AI Act en Italie : depuis le 23 octobre, toute décision d'embauche, de sanction ou de licenciement assistée par l'IA doit revenir à une personne, sous peine de nullité

Ce que dit la source

Daté du 7 octobre 2026, le décret législatif n° 179 figure au Journal officiel italien du lendemain (série générale n° 234) et est entré en vigueur le 23 octobre, quinze jours plus tard. Pris en application de la loi italienne n° 132 du 23 septembre 2025 sur l'IA, il adapte le droit national au règlement (UE) 2024/1689. Ses 54 articles vont des pouvoirs des autorités à l'IA dans la formation, le travail et la santé.

L'Agence pour l'Italie numérique (AgID) est l'autorité de notification chargée des organismes d'évaluation de la conformité. L'Agence pour la cybersécurité nationale (ACN) est l'autorité de surveillance du marché et le point de contact unique : elle reçoit les signalements d'incidents graves et les réclamations et peut inspecter sans préavis les essais en conditions réelles. La Banque d'Italie, la CONSOB et l'IVASS surveillent la finance, et le Garante de la protection des données conserve sa compétence propre.

Les sanctions reprennent les trois plafonds européens : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial annuel pour les pratiques interdites, 15 millions ou 3 % pour les obligations des opérateurs de systèmes à haut risque, des organismes notifiés, de transparence et de signalement des incidents graves, 7,5 millions ou 1 % pour des informations inexactes fournies aux autorités ou aux organismes notifiés. Le décret y ajoute un palier propre à l'Italie, absent de l'article 99 du règlement : 1 million ou 0,5 % en cas de manquement à l'analyse d'impact sur les droits fondamentaux ou au droit à l'explication (articles 27 et 86 du règlement). Pour les PME, microentreprises comprises, et les start-up innovantes, le montant retenu est le plus bas des deux, selon l'article 99, paragraphe 6, du règlement. Un espace national d'expérimentation réglementaire, géré par l'AgID et l'ACN, donne priorité aux PME et aux start-up.

L'article 41 vise directement les employeurs. Selon son alinéa 1, sans préjudice de l'article 22 du RGPD, tout employeur qui utilise un système d'IA au sens de l'article 3, point 1, du règlement doit garantir que les décisions finales de constitution, de modification ou de rupture du rapport de travail, sanctions disciplinaires et évaluations de performance comprises, ne sont pas adoptées uniquement sur la base d'un traitement automatisé. La décision définitive revient à une personne physique exerçant un pouvoir effectif et autonome. La recherche et la sélection des candidatures ne sont pas des décisions finales, même quand elles écartent un candidat des étapes suivantes. Le consentement du salarié ne constitue pas une exception. L'employeur informe avant tout traitement, et le salarié peut obtenir, sur demande et par l'intermédiaire d'une personne, une motivation intelligible de la décision, avec l'incidence éventuelle du système d'IA et les principaux paramètres retenus. Le licenciement prononcé en violation de ces règles est nul, comme toute autre décision prise dans les mêmes conditions. L'article 42 ajoute l'IA qui agit sur l'organisation du travail à l'évaluation des risques professionnels.

Notre analyse

L'Italie s'est dotée d'une loi générale sur l'IA en septembre 2025 ; ce décret est l'un des décrets d'application prévus par son article 24, et il fait deux choses que le règlement européen ne fait pas. Il ne distingue pas selon le niveau de risque : l'article 41 vise tout système d'IA utilisé par un employeur, alors que le règlement ne soumet les outils de gestion du personnel aux obligations des systèmes à haut risque qu'au titre de l'annexe III, point 4, et seulement à partir du 2 décembre 2027, après le report décidé par l'Omnibus ; seules l'interdiction de la reconnaissance des émotions au travail et l'obligation de maîtrise de l'IA s'appliquent déjà, depuis février 2025. Il ferme aussi la porte que l'article 22 du RGPD laisse entrouverte : celui-ci admet une décision entièrement automatisée si elle est nécessaire au contrat, autorisée par la loi ou fondée sur le consentement explicite ; le décret italien écarte le consentement et sanctionne par la nullité, non par une amende.

Le texte a ses limites. L'exclusion du tri des candidatures laisse hors de la règle l'usage le plus répandu, celui où l'automatisation écarte des personnes sans qu'aucun humain ne décide ; c'est précisément ce que le règlement européen classe à haut risque. La notion de pouvoir effectif et autonome reviendra aux tribunaux, qui devront tracer la frontière entre validation réelle et validation formelle. Enfin, plusieurs mesures attendent des textes d'application sous 90 jours, six mois ou douze mois, et la clause d'invariance financière ne donne aux autorités aucun moyen nouveau.

Ce qu'il faut retenir : pendant que Bruxelles décale le calendrier des obligations à haut risque, un grand pays de l'Union fixe dès maintenant une règle simple pour les ressources humaines, la personne décide et l'outil éclaire. Nullité des décisions purement automatisées, explication donnée par un humain : voilà le niveau d'exigence que les entreprises européennes pourront rencontrer.

Ce que cela change pour une entreprise française

Pour une PME ou une ETI française, la règle italienne concerne dès aujourd'hui une filiale ou un établissement en Italie et ses outils de gestion du personnel. En France, l'article 22 du RGPD reste le cadre, avec ses exceptions, et les obligations européennes pour les outils RH à haut risque n'arrivent qu'en décembre 2027 ; mais un contentieux prud'homal sur une décision où l'outil a pesé sans qu'un responsable sache l'expliquer est déjà un risque.

Trois actions. Inventorier les outils RH qui intègrent de l'IA, y compris les fonctions ajoutées par les éditeurs de logiciels de paie ou de recrutement, et noter pour chacun ce qu'il recommande et qui tranche. Écrire une règle interne : aucune décision d'embauche, d'évaluation, de sanction ou de rupture sans qu'un responsable nommé l'ait examinée et puisse la motiver sans renvoyer à l'outil. Préparer l'information des salariés et des représentants du personnel, que le règlement européen exigera avant la mise en service d'un système à haut risque au travail : le faire maintenant coûte peu.