AI Act, cosa è scattato davvero dal 2 agosto (e cosa è slittato al 2027)

Il 2 agosto 2026 doveva essere il giorno più duro dell’AI Act, quello degli obblighi sull’alto rischio; il Digital Omnibus, in vigore dal 27 luglio, ha ridisegnato il calendario. Da questa data scattano gli obblighi di trasparenza, mentre i sistemi ad alto rischio sono rinviati al 2 dicembre 2027. Per le imprese cambia la scadenza, non il lavoro da fare.

Il 2 agosto 2026 doveva essere il giorno in cui l’AI Act mostrava i denti, con gli obblighi sui sistemi ad alto rischio e l’apparato sanzionatorio al completo; è arrivato, ma con un contenuto diverso da quello che il calendario prometteva fino a poche settimane fa. A cambiare le carte è stato il Digital Omnibus sull’AI, il Regolamento (UE) 2026/1744, pubblicato in Gazzetta Ufficiale il 24 luglio 2026 e in vigore dal 27 luglio, prima modifica sostanziale all’AI Act dalla sua adozione. Il risultato è che dal 2 agosto scattano davvero gli obblighi di trasparenza, mentre la parte più stringente della normativa, quello sui sistemi ad alto rischio, arriverà più tardi.

Cosa cambia con l’AI Act dal 2 agosto 2026

Conviene partire da dove eravamo rimasti. Quando su Digitalic abbiamo aperto il conto alla rovescia verso le sanzioni, il 2 agosto era la data in cui l’AI Act sarebbe passato da impianto giuridico annunciato a strumento operativo con obblighi stringenti sull’alto rischio. Quella lettura, corretta allora, oggi va aggiornata; il legislatore europeo ha spostato in avanti la parte più pesante, lasciando in piedi una fetta di obblighi che riguarda un numero molto più ampio di aziende, quella sulla trasparenza. La struttura dell’AI Act resta intatta, con la sua classificazione dei sistemi per livello di rischio; a muoversi sono le date, non l’architettura.

AI Act entrata in vigore: le date che contano (e il ruolo della legge italiana)

Sull’entrata in vigore serve chiarezza, perché si confondono spesso tre eventi diversi. Il primo è europeo e risale a due anni fa: l’AI Act, il Regolamento (UE) 2024/1689, è entrato in vigore il 1 agosto 2024, venti giorni dopo la pubblicazione in Gazzetta del 12 luglio; da lì è partito un calendario scaglionato che ha portato i divieti sulle pratiche a rischio inaccettabile a febbraio 2025 e gli obblighi sui modelli generalisti ad agosto 2025. Il secondo evento è nazionale: la Legge 23 settembre 2025 numero 132 è entrata in vigore il 10 ottobre 2025, e ha reso l’Italia il primo Paese dell’Unione con un quadro nazionale organico allineato all’AI Act, che lo integra senza sostituirlo. Il terzo evento è quello di adesso, il Digital Omnibus in vigore dal 27 luglio 2026, che riscrive parte del calendario europeo. Tenere distinti i tre momenti è il primo passo per capire cosa un’azienda deve fare, e quando; l’entrata in vigore di una norma non coincide quasi mai con l’applicazione dei suoi obblighi, che seguono date proprie.

Il Digital Omnibus è legge: l’iter e la fretta di Bruxelles

Il percorso è stato rapido e dichiaratamente d’urgenza. La Commissione ha proposto il Digital Omnibus il 19 novembre 2025, il Parlamento lo ha adottato il 16 giugno 2026, il Consiglio ha dato il via libera definitivo il 29 giugno e l’atto è stato firmato l’8 luglio. Al Parlamento europeo il testo è passato con 423 voti favorevoli, 57 contrari e 174 astensioni. Il regolamento giustifica l’entrata in vigore compressa al terzo giorno dalla pubblicazione, per garantire certezza giuridica senza ritardo, vista l’imminente applicazione generale dell’AI Act prevista per il 2 agosto. Le istituzioni insistono su un punto: l’Omnibus rinvia alcune scadenze, ma leggerlo come una sospensione della regolazione europea sull’AI sarebbe un errore. Questo filone va tenuto distinto dal secondo pacchetto di semplificazione, quello su dati e cybersicurezza che tocca GDPR, ePrivacy, NIS2 e Data Act; quel dossier resta in negoziato, con un accordo atteso nella prima metà del 2027.

Obblighi di trasparenza AI Act: cosa scatta subito e cosa no

Qui sta la notizia operativa. Gli obblighi di trasparenza dell’articolo 50, incluso il dovere di informare l’utente quando sta interagendo con un sistema di AI, si applicano dal 2 agosto 2026. Significa avvisi chiari sui chatbot, etichettatura dei contenuti sintetici e dei deepfake, informativa sui sistemi di riconoscimento delle emozioni e di categorizzazione biometrica. L’eccezione da mappare con precisione riguarda la marcatura tecnica: l’obbligo previsto dall’articolo 50, paragrafo 2, non si applica ai sistemi già presenti sul mercato a quella data, che hanno tempo fino al 2 dicembre 2026. Tradurre la distinzione in pratica richiede di sapere quali sistemi erano già immessi sul mercato e quando, un lavoro di inventario più che una formalità. Chi gestisce assistenti conversazionali, generatori di immagini o strumenti di sintesi vocale rivolti al pubblico è già dentro il perimetro, e lo è da adesso.

AI ad alto rischio: perché il vero appuntamento è il 2 dicembre 2027

Il rinvio più rilevante riguarda la categoria che spaventa di più le imprese. La data di applicazione per i sistemi ad alto rischio autonomi dell’Allegato III, che comprendono l’AI usata in ambito lavorativo, nell’istruzione, nella valutazione del credito, nelle forze dell’ordine e nelle infrastrutture critiche, si sposta dal 2 agosto 2026 al 2 dicembre 2027. Per i sistemi integrati in prodotti già soggetti alla normativa sulla sicurezza, come dispositivi medici, macchinari e giocattoli, la conformità è rinviata fino al 2 agosto 2028. La logica scelta lega l’applicazione delle regole all’adozione, da parte della Commissione, di una decisione che confermi la disponibilità di standard e linee guida, con le nuove date come termine ultimo di garanzia. Il motivo è concreto: gli standard armonizzati e gli strumenti di conformità non erano pronti, e imporre obblighi senza gli attrezzi per rispettarli avrebbe prodotto incertezza più che tutela. La contropartita è il rischio che il rinvio venga scambiato per un liberi tutti, cosa che non è.

Le nuove pratiche vietate dall’AI Act: nudifier e materiale pedopornografico

Il Digital Omnibus non toglie soltanto, aggiunge anche. L’Omnibus introduce due nuove pratiche vietate, che colpiscono i sistemi progettati per generare o manipolare immagini intime realistiche non consensuali e materiale pedopornografico, con applicazione dal 2 dicembre 2026. Il segnale politico è netto, perché sposta sul terreno della proibizione assoluta, quella soggetta alle sanzioni più alte, una tipologia di abuso finora affrontata solo da altri corpi normativi; l’AI Act fornirà così una base regolatoria diretta per l’applicazione, dove prima intervenivano soltanto altri regimi giuridici.

GPAI e divieti: cosa resta invariato

Nel rumore sulle scadenze rinviate si rischia di perdere ciò che non si è mosso. Le disposizioni dell’AI Act che governano i modelli per finalità generali, i cosiddetti GPAI, continuano ad applicarsi come previsto, inclusi gli obblighi di trasparenza, rendicontazione e gestione del rischio sistemico per i modelli più grandi. Restano in vigore anche i divieti sulle pratiche a rischio inaccettabile, attivi dal febbraio 2025. Per chi produce o integra modelli il quadro raccontato quando è iniziata la fase GPAI vale ancora per intero, dal Code of Practice pubblicato a luglio 2025 alla soglia dei 10^23 FLOP che separa i GPAI standard da quelli con rischio sistemico. Chi ha costruito la propria conformità su quel binario non deve rifare nulla, deve solo continuare.

Più poteri all’AI Office, più respiro alle PMI

Sotto il titolo del rinvio l’Omnibus ridisegna anche la mappa dei poteri. L’AI Office diventa responsabile in via esclusiva della vigilanza e dell’applicazione degli obblighi dell’AI Act per i sistemi basati su modelli GPAI, quando modello e sistema sono sviluppati dallo stesso fornitore, e per i sistemi che costituiscono o sono integrati in una piattaforma o motore di ricerca di dimensioni molto grandi ai sensi del Digital Services Act. Il rafforzamento lega la sorveglianza dei modelli generalisti alle piattaforme già regolate dal DSA. In direzione contraria arriva un alleggerimento per le imprese minori: la modalità semplificata per adempiere all’obbligo del sistema di gestione della qualità, prima riservata alle microimprese, è estesa a tutte le PMI comprese le startup, e diverse flessibilità sono state allargate alle small mid-cap. Per un tessuto come quello italiano, fatto in larga parte di aziende piccole, non è un dettaglio.

Le sanzioni dell’AI Act: quanto si rischia davvero

Il capitolo sanzioni spiega perché la trasparenza non sia un adempimento minore. L’AI Act prevede sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, e fino a 15 milioni o il 3% per la non conformità dei sistemi ad alto rischio. Gli obblighi di trasparenza dell’articolo 50 ricadono nella fascia intermedia, quella fino a 15 milioni o al 3% del fatturato; sufficiente a rendere l’inadempimento un rischio da mettere a bilancio. Le cifre sono massimali statutari, non automatismi, e il regolamento impone proporzionalità, con soglie più basse per le PMI; la sostanza però non cambia, ignorare la trasparenza costa.

Semplificazione o arretramento: il contraddittorio sul rinvio

Il giudizio sull’operazione dipende da dove si guarda. Le associazioni industriali hanno accolto con favore le modifiche, e DIGITALEUROPE, tra i critici più espliciti dei costi e dei tempi originari dell’AI Act, ha sostenuto in larga parte la direzione del pacchetto di semplificazione. I funzionari sostengono che le modifiche offrano alle aziende certezza giuridica prima che scattino gli obblighi più duri. Le organizzazioni per i diritti digitali leggono invece l’operazione come un arretramento: il gruppo Liberties ha sostenuto che l’accordo finale indebolisce diverse tutele contenute nell’AI Act originario, descrivendo il rinvio degli obblighi sull’alto rischio come un ritardo nella protezione dei diritti fondamentali attesa per agosto 2026. Nel merito, Liberties contesta l’uso ampliato di dati personali sensibili per l’individuazione dei bias in tutti i sistemi di AI, l’indebolimento dei requisiti di alfabetizzazione all’AI e la riduzione delle informazioni che i fornitori di sistemi ad alto rischio devono pubblicare nel database europeo. Cautele arrivano anche da una parte del mondo delle piccole imprese; l’European Digital SME Alliance ha ammonito che “la Commissione deve evitare di creare nuovi vantaggi per gli incumbent tecnologici stranieri”. Questo pezzo non può sciogliere il nodo per il lettore, ma deve metterglielo davanti: semplificare la conformità aiuta chi vuole rispettare le regole, e insieme apre spazio a chi quelle regole preferirebbe non avere affatto.

AI Act e Italia: la Legge 132 e il ritardo delle imprese

Sul fronte nazionale l’Italia ha un vantaggio di cornice e un problema di sostanza. Il vantaggio è la Legge 132, già richiamata sopra, che colloca il Paese davanti agli altri sul piano dell’impianto normativo. Il problema è la preparazione. I numeri raccolti nella nostra guida su come le PMI possono prepararsi alle norme sull’AI raccontano un Paese a due velocità: nel 2025 il 26,7% delle PMI ha testato o utilizza stabilmente strumenti di intelligenza artificiale, con un incremento del 50% rispetto al 2024, ma solo il 7% delle piccole imprese e il 15% delle medie ha avviato progetti strutturati di AI. Il rinvio dell’alto rischio regala tempo proprio a chi ne aveva più bisogno; la tentazione, prevedibile, sarà spenderlo male, rimandando ancora. La 132 alza l’asticella nazionale, ma senza attuazione operativa resta un primato sulla carta.

Cosa devono fare adesso le aziende

Il rinvio porta con sé una controindicazione precisa, la tentazione di fermare i programmi di conformità in attesa del 2027. Sarebbe la lettura sbagliata. La trasparenza va garantita subito, quindi vanno verificati gli avvisi sui chatbot, l’etichettatura dei contenuti generati, le informative sui sistemi biometrici, e va costruito l’inventario dei sistemi già sul mercato per capire quali ricadono nella deroga di dicembre. La documentazione tecnica, i sistemi di gestione del rischio e i meccanismi di sorveglianza umana pensati per l’alto rischio restano investimenti utili a prescindere dalla data, perché migliorano i sistemi indipendentemente dalla funzione regolatoria. Il rischio di fondo, per l’Europa, non è normativo ma competitivo, quello raccontato in Europa 2031: diventare il continente che scrive le regole migliori sull’intelligenza artificiale prodotta altrove. La domanda che l’AI Act pone alle imprese non è cambiata con l’Omnibus; è solo diventata più onesta, perché non chiede più “quando scatta la sanzione”, ma “quando i nostri sistemi saranno davvero sotto controllo”.