AI Act 2 agosto 2026: cosa cambia davvero

Perché il calendario che trovi online è spesso sbagliato

Per due anni il 2 agosto 2026 è stato indicato come il giorno in cui sarebbero scattati gli obblighi per i sistemi ad alto rischio: selezione del personale, merito creditizio, biometria, istruzione, giustizia, infrastrutture critiche.

Quel calendario è superato. Il pacchetto di semplificazione noto come Digital Omnibus sull'IA, che modifica il Regolamento (UE) 2024/1689, è stato approvato dal Parlamento europeo il 16 giugno 2026 e adottato in via definitiva dal Consiglio dell'Unione europea il 29 giugno 2026. Le nuove scadenze decorrono dalla pubblicazione del regolamento di modifica in Gazzetta Ufficiale dell'Unione europea.

Molti contenuti pubblicati prima di giugno 2026 non sono stati aggiornati. È il motivo per cui oggi circolano informazioni contraddittorie sulla stessa data.

Il calendario aggiornato

Data	Cosa si applica	Stato
2 febbraio 2025	Divieto delle pratiche a rischio inaccettabile (art. 5) e obbligo di alfabetizzazione all'IA del personale (art. 4)	Già in vigore
2 agosto 2025	Obblighi per i modelli di IA per finalità generale (GPAI), impianto di governance e quadro sanzionatorio	Già in vigore
2 agosto 2026	Obblighi di trasparenza (art. 50) e piena operatività di governance e sanzioni: le autorità nazionali ottengono pieni poteri	Imminente
2 dicembre 2026	Marcatura leggibile automaticamente dei contenuti generati dall'IA; nuovo divieto per i sistemi di “nudificazione” e per la generazione di materiale di abuso sessuale su minori	In arrivo
2 agosto 2027	Termine per l'istituzione degli spazi di sperimentazione normativa (regulatory sandbox) a livello nazionale	Rinviato
2 dicembre 2027	Obblighi per i sistemi ad alto rischio autonomi (Allegato III)	Rinviato
2 agosto 2028	Obblighi per i sistemi ad alto rischio integrati in prodotti già regolati da normative settoriali, come dispositivi medici e macchinari (Allegato I)	Rinviato

In Italia resta pienamente operativa la Legge 132/2025, che ha recepito l'AI Act nell'ordinamento nazionale, introdotto il reato di deepfake e rafforzato il collegamento con la responsabilità amministrativa degli enti (Modello 231).

Cosa devi fare entro il 2 agosto 2026

Gli obblighi che diventano applicabili riguardano la trasparenza: le persone devono sapere quando stanno interagendo con un sistema di intelligenza artificiale o quando un contenuto è stato generato artificialmente.

In concreto, se la tua organizzazione:

• usa un chatbot o un assistente virtuale a contatto con clienti o cittadini, deve essere dichiarato come tale;
• pubblica contenuti generati o modificati con IA, questi vanno segnalati;
• usa sistemi di riconoscimento delle emozioni o categorizzazione biometrica, deve informare le persone esposte;
• produce deepfake o contenuti sintetici, deve dichiararne l'origine artificiale.

A questi si aggiunge l'obbligo, già in vigore dal febbraio 2025 e spesso ignorato, di garantire un livello adeguato di alfabetizzazione all'IA del personale che utilizza questi strumenti. Il Digital Omnibus ne ha attenuato la formulazione, passando da “garantire” a “promuovere”, ma non ha eliminato la responsabilità in capo all'organizzazione.

Le sanzioni: i numeri reali

Il regime sanzionatorio dell'AI Act è articolato su tre livelli, e vale la pena conoscerli con precisione perché la cifra che circola più spesso — 35 milioni di euro — si riferisce solo alla fascia più grave.

• Pratiche vietate (art. 5): fino a 35 milioni di euro o il 7% del fatturato mondiale annuo, se superiore.
• Violazione degli altri obblighi, inclusi quelli di trasparenza dell'art. 50: fino a 15 milioni di euro o il 3% del fatturato mondiale annuo.
• Informazioni inesatte o fuorvianti fornite alle autorità: fino a 7,5 milioni di euro o l'1%.

Per le PMI si applica l'importo inferiore tra i due parametri, non il maggiore.

Il rinvio non è una pausa

È la lettura più pericolosa di questa fase. Il rinvio sposta la compliance “pesante” sui sistemi ad alto rischio, ma non elimina la necessità di prepararsi.

Un percorso completo di conformità per un sistema ad alto rischio — sistema di gestione del rischio, data governance ai sensi dell'art. 10, sorveglianza umana, documentazione tecnica, valutazione di conformità — richiede mediamente tra 8 e 14 mesi. Gli organismi notificati segnalano già agende sature. Chi inizia nel 2027 arriverà in ritardo alla scadenza del 2027.

Nel frattempo restano pienamente applicabili i divieti, gli obblighi di trasparenza e l'AI literacy: non è tempo di attesa, è tempo di mappatura.

Checklist operativa

1. Inventario dei sistemi di IA in uso nell'organizzazione, inclusi gli strumenti generativi adottati spontaneamente dal personale (ChatGPT, Copilot, Gemini e simili).
2. Classificazione per livello di rischio secondo l'AI Act: pratiche vietate, alto rischio, rischio limitato, rischio minimo.
3. Verifica degli obblighi di trasparenza: informative, disclosure sui chatbot, marcatura dei contenuti generati.
4. Formazione del personale documentata, con registro delle ore e attestati.
5. Policy aziendale sull'uso dell'IA, integrata con la documentazione GDPR esistente.
6. Registro dei sistemi di IA, da tenere aggiornato come si fa con il registro dei trattamenti.
7. Verifica dei fornitori: quali sistemi di IA sono incorporati nei software che già utilizzi.

Se vuoi approfondire il quadro complessivo degli obblighi e dei servizi di adeguamento, trovi tutto nella pagina dedicata alla consulenza AI Act. Sul perché convenga affidare GDPR e AI Act alla stessa figura, ho scritto un approfondimento specifico: GDPR e AI Act: perché serve un DPO che li conosca entrambi.

Domande frequenti

L'AI Act si applica alla mia azienda se uso solo ChatGPT o Copilot?

Sì. L'utilizzo di sistemi di IA generativa in ambito lavorativo rende l'organizzazione un “deployer” ai sensi del Regolamento. L'obbligo di alfabetizzazione del personale è già applicabile dal febbraio 2025, e dal 2 agosto 2026 si aggiungono gli obblighi di trasparenza dove i sistemi sono a contatto con il pubblico.

Cosa scatta esattamente il 2 agosto 2026?

Gli obblighi di trasparenza dell'art. 50 e la piena operatività del sistema di governance e vigilanza: le autorità nazionali acquisiscono pieni poteri di controllo e sanzione. Non scattano gli obblighi sui sistemi ad alto rischio, rinviati dal Digital Omnibus.

Gli obblighi sui sistemi ad alto rischio sono stati cancellati?

No, solo rinviati. I sistemi dell'Allegato III si applicano dal 2 dicembre 2027, quelli dell'Allegato I integrati in prodotti dal 2 agosto 2028. L'impianto basato sul rischio resta invariato.

Quali sono le sanzioni per chi non rispetta gli obblighi di trasparenza?

Fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, se superiore. La soglia di 35 milioni o 7% riguarda invece le pratiche vietate dall'art. 5.

Devo nominare un responsabile per l'AI Act come per il GDPR?

L'AI Act non prevede una figura obbligatoria equivalente al DPO. Nella pratica, però, gli obblighi di documentazione, valutazione del rischio e accountability sono gli stessi su cui lavora un DPO: nelle organizzazioni che ne hanno già uno, è la figura naturale a cui affidare anche il presidio dell'AI Act.

Da dove conviene iniziare se non ho ancora fatto nulla?

Dall'inventario dei sistemi di IA in uso e dalla formazione del personale: sono gli adempimenti già dovuti oggi e i più rapidi da mettere a terra. Su questa base si costruisce tutto il resto.