Ne abbiamo già parlato, il regolamento Europeo sull’intelligenza artificiale ha previsto una graduale applicazione delle sue norme, graduale sì ma certa in quanto, come è noto un Regolamento Europeo ha valore di legge per tutti gli Stati aderenti e non ha bisogno di essere recepito nelle singole legislazioni statali.
Da mesi il 2 agosto 2026 viene presentato come la data spartiacque dell’AI Act, il primo quadro normativo organico dedicato all’intelligenza artificiale
La realtà, come spesso accade quando una norma complessa incontra la concretezza dei processi produttivi, è più articolata e merita una attenta lettura.
Il contesto: una normativa che si applica per fasi
L’AI Act è entrato in vigore nell’agosto 2024, ma il legislatore europeo ha scelto fin dall’inizio un’applicazione scaglionata, calibrata sul livello di rischio. Alcuni divieti e gli obblighi di alfabetizzazione sull’AI sono diventati applicabili già dal 2 febbraio 2025.
Le regole sui modelli di AI per finalità generali insieme all’architettura di governance e all’impianto sanzionatorio, si applicano dal 2 agosto 2025. Il 2 agosto 2026 era stato pensato come il punto di arrivo: l’attivazione del corpo principale del regolamento, inclusi gli obblighi più onerosi sui sistemi ad alto rischio elencati nell’Allegato III.
Cosa cambia il 2 agosto 2026
Con il Digital Omnibus, il pacchetto di semplificazione presentato dalla Commissione il 19 novembre 2025 e oggetto di un accordo provvisorio tra Consiglio e Parlamento il 7 maggio 2026, è stato ridisegnato il calendario.
Gli obblighi per i sistemi ad alto rischio dell’Allegato III, quelli che riguardano ambiti sensibili come biometria, occupazione, accesso ai servizi essenziali o istruzione, slittano dal 2 agosto 2026 al 2 dicembre 2027. Per l’AI integrata in prodotti già regolamentati la scadenza si sposta al 2 agosto 2028.
Il 2 agosto 2026, dunque, non porta con sé l’ondata di adempimenti sui sistemi ad alto rischio che era stata originariamente prevista. Restano però due temi tutt’altro che marginali: gli obblighi di trasparenza dell’articolo 50 e la piena applicabilità del regime sanzionatorio, accompagnati dall’operatività delle autorità nazionali di vigilanza e dall’obbligo per ogni Stato membro di istituire almeno un ambiente di sperimentazione normativa.
Perché la scadenza è importante.
Sarebbe un errore interpretare lo slittamento come un “liberi tutti”. Gli obblighi di trasparenza toccano una platea molto più ampia rispetto ai sistemi ad alto rischio, perché riguardano qualunque organizzazione che impieghi intelligenza artificiale generativa a contatto con il pubblico.
Un’azienda che utilizza un chatbot (programma che simula una conversazione) nel servizio clienti, che genera contenuti sintetici per il marketing o che adotta strumenti di produzione automatica di testi e immagini rientra in questo perimetro. E le sanzioni, con massimali fino a 35 milioni di euro o al 7% del fatturato globale annuo per le violazioni più gravi, diventano effettivamente esigibili.
Va inoltre ricordato che gli obblighi sui modelli di AI per finalità generali sono già in vigore dall’agosto 2025. Chi sviluppa o mette a disposizione questi modelli deve rispettare requisiti di documentazione tecnica, trasparenza sui dati di addestramento e gestione del rischio sistemico per i modelli più potenti.
Per la maggior parte delle imprese italiane, che di questi modelli sono utilizzatrici e non produttrici, l’effetto è indiretto ma reale: la responsabilità si propaga lungo la catena del valore, e diventa legittimo – anzi opportuno – chiedere ai propri fornitori tecnologici garanzie esplicite di conformità. Il Digital Omnibus, peraltro, non si è limitato a rinviare scadenze: ha anche introdotto nuovi divieti, tra cui quello relativo alla generazione di immagini intime non consensuali, a conferma che la direzione di marcia resta quella di un perimetro regolatorio in espansione.
Le novità.
Nuove regole dal 2 agosto 2026
- Trasparenza: Obbligo di dichiarare quando si usano chatbot, deepfake (contenuto falsificato mediante l’uso dell’intelligenza artificiale) e testi generati dall’intelligenza artificiale.
- Alfabetizzazione e formazione: Entrano in vigore i doveri di formazione di base sull’uso dell’Intelligenza artificiale.
- Vigilanza: Le autorità nazionali diventano operative per controllare il rispetto delle norme.
Alcuni esempi pratici.
- Obblighi di trasparenza (Articolo 50)
Si applicano a chi sviluppa (provider) e a chi integra o usa commercialmente (deployer) sistemi di IA a rischio limitato. L’obiettivo è non ingannare l’utente.
- Chatbot e Assistenti Virtuali: Se sul sito aziendale o su WhatsApp c’è un assistente virtuale, gli utenti devono essere informati subito e chiaramente che stanno parlando con una macchina.
Esempio: Un pop-up iniziale deve recitare: “Questo servizio clienti è gestito da un assistente virtuale di intelligenza artificiale”.
- Sistemi di riconoscimento delle emozioni o biometria: Chi utilizza software capaci di analizzare le espressioni facciali o la voce deve segnalarlo esplicitamente ai soggetti esposti.
Esempio: Un negozio che analizza le reazioni dei clienti davanti a una vetrina tramite IA deve esporre un cartello informativo chiaro prima dell’ingresso.
- Deepfake, audio e immagini generate: I fornitori devono inserire una filigrana digitale invisibile e leggibile dai computer. Gli utilizzatori devono inserire una dicitura testuale visibile.
Esempio: Un’agenzia di marketing che crea una campagna social con immagini generate da programmi di intelligenza artificiale deve apporre l’etichetta “Contenuto generato artificialmente”.
- Alfabetizzazione e formazione (Articolo 4)
L’obbligo teorico è nato a febbraio 2025, ma dal 2 agosto 2026 le autorità possono sanzionarne il mancato adempimento. Riguarda tutte le aziende e gli studi professionali che fanno usare strumenti IA (anche comuni come ChatGPT, Microsoft Copilot o Gemini) ai dipendenti.
Cosa fare in pratica: Non basta far usare l’IA, bisogna certificare che il personale conosca i limiti e i rischi legati a privacy, bias e allucinazioni algoritmiche.
-
- Esempio per dipendenti: Organizzare corsi interni documentati su come fare prompt in sicurezza senza inserire dati personali dei clienti o segreti aziendali.
Esempio per manager: Formazione specifica sui criteri di scelta dei software aziendali per evitare l’acquisto di sistemi vietati o non conformi.
- Vigilanza e sanzioni
- Autorità Nazionali: Entrano in funzione i garanti nazionali (in Italia il Garante Privacy, l’AgID e l’ACN) con poteri ispettivi per verificare i registri dei trattamenti e le informative di trasparenza.
- Sanzioni reali: Le violazioni degli obblighi di trasparenza o della formazione non adeguata possono comportare multe amministrative pesanti, calibrate sul fatturato globale dell’azienda.
- Fino a 35 milioni di euro o 7% del fatturato globale
- Esempio: Un’azienda che usa un sistema di IA per il riconoscimento delle emozioni sul lavoro o a scuola, oppure un software di punteggio sociale (social scoring) che valuta i cittadini in base al comportamento.
- Fino a 15 milioni di euro o 3% del fatturato globale
- Esempio: Un fornitore che immette sul mercato un sistema di IA ad alto rischio (come un algoritmo per la selezione del personale o per le decisioni sui prestiti bancari) senza rispettare gli obblighi di trasparenza, qualità dei dati o gestione del rischio.
- Fino a 7,5 milioni di euro o 1% del fatturato globale
Esempio: Un’azienda che fornisce informazioni false, incomplete o fuorvianti alle autorità di controllo durante le verifiche o i controlli di conformità.
Altre misure e sanzioni non pecuniarie
- Bando e ritiro: L’ordine immediato di interrompere l’uso del sistema di IA e di ritirarlo dal mercato europeo.
- Pubblicazione della sanzione: La diffusione pubblica della violazione commessa dall’azienda, con conseguente danno reputazionale.
- Sanzioni penali: possibili procedimenti penali o aggravanti gestiti a livello di singoli Stati membri.