Home · Blog

AI Act: mancano due settimane al 2 agosto. Cosa scatta davvero

17 luglio 2026 · AI Act · Compliance

Il 2 agosto 2026 è la data in cui l'AI Act smette di essere un tema da convegno. Non perché arrivino obblighi nuovi rispetto a quelli scritti nel 2024, ma perché da quel giorno esistono autorità che vigilano e sanzioni che si possono applicare. Nel frattempo una parte consistente delle scadenze è slittata al 2027, e questo ha generato un equivoco che sentiamo ripetere quasi ogni settimana: "tanto è stato tutto rinviato". Non è così, e la differenza tra quello che è rinviato e quello che non lo è vale parecchi soldi.

Cosa diventa applicabile

Dal 2 agosto entrano in applicazione i Capi da III a VIII del Regolamento europeo sull'intelligenza artificiale, testo integrale su EUR-Lex (eur-lex.europa.eu). Dentro ci sono la trasparenza, i modelli di uso generale, la sorveglianza del mercato, la governance e il capitolo sulle sanzioni.

Per un'azienda che usa l'AI senza svilupparla, cioè la quasi totalità delle imprese italiane, i punti che contano sono due. Il primo è la trasparenza: se un sistema interagisce con una persona, quella persona deve sapere che sta parlando con una macchina, e i contenuti sintetici vanno marcati. Ne abbiamo scritto in dettaglio quando il tema è emerso, nell'articolo su etichettatura dei contenuti AI e watermarking. Il secondo è l'obbligo di alfabetizzazione dell'articolo 4: chi usa questi sistemi in azienda deve avere personale formato, e deve poterlo dimostrare.

C'è poi la parte che riguarda le autorità. Da agosto la vigilanza è operativa, e in Italia gli schemi di decreto attuativo approvati in via preliminare dal Consiglio dei ministri a giugno assegnano i ruoli così: l'Agenzia per la Cybersicurezza Nazionale come autorità di vigilanza del mercato, l'AgID come autorità di notifica. Il percorso non è ancora chiuso, mancano i pareri parlamentari e del Consiglio di Stato, ma la direzione è quella.

Cosa invece è slittato

Il pacchetto Digital Omnibus, approvato in via definitiva dal Consiglio il 29 giugno 2026, ha spostato in avanti gli obblighi sui sistemi ad alto rischio. Quelli dell'Allegato III, cioè biometria, selezione del personale, accesso ai servizi essenziali, istruzione, vanno al 2 dicembre 2027. I sistemi incorporati in prodotti vanno al 2 agosto 2028. Avevamo raccontato il pacchetto e la sua logica nell'articolo su l'Omnibus, la proroga al 2027 e le regole più leggere per le PMI.

Il rinvio riguarda quindi la categoria più pesante e più rara. Se in azienda usate un assistente conversazionale sul sito, un generatore di testi per il marketing o un copilota interno sui documenti, il rinvio non vi tocca: quei sistemi rientrano nella trasparenza e nell'articolo 4, che partono ad agosto.

Vale la pena ricordare anche la parte che è già in vigore da febbraio 2025 e che nessuno ha rinviato: le pratiche vietate. Riconoscimento delle emozioni sul posto di lavoro, social scoring, manipolazione. Su quelle la sanzione è la più alta prevista dal regolamento.

Quanto si rischia

L'articolo 99 prevede tre fasce. Le pratiche vietate arrivano a 35 milioni di euro o al 7% del fatturato mondiale annuo, a seconda di quale importo sia maggiore. La violazione degli altri obblighi, inclusi quelli di chi usa i sistemi, arriva a 15 milioni o al 3%. Le informazioni false o fuorvianti fornite alle autorità stanno sulla fascia più bassa.

Le cifre da titolo di giornale servono a poco, però, perché sono massimali pensati per le grandi piattaforme. Il regolamento chiede espressamente che per le PMI le soglie siano proporzionate, e nessuna autorità aprirà il 3 agosto con una multa da 15 milioni a un'azienda di trenta persone. Il rischio realistico per una PMI italiana, nei prossimi dodici mesi, è un altro: una contestazione che arriva di rimbalzo. Un dipendente che impugna una selezione fatta con uno screening automatico, un cliente che segnala un chatbot che non si è dichiarato, un committente grande che vi chiede la documentazione AI Act come condizione per rinnovare il contratto. Quest'ultima è già la cosa che vediamo succedere più spesso.

Cosa si fa in due settimane

Poco, se si parte da zero con l'idea di essere conformi al 100% il 2 agosto. Abbastanza, se l'obiettivo è arrivare a quella data con una posizione difendibile invece che con il vuoto.

• Fare l'inventario dei sistemi AI in uso. Non quelli che avete comprato: quelli che girano. Nella maggior parte delle aziende c'è un divario notevole tra le due liste, perché il marketing ha il suo abbonamento, l'amministrazione ne ha un altro e nessuno li ha mai messi su un foglio. Senza questo elenco non si può fare nient'altro.
• Verificare i chatbot e i contenuti pubblicati. Se il sito ha un assistente, deve dichiararsi. Se pubblicate testi o immagini generati, vanno marcati. È l'intervento più veloce e anche il più visibile dall'esterno, quindi il più facile da contestare se manca.
• Far partire la formazione, anche in forma minima. L'articolo 4 non chiede un master. Chiede che le persone capiscano rischi e limiti degli strumenti che usano, e che l'azienda possa dimostrare di averglielo insegnato. Due ore con registro delle presenze e materiale conservato valgono più di un piano formativo perfetto che parte a ottobre.
• Scrivere una policy interna di una pagina. Cosa si può mettere dentro un chatbot pubblico e cosa no. Secondo i dati AIDAPT ripresi da Open sulla scadenza di agosto e la formazione (open.online), il 65% delle imprese italiane non ne ha ancora una, mentre almeno il 27% dei dipendenti usa strumenti AI che l'azienda non ha autorizzato.

La lettura di Latentia

La cosa che ci colpisce di più, parlando con le aziende in questi giorni, è che il rinvio dell'alto rischio è stato letto come un condono generale. È successo l'opposto: l'Europa ha allontanato la parte complicata e ha tenuto ferma la parte semplice. Trasparenza e formazione restano ad agosto proprio perché costano poco e non richiedono un consulente per essere capite.

Il che rende difficile giustificare il ritardo. Un'azienda che il 2 agosto non ha nemmeno l'elenco dei sistemi che usa non ha un problema di conformità: ha un problema di controllo su cosa succede dentro casa sua. Sono due cose diverse, e la seconda è quella che ci preoccuperebbe se fossimo noi a firmare i bilanci.

Articoli correlati

← Tutti gli articoli