AI ACT: Novità e Scadenze

Ai act e la scadenza del 2 agosto 2026: cosa cambia davvero per le aziende

Il 2 agosto 2026 resta una data cerchiata in rosso nei piani di compliance di molte aziende europee. Ma rispetto a quanto pianificato fino a poche settimane fa, il quadro normativo è cambiato in modo sostanziale: un pacchetto di modifiche noto come Digital Omnibus sull'IA ha ridisegnato il calendario degli obblighi più gravosi del Regolamento (UE) 2024/1689, l'EU AI Act. Chi ha impostato la propria roadmap sulla vecchia scadenza rischia ora di lavorare sulle priorità sbagliate.

Questo articolo aggiorna la guida operativa alla luce dell'esito definitivo del processo legislativo: cosa è realmente dovuto il 2 agosto 2026, cosa è stato rinviato, e quali azioni concrete un'azienda deve completare nelle prossime settimane.

Il percorso normativo fino ad oggi

L'AI Act adotta un approccio basato sul rischio, con obblighi che si attivano a scaglioni. Il regolamento è entrato in vigore nell'agosto 2024. Da allora si sono susseguite tre tappe: il divieto delle pratiche a rischio inaccettabile e l'obbligo di alfabetizzazione all'IA (AI Literacy) dal 2 febbraio 2025; gli obblighi per i fornitori di modelli di IA per scopi generali (GPAI) e l'avvio della vigilanza da parte delle autorità nazionali ed europee dal 2 agosto 2025; e ora, dal 2 agosto 2026, un pacchetto misto che riguarda solo in parte i sistemi ad alto rischio.

La svolta del Digital Omnibus sull'IA

Nel novembre 2025 la Commissione europea ha proposto un pacchetto di semplificazione, motivato dal ritardo nella pubblicazione degli standard tecnici armonizzati necessari per le valutazioni di conformità dei sistemi ad alto rischio. Dopo mesi di negoziato tra Parlamento e Consiglio, l'accordo politico raggiunto il 7 maggio 2026 è stato formalmente approvato: il Parlamento europeo lo ha votato il 16 giugno 2026 e il Consiglio ha dato il via libera definitivo il 29 giugno 2026. Il testo, pubblicato in Gazzetta Ufficiale dell'Unione Europea come Regolamento (UE) 2026/1744, è entrato in vigore il 27 luglio 2026: non è più una proposta, ma diritto vigente.

Il risultato pratico è il seguente:

• Gli obblighi per i sistemi ad alto rischio standalone dell'Allegato III (screening dei CV, credit scoring, valutazione assicurativa, biometria) sono rinviati dal 2 agosto 2026 al 2 dicembre 2027.
• Gli obblighi per l'IA integrata come componente di sicurezza in prodotti regolamentati dall'Allegato I (dispositivi medici, macchinari, giocattoli) slittano dal 2 agosto 2027 al 2 agosto 2028.
• Viene introdotta una nuova categoria di impresa, la "small mid-cap" (fino a 750 dipendenti e 150 milioni di euro di fatturato, o 129 milioni di bilancio), che beneficia di documentazione tecnica semplificata, requisiti di gestione della qualità più proporzionati e criteri di calcolo delle sanzioni adattati alla dimensione aziendale.
• Viene aggiunto un nuovo divieto assoluto all'Articolo 5, applicabile dal 2 dicembre 2026: la generazione tramite IA di immagini intime non consensuali ("nudifier") e di materiale di abuso sessuale su minori, sanzionabile fino a 35 milioni di euro o il 7% del fatturato globale.

Questo rinvio riguarda esclusivamente il perimetro dell'alto rischio. Non tocca né i divieti già in vigore dal febbraio 2025, né gli obblighi sui modelli GPAI in vigore dal 2025, né, punto spesso frainteso, gli obblighi di trasparenza dell'Articolo 50.

Cosa NON è cambiato con il Digital Omnibus
Gli obblighi di trasparenza dell'Articolo 50 restano fermi al 2 agosto 2026: disclosure dell'interazione con un chatbot, etichettatura dei deepfake, segnalazione dei testi generati su temi di interesse pubblico. Il rinvio riguarda solo il regime dell'alto rischio (Allegato III e I) e, in misura limitata, la sola marcatura tecnica dei contenuti generativi (Articolo 50(2)).Gli obblighi di trasparenza dell'Articolo 50 restano fermi al 2 agosto 2026: disclosure dell'interazione con un chatbot, etichettatura dei deepfake, segnalazione dei testi generati su temi di interesse pubblico. Il rinvio riguarda solo il regime dell'alto rischio (Allegato III e I) e, in misura limitata, la sola marcatura tecnica dei contenuti generativi (Articolo 50(2)).

Cosa scatta comunque il 2 agosto 2026

Per la maggior parte delle aziende, il vero adempimento imminente non è più l'alto rischio, ma la trasparenza prevista dall'Articolo 50, che si applica indipendentemente dalla classificazione di rischio del sistema:

• Disclosure dell'interazione con l'IA (Articolo 50, paragrafo 1): chi fornisce chatbot, assistenti vocali o agenti conversazionali deve informare l'utente, entro la prima interazione, che sta comunicando con un sistema di IA, salvo il caso in cui ciò sia già ovvio per una persona ragionevolmente informata.
• Etichettatura dei contenuti sintetici e dei deepfake: i contenuti che simulano persone o eventi reali devono riportare un chiaro avviso di alterazione artificiale.
• Segnalazione dei testi di interesse pubblico generati dall'IA, con l'eccezione dei testi rivisti editorialmente da una persona che se ne assume la responsabilità.
• Marcatura leggibile dalla macchina dei contenuti generativi (Articolo 50, paragrafo 2): per i sistemi già sul mercato prima del 2 agosto 2026 è concesso un periodo transitorio fino al 2 dicembre 2026 per implementare le soluzioni tecniche di marcatura; i sistemi immessi sul mercato successivamente devono essere conformi da subito.

La distinzione tra Provider e Deployer resta centrale

Anche nel nuovo scenario, la legge distingue nettamente due ruoli:

• Provider (fornitore): chi sviluppa o modifica sostanzialmente un sistema di IA. Deve implementare un sistema di gestione dei rischi e della qualità, redigere la documentazione tecnica, effettuare la valutazione di conformità e registrare il sistema nel database ufficiale dell'UE.
• Deployer (utilizzatore): l'azienda cliente che impiega il sistema nei propri processi. Deve garantire un'adeguata sorveglianza umana, monitorare il funzionamento del sistema, conservare i log generati automaticamente e, ove applicabile, condurre una valutazione d'impatto sui diritti fondamentali (FRIA).

Per i sistemi ad alto rischio questi obblighi restano validi nella sostanza, ma la scadenza operativa slitta al 2 dicembre 2027 (Allegato III) o al 2 agosto 2028 (Allegato I).

Il quadro sanzionatorio (Articolo 99)

Un esempio implementativo: la disclosure di un chatbot

Per gli sviluppatori chiamati a implementare concretamente l'obbligo dell'Articolo 50(1), il punto critico non è solo mostrare l'avviso, ma mostrarlo nell'interfaccia stessa, all'inizio dell'interazione, una nota in fondo alla privacy policy non è sufficiente. Un esempio minimale:

<div id="ai-disclosure-banner" role="status" aria-live="polite">
  <p>Stai conversando con un assistente basato su intelligenza artificiale, 
       non con un operatore umano.</p>
</div>
<script>
  function showAiDisclosure() {
    const banner = document.getElementById('ai-disclosure-banner');
    banner.classList.add('visible');
    sessionStorage.setItem('aiDisclosureShown', 'true');
  }
  document.addEventListener('DOMContentLoaded', () => {
    if (!sessionStorage.getItem('aiDisclosureShown')) {
      showAiDisclosure();
    }
  });
</script>

Il banner va mostrato prima del primo messaggio scambiato con l'utente, non dopo, e non deve essere rimovibile senza che l'utente ne prenda visione.

Roadmap di compliance aggiornata in 6 passaggi

1. AI inventory e mappatura del rischio: censire tutti gli strumenti di IA in uso, inclusi plugin SaaS, e classificarli secondo le quattro categorie di rischio, ricalibrando la mappatura sulle nuove scadenze.
2. Priorità immediata sulla trasparenza: verificare entro il 2 agosto 2026 che chatbot, assistenti vocali e strumenti di generazione contenuti rispettino gli obblighi dell'Articolo 50, indipendentemente dalla classificazione di rischio.
3. Ricalibrazione del programma alto rischio: non sospendere il lavoro sui sistemi dell'Allegato III, ma ripianificarlo sulla nuova scadenza del 2 dicembre 2027, usando il tempo recuperato per una valutazione di conformità più solida.
4. Verifica della categoria small mid-cap: le aziende tra 250 e 750 dipendenti devono verificare se rientrano nella nuova categoria agevolata, per beneficiare di documentazione tecnica semplificata.
5. Vendor governance: richiedere ai fornitori di software garanzie scritte sulla conformità aggiornata alle nuove scadenze, sia per l'alto rischio sia per la marcatura dei contenuti generativi.
6. Formazione continua (AI Literacy): mantenere aggiornati i piani di formazione dei dipendenti, includendo la distinzione tra obblighi già vigenti, obblighi imminenti e obblighi rinviati.

Conclusione

Il rinvio degli obblighi sull'alto rischio non è un segnale che l'AI Act stia perdendo forza, ma il riconoscimento che l'ecosistema, inclusi gli organismi di standardizzazione, non era pronto per la scadenza originaria. Per le aziende, la lezione operativa è duplice: il 2 agosto 2026 resta una data reale per la trasparenza, e il tempo aggiuntivo sull'alto rischio va investito, non archiviato. Chi tratta la governance dell'IA come una leva di fiducia verso clienti e partner, anziché come un adempimento da rimandare, sarà meglio posizionato quando la scadenza del 2 dicembre 2027 arriverà davvero.