Il 2 agosto cambierà tutto?
Da ormai diverso tempo, il 2 agosto 2026 viene presentato come la data spartiacque dell'AI Act, il primo quadro normativo organico al mondo dedicato all'intelligenza artificiale.
Ci aspettiamo una sorta di anno zero, con un regolamento pienamente operativo e con le imprese che usano sistemi di AI improvvisamente esposte a obblighi stringenti e sanzioni.
Ma è veramente così? In realtà, la questione è più articolata e necessita di essere approfondita.
Una normativa che si applica per fasi
L'AI Act è entrato in vigore nell'agosto 2024, ma il legislatore europeo ha scelto fin dall'inizio un'applicazione scaglionata, calibrata sul livello di rischio. Le pratiche vietate e gli obblighi di alfabetizzazione sull'AI sono diventati applicabili già dal 2 febbraio 2025. Le regole sui modelli di AI per finalità generali (i cosiddetti GPAI), insieme all'architettura di governance e all'impianto sanzionatorio, si applicano dal 2 agosto 2025.
Il 2 agosto 2026 era stato dunque pensato come il punto di arrivo: l'attivazione del corpo principale del regolamento
Cosa cambia (e cosa no) il 2 agosto 2026
Il pacchetto di semplificazione noto come Digital Omnibus, pubblicato in Gazzetta Ufficiale dell'Unione Europea come Regolamento (UE) 2026/1744 il 24 luglio 2026, è entrato in vigore il 27 luglio 2026, pochi giorni prima della scadenza che avrebbe dovuto ridisegnare. Questo ha causato un cambiamento nel calendario dell'AI Act.
Gli obblighi per i sistemi ad alto rischio "stand-alone", quelli che riguardano ambiti come selezione del personale, credit scoring, biometria, accesso a servizi pubblici essenziali, istruzione, law enforcement e amministrazione della giustizia, slittano dal 2 agosto 2026 al 2 dicembre 2027.
Per i sistemi ad alto rischio integrati come componenti di sicurezza in prodotti già regolamentati, il termine si sposta dal 2 agosto 2027 al 2 agosto 2028.
Il 2 agosto 2026, dunque, non porta con sé l'ondata di adempimenti sui sistemi ad alto rischio che molti temevano. Restano però due fronti tutt'altro che marginali, e su questi il Digital Omnibus non è intervenuto: gli obblighi di trasparenza dell'articolo 50 e la piena applicabilità del regime sanzionatorio.
Perché è una data importante, nonostante il rinvio
Ma sarebbe un errore interpretare lo slittamento come un "liberi tutti". Gli obblighi di trasparenza toccano una platea molto più ampia rispetto ai sistemi ad alto rischio, perché riguardano qualunque organizzazione che impieghi intelligenza artificiale generativa a contatto con il pubblico.
Rientra in questo perimetro, ad esempio, un'azienda che utilizza un chatbot nel servizio clienti, che genera contenuti sintetici per il marketing o che adotta strumenti di produzione automatica di testi e immagini.
E le sanzioni, con massimali fino a 35 milioni di euro o al 7% del fatturato globale annuo per le violazioni più gravi, diventano effettivamente realtà.
Le implicazioni operative
L'articolo 50, che impone obblighi concreti e immediatamente verificabili, non è stato toccato dal rinvio. I sistemi conversazionali devono rendere riconoscibile all'utente l'interazione con una macchina. I contenuti generati o manipolati artificialmente, come audio, immagini, video, testo, devono essere riconoscibili tramite una marcatura tecnica leggibile dalle macchine. I deepfake vanno dichiarati come tali, e i sistemi di riconoscimento delle emozioni o di categorizzazione biometrica richiedono un'informativa preventiva alle persone esposte.
Per molte imprese italiane queste prescrizioni incidono direttamente sui flussi di comunicazione, customer care e produzione di contenuti già operativi.
Un esempio può aiutare a chiarire la portata di questi obblighi: un'impresa manifatturiera che abbia introdotto un assistente virtuale sul proprio sito per gestire le richieste commerciali, e che utilizzi strumenti generativi per produrre schede prodotto o materiali di comunicazione, si trova già oggi nel perimetro dell'articolo 50.
Cosa deve fare. dunque? Segnalare all'utente che sta dialogando con un sistema automatico e garantire che i contenuti generati siano riconoscibili come tali. Non si tratta di adempimenti complessi sul piano tecnologico, ma richiedono consapevolezza di dove e come l'AI è effettivamente impiegata in azienda.
Cosa che spesso avviene in modo più diffuso e meno governato di quanto il management immagini.
L'impatto organizzativo
La vera difficoltà è dunque molto più organizzativa che tecnica. La conformità all'AI Act richiede il coordinamento tra IT, ufficio legale, risorse umane e marketing. Significa dotarsi di policy interne sull'uso dell'AI, documentare la formazione del personale, costruire un inventario dei sistemi di intelligenza artificiale effettivamente in uso e garantirne la tracciabilità anche in chiave GDPR.
Senza questi presupposti, l'azienda resta esposta in caso di controllo da parte delle autorità competenti.
Conclusioni e prospettive
Questo AI Act, e in particolar modo la scadenza del 2 agosto, va dunque vista dalle aziende come un'occasione: quella di dotarsi finalmente di una governance dell'intelligenza artificiale.
Un'impresa che sa quali sistemi di AI utilizza, con quali dati, con quali responsabilità e con quali garanzie di trasparenza verso clienti e dipendenti, non sta solo evitando una sanzione: sta costruendo un asset di fiducia e affidabilità che pesa sempre di più nei rapporti commerciali B2B, dove la richiesta di garanzie sulla catena tecnologica è in costante aumento.
