L’AI Act slitta, ma non tutto: cosa vale davvero dal 2 agosto 2026
3 min di lettura
Aggiornamento (29 luglio 2026) — Questa nota è del 3 luglio, quando l’Omnibus era approvato ma non ancora pubblicato. Nel frattempo è diventato il regolamento (UE) 2026/1744 dell’8 luglio 2026, pubblicato in Gazzetta ufficiale il 24 ed entrato in vigore il 27. Le date qui sotto reggono, ma il quadro completo — art. 113 per intero, i due divieti nuovi dell’art. 5 dal 2 dicembre 2026 e la proroga dell’art. 111, par. 4 per la marcatura — sta nella guida alle scadenze dell’AI Act, che teniamo aggiornata.
A giugno l’Unione Europea ha riscritto il calendario dell’AI Act: il Parlamento ha approvato il pacchetto di semplificazione (il cosiddetto Digital Omnibus) il 16 giugno, il Consiglio ha dato il via libera finale il 29. Molte aziende hanno letto i titoli — «l’AI Act slitta» — e hanno archiviato la pratica. È l’errore più costoso che si possa fare quest’estate, perché non è slittato tutto. Ecco la mappa, aggiornata a oggi.
Cosa è stato rinviato
Il rinvio riguarda gli obblighi sui sistemi ad alto rischio, quelli che sarebbero scattati il 2 agosto 2026:
- per i sistemi ad alto rischio autonomi (Allegato III: selezione del personale, credito, istruzione, infrastrutture critiche, giustizia…) la nuova data è il 2 dicembre 2027;
- per i sistemi integrati in prodotti già regolati da normative di settore (Allegato I: dispositivi medici, macchine, automotive…) si va al 2 agosto 2028.
Un anno e mezzo di respiro per chi sviluppa o adotta sistemi in quelle categorie. Ma attenzione al rovescio: il rinvio non cancella gli obblighi, li sposta — e le banche, le PA e i grandi committenti stanno già scrivendo i requisiti AI Act nei capitolati adesso, perché nessuno vuole comprare nel 2026 un sistema da rifare nel 2027.
Cosa scatta comunque il 2 agosto 2026
Due cose, entrambe operative:
- Gli obblighi di trasparenza (art. 50): chi interagisce con un sistema AI deve saperlo; i contenuti generati o manipolati dall’AI (inclusi i deepfake) vanno marcati; i chatbot devono dichiararsi tali. Riguarda praticamente ogni azienda che espone AI verso clienti o cittadini.
- L’apparato sanzionatorio diventa pienamente applicabile: le autorità nazionali possono contestare le violazioni delle norme già in vigore.
E vale la pena ricordare cosa è già legge da febbraio 2025, perché lì le sanzioni sono già possibili oggi: i divieti sulle pratiche inaccettabili (manipolazione, social scoring, riconoscimento delle emozioni sul lavoro) e l’obbligo di alfabetizzazione AI dell’art. 4. Su quest’ultimo l’Omnibus è intervenuto dal 27 luglio 2026: non si tratta più di garantire un livello sufficiente, ma di adottare misure che ne sostengano lo sviluppo, e il testo precisa che non è richiesto garantire un livello determinato per nessuno. Resta l’obbligo più ignorato d’Italia, e resta la prova che manca quando serve: che cosa cambia in pratica.
Cosa fare adesso, in ordine
- Censite i vostri sistemi AI — compresi quelli dentro software di terzi: molti non sanno di usare AI ad alto rischio perché è annegata nel gestionale HR.
- Chiudete la partita trasparenza entro il 2 agosto: etichette sui contenuti generati, dichiarazione dei chatbot, informative aggiornate. È lavoro di settimane, non di mesi.
- Documentate la formazione del personale sull’uso dell’AI: registri, materiali, date. In un’ispezione è la prima cosa che verrà chiesta.
- Usate il tempo guadagnato sull’alto rischio per fare le cose bene: inventario dei dati, governance, controllo umano sulle decisioni critiche. Sono gli stessi requisiti che rendono un sistema AI utile, non solo conforme — è il nostro approccio da sempre.
Il quadro normativo europeo va letto insieme: chi rientra anche nel perimetro NIS2 ha davanti lo stesso lavoro preparatorio sui dati e sui processi — farlo una volta sola, per entrambe le normative, è la mossa intelligente.
Non sapete se i vostri sistemi ricadono nell’alto rischio o cosa vi tocca fare entro agosto? Mezz’ora con un nostro esperto basta per la prima mappa.