AI Act: tutte le scadenze, in ordine.

Cosa scatta

Sono in vigore i divieti sulle pratiche inaccettabili — manipolazione, social scoring, riconoscimento delle emozioni sul lavoro — e l’obbligo di alfabetizzazione AI dell’art. 4 del Regolamento (UE) 2024/1689, applicabile per effetto dell’art. 113, terzo comma, lett. a). Il regolamento (UE) 2026/1744 ha riscritto l’art. 4 con effetto dal 27 luglio 2026: fornitori e deployer adottano misure a sostegno dell’alfabetizzazione del proprio personale e di chiunque altro operi con i sistemi per loro conto, e la norma precisa che non è richiesto garantire un livello specifico di alfabetizzazione per nessuno. All’art. 5 lo stesso regolamento aggiunge due divieti nuovi, che però si applicano dal 2 dicembre 2026.

Chi riguarda

Fornitori e deployer: ogni organizzazione che usa sistemi di IA, non solo chi li produce.

Cosa fare

Policy scritta, firmata e comunicata; registro della formazione con materiali, date e presenze. Dopo l’Omnibus l’art. 4 chiede misure, non un risultato: ciò che serve avere in mano non cambia, perché le misure vanno comunque dimostrate. L’art. 4 non ha una fascia sanzionatoria propria nell’art. 99, ma è la prova che manca quando un incidente più serio finisce sotto la lente di un’autorità.

Cosa scatta

Entrano formalmente in vigore gli obblighi del Capo V sui modelli di uso generale: documentazione tecnica e trasparenza per i modelli standard (art. 53), obblighi rafforzati di valutazione e mitigazione per quelli con rischio sistemico (art. 55).

Chi riguarda

Chi produce modelli di uso generale e, a valle, chiunque costruisca un servizio sopra un modello di terzi.

Cosa fare

Elencare i modelli in uso, diretti e indiretti. La finestra in cui si poteva chiedere la documentazione senza avere già una scadenza addosso si è chiusa: l’art. 101, che dà alla Commissione il potere di sanzionare direttamente i fornitori di modelli, è l’unica disposizione esclusa dall’anticipazione al 2 agosto 2025 (art. 113, terzo comma, lett. b) e si applica dal 2 agosto 2026. Quello che allora era un favore da chiedere adesso è una domanda che ha un termine dietro.

Cosa scatta

La legge 23 settembre 2025, n. 132 — prima legge nazionale organica sull’IA in Europa — fissa i principi, disegna la governance nazionale con AgID e ACN come autorità di riferimento e detta regole settoriali per sanità, pubblica amministrazione, lavoro e giustizia. In sanità la decisione resta sempre rimessa agli esercenti la professione medica (art. 7, comma 5); nella PA la responsabilità dei provvedimenti resta della persona, non del sistema (art. 14, comma 2).

Chi riguarda

Chi usa sistemi di IA in contesti che toccano persone: pazienti, cittadini, dipendenti, candidati.

Cosa fare

Formalizzare la responsabilità umana con nomi, non funzioni; preparare le informative dove l’IA è in uso. Il primo pacchetto di decreti attuativi ha avuto l’esame preliminare del Consiglio dei Ministri il 10 giugno 2026 ed è stato approvato in esame definitivo dal Consiglio dei Ministri n. 185 del 4 agosto 2026, in attuazione della delega dell’art. 24: sono due decreti legislativi, quello sull’uso dell’IA nell’attività di polizia e sulla responsabilità civile e penale (Atto del Governo 418) e quello sui poteri delle autorità nazionali e sull’IA nella formazione (Atto del Governo 421). Al 12 agosto 2026 nessuno dei due è ancora in Gazzetta Ufficiale: non li contengono i sommari della Serie Generale dalla n. 179 del 4 agosto alla n. 185 dell’11 agosto, né i due supplementi ordinari alla n. 181, né il supplemento ordinario n. 30/L alla n. 185, e al 12 agosto non è ancora uscita alcuna Gazzetta. La controprova sta nella numerazione: l’ultimo decreto legislativo pubblicato è il n. 149 del 7 agosto 2026, uscito l’11 agosto nel supplemento ordinario n. 30/L insieme ai nn. 147 e 148, tutti e tre in materia tributaria, e la numerazione degli atti è arrivata al n. 150 con il d.P.C.m. 12 giugno 2026 pubblicato nella Gazzetta n. 185. Finché non sono pubblicati non sono vigenti. La designazione delle autorità dell’AI Act, però, non aspetta quel decreto: è già in questa legge, all’art. 20, comma 2, in vigore dal 10 ottobre 2025, che indica l’AgID come autorità di notifica e l’ACN come autorità di vigilanza del mercato e punto di contatto unico ai sensi dell’art. 70 del regolamento, ferma l’attribuzione a Banca d’Italia, CONSOB e IVASS del ruolo di autorità di vigilanza del mercato ai sensi dell’art. 74, paragrafo 6. Lo schema serve a dare a quelle autorità procedure, poteri ispettivi e regime sanzionatorio, e ad aggiungere il Garante privacy per l’art. 74, paragrafo 8: finché non è in Gazzetta Ufficiale mancano i poteri operativi, non la designazione. Le deleghe degli artt. 16 e 24 scadono il 10 ottobre 2026, ma la proroga non è la stessa per tutte: sessanta giorni per l’art. 16, comma 2, e per la delega penale dell’art. 24, comma 4, e tre mesi per quella dell’art. 24, comma 1, che segue le procedure dell’art. 31 della legge 234/2012. In nessun caso è automatica: scatta solo se il termine per il parere parlamentare cade nei trenta giorni precedenti la scadenza della delega, o dopo. L’art. 24 nel frattempo è stato ritoccato: il decreto-legge 26 giugno 2026, n. 107, in vigore dal 27 giugno, vi ha inserito il comma 5-bis — fino a 100 milioni di euro a valere sul «PN scuola 2021-2027» per l’alfabetizzazione di cui al comma 2, lettera e) — e ha coordinato il comma 6. I termini della delega non sono stati toccati. Fino ad allora quanto annunciato non è vigente.

Cosa scatta

Scattano gli obblighi di trasparenza dell’art. 50 — chi interagisce con un sistema di IA deve saperlo, i contenuti sintetici vanno marcati in un formato leggibile da una macchina, i deep fake vanno dichiarati. Le sanzioni nazionali dell’art. 99 si applicano già dal 2 agosto 2025: da questa data entra in gioco l’ultimo pezzo, l’art. 101, che permette alla Commissione di sanzionare direttamente i fornitori di modelli di uso generale fino al 3% del fatturato mondiale annuo totale o 15 milioni di euro, se superiore. Per i sistemi generativi immessi sul mercato prima del 2 agosto 2026 la marcatura dell’art. 50, paragrafo 2, è dovuta dal 2 dicembre 2026. Gli orientamenti della Commissione del 20 luglio 2026 (C(2026) 5054 final) precisano al paragrafo 153 che la conformità è dovuta «a prescindere dalla data di immissione sul mercato o di messa in servizio», e che i sistemi in parte interattivi e in parte generativi godono del rinvio solo per la marcatura. Il 31 luglio 2026, con un giorno di margine, la Commissione ha pubblicato il primo elenco dei firmatari del codice di condotta sulla trasparenza dei contenuti generati dall’IA — circa 190 organizzazioni — e ha annunciato che dal 2 agosto l’Ufficio per l’IA, insieme alle autorità nazionali, comincia a far applicare il regolamento.

Chi riguarda

Ogni organizzazione che espone AI verso clienti o cittadini, e chiunque adotti un modello di uso generale.

Cosa fare

Etichette sui contenuti generati, dichiarazione dei chatbot, informative aggiornate: è lavoro di settimane, non di mesi, e i quattro mesi in più valgono solo per la marcatura dei sistemi generativi già sul mercato. Ai fornitori di modelli si chiedono per iscritto documentazione tecnica, informazioni per chi integra a valle, policy sul copyright, sintesi dei contenuti di addestramento e adesione al codice di buone pratiche — e le risposte si archiviano. La data cade di domenica: il primo giorno lavorativo utile è lunedì 3 agosto. In Italia l’autorità di vigilanza c’è, e non da oggi: l’art. 20, comma 2, della legge 132/2025, in vigore dal 10 ottobre 2025, designa l’AgID autorità di notifica e l’ACN autorità di vigilanza del mercato e punto di contatto unico ai sensi dell’art. 70 dell’AI Act, e la Commissione elenca l’ACN fra i punti di contatto notificati — senza asterisco, cioè come designazione non più in attesa di adozione. Quello che manca è il decreto legislativo che dia a quelle autorità procedure, poteri ispettivi e regime sanzionatorio, e che designi il Garante per i sistemi dell’art. 74, paragrafo 8 — biometria usata per attività di contrasto, frontiere, giustizia: lo schema, Atto del Governo 421, è stato approvato in esame definitivo dal Consiglio dei Ministri il 4 agosto 2026, e al 12 agosto attende ancora la pubblicazione in Gazzetta Ufficiale. Nello stesso decreto stanno le norme nazionali sulle sanzioni che l’art. 99 chiede a ogni Stato membro, graduate con massimi inferiori a quelli del regolamento: anche quelle esistono sulla carta e non ancora in Gazzetta. Nessuna di queste lacune sposta l’obbligo: si applica comunque, e riguarda chi deve conformarsi, non chi dovrà vigilare.

Cosa scatta

Due scadenze nella stessa data, entrambe introdotte dal regolamento (UE) 2026/1744. Si applicano i due divieti aggiunti all’art. 5 dell’AI Act, che colpiscono l’immissione sul mercato, la messa in servizio e l’uso: i sistemi che generano o manipolano immagini, video e audio realistici, o materiale analogo, delle parti intime di una persona riconoscibile, o che la mostrano mentre partecipa ad atti sessualmente espliciti, senza un suo consenso liberamente prestato, specifico, informato e inequivocabile; e i sistemi che generano o manipolano materiale pedopornografico o spettacoli pornografici ai sensi dell’art. 2, lettere c) ed e), della direttiva 2011/93/UE. E scade il periodo transitorio di quattro mesi concesso ai fornitori di sistemi che generano contenuti sintetici audio, immagine, video o testuali, immessi sul mercato prima del 2 agosto 2026, per conformarsi alla marcatura dell’art. 50, paragrafo 2.

Chi riguarda

Chi fornisce sistemi di IA generativa già in produzione prima di agosto, e chiunque offra strumenti che generano o modificano immagini, video, audio e testi.

Cosa fare

Se un servizio generativo era già sul mercato il 1º agosto 2026, i quattro mesi finiscono qui: marcatura degli output leggibile da una macchina, con una soluzione tecnica efficace, interoperabile e solida. Sui divieti il perimetro è più stretto di quanto il titolo suggerisca: l’immissione sul mercato o la messa in servizio è vietata solo se quella generazione è la finalità prevista del sistema, oppure se è un risultato ragionevolmente prevedibile e riproducibile senza modifiche tecniche significative e mancano misure tecniche di sicurezza ragionevoli e adeguate a impedirlo; per il deployer il divieto scatta solo se usa il sistema proprio per generare quel materiale. Chi espone ai propri utenti un modello di terzi si faccia dire per iscritto quali garanzie il fornitore ha attivato, e archivi la risposta: la fascia sanzionatoria dell’art. 5 è la più alta del regolamento.

Cosa scatta

La Direttiva (UE) 2024/2853 si applica ai prodotti immessi sul mercato o messi in servizio dopo l’8 dicembre 2026 — così l’art. 2, paragrafo 1, dopo la rettifica pubblicata nella Gazzetta ufficiale dell’Unione europea L 2026/90364 del 7 maggio 2026, che ha sostituito «dopo il 9 dicembre 2026»: sono quindi coperti anche i prodotti immessi il 9 dicembre stesso, che nella versione originaria restavano scoperti — e gli Stati membri devono averla recepita entro il 9 dicembre 2026 (art. 22, paragrafo 1). Per i prodotti immessi prima resta in piedi la direttiva 85/374/CEE, abrogata con effetto da quella stessa data: il confine è la data di immissione, non la data del danno. La definizione di «prodotto» include ora software e sistemi di intelligenza artificiale, a prescindere dal canale di distribuzione.

Chi riguarda

Chi immette sul mercato o integra software e sistemi di IA in un prodotto o servizio con il proprio marchio.

Cosa fare

Rafforzare documentazione tecnica e log delle decisioni: sono la prima difesa contro la presunzione di difettosità per mancata divulgazione. In Italia la delega è nella legge 17 marzo 2026, n. 36, Allegato A, punto 4, e va esercitata entro il 9 agosto 2026 ai sensi dell’art. 31, comma 1, della legge 234/2012. Il Consiglio dei ministri del 4 agosto 2026 ha approvato lo schema in esame preliminare, e la trasmissione alle Camere è arrivata in tempo: è l’Atto del Governo n. 434, assegnato il 7 agosto 2026 alla II Commissione Giustizia con termine per il parere al 16 settembre 2026 — quaranta giorni esatti dalla trasmissione, come vuole l’art. 31, comma 3, della legge 234/2012. Poiché quel termine scade dopo il 9 agosto, la proroga di tre mesi è scattata: la delega va ora esercitata entro il 9 novembre 2026. Il termine europeo resta il 9 dicembre 2026, e non dipende da quello italiano.

Cosa scatta

Dopo il rinvio deciso dal regolamento (UE) 2026/1744, gli obblighi sui sistemi ad alto rischio autonomi dell’Allegato III — selezione del personale, credito, istruzione, infrastrutture critiche, giustizia — si applicano dal 2 dicembre 2027. Con loro si sposta ciò che ne discende per chi li adotta, compresa la FRIA: la valutazione d’impatto sui diritti fondamentali richiesta a certi deployer, enti pubblici e privati che erogano servizi essenziali.

Chi riguarda

Chi sviluppa e chi adotta sistemi che ricadono nell’Allegato III.

Cosa fare

Il rinvio non cancella gli obblighi, li sposta: banche, amministrazioni e grandi committenti stanno già scrivendo i requisiti AI Act nei capitolati. FRIA e valutazione d’impatto sulla protezione dei dati si sovrappongono in gran parte e conviene produrle da una sola analisi: dal 27 luglio 2026 l’art. 27, paragrafo 4, riscritto dall’Omnibus, dice espressamente che il deployer può rinviare alle sezioni pertinenti della valutazione d’impatto sulla protezione dei dati o incorporarne parti nella FRIA. E il rinvio non è una pausa: i divieti dell’art. 5 non sono mai stati nel pacchetto spostato, e per i sistemi HR l’obbligo di informare i lavoratori su logica, finalità e categorie di dati è già legge italiana dal 2022 (art. 1-bis del D.lgs. 152/1997).

Cosa scatta

Per i sistemi di IA integrati in prodotti già regolati da normative di settore — Allegato I: dispositivi medici, macchine, automotive — la data è il 2 agosto 2028.

Chi riguarda

Fabbricanti di prodotti regolati che incorporano IA, e chi li integra in impianti più ampi.

Cosa fare

Dal 27 luglio 2026 il regolamento (UE) 2026/1744 sposta il Regolamento (UE) 2023/1230 dalla Sezione A alla Sezione B dell’Allegato I dell’AI Act. Un sistema di IA che è componente di sicurezza di una macchina resta ad alto rischio ai sensi dell’articolo 6, paragrafo 1, ma i requisiti non arrivano più dal capo III dell’AI Act: entrano nell’Allegato III del Regolamento Macchine, per atti delegati applicabili entro il 2 agosto 2028. Un fascicolo tecnico solo, una valutazione di conformità sola, l’organismo notificato del binario macchine — che però deve essere designato anche ai sensi dell’AI Act: l’art. 43, paragrafo 3, come sostituito dall’Omnibus, dà agli organismi già notificati sotto l’Allegato I, sezione A, tempo fino al 28 gennaio 2028 per presentare domanda. Chiedete al vostro se l’ha presentata.