Per due anni il 2 agosto 2026 è stato presentato come il giorno del grande salto: la data in cui il regolamento europeo sull’intelligenza artificiale — l’AI Act, formalmente Regolamento (UE) 2024/1689 — sarebbe entrato nella sua fase di applicazione generale, con l’attivazione degli obblighi più onerosi, quelli sui sistemi ad alto rischio. Non è andata così. A ridosso della scadenza, il pacchetto di semplificazione noto come Digital Omnibus ha riscritto il calendario, rinviando al 2027 e al 2028 proprio quegli obblighi. Quello che scatta oggi è comunque sostanziale: trasparenza obbligatoria verso gli utenti, piena operatività delle autorità di vigilanza e un regime sanzionatorio che può arrivare a 35 milioni di euro. Per capire cosa cambia davvero, conviene ripartire dall’impianto del regolamento.
Un regolamento costruito a piramide
L’AI Act è il primo quadro normativo organico al mondo dedicato all’intelligenza artificiale. La sua logica è semplice: non tutti i sistemi comportano gli stessi pericoli, quindi non tutti devono rispettare gli stessi obblighi. Il regolamento distingue quattro classi di rischio.
Al vertice ci sono le pratiche a rischio inaccettabile, vietate in assoluto dall’articolo 5: il punteggio sociale sui cittadini, la manipolazione subliminale, il riconoscimento delle emozioni sul luogo di lavoro e a scuola, l’estrazione indiscriminata di immagini facciali per costruire banche dati biometriche. Questi divieti sono in vigore già dal 2 febbraio 2025, insieme all’obbligo di alfabetizzazione sull’intelligenza artificiale per il personale che la utilizza.
Sotto i divieti si colloca l’alto rischio: i sistemi impiegati in ambiti sensibili come selezione del personale, merito creditizio, istruzione, biometria, infrastrutture critiche, giustizia e gestione delle frontiere. Per questi il regolamento prevede gli adempimenti più pesanti: valutazione di conformità, sistema di gestione della qualità, sorveglianza umana, registrazione degli incidenti. Seguono infine il rischio limitato, soggetto a obblighi di trasparenza, e il rischio minimo, sostanzialmente libero.
Il calendario riscritto dal Digital Omnibus
Il regolamento è entrato in vigore il 1° agosto 2024, ma con un’applicazione a tappe. Dopo i divieti del febbraio 2025, il 2 agosto 2025 sono scattati gli obblighi per i fornitori di modelli di intelligenza artificiale per finalità generali — i cosiddetti GPAI, la categoria che comprende i grandi sistemi come ChatGPT, Gemini e Claude — su documentazione tecnica, rispetto del diritto d’autore e sintesi dei contenuti di addestramento.
Il 2 agosto 2026 doveva essere il punto di arrivo. È qui che è intervenuto il Digital Omnibus: presentato dalla Commissione il 19 novembre 2025, oggetto di accordo provvisorio tra Consiglio e Parlamento il 7 maggio 2026 e approvato in via definitiva dal Consiglio il 29 giugno, il pacchetto ha spostato in avanti le due scadenze più attese. Gli obblighi per i sistemi ad alto rischio autonomi dell’Allegato III slittano al 2 dicembre 2027. Quelli per i sistemi integrati in prodotti già regolamentati dalla normativa europea di settore — dispositivi medici, macchine industriali — passano al 2 agosto 2028.
La motivazione ufficiale è la semplificazione: dare alle imprese il tempo di adeguarsi e alle autorità quello di predisporre norme tecniche e strumenti di controllo. Il risultato pratico è che la giornata di oggi non porta l’ondata di adempimenti che molte aziende temevano.
Cosa scatta davvero da oggi: la trasparenza
Ciò che invece si applica da oggi, e senza eccezioni, sono gli obblighi di trasparenza dell’articolo 50. La regola è diretta: l’utente deve sapere quando sta interagendo con una macchina. I fornitori di sistemi che dialogano direttamente con le persone — chatbot, assistenti vocali, agenti conversazionali — devono renderlo riconoscibile. Lo stesso vale per i contenuti sintetici: testi, immagini, audio e video generati o manipolati dall’intelligenza artificiale devono essere identificabili come tali, con un obbligo specifico di dichiarazione per i deepfake e per i sistemi di riconoscimento delle emozioni.
Un solo tassello tecnico è stato spostato: l’obbligo di marcatura leggibile dalle macchine sui contenuti generati, la cosiddetta filigrana digitale, scatterà il 2 dicembre 2026, per dare ai fornitori il tempo di adottare gli standard tecnici.
Sanzioni e vigilanza: la parte che nessuno ha rinviato
L’altro blocco che diventa pienamente operativo oggi è quello di governance e sanzioni. Le autorità nazionali di sorveglianza del mercato acquisiscono pieni poteri di controllo, e la Commissione europea, attraverso l’AI Office, può da oggi sanzionare i fornitori di modelli GPAI per la violazione degli obblighi in vigore dall’agosto 2025.
L’articolo 99 del regolamento costruisce tre fasce di ammende. Per le pratiche vietate si arriva fino a 35 milioni di euro o al 7 per cento del fatturato mondiale annuo, se superiore. Per l’inosservanza degli altri obblighi il tetto è di 15 milioni o il 3 per cento. Per informazioni false o fuorvianti fornite alle autorità, 7,5 milioni o l’1 per cento. Per piccole e medie imprese e nuove imprese vale una regola di favore: si applica l’importo inferiore tra cifra fissa e percentuale. Sono soglie calibrate per essere più severe di quelle del GDPR, e il principio generale resta quello della proporzionalità: le autorità dovranno distinguere le violazioni sostanziali dagli errori formali, privilegiando dove possibile le misure correttive.
Il capitolo italiano: ACN, AgID e la legge 132
L’AI Act è un regolamento direttamente applicabile: non richiede recepimento. L’Italia si è però dotata di una cornice nazionale con la legge 132/2025, in vigore dal 10 ottobre 2025, che designa l’Agenzia per la Cybersicurezza Nazionale come autorità di vigilanza — con poteri ispettivi e sanzionatori — e l’Agenzia per l’Italia Digitale come autorità di notifica, responsabile dell’accreditamento degli organismi che certificano la conformità dei sistemi. Restano salve le competenze del Garante della privacy per tutto ciò che tocca i dati personali e quelle delle autorità di settore, da Banca d’Italia a Consob, per la finanza.
Il 10 giugno 2026 il Consiglio dei Ministri ha approvato in via preliminare i decreti attuativi della legge, che istituiscono tra l’altro lo Spazio di sperimentazione italiano per l’intelligenza artificiale: un ambiente controllato, gestito congiuntamente da AgID e ACN, in cui le imprese — in particolare quelle piccole e nuove — possono sviluppare e validare i propri sistemi con un percorso facilitato verso il mercato europeo. È il tassello nazionale di una partita più ampia, quella della sovranità digitale italiana nell’era dell’intelligenza artificiale, che il quadro regolatorio da solo non può risolvere.
Cosa devono fare le imprese adesso
Il rinvio degli obblighi sull’alto rischio non è una sospensione del tema, ma un tempo supplementare. Il primo passo per qualunque organizzazione è il censimento: mappare tutti i sistemi di intelligenza artificiale in uso, compresi quelli adottati informalmente dai singoli uffici, e classificarli rispetto alle categorie di rischio del regolamento. Il secondo è la trasparenza, che da oggi è legge: chi gestisce un chatbot rivolto al pubblico o pubblica contenuti generati deve dichiararlo. Il terzo è la formazione del personale, obbligatoria ormai da diciotto mesi.
La questione di fondo resta aperta, e va oltre gli adempimenti: come le società europee governeranno una tecnologia che incide sul lavoro, sull’informazione e sui rapporti di potere economico — un interrogativo che abbiamo affrontato nel Laboratorio Culturale a proposito del rapporto tra intelligenza artificiale e lavoro umano. L’AI Act è il tentativo europeo di dare a questa domanda una risposta giuridica. Da oggi quel tentativo non è più un testo sulla carta: è un regime in vigore, con autorità che vigilano e sanzioni che si applicano.
Fonti
- Il Sole 24 Ore — AI Act, dal 2 agosto debuttano la vigilanza e i doveri di trasparenza
- Agenda Digitale — AI Act, cosa entra in vigore dal 2 agosto 2026 e cosa slitta
- PMI.it — AI Act dal 2 agosto 2026, obblighi in vigore e rinvii
- ADVANT Nctm — Il CdM approva i decreti attuativi della Legge 132/2025
- EUR-Lex — Regolamento (UE) 2024/1689 (AI Act), testo integrale
