AI ACT: QUANDO E COSA CAMBIA DAVVERO PER AZIENDE ED ENTI PUBBLICI

Dal 2 agosto 2026 sono entrati in vigore gli obblighi di trasparenza previsti dall’art. 50 per fornitori e “deployer” (gli utilizzatori professionali) di intelligenza artificiale. Previste sanzioni milionarie per chi non rispetta il Regolamento.

L’AI Act europeo, il Regolamento (UE) 2024/1689 che stabilisce regole armonizzate sull’intelligenza artificiale, prevede, a partire dal 2 agosto 2026, l’applicazione di un importante pacchetto di obblighi.

Tuttavia, il Digital Omnibus, il Regolamento (UE) 2026/1744 approvato dal Parlamento europeo il 16 giugno 2026 ed entrato in vigore il 27 luglio 2026, ha modificato il calendario di applicazione dell’AI Act, rinviando alcune delle scadenze più onerose.

Il rinvio però non equivale ad una sospensione generale degli obblighi, numerose disposizioni dell’AI Act, infatti, sono comunque in vigore dal 2 agosto 2026

Vediamo quindi quali scadenze sono state effettivamente posticipate e quali obblighi sono entrati in vigore il 2 agosto 2026.

LE SCADENZE

L’art. 113 del Regolamento (UE) 2024/1689, entrato in vigore il 1° agosto 2024, prevede un’applicazione progressiva delle disposizioni del Regolamento secondo il seguente calendario:

• dal 2 febbraio 2025 si applicano i Capi I e II, compresi i divieti sulle pratiche di AI vietate (art. 5) e l’obbligo di alfabetizzazione in materia di AI (art. 4)
• dal 2 agosto 2025 si applicano il Capo III, sezione 4, il Capo V, il Capo VII, il Capo XII e l’art. 78, (ad eccezione dell’art. 101). In particolare, diventano applicabili gli obblighi per i fornitori di modelli di AI per finalità generali (GPAI), come ChatGPT, Gemini, DeepSeek e altri modelli analoghi
• il 2 agosto 2026 secondo il calendario originario previsto dall’art. 113, avrebbe dovuto trovare applicazione la parte restante del Regolamento
• il 2 agosto 2027 si applicano l’art. 6, paragrafo 1, e i corrispondenti obblighi relativi ai sistemi di AI che costituiscono componenti di sicurezza dei prodotti disciplinati dalla normativa settoriale dell’Unione.

COSA EFFETTIVAMENTE ENTRA IN VIGORE IL 2 AGOSTO 2026

Obblighi di trasparenza previsti dall’art. 50, paragrafi 1, 3 e 4 

Nel dettaglio la norma prevede che:

“I fornitori garantiscono che i sistemi di IA destinati a interagire direttamente con le persone fisiche sono progettati e sviluppati in modo tale che gli interessati siano informati del fatto di stare interagendo con un sistema di IA, a meno che ciò non risulti evidente dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto di utilizzo. Tale obbligo non si applica ai sistemi di IA autorizzati dalla legge per accertare, prevenire, indagare o perseguire reati, fatte salve le tutele adeguate per i diritti e le libertà dei terzi, a meno che tali sistemi non siano a disposizione del pubblico per segnalare un reato”.

“I deployer (ndr cioè gli utilizzatori professionali), di un sistema di riconoscimento delle emozioni o di un sistema di categorizzazione biometrica informano le persone fisiche che vi sono esposte in merito al funzionamento del sistema e trattano i dati personali in conformità dei regolamenti (UE) 2016/679 e (UE) 2018/1725 e della direttiva (UE) 2016/680, a seconda dei casi. Tale obbligo non si applica ai sistemi di IA utilizzati per la categorizzazione biometrica e il riconoscimento delle emozioni autorizzati dalla legge per accertare, prevenire o indagare reati, fatte salve le tutele adeguate per i diritti e le libertà dei terzi e conformemente al diritto dell’Unione”.

“I deployer di un sistema di IA che genera o manipola immagini o contenuti audio o video che costituiscono un «deep fake» rendono noto che il contenuto è stato generato o manipolato artificialmente. Tale obbligo non si applica se l’uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati. Qualora il contenuto faccia parte di un’analoga opera o di un programma manifestamente artistici, creativi, satirici o fittizi, gli obblighi di trasparenza di cui al presente paragrafo si limitano all’obbligo di rivelare l’esistenza di tali contenuti generati o manipolati in modo adeguato, senza ostacolare l’esposizione o il godimento dell’opera.

I deployer di un sistema di IA che genera o manipola testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico rendono noto che il testo è stato generato o manipolato artificialmente. Tale obbligo non si applica se l’uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati o se il contenuto generato dall’IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione del contenuto.”.

REGIME SANZIONATORIO NAZIONALE E AMMENDE EUROPEE (artt. 99 e 101)

Dal 2 agosto 2026 diventa pienamente operativo anche il regime sanzionatorio. 

L’art. 99 del Regolamento prevede sanzioni amministrative pecuniarie fino a:

• 35 milioni di euro o, se l’autore del reato è un’impresa, fino al 7% del fatturato mondiale annuo, per le violazioni dei divieti di cui all’art. 5 (pratiche di AI vietate);
• 15 milioni di euro o, se l’autore del reato è un’impresa, fino al 3% del fatturato, per l’inosservanza degli altri obblighi previsti dal Regolamento;
• 7,5 milioni di euro o, se l’autore del reato è un’impresa, fino all’1% del fatturato mondiale annuo, per la comunicazione di informazioni inesatte, incomplete o fuorvianti alle autorità competenti.

Sempre dal 2 agosto 2026, le autorità nazionali designate esercitano i poteri di vigilanza, ispezione e sanzione previsti dal Regolamento.

In Italia, la Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha individuato:

• l’Agenzia per la Cybersicurezza Nazionale (ACN) quale autorità di vigilanza del mercato e punto di contatto unico per l’AI Act;
• ’Agenzia per l’Italia Digitale (AgID) quale autorità di notifica. 

Per i sistemi di AI impiegati nel settore finanziario, la vigilanza è invece affidata alle autorità di settore — Banca d’Italia, CONSOB, IVASS — in raccordo con l’ACN.

Restano ferme, inoltre, le competenze del Garante per la protezione dei dati personali per tutti i profili riguardanti la tutela dei dati personali e l’applicazione del GDPR.

COSA È STATO RINVIATO DAL DIGITAL OMNIBUS

Il Regolamento (UE) 2026/1744, c.d. Digital Omnibus, ha differito gli obblighi relativi ai sistemi di AI ad alto rischio: al 2 dicembre 2027 per i sistemi di cui all’Allegato III e al 2 agosto 2028 per quelli integrati in prodotti già regolamentati dall’Allegato I.

Il termine per l’istituzione degli ambienti controllati di sperimentazione è stato, inoltre, rinviato al 2 agosto 2027.

Dal 2 dicembre 2026 entrano invece in vigore due ulteriori divieti introdotti all’art. 5 del Regolamento: la generazione di immagini intime non consensuali tramite strumenti di nudificazione e la creazione, tramite intelligenza artificiale, di materiale di abuso sessuale su minori.

IL PROFILO 231 E LA RESPONSABILITÀ AMMINISTRATIVA DEGLI ENTI

Un profilo di particolare rilievo per le aziende italiane riguarda l’interazione tra l’AI Act e il D.Lgs. n. 231/2001. La Legge n. 132/2025 impone l’aggiornamento dei Modelli di Organizzazione, Gestione e Controllo (MOG) affinché includano i rischi connessi all’utilizzo di sistemi di intelligenza artificiale. La mancata revisione espone l’ente alla responsabilità amministrativa per i reati connessi all’AI commessi, nell’interesse o a vantaggio dell’organizzazione, da soggetti apicali o sottoposti alla loro direzione o vigilanza.

LA FORMAZIONE

L’art. 4 dell’AI Act prevede che i fornitori e i deployer di sistemi di IA adottino

“misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA del loro personale nonché di qualsiasi altra persona che si occupa del funzionamento e dell’utilizzo dei sistemi di IA per loro conto, prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati”.

L’obbligo è in vigore dal 2 febbraio 2025, ma dal 2 agosto 2026 le autorità di vigilanza nazionali sono operative e possono verificarne il rispetto. Il Digital Omnibus ha modificato l’art. 4, facendo riferimento più in generale al sostegno dello sviluppo dell’alfabetizzazione in materia di AI. La violazione di tale disposizione non è assistita da una specifica sanzione amministrativa pecuniaria.

COSA DEVONO FARE CONCRETAMENTE AZIENDE ED ENTI PUBBLICI

È necessario:

• censire tutti i sistemi di AI in uso, compresi quelli adottati senza una preventiva autorizzazione;
• classificare ciascun sistema in base al livello di rischio (pratiche vietate, sistemi ad alto rischio di cui all’Allegato III, sistemi ad alto rischio di cui all’Allegato I, sistemi soggetti agli obblighi di trasparenza o sistemi a rischio minimo);
• verificare la conformità agli obblighi già vigenti;
• adottare una policy interna sull’utilizzo dell’AI che stabilisca quali strumenti sono ammessi, quali dati non possono essere inseriti nei sistemi, quando è obbligatoria la supervisione umana degli output e come adempiere agli obblighi di trasparenza;
• aggiornare il Modello Organizzativo 231;
• conservare la documentazione in un registro idoneo a garantirne la tracciabilità.

LEGGI ANCHE QUI