--- title: "Una notizia di enforcement AI Act, e i due controlli che non la confermano" description: "Una notizia su quattordici istituti finanziari e l'AI Act circola online: due controlli indipendenti, fatti da noi il 5 agosto, non la confermano." url: https://csidia.com/note-operative/enforcement-ai-act-due-controlli-notizia-non-confermata/ lang: it date: 2026-08-05 label: "Metodo" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/enforcement-ai-act-due-controlli-notizia-non-confermata/ --- # Una notizia di enforcement AI Act, e i due controlli che non la confermano Il 2 agosto 2026 è iniziata l'applicazione dell'AI Act. Lo dice il comunicato della Commissione **IP/26/1714**, pubblicato il 31 luglio: «From 2 August 2026, the European Commission's AI Office, together with national authorities, will begin enforcing the Artificial Intelligence (AI) Act. On the same date, new transparency rules will start to apply, requiring certain AI systems to tell users when they are interacting with AI and when content has been generated or altered by it.» Due giorni dopo, su siti di aggregazione di notizie sulla regolazione dell'AI, ha cominciato a circolare una notizia più specifica: il 4 agosto l'autorità francese per la protezione dei dati avrebbe inviato richieste formali di informazioni a **quattordici istituti finanziari** che usano algoritmi di scoring creditizio, chiedendo la documentazione tecnica prevista dall'**articolo 11** dell'AI Act per i sistemi ad alto rischio. È esattamente il tipo di notizia che finisce in una nota interna di conformità il lunedì mattina, prima ancora del caffè. Non l'abbiamo potuta verificare. E due controlli indipendenti, fatti stamattina, la rendono improbabile. ## Primo controllo: il sito dell'autorità Il primo controllo è il più ovvio: se un'autorità invia richieste formali a quattordici imprese nello stesso giorno, spesso lo comunica. Abbiamo riaperto la pagina delle attualità della CNIL, `cnil.fr/fr/actualites`, il **5 agosto 2026 alle 6:52**. La notizia più recente pubblicata resta quella del 31 luglio 2026, un webinar sull'aggiornamento dei referenziali MR-001 e MR-003. Di agosto non c'è nulla. Zero occorrenze di «scoring», zero di «crédit», zero di «établissements financiers». Da solo questo non basta a dire che l'azione non sia avvenuta: una richiesta di informazioni a un'impresa non deve essere pubblicata, e molte non lo sono. È un indizio, non una prova. Ma cercando la stessa storia su più aggregatori la si trova già arricchita di dettagli assenti nella versione più antica — istituti che avrebbero chiesto una proroga, negata. Un dettaglio in più a ogni passaggio è il sintomo di una notizia che si scrive da sola, non la prova che sia accaduta. ## Secondo controllo: l'obbligo non è ancora applicabile Il secondo controllo è indipendente dal primo, e pesa di più. Lo scoring creditizio rientra fra i sistemi ad alto rischio dell'Allegato III dell'AI Act. Gli obblighi su quei sistemi — compreso l'articolo 11, la documentazione tecnica — stanno nel capo III, sezioni 1, 2 e 3 del regolamento. E quelle sezioni, per i sistemi dell'Allegato III, non si applicano dal 2 agosto 2026: si applicano dal **2 dicembre 2027**. Lo dispone il regolamento (UE) 2026/1744 (GUUE L 2026/1744 del 24 luglio 2026, in vigore dal 27 luglio), che al suo articolo 1, punto 40, lettera b), sostituisce l'articolo 113, terzo comma, lettera c) dell'AI Act, e recita: «il capo III, sezioni 1, 2 e 3, (…) si applica a decorrere dal: i) 2 dicembre 2027 per quanto riguarda i sistemi di IA classificati come ad alto rischio ai sensi dell'articolo 6, paragrafo 2, e dell'allegato III.» Lo stesso regolamento che ha spostato di un anno l'obbligo delle sandbox nazionali — [ne abbiamo scritto il 2 agosto](https://csidia.com/note-operative/sandbox-ia-obbligo-2-agosto-2026-rinviato-2027) — sposta anche questo. Tradotto: il 4 agosto un'autorità che avesse chiesto quella documentazione a un istituto di credito starebbe chiedendo l'adempimento di un obbligo non ancora in vigore per quei sistemi. Non impossibile in assoluto — un'autorità può sempre aprire un'istruttoria su altre basi, il GDPR anzitutto — ma non nella forma descritta: come richiesta della documentazione dell'articolo 11 dell'AI Act. ## «Non verificabile» non è «falsa» Va detto con la stessa precisione con cui si è detto il resto: non stiamo scrivendo che la notizia è falsa. Non lo abbiamo dimostrato, e dall'esterno non potremmo. Un'autorità può agire senza comunicare, un'istruttoria preliminare può restare riservata per mesi, un fatto può essere vero anche quando la fonte che lo riporta non è verificabile. La formulazione corretta è un'altra: al momento in cui scriviamo, questa notizia **non è verificabile su fonte primaria**. Il secondo controllo la rende poco plausibile nella forma in cui circola. Ma resta un argomento, non una sentenza — la stessa cautela che vale per chi pubblica un dato di beneficio senza il metodo che lo sostiene: [chi lo pubblica ne risponde](https://csidia.com/note-operative/chi-risponde-dei-numeri-di-beneficio), indipendentemente da chi lo ha calcolato per primo. ## Perché proprio adesso Le settimane successive a una data di applicazione sono esattamente il momento in cui questo genere di notizie circola di più. Il mercato le aspetta: chi scrive un piano di conformità vuole sapere se l'enforcement è già iniziato, e una notizia con un nome, una data e un numero — quattordici istituti — rassicura, indipendentemente dal fatto che sia vera. Chi produce contenuti su questo mercato lo sa. Non serve un'intenzione scorretta perché si diffonda: basta scriverla con sicurezza, e che il passaggio successivo la ripeta senza controllarla. ## Il costo di un precedente inventato Qui arriva la parte operativa. Un precedente di enforcement inventato in un piano di conformità è peggio di nessun precedente. Chi allinea le priorità del proprio team su un'azione che non è avvenuta sposta risorse — tempo legale, tempo tecnico, attenzione del management — verso un obbligo che per i sistemi dell'Allegato III non è ancora applicabile. E le toglie a quelli che lo sono già, oggi: [la trasparenza dell'articolo 50](https://csidia.com/note-operative/articolo-50-linee-guida-trasparenza-ia), in vigore dal 2 agosto per tutti i sistemi che interagiscono con persone fisiche, a prescindere da quando sono stati comprati; gli obblighi dei fornitori di modelli per finalità generali, in vigore dal 2 agosto **2025**, un anno prima; l'enforcement generale annunciato dalla Commissione per lo stesso 2 agosto 2026 — quello vero, quello con un comunicato firmato e verificabile. Un piano di conformità che investe nella cosa sbagliata non è neutro: è un piano che, sull'obbligo giusto, arriva in ritardo. ## La regola dei dieci minuti I due controlli fatti per questo pezzo costano dieci minuti, e sono gratuiti. Il sito dell'autorità competente. Il calendario di applicazione della norma citata — per l'AI Act, oggi, sapere che l'Omnibus ha spostato al 2027 gli obblighi sui sistemi ad alto rischio autonomi e al 2028 quelli integrati in prodotti regolamentati. Vanno fatti prima di scrivere la nota interna, non dopo che è già un fatto acquisito in azienda. La regola che ne discende è semplice da applicare quanto da enunciare: una notizia di enforcement si cita solo se esiste l'atto — un provvedimento, una decisione — o almeno il comunicato dell'autorità che lo ha adottato. Non «secondo fonti». Non «è stato riportato». Se non si trova né l'uno né l'altro, si scrive che non si trova, con la data in cui si è cercato: è quello che abbiamo fatto qui. ## Fonti - [Commissione europea — comunicato IP/26/1714, «Commission starts enforcing AI Act rules and new transparency requirements on 2 August» (31 luglio 2026)](https://ec.europa.eu/commission/presscorner/api/documents?reference=IP/26/1714&language=en) - [CNIL — Actualités, pagina consultata il 5 agosto 2026 alle 6:52](https://www.cnil.fr/fr/actualites) - [Regolamento (UE) 2026/1744 — testo su Publications Office / EUR-Lex (CELEX 32026R1744)](https://publications.europa.eu/resource/celex/32026R1744) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/enforcement-ai-act-due-controlli-notizia-non-confermata/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com