprende e interviene sui parametri operativi di un robot può invece modificarne il comportamento in modo inatteso. Non a caso il nuovo regolamento (UE) 2023/1230 sulle macchine, applicabile dal 20 gennaio 2027, tratta espressamente i componenti con comportamento autoevolutivo. Ma il cambiamento tocca anche chi lavora alla scrivania: chi disegnava o scriveva oggi formula richieste a un modello e ne verifica il risultato. È una trasformazione profonda del mestiere, che alcuni vivono come una perdita, e che porta con sé un sovraccarico cognitivo nuovo. Come si controlla l’output di un sistema che ha elaborato più dati di quanti una persona possa leggere? E soprattutto rimane il tema principale: chi ne risponde?

La quarta leva, i processi decisionali, è la più sottile. Un capo reparto che segue l’indicazione dell’algoritmo resta responsabile della decisione, ma spesso non ha avuto nemmeno il tempo di capirla. C’è poi il tema dei bias. Ricordo sempre che se chiediamo alla IA che cos’è ROMA, sicuramente risponderà che è la capitale d’Italia, perché in termini probabilistici è l’affermazione migliore. Ma il sistema non ha idea di cosa sia Roma, né di cosa sia una capitale. E’ un insieme di parole che trova spesso vicino. L’IA ragiona sui dati storici r/o probabilistici: applicato a un magazziniere significa che se nessuno ha mai affidato la conduzione del carrello elevatore, il sistema difficilmente gliela proporrà. E nel tempo questo consoliderà esclusioni che nessuno ha mai voluto o deciso consapevolmente.

LA RISERVA DI UMANITÀ NEL RAPPORTO DI LAVORO

L’articolo 41 parla soprattutto alle direzioni del personale, ma ha ricadute dirette sulla sicurezza. Il datore di lavoro che si avvale di sistemi di IA deve garantire che le decisioni finali sul rapporto di lavoro non siano adottate unicamente sulla base di un trattamento automatizzato. Vale per la costituzione, la modificazione e la risoluzione del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni. La decisione definitiva spetta a una persona fisica che eserciti un potere effettivo e autonomo, e il consenso del lavoratore non basta a superare il divieto. Prima di avviare il trattamento va resa l’informativa prevista dall’articolo 1-bis del D.Lgs. 152/1997. Il lavoratore può chiedere, con l’intervento di una persona, una motivazione comprensibile che indichi quanto ha pesato l’IA e su quali parametri. Le decisioni prese in violazione sono nulle, e lo è anche il licenziamento.

Per chi lavora in ambito HSE il punto di contatto è immediato. Uno spostamento di mansione dopo un giudizio di idoneità con limitazioni è una modificazione del rapporto: non può essere il software a stabilire dove ricollocare il lavoratore. Lo stesso vale per un richiamo disciplinare legato al mancato uso dei DPI rilevato da un sistema di visione artificiale. La telecamera può segnalare, ma a contestare deve essere una persona che ha guardato e ha giudicato la gravità  i fatti.

Su un passaggio conviene essere netti. L’articolo 41 esclude dalle decisioni finali le attività di ricerca e selezione delle candidature, anche quando comportano l’esclusione dalle fasi successive. È una scelta discutibile, e sarebbe un errore leggerla come un via libera allo screening automatico. Il regolamento europeo classifica, comunque, ad alto rischio i sistemi usati per selezionare il personale. Un filtro che scarta sistematicamente chi ha avuto lunghe assenze per malattia produce una discriminazione che nessuna esclusione formale rende accettabile. Chi gestisce le selezioni farebbe bene a tenere una persona nel circuito anche lì.

Resta poi il quadro che già c’era e che il decreto non tocca. C’è l’articolo 4 dello Statuto dei lavoratori sui controlli a distanza. C’è il GDPR, con l’articolo 22 sulle decisioni automatizzate e la valutazione d’impatto dell’articolo 35. E c’è soprattutto il divieto, in vigore dal febbraio 2025, di usare sistemi di riconoscimento delle emozioni nei luoghi di lavoro, salvo motivi medici o di sicurezza. Chi sta valutando dispositivi per monitorare la fatica o la vigilanza degli autisti deve muoversi dentro questa eccezione. La motivazione di sicurezza va documentata nel DVR, non dichiarata a posteriori.

DVR, FORMAZIONE E MEDICO COMPETENTE: COSA CAMBIA DAVVERO

Tra i primi commenti al decreto si confrontano due letture ben distinte. C’è chi pensa che basti un capitolo aggiuntivo nel DVR e chi ritiene necessaria una revisione organica. La nostra posizione è chiara. Quando un algoritmo comincia a decidere turni, sequenze o cadenze, siamo davanti a una modifica significativa dell’organizzazione del lavoro ai sensi dell’articolo 29, comma 3, del D.Lgs. 81/2008. La valutazione va quindi rielaborata entro trenta giorni, coinvolgendo l’RLS. Un allegato generico sull’intelligenza artificiale, scollegato dalle valutazioni di stress, ergonomia e rischio macchine, potrebbe non reggere a un’ispezione o creare importanti falle nella compliance.

Il comma 3 dell’articolo 42 aggiunge un obbligo autonomo di informazione e formazione sui rischi specifici legati ai sistemi di IA e sulle misure adottate. È un punto da non sottovalutare. A livello europeo il calendario dell’AI Act è stato rivisto con il pacchetto Digital Omnibus, che sposta a dicembre 2027 gli obblighi per i sistemi ad alto rischio dell’allegato III. La norma nazionale non aspetta: dal 23 ottobre la formazione sull’IA entra negli articoli 36 e 37 del Testo Unico. Conviene integrarla nei moduli di formazione specifica e nei percorsi di aggiornamento già pianificati secondo l’Accordo Stato-Regioni 2025, più che creare corsi isolati.

C’è poi una figura che può cambiare ruolo: il medico competente. È l’unico che vede ogni lavoratore singolarmente e può cogliere segnali che nessun cruscotto restituisce, come un calo di concentrazione o un disturbo del sonno legato ai turni generati dal sistema. Il decreto lo coinvolge anche indirettamente. L’articolo 51 inserisce l’IA nei percorsi ECM dei professionisti sanitari, ed entro sei mesi la Commissione nazionale per la formazione continua dovrà definire la quota di crediti dedicata.

Un ultimo nodo riguarda i fornitori. L’articolo 52 include tra i segreti commerciali tutelati dal Codice della proprietà industriale anche dati, algoritmi e metodi di addestramento. L’RSPP non avrà accesso al codice, e non gli serve. Gli serve sapere quali variabili il sistema usa, quali limiti rispetta, chi può modificarne i parametri e come si disattiva. Sono informazioni da chiedere per contratto, al momento dell’acquisto.

DALLE CRITICITÀ ALLE SOLUZIONI

Il decreto non chiede di frenare la tecnologia. All’articolo 42, comma 4, affida anzi al Ministero del lavoro, insieme all’Ispettorato nazionale del lavoro, il compito di promuovere l’IA come strumento di prevenzione di infortuni e malattie professionali. La strada sta nel governarla con gli stessi strumenti con cui si governano gli altri rischi: inventario, valutazione, misure, verifica.

Il primo passo è sapere cosa c’è.

Molte aziende non hanno un censimento dei sistemi di IA in uso, perché questi sono entrati come funzioni di software già presenti. Pensiamo al gestionale del magazzino che ottimizza i percorsi, alla piattaforma HR che suggerisce i turni, all’assistente generativo usato dagli uffici. Conviene tenerne traccia nello stesso sistema digitale in cui si gestiscono attrezzature, formazione e sorveglianza sanitaria. Così ogni algoritmo resta collegato alle mansioni che tocca e alle valutazioni che deve aggiornare.

Il secondo passo è dare voce ai lavoratori.

Le misure che conviene introdurre da subito sono queste:

• Un canale di segnalazione, anche da smartphone, per i casi in cui l’organizzazione proposta dal sistema risulta insostenibile, gestito come un near miss con analisi delle cause e risposta tracciata;
• Audit a campione sulle postazioni, per verificare se il piano generato dall’algoritmo è adatto alla singola persona e, quando non lo è, quale meccanismo ha impedito di accorgersene;
• Una regola chiara sull’accesso dell’ia ai sistemi di controllo delle macchine: il sistema analizza e propone, ma la modifica la fa materialmente personale competente e autorizzato;
• Un obbligo per i preposti e i dirigenti di motivare le decisioni assistite dall’ia, senza scadenze compresse rispetto a quelle in uso prima dell’introduzione dello strumento.

Il terzo passo è la formazione del management operativo.

Non serve insegnare il funzionamento tecnico dei modelli. Serve far conoscere i loro difetti tipici: la tendenza a ottimizzare la media, la riproduzione dei bias storici, l’apparente certezza di risultati che restano probabilistici. Un dirigente che conosce questi limiti sa anche difendere le proprie decisioni davanti a un organo di vigilanza.

In questo senso la tecnologia porta con sé la propria soluzione, a patto di cambiare anche i processi. Un sistema di IA ben governato, collegato ai dati di segnalazioni, infortuni e sorveglianza sanitaria, può accorgersi prima di una persona che un reparto sta accumulando carico. Ma qualcuno deve aver deciso di guardare quel dato e di agire.

E nella vostra azienda, oggi, sapreste elencare quali decisioni sulla sicurezza passano già da un algoritmo?

COSA DICE LA LEGGE

• D.Lgs. 7 ottobre 2026, n. 179 (GU n. 234 dell’8 ottobre 2026), in vigore dal 23 ottobre 2026: adegua l’ordinamento nazionale al regolamento (UE) 2024/1689 e attua la delega dell’articolo 24 della legge 132/2025.
• Articolo 42, comma 2: l’uso di sistemi di IA che incidono su organizzazione del lavoro, ritmi produttivi, modalità di esecuzione della prestazione o processi decisionali rilevanti per la sicurezza è valutato nel DVR ai sensi dell’articolo 28 del D.Lgs. 81/2008.
• Articolo 42, comma 3: il datore di lavoro assicura adeguata informazione e formazione sui rischi specifici connessi ai sistemi di IA e sulle misure di prevenzione e protezione adottate.
• Articolo 42, commi 1 e 4: il Ministero del lavoro coordina le misure di tutela e promuove l’uso responsabile dell’IA come strumento di prevenzione, in raccordo con l’Ispettorato nazionale del lavoro.
• Articolo 41: le decisioni finali su costituzione, modificazione e risoluzione del rapporto, provvedimenti disciplinari e valutazioni delle prestazioni non possono basarsi unicamente su trattamenti automatizzati. Decide una persona fisica con potere effettivo e autonomo. Il consenso del lavoratore non deroga al divieto. Restano escluse le attività di ricerca e selezione delle candidature.
• Articolo 41, commi 3 e 4: informativa preventiva ai sensi dell’articolo 1-bis del D.Lgs. 152/1997 e diritto del lavoratore a una motivazione intelligibile resa da una persona. Il licenziamento e le decisioni adottate in violazione sono nulli.
• Articolo 47: i percorsi di formazione iniziale e continua degli ordini professionali e delle associazioni delle professioni non regolamentate (legge 4/2013) includono l’alfabetizzazione all’IA; i regolamenti vanno adeguati entro sei mesi.
• Articolo 51: l’IA entra nei percorsi ECM dei professionisti sanitari, medici competenti compresi.
• Articolo 52: dati, algoritmi e metodi di addestramento rientrano tra le informazioni aziendali riservate tutelate dall’articolo 98 del Codice della proprietà industriale.
• Articolo 23: sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate dall’articolo 5 dell’AI Act, e fino a 15 milioni o al 3% per la violazione degli obblighi di fornitori e deployer. Per PMI e start-up valgono criteri ridotti.
• Restano applicabili: D.Lgs. 81/2008 (articoli 15, 17, 18, 28, 29, 36, 37 e 50), articolo 4 della legge 300/1970, articoli 22 e 35 del regolamento (UE) 2016/679, articolo 5, paragrafo 1, lettera f) e articolo 26 del regolamento (UE) 2024/1689, regolamento (UE) 2023/1230 sulle macchine dal 20 gennaio 2027, direttiva (UE) 2024/2831 sul lavoro mediante piattaforme digitali.

MODIFICHE AL DVR

Va trattata come modifica significativa dell’organizzazione del lavoro, ai sensi dell’articolo 29, comma 3, del D.Lgs. 81/2008, l’introduzione o la modifica di un sistema di IA che incide su turni, assegnazione dei compiti, cadenze o decisioni operative. Ne segue la rielaborazione della valutazione entro trenta giorni, con consultazione dell’RLS. In concreto il DVR deve contenere:

• l’elenco dei sistemi di IA in uso, con le mansioni e i reparti interessati;
• l’aggiornamento della valutazione dello stress lavoro-correlato, includendo gli indicatori legati alla gestione algoritmica e all’insicurezza occupazionale;
• la revisione delle valutazioni ergonomiche, a partire da OCRA e movimentazione manuale dei carichi, dove l’IA modifica ritmi o sequenze;
• l’analisi dei rischi per macchine e robot governati o regolati da sistemi di IA;
• la definizione delle misure di sorveglianza umana e dei relativi responsabili;
• il piano di informazione e formazione previsto dall’articolo 42, comma 3.

Per i lavoratori con giudizio di idoneità con limitazioni va verificato che i vincoli siano effettivamente recepiti dal sistema di pianificazione.

PROCEDURE DI SICUREZZA

Servono nuove procedure, o la revisione di quelle esistenti, almeno su questi ambiti:

• la gestione del cambiamento: nessun sistema di IA con impatto su organizzazione, ritmi o macchine entra in esercizio senza valutazione preventiva HSE, coerentemente con quanto la UNI ISO 45001 richiede per la gestione delle modifiche;
• l’accesso dei sistemi di IA ai controlli di macchine e impianti, secondo il principio per cui l’algoritmo propone e la persona autorizzata esegue;
• la sorveglianza umana sulle decisioni assistite, con l’indicazione di chi valida, entro quali tempi e con quale registrazione della motivazione;
• la segnalazione e gestione dei casi di carico insostenibile o di comportamento anomalo del sistema, trattati come near miss;
• l’acquisto di software e attrezzature con funzioni di IA, con requisiti informativi minimi da richiedere al fornitore;
• la procedura disciplinare e quella di ricollocazione dopo il giudizio del medico competente, aggiornate per garantire la decisione finale umana prevista dall’articolo 41.

INDICAZIONI OPERATIVE

1. Entro il 23 ottobre 2026 avviare il censimento dei sistemi di IA in uso, compresi quelli integrati in gestionali, piattaforme HR e software di pianificazione. Traguardo: 100% dei reparti mappati entro 60 giorni, con un referente per ciascun sistema.
2. Per ogni sistema censito chiedersi se incide su organizzazione, ritmi, modalità di esecuzione o decisioni di sicurezza. Se la risposta è sì anche a una sola di queste domande, il sistema entra nel DVR.
3. Convocare l’RLS e programmare la rielaborazione del DVR entro trenta giorni dalla messa in esercizio di ogni nuovo sistema rilevante. Per quelli già in uso, chiudere l’aggiornamento entro il primo trimestre 2027.
4. Rifare le valutazioni ergonomiche delle postazioni in cui l’algoritmo ha modificato cadenze o sequenze. Indicatore: nessuna postazione con una valutazione precedente all’introduzione del sistema.
5. Impedire che un sistema di IA modifichi direttamente i parametri di macchine e impianti. Il sistema ha accesso in sola lettura e propone; la modifica la esegue personale autorizzato e viene registrata.
6. Attivare un canale digitale di segnalazione per il carico non sostenibile o le anomalie del sistema. Obiettivi: risposta entro 5 giorni lavorativi al 90% delle segnalazioni e analisi delle cause per il 100% di quelle chiuse.
7. Inserire nei contratti di fornitura di software con IA l’obbligo di consegnare una scheda funzionale: variabili utilizzate, limiti configurabili, chi può modificarli, modalità di disattivazione, aggiornamenti che cambiano il comportamento.
8. Inserire nella formazione specifica e negli aggiornamenti un modulo sui rischi dei sistemi di IA in uso in azienda. Traguardo: 100% dei lavoratori esposti formati entro 6 mesi, con verifica di apprendimento e questionario di gradimento.
9. Formare dirigenti e preposti sui limiti degli algoritmi e sull’obbligo di motivare le decisioni assistite. Indicatore: 100% delle decisioni disciplinari e di ricollocazione con motivazione firmata da una persona e incidenza dell’IA dichiarata.
10. Coinvolgere il medico competente nella sorveglianza dei reparti a gestione algoritmica, aggiungendo all’anamnesi lavorativa domande su ritmi, turni e carico cognitivo. I risultati vanno discussi nella riunione periodica dell’articolo 35.
11. Leva strategica: costruire un cruscotto unico che incroci, reparto per reparto, i dati dei sistemi di IA con segnalazioni, infortuni e assenze, così da cogliere in anticipo l’accumulo di carico. Obiettivo a 12 mesi: riduzione misurabile dell’indice di frequenza nei reparti a gestione algoritmica rispetto al dato 2026.
12. Leva strategica: integrare il governo dell’IA nel sistema di gestione della salute e sicurezza, inserendo la gestione dei sistemi di IA nell’audit interno annuale e nel riesame della direzione. Nel medio periodo, valutare l’allineamento alla ISO/IEC 42001.

IL 20% CHE CONTA (PER L’80% DEI RISULTATI)

A. Censire tutti i sistemi di IA in uso: non si valuta ciò che non si conosce.
B. Trattare l’introduzione di un algoritmo che decide turni, compiti o cadenze come modifica organizzativa significativa e rielaborare il DVR entro trenta giorni con l’RLS.
C. Lasciare sempre a una persona la decisione finale su sicurezza, mansioni e rapporto di lavoro, con motivazione registrata.
D. Impedire all’IA di modificare direttamente macchine e impianti.
E. Formare lavoratori e management sui rischi concreti dei sistemi in uso e dare ai lavoratori un canale per segnalare quando l’algoritmo sbaglia.

Riproduzione riservata ©