Per mesi il 2 agosto 2026 è stato indicato come la data chiave per l’AI Act. In realtà, più che un “via libera generale”, si tratta di una tappa intermedia in un’applicazione ancora in evoluzione.
Il Regolamento UE 2024/1689 è infatti entrato in vigore il 1° agosto 2024 e prevede un calendario di applicazione progressivo. Dal 2 agosto 2026 sono effettivamente in vigore due novità rilevanti: gli obblighi di trasparenza dell’articolo 50 e il potere della Commissione europea di sanzionare direttamente i fornitori di modelli di IA per finalità generali (GPAI). Il regime sanzionatorio nazionale, invece, è operativo da più tempo di quanto si pensi. E gli obblighi più onerosi, quelli sui sistemi ad alto rischio, sono stati rinviati al 2027 e al 2028 dal Digital Omnibus. Distinguere questi piani non è un dettaglio tecnico: è quello che separa un’organizzazione che si adegua correttamente da una che rincorre scadenze inesistenti – o, peggio, ignora quelle vere.
In questo articolo vediamo cosa è diventato davvero obbligatorio, cosa è stato spostato, e quali sono le prime cose concrete da controllare in azienda.
Che cosa si applica dal 2 agosto 2026
L’articolo 113 dell’AI Act (Regolamento UE 2024/1689) fissava al 2 agosto 2026 l’applicazione generale del regolamento. Con il rinvio di parte del calendario, sono diventati operativi da questa data due elementi specifici, più l’avvio della vigilanza di mercato.
Gli obblighi di trasparenza dell’articolo 50
È la novità che riguarda il maggior numero di aziende, indipendentemente dal settore. L’articolo 50 impone obblighi differenziati a seconda del sistema di IA utilizzato – e da ieri sono pienamente applicabili:
- Sistemi che interagiscono direttamente con le persone (chatbot, assistenti vocali, agenti conversazionali): chi li fornisce deve informare l’utente che sta interagendo con un’intelligenza artificiale, prima o al momento della prima esposizione.
- Sistemi che generano contenuti sintetici (testo, audio, immagini, video): i contenuti generati devono essere riconoscibili come tali.
- Deepfake: va reso manifesto che il contenuto audio, immagine o video è stato generato o manipolato artificialmente.
- Testi generati su temi di interesse pubblico: se pubblicati per informare il pubblico, deve essere dichiarata la generazione artificiale, salvo i casi di revisione editoriale umana con responsabilità redazionale.
A supporto, la Commissione europea ha approvato le linee guida definitive sull’articolo 50, che non prescrivono un formato specifico ma richiedono che l’informazione sia chiara, verificabile e fornita al momento giusto.
Un caso a parte riguarda i sistemi di riconoscimento delle emozioni: sono già classificati come ad alto rischio (salvo i divieti settoriali su lavoro e istruzione previsti dall’art. 5), quindi l’obbligo di trasparenza si somma – non si sostituisce – alle garanzie già previste per l’alto rischio, garanzie che però seguono ora il calendario rinviato di cui parliamo più sotto.
Il regime sanzionatorio
Dal 2 agosto 2026 si applicano anche l’articolo 99 (sanzioni nazionali) e l’articolo 101 (ammende della Commissione sui fornitori di modelli GPAI): da ieri le autorità possono già procedere. Le multe per la violazione degli obblighi di trasparenza possono arrivare fino a 15 milioni di euro o al 3% del fatturato globale annuo, a seconda di quale valore sia più elevato: una soglia pensata per essere dissuasiva anche per i grandi player tecnologici.
Il ruolo delle autorità in Italia
In Italia, la governance dell’AI Act è stata affidata principalmente a:
- AgID, per le funzioni di notifica;
- ACN, per la vigilanza generale.
Accanto a queste, restano le competenze delle autorità settoriali, in particolare nei settori regolati come quello finanziario.
Il Digital Omnibus: cosa è stato rinviato
Il Digital Omnibus on AI, approvato dal Parlamento europeo il 16 giugno 2026 e adottato in via definitiva dal Consiglio il 29 giugno, ha riscritto parte del calendario a pochi mesi dalla scadenza attraverso il Regolamento (UE) 2026/1744, pubblicato in Gazzetta ufficiale il 24 luglio 2026 ed entrato in vigore il 27 luglio.
| Obbligo | Scadenza |
|---|---|
| Requisiti alto rischio – Allegato III (sistemi autonomi) | 2 dicembre 2027 |
| Requisiti alto rischio – Allegato I (sistemi integrati in prodotti) | 2 agosto 2028 |
| Sandbox normative nazionali | 2 agosto 2027 |
| Marcatura tecnica dei contenuti generati da IA (art. 50, par. 2) | 2 dicembre 2026 |
| Nuovi divieti su deepfake sessuali non consensuali e materiale di abuso su minori | 2 dicembre 2026 |
| Obblighi di trasparenza (art. 50, altri paragrafi) | già in vigore dal 2 agosto 2026 |
| Sanzioni nazionali (Capo XII, art. 99) e divieti art. 5 | già in vigore dal 2 agosto 2025 |
| Ammende della Commissione su fornitori GPAI (art. 101) | già in vigore dal 2 agosto 2026 |
Una precisazione utile sulla marcatura tecnica: la proroga al 2 dicembre 2026 non è generale, ma riguarda solo i fornitori di sistemi che generano contenuti sintetici già immessi sul mercato prima del 2 agosto 2026 (regime transitorio dell’art. 111, par. 4, come modificato). Per i sistemi immessi sul mercato da ieri in avanti, l’obbligo di marcatura tecnica si applica da subito.
Il Digital Omnibus, va detto, non si è limitato a rinviare: ha anche introdotto, con il nuovo articolo 4-bis, una base giuridica che consente a fornitori e deployer di sistemi di IA di trattare – in via eccezionale e con garanzie rigorose (pseudonimizzazione, limitazione degli accessi, cancellazione al termine delle operazioni) – categorie particolari di dati personali ex art. 9 GDPR, quando ciò sia strettamente necessario per individuare e correggere bias algoritmici. Sul fronte documentale, il regolamento chiarisce inoltre che la valutazione d’impatto sui diritti fondamentali (FRIA, art. 27) potrà essere assorbita all’interno della DPIA già prodotta ai sensi dell’art. 35 GDPR, evitando duplicazioni.
Va segnalata anche un’attenuazione sul fronte formazione: l’obbligo di AI literacy dell’articolo 4, in origine formulato come dovere di “garantire” un livello adeguato di alfabetizzazione del personale, viene mitigato in un dovere di “adottare misure volte a sostenere” tale alfabetizzazione. Resta un obbligo, ma con un perimetro meno stringente rispetto al testo originario.
Un chiarimento importante: il rinvio riguarda solo gli obblighi specifici per i sistemi ad alto rischio (e le sandbox normative). Tutto ciò che era già vigente – i divieti dell’articolo 5, le sanzioni nazionali del Capo XII, gli obblighi di alfabetizzazione in materia di IA, e ora anche la trasparenza dell’articolo 50 – resta pienamente applicabile.
Cosa fare subito nella tua organizzazione: checklist operativa
Indipendentemente dal rinvio sull’alto rischio, da ieri la conformità all’articolo 50 è verificabile dalle autorità, che dispongono di poteri sanzionatori operativi da un anno. Ecco i controlli da avviare subito, prima di ricevere una richiesta di chiarimenti:
- Mappare i sistemi di IA in uso: chatbot su sito e customer care, IA generativa nei contenuti marketing, strumenti di trascrizione o analisi che coinvolgono riconoscimento delle emozioni.
- Chiarire il proprio ruolo: provider o deployer, per ciascun sistema – le due figure hanno obblighi diversi e spesso convivono nella stessa organizzazione.
- Predisporre o aggiornare le informative agli utenti: verificare che chatbot e contenuti sintetici dichiarino in modo chiaro e tempestivo la propria natura artificiale, secondo le linee guida della Commissione.
- Valutare l’applicabilità del nuovo art. 4-bis e coordinare FRIA e DPIA dove il sistema tratta dati personali.
- Aggiornare il registro dei sistemi di IA (o crearlo, se non esiste), collegandolo al registro dei trattamenti già previsto dal GDPR.
- Monitorare i provvedimenti di ACN e AgID, che nei prossimi mesi definiranno le modalità operative di vigilanza in Italia.
Un percorso di compliance completo per i sistemi ad alto rischio richiede comunque diversi mesi di lavoro: il rinvio al 2027-2028 non è un motivo per rimandare l’analisi, ma un margine di tempo da usare per prepararsi con ordine.
