Il 2 agosto 2026 l’AI Act smette di essere una cornice giuridica annunciata e diventa uno strumento con poteri sanzionatori reali: scattano gli obblighi pieni per i sistemi ad alto rischio e le sanzioni per i fornitori di modelli generativi. Per le aziende italiane non è solo una scadenza burocratica, ma il momento in cui chi ha governato bene l’intelligenza artificiale si distingue da chi l’ha solo adottata. Capire chi è responsabile, quali strumenti rientrano davvero negli obblighi e come distinguere il proprio ruolo da quello del fornitore è la differenza tra subire la norma e usarla come leva competitiva.
Per tradurre gli obblighi dell’AI Act in prassi operativa, la guida alla governance degli agenti AI in azienda tra policy, audit e partner parte da qui.
Proprio per non arrivare impreparate al 2 agosto, molte imprese scelgono di affrontare la compliance all’AI Act con un partner tecnologico che conosca sia la norma sia gli agenti AI.
In questo articolo scoprirai:
- Cosa cambia concretamente il 2 agosto 2026 e quali scadenze potrebbero slittare con il Digital Omnibus
- Come la Legge 132/2025 integra l’AI Act in Italia e quali poteri hanno AgID e ACN
- La differenza tra fornitore e utilizzatore e perché può trasformare un deployer in provider
- Le sanzioni fino al 7% del fatturato globale e i rischi reali oltre la multa
- La checklist operativa in 6 passi per arrivare conformi al 2 agosto 2026
Che cos’è l’AI Act e come si applica in Italia
L’AI Act è il Regolamento UE 2024/1689, il primo quadro giuridico organico sull’intelligenza artificiale al mondo. È in vigore dal 1° agosto 2024, ma la sua applicazione è scaglionata su più anni proprio per dare alle imprese il tempo di adeguarsi. Trattandosi di un regolamento europeo, vale direttamente in Italia senza bisogno di recepimento: non è una legge da “tradurre”, è già diritto applicabile.
Il cuore dell’impianto è l’approccio basato sul rischio. L’AI non viene regolata in blocco, ma in base a cosa fa e in quale contesto. Quattro i livelli: rischio inaccettabile (pratiche vietate, come il social scoring o la manipolazione subliminale), rischio alto (sistemi che incidono su diritti e opportunità delle persone), rischio limitato (chatbot e contenuti generati, soggetti a obblighi di trasparenza) e rischio minimo (la stragrande maggioranza dei software, senza obblighi specifici).
Tradotto per chi decide: la domanda non è “uso l’AI?”, ma “per cosa la uso?”. Un filtro antispam e un software che seleziona i curriculum vivono in due mondi normativi opposti, anche se entrambi sono “AI”. Questa logica proporzionata è anche la ragione per cui, come abbiamo già raccontato, la normativa sull’AI è diventata inevitabile: serve a costruire fiducia, non a frenare l’innovazione. Capire dove cadono i tuoi sistemi è il primo passo concreto: tutto il resto degli obblighi discende da questa classificazione.
Legge 132/2025: la normativa italiana che integra l’AI Act
L’Italia non si è limitata a recepire passivamente il regolamento europeo. Con la Legge 23 settembre 2025 n. 132, in vigore dal 10 ottobre 2025, è diventata il primo Paese UE a dotarsi di un quadro nazionale pienamente allineato all’AI Act. La legge non sostituisce il regolamento europeo: lo integra, aggiungendo principi e regole specifiche per il contesto italiano.
I pilastri sono tre: uso antropocentrico, trasparente e sicuro dell’intelligenza artificiale. La legge interviene su settori sensibili, sanità (con centralità della figura del medico), lavoro (tutela della dignità del lavoratore), pubblica amministrazione e giustizia (decisioni sempre tracciabili e mai delegate interamente alla macchina), professioni intellettuali, diritto d’autore e reati come i deepfake.
Governance nazionale AI Act: i ruoli di AgID e ACN
Sul piano operativo, la novità che le aziende devono conoscere è la governance nazionale: due agenzie si dividono i compiti. L’AgID (Agenzia per l’Italia Digitale) gestisce le notifiche e promuove i casi d’uso sicuri; l’ACN (Agenzia per la Cybersicurezza Nazionale) ha i poteri di vigilanza, ispezione e sanzione, e funge da punto di contatto con la Commissione europea. Sapere “chi controlla” non è un dettaglio: è chi busserà alla porta in caso di verifica.
A giugno 2026 il quadro si è ulteriormente definito: il Consiglio dei Ministri ha approvato in via preliminare il decreto sulle autorità nazionali, che conferma il ruolo di AgID e ACN, istituisce una sandbox sperimentale dedicata a PMI e startup e ribadisce un principio cruciale per chi gestisce il personale: le decisioni sul lavoro non possono basarsi unicamente su un sistema automatico. Il controllo umano resta obbligatorio.
Scadenze AI Act 2026: cosa cambia il 2 agosto per i sistemi general purpose
L’applicazione dell’AI Act procede a tappe. Dal 2 febbraio 2025 sono già in vigore i divieti sulle pratiche inaccettabili e gli obblighi di alfabetizzazione AI (art. 4): il personale che usa strumenti di intelligenza artificiale deve avere competenze proporzionate al proprio ruolo. Dal 2 agosto 2025 si applicano gli obblighi per i modelli GPAI, i sistemi “general purpose” come GPT, Claude o Gemini, su documentazione tecnica, trasparenza sui dati di addestramento e rispetto del copyright.
Il 2 agosto 2026 è il vero giro di boa. Da quella data scattano le sanzioni per i fornitori di modelli GPAI (art. 101), entrano in piena applicazione gli obblighi per i sistemi ad alto rischio e diventano vincolanti gli obblighi di trasparenza dell’art. 50 (segnalare l’interazione con un’AI e marcare i contenuti sintetici). Per i modelli con rischio sistemico, quelli addestrati con una potenza di calcolo pari o superiore a 10^25 FLOP, sono previsti obblighi rafforzati come red-teaming indipendente e notifica preventiva.
Digital Omnibus: le scadenze AI Act che potrebbero slittare
Qui serve una precisazione che cambia la strategia. È in corso il “Digital Omnibus”, il pacchetto di semplificazione su cui Parlamento e Consiglio UE hanno raggiunto un accordo provvisorio nel maggio 2026. Se confermato, alcune scadenze per i sistemi ad alto rischio slitterebbero al 2 dicembre 2027 e al 2 agosto 2028, e le sandbox nazionali al 2 agosto 2027.
Attenzione però: non è un via libera ad aspettare. L’accordo non è ancora formalmente adottato, riguarda principalmente l’alto rischio, e non tocca i divieti, gli obblighi di etichettatura né le regole sui modelli GPAI con le relative sanzioni dal 2 agosto 2026. Costruire la propria roadmap sull’ipotesi di un rinvio significa scommettere su un testo non definitivo, rinunciando intanto al vantaggio di chi si organizza per tempo.
Obblighi AI Act per le aziende italiane: chi deve adeguarsi e a quale livello di rischio
Il primo chiarimento è anche il più frainteso: la maggior parte delle aziende italiane non costruisce sistemi AI, li usa. L’AI Act distingue due ruoli con responsabilità diverse. Il fornitore (provider) sviluppa e immette sul mercato il sistema. L’utilizzatore (deployer) lo integra nei propri processi: chi adotta ChatGPT per produrre contenuti, un CRM con funzioni predittive, un chatbot sul sito o un software HR che valuta i candidati è un deployer. La quota maggiore di obblighi pesa sul provider, ma il deployer non è esente, e attenzione: se modifichi sostanzialmente un sistema o lo distribuisci con il tuo marchio, l’AI Act ti considera fornitore a tutti gli effetti.
Obblighi AI Act per i sistemi ad alto rischio
Il livello di obbligo dipende dalla classificazione del rischio. Per i sistemi ad alto rischio, l’Allegato III elenca recruiting e gestione HR, credit scoring, accesso a servizi essenziali, istruzione e biometria, gli obblighi sono sostanziali: sistema di gestione del rischio, data governance per prevenire i bias, supervisione umana effettiva, conservazione dei log, documentazione tecnica e, per i deployer, valutazione d’impatto sui diritti fondamentali (FRIA) e informativa alle persone coinvolte.
Un esempio concreto: una banca che usa l’AI per approvare i prestiti gestisce un sistema ad alto rischio e deve implementare l’intera architettura di conformità. Un e-commerce con un motore di raccomandazione prodotti, invece, ricade probabilmente nel rischio limitato e deve solo garantire trasparenza. Lo stesso vale per il recruiting: come abbiamo approfondito nella guida sugli agenti AI per le Risorse Umane, automatizzare lo screening dei candidati fa scattare gli obblighi più stringenti.
Per i sistemi a rischio limitato, chatbot e contenuti generati, l’obbligo è di trasparenza: l’utente deve sapere che sta interagendo con un’AI. È un investimento minimo che, peraltro, si allinea con i principi di adozione responsabile che valgono anche per GDPR e protezione dei dati.
Sanzioni e rischi concreti della non conformità
Le sanzioni dell’AI Act sono calibrate sulla gravità della violazione e, dal 2 agosto 2026, diventano pienamente esigibili. La scala è su tre livelli: fino a 35 milioni di euro o il 7% del fatturato globale per l’uso di pratiche vietate; fino a 15 milioni o il 3% per la non conformità dei sistemi ad alto rischio; fino a 7,5 milioni o l’1% per informazioni false fornite alle autorità.
Per le PMI e le startup è prevista una mitigazione precisa: si applica l’importo inferiore tra la cifra fissa e la percentuale sul fatturato, proprio per evitare che la sanzione sia sproporzionata rispetto alle dimensioni dell’impresa. È una garanzia importante, ma non un lasciapassare.
Il rischio economico, però, non si esaurisce nella multa. Un sistema non conforme può essere sospeso o ritirato dal mercato: significa spegnere uno strumento su cui magari poggia un processo aziendale critico, da un giorno all’altro. A questo si aggiunge il danno reputazionale, difficile da quantificare ma molto concreto quando un cliente o un investitore scopre che gestisci dati e decisioni con sistemi fuori norma. Vista così, la conformità non è la spesa per evitare una sanzione: è l’assicurazione sulla continuità operativa di ciò che hai costruito.
Come prepararsi all’AI Act: checklist di compliance per le PMI
La buona notizia per chi decide è che il percorso è sequenziale e gestibile. Non serve un dipartimento legale interno: serve metodo. Ecco la checklist operativa da impostare prima del 2 agosto 2026.
Checklist AI Act: i passi operativi prima del 2 agosto 2026
- Mappa i tuoi sistemi AI. Inventaria tutti gli strumenti che usano intelligenza artificiale, inclusi quelli “nascosti” dentro software SaaS di terzi: CRM, automation marketing, gestionali HR, chatbot, sistemi di raccomandazione. Non puoi governare ciò che non sai di avere.
- Classifica il rischio di ognuno. Per ogni sistema, determina il livello (inaccettabile, alto, limitato, minimo). È questo passaggio che definisce quali obblighi ti riguardano davvero.
- Forma le persone. L’alfabetizzazione AI è già obbligatoria: assicurati che chi usa questi strumenti abbia competenze proporzionate al ruolo.
- Allinea i contratti con i fornitori. Chiarisci nero su bianco chi è provider e chi è deployer nei contratti SaaS, e fatti consegnare la documentazione tecnica.
- Documenta supervisione umana e log per i sistemi ad alto rischio, e prepara la valutazione d’impatto dove richiesta.
- Nomina un responsabile. Identifica una figura, spesso il DPO, l’IT manager o un referente compliance, che coordini il processo e tenga aggiornata la mappatura.
Il punto chiave è non affrontare l’AI Act come un adempimento isolato. Si incastra con altri obblighi 2026 che probabilmente stai già gestendo, dal GDPR fino all’European Accessibility Act. Trattarli come un unico cantiere di governance, anziché come scadenze separate, riduce i costi e trasforma la compliance in un asset competitivo: una PMI che dimostra di controllare i propri sistemi AI vende fiducia ai clienti e agli investitori.
AI Act e agenti AI: come governare i sistemi GPAI in azienda
Il fronte più delicato per le imprese nel 2026 sono gli agenti AI: sistemi che non si limitano a rispondere, ma agiscono, leggono documenti, interrogano database, inviano email, prendono decisioni operative. Spesso poggiano su modelli GPAI e attraversano più funzioni aziendali contemporaneamente, il che rende la classificazione del rischio meno ovvia. Un assistente che risponde ai clienti è a rischio limitato; lo stesso agente, se inizia a scremare candidature o a deliberare su una pratica di credito, scivola nell’alto rischio.
Governare gli agenti AI GPAI: tracciabilità e supervisione umana
Governarli bene significa applicare tre principi che l’AI Act richiede e che, non a caso, sono anche buona pratica gestionale. Primo: tracciabilità: ogni azione dell’agente deve lasciare un log consultabile. Secondo: supervisione umana significativa: per le decisioni che incidono sulle persone, un essere umano deve poter intervenire e ribaltare l’esito, non un controllo di facciata, ma effettivo. Terzo: confini chiari: l’agente deve sapere cosa può e non può fare, con limiti tecnici espliciti.
È esattamente la filosofia “mente artificiale, cuore umano”: l’AI esegue, la persona decide. Per approfondire come funzionano questi sistemi e cosa cambiano nei processi, abbiamo dedicato una guida all’AI agentica.
Qui la conformità incontra la progettazione. Adottare agenti AI pensati fin dall’origine con logging, controllo umano e trasparenza integrati significa arrivare al 2 agosto 2026 già conformi, senza interventi correttivi dell’ultimo minuto. È l’approccio con cui costruiamo Mimír AI Agent: strumenti pensati per le aziende italiane, dove la governance non è un livello aggiunto dopo, ma parte dell’architettura. Se stai valutando come introdurre agenti AI in azienda mantenendo il controllo, partire da soluzioni progettate sulla normativa europea è il modo più rapido per fare della compliance una leva, non un freno.
Fonti:
- Commissione Europea – Quadro normativo sull’IA (Regolamento UE 2024/1689)
- Dipartimento per la trasformazione digitale – Legge italiana sull’IA (L.132/2025)
- La Legge per Tutti – Legge 132/2025: le novità sull’IA in Italia
- CityNext – Decreto autorità nazionali IA e formazione (giugno 2026)
- Digitalic – AI Act, conto alla rovescia: dal 2 agosto 2026 scattano le sanzioni
- Cyberness – AI Act 2026: divieti, sanzioni e scadenze per le aziende italiane
- YellowTech – AI Act: guida completa per aziende italiane
- BrainComputing – AI Act 2026: cosa devono fare le aziende italiane
- Legal for Digital – Compliance AI Act: i modelli GPAI
- Agenda Digitale – Digital Omnibus e le modifiche all’AI Act
- Altalex – AI Act e Digital Omnibus: le scadenze da tenere sott’occhio
- Agenda Digitale – Digital Omnibus e AI Act: cosa può slittare e cosa va fatto prima di agosto 2026
- Cybersecurity360 – AI Act: i primi divieti, chi rischia le sanzioni e le prossime tappe
- AI4Business – AI Act: dal 2 agosto gli obblighi per i modelli GPAI
- Würth News – AI Act: la legge europea sull’intelligenza artificiale
