AI Act: tutte le scadenze, in ordine.

Cosa scatta

Sono in vigore i divieti sulle pratiche inaccettabili — manipolazione, social scoring, riconoscimento delle emozioni sul lavoro — e l’obbligo di alfabetizzazione AI dell’art. 4 del Regolamento (UE) 2024/1689, applicabile per effetto dell’art. 113, lett. a). Il regolamento (UE) 2026/1744 ha riscritto l’art. 4 con effetto dal 27 luglio 2026: fornitori e deployer adottano misure a sostegno dell’alfabetizzazione di chi opera con i sistemi per loro conto, e la norma precisa che non è richiesto garantire un livello determinato per nessuno. Allo stesso art. 5 quel regolamento aggiunge due divieti nuovi, che però si applicano dal 2 dicembre 2026.

Chi riguarda

Fornitori e deployer: ogni organizzazione che usa sistemi di IA, non solo chi li produce.

Cosa fare

Policy scritta, firmata e comunicata; registro della formazione con materiali, date e presenze. Dopo l’Omnibus l’art. 4 chiede misure, non un risultato: ciò che serve avere in mano non cambia, perché le misure vanno comunque dimostrate. L’art. 4 non ha una fascia sanzionatoria propria nell’art. 99, ma è la prova che manca quando un incidente più serio finisce sotto la lente di un’autorità.

Cosa scatta

Entrano formalmente in vigore gli obblighi del Capo V sui modelli di uso generale: documentazione tecnica e trasparenza per i modelli standard (art. 53), obblighi rafforzati di valutazione e mitigazione per quelli con rischio sistemico (art. 55).

Chi riguarda

Chi produce modelli di uso generale e, a valle, chiunque costruisca un servizio sopra un modello di terzi.

Cosa fare

Elencare i modelli in uso, diretti e indiretti. I poteri di enforcement della Commissione arrivano un anno dopo: è la finestra in cui chiedere la documentazione senza avere già una scadenza addosso.

Cosa scatta

La legge 23 settembre 2025, n. 132 — prima legge nazionale organica sull’IA in Europa — fissa i principi, disegna la governance nazionale con AgID e ACN come autorità di riferimento e detta regole settoriali per sanità, pubblica amministrazione, lavoro e giustizia. In sanità la decisione resta sempre rimessa agli esercenti la professione medica (art. 7, comma 5); nella PA la responsabilità dei provvedimenti resta della persona, non del sistema (art. 14, comma 2).

Chi riguarda

Chi usa sistemi di IA in contesti che toccano persone: pazienti, cittadini, dipendenti, candidati.

Cosa fare

Formalizzare la responsabilità umana con nomi, non funzioni; preparare le informative dove l’IA è in uso. Il primo pacchetto di decreti attuativi ha avuto il solo esame preliminare del Consiglio dei Ministri il 10 giugno 2026: al 28 luglio 2026 nessuno è stato pubblicato in Gazzetta Ufficiale. Gli schemi sono in parere alle Commissioni parlamentari come Atti del Governo 418 — polizia, responsabilità penale e civile, assegnato il 26 giugno 2026 con termine al 25 agosto — e 421 — poteri delle autorità nazionali e IA nella formazione, assegnato il 7 luglio con termine al 16 agosto: entrambi risultano in corso di esame. Le deleghe degli artt. 16 e 24 scadono il 10 ottobre 2026, prorogabili di sessanta giorni: fino ad allora quanto annunciato non è vigente.

Cosa scatta

Scattano gli obblighi di trasparenza dell’art. 50 — chi interagisce con un sistema di IA deve saperlo, i contenuti sintetici vanno marcati in un formato leggibile da una macchina, i deep fake vanno dichiarati. Le sanzioni nazionali dell’art. 99 si applicano già dal 2 agosto 2025: da questa data entra in gioco l’ultimo pezzo, l’art. 101, che permette alla Commissione di sanzionare direttamente i fornitori di modelli di uso generale fino al 3% del fatturato mondiale annuo totale o 15 milioni di euro, se superiore. Per i sistemi generativi immessi sul mercato prima del 2 agosto 2026 la marcatura dell’art. 50, paragrafo 2, è dovuta dal 2 dicembre 2026. Gli orientamenti della Commissione del 20 luglio 2026 (C(2026) 5054 final) precisano al paragrafo 153 che la conformità è dovuta «a prescindere dalla data di immissione sul mercato o di messa in servizio», e che i sistemi in parte interattivi e in parte generativi godono del rinvio solo per la marcatura.

Chi riguarda

Ogni organizzazione che espone AI verso clienti o cittadini, e chiunque adotti un modello di uso generale.

Cosa fare

Etichette sui contenuti generati, dichiarazione dei chatbot, informative aggiornate: è lavoro di settimane, non di mesi, e i quattro mesi in più valgono solo per la marcatura dei sistemi generativi già sul mercato. Ai fornitori di modelli si chiedono per iscritto documentazione tecnica, informazioni per chi integra a valle, policy sul copyright, sintesi dei contenuti di addestramento e adesione al codice di buone pratiche — e le risposte si archiviano.

Cosa scatta

Due scadenze nella stessa data, entrambe introdotte dal regolamento (UE) 2026/1744. Si applicano i due divieti aggiunti all’art. 5 dell’AI Act: i sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile, o che la ritraggono in atti sessualmente espliciti, senza il suo consenso, e i sistemi che generano materiale pedopornografico. E scade il periodo transitorio di quattro mesi concesso ai fornitori di sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026 per conformarsi alla marcatura dei contenuti sintetici dell’art. 50, paragrafo 2.

Chi riguarda

Chi fornisce sistemi di IA generativa già in produzione prima di agosto, e chiunque offra strumenti che generano o modificano immagini, video e audio.

Cosa fare

Se un servizio generativo era già sul mercato il 1º agosto 2026, i quattro mesi finiscono qui: marcatura degli output leggibile da una macchina, con una soluzione tecnica efficace, interoperabile e solida. Sui divieti il perimetro è più stretto di quanto il titolo suggerisca: l’immissione sul mercato è vietata se quella generazione è la finalità prevista del sistema, oppure se è un risultato ragionevolmente prevedibile e riproducibile e mancano misure tecniche di sicurezza adeguate a impedirlo. Chi espone ai propri utenti un modello di terzi si faccia dire per iscritto quali garanzie il fornitore ha attivato, e archivi la risposta: la fascia sanzionatoria dell’art. 5 è la più alta del regolamento.

Cosa scatta

La Direttiva (UE) 2024/2853 si applica ai prodotti immessi sul mercato da quella data e gli Stati membri devono averla recepita entro lo stesso termine. La definizione di «prodotto» include ora software e sistemi di intelligenza artificiale, a prescindere dal canale di distribuzione.

Chi riguarda

Chi immette sul mercato o integra software e sistemi di IA in un prodotto o servizio con il proprio marchio.

Cosa fare

Rafforzare documentazione tecnica e log delle decisioni: sono la prima difesa contro la presunzione di difettosità per mancata divulgazione. In Italia la delega è nella legge 17 marzo 2026, n. 36, Allegato A, punto 4, e va esercitata entro il 9 agosto 2026 ai sensi dell’art. 31, comma 1, della legge 234/2012: al 28 luglio 2026 nessuno schema di decreto risulta trasmesso alle Camere. Il termine europeo resta quello.

Cosa scatta

Dopo il rinvio deciso dal regolamento (UE) 2026/1744, gli obblighi sui sistemi ad alto rischio autonomi dell’Allegato III — selezione del personale, credito, istruzione, infrastrutture critiche, giustizia — si applicano dal 2 dicembre 2027. Con loro si sposta ciò che ne discende per chi li adotta, compresa la FRIA: la valutazione d’impatto sui diritti fondamentali richiesta a certi deployer, enti pubblici e privati che erogano servizi essenziali.

Chi riguarda

Chi sviluppa e chi adotta sistemi che ricadono nell’Allegato III.

Cosa fare

Il rinvio non cancella gli obblighi, li sposta: banche, amministrazioni e grandi committenti stanno già scrivendo i requisiti AI Act nei capitolati. FRIA e valutazione d’impatto sulla protezione dei dati si sovrappongono in gran parte e conviene produrle da una sola analisi: dal 27 luglio 2026 l’art. 27, paragrafo 4, riscritto dall’Omnibus, dice espressamente che il deployer può rinviare alle sezioni pertinenti della valutazione d’impatto sulla protezione dei dati o incorporarne parti nella FRIA. E il rinvio non è una pausa: i divieti dell’art. 5 non sono mai stati nel pacchetto spostato, e per i sistemi HR l’obbligo di informare i lavoratori su logica, finalità e categorie di dati è già legge italiana dal 2022 (art. 1-bis del D.lgs. 152/1997).

Cosa scatta

Per i sistemi di IA integrati in prodotti già regolati da normative di settore — Allegato I: dispositivi medici, macchine, automotive — la data è il 2 agosto 2028.

Chi riguarda

Fabbricanti di prodotti regolati che incorporano IA, e chi li integra in impianti più ampi.

Cosa fare

Dal 27 luglio 2026 il regolamento (UE) 2026/1744 sposta il Regolamento (UE) 2023/1230 dalla Sezione A alla Sezione B dell’Allegato I dell’AI Act. Un sistema di IA che è componente di sicurezza di una macchina resta ad alto rischio ai sensi dell’articolo 6, paragrafo 1, ma i requisiti non arrivano più dal capo III dell’AI Act: entrano nell’Allegato III del Regolamento Macchine, per atti delegati applicabili entro il 2 agosto 2028. Un fascicolo tecnico solo, una valutazione di conformità sola, l’organismo notificato del binario macchine — che però deve essere designato anche ai sensi dell’AI Act: l’art. 43, paragrafo 3, come sostituito dall’Omnibus, dà agli organismi già notificati sotto l’Allegato I, sezione A, tempo fino al 28 gennaio 2028 per presentare domanda. Chiedete al vostro se l’ha presentata.