Dal 2 agosto 2026 in vigore l’AI Act UE: le nuove regole sull’intelligenza artificiale

Il conto alla rovescia è quasi finito. Dal 2 agosto 2026 l’Unione Europea attiva la fase più pervasiva dell’AI Act, il regolamento sull’intelligenza artificiale approvato nel marzo 2024 e da allora entrato in vigore per gradi. Non si tratta più di divieti che riguardano pochi casi estremi o di obblighi rivolti soltanto a chi costruisce i modelli: da quella data cambiano le regole per una platea enorme di soggetti, comprese tutte le imprese, le pubbliche amministrazioni e i professionisti che semplicemente usano sistemi di IA nel proprio lavoro quotidiano.

La parola chiave è trasparenza. Chi dialoga con un chatbot, chi guarda un video generato artificialmente o chi riceve una risposta automatizzata da una banca deve poterlo sapere. Ma attenzione: rispetto alle attese originarie, il quadro delle scadenze è cambiato in corsa. Un accordo politico noto come Digital Omnibus ha rimescolato le carte, rinviando alcuni degli obblighi più temuti. Vediamo cosa scatta davvero e cosa invece è stato spostato più avanti.

In questo articolo scoprirai:

• AI Act, cosa cambia davvero dal 2 agosto 2026
• Obblighi di trasparenza: chatbot, deepfake e contenuti sintetici
• Modelli GPAI: l'enforcement dell'AI Act diventa concreto
• Il rinvio dei sistemi ad alto rischio e il Digital Omnibus
• Sanzioni dell'AI Act e cosa fare adesso

AI Act, cosa cambia davvero dal 2 agosto 2026

La data del 2 agosto 2026 segna un doppio passaggio. Da un lato diventano pienamente operativi gli obblighi di trasparenza previsti dall’articolo 50, quelli che impongono di dichiarare quando un contenuto o un’interazione è generata dall’intelligenza artificiale. Dall’altro, la Commissione europea acquisisce poteri di enforcement effettivi sui fornitori dei modelli general-purpose (GPAI), che finora avevano regole ma nessuna conseguenza immediata in caso di violazione.

È importante chiarire un equivoco diffuso: il 2 agosto 2026 non è la data in cui scattano gli obblighi sui sistemi ad alto rischio. Quelle norme, le più stringenti, sono state posticipate. Ciò che entra in vigore riguarda soprattutto la relazione tra i sistemi di IA e le persone che li utilizzano o ne subiscono gli effetti. Come nota lo studio legale Gibson Dunn, gli obblighi dell’articolo 50 «restano sul calendario originale, non toccati dal rinvio delle regole sull’alto rischio». Una lettura confermata anche dall’analisi di Technology.org su ciò che davvero si applica da quella data.

Il regolamento, va ricordato, non nasce nel vuoto: è la risposta europea a un’adozione dell’IA cresciuta più in fretta delle tutele. Abbiamo approfondito le ragioni di fondo in perché la normativa sull’AI è diventata inevitabile. Il punto centrale della nuova fase è ampliare il raggio d’azione: l’AI Act non riguarda soltanto le big tech che sviluppano i modelli, ma «anche e soprattutto chi quei sistemi li utilizza», dalle PMI agli enti pubblici che comunicano con i cittadini. Non stupisce che la posta in gioco sia alta: secondo lo Stanford AI Index 2026, l’adozione dell’IA nelle imprese ha ormai superato la soglia critica oltre la quale la governance diventa ineludibile.

Obblighi di trasparenza: chatbot, deepfake e contenuti sintetici

Il cuore operativo della nuova fase è l’articolo 50. Le sue previsioni possono sembrare tecniche, ma nella pratica toccano gesti quotidiani. La regola generale è semplice: le persone hanno diritto di sapere quando stanno interagendo con una macchina o quando ciò che vedono è stato creato artificialmente. Come evidenzia inno3, l’obbligo colpisce trasversalmente chiunque usi l’IA, non solo chi la sviluppa.

Cosa impone l’articolo 50 dell’AI Act

Gli obblighi si dividono in base al ruolo. I fornitori di sistemi che dialogano direttamente con le persone devono informare l’utente che sta parlando con un’IA, a meno che non sia già ovvio dal contesto. Chi genera audio, immagini, video o testi sintetici deve fare in modo che questi output siano «leggibili dalla macchina e rilevabili come artificialmente generati o manipolati», tramite metadati, watermark o meccanismi crittografici di provenienza, come riassume Sidley nel suo Data Matters Privacy Blog. Il testo integrale della norma è consultabile sul portale ufficiale dell’Artificial Intelligence Act.

Sul fronte dei deployer, cioè chi utilizza i sistemi, gli obblighi riguardano soprattutto i deepfake: chi diffonde immagini, audio o video che ritraggono persone reali in modo artificiale deve dichiararlo apertamente. Esiste un’eccezione per le opere chiaramente artistiche, satiriche o di fantasia, dove l’obbligo non deve rovinare la fruizione dell’opera. Analogamente, chi impiega sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone coinvolte, nel rispetto del GDPR.

Un dettaglio pratico spesso trascurato: per i sistemi già presenti sul mercato prima del 2 agosto 2026 è previsto un periodo di grazia di quattro mesi, fino al 2 dicembre 2026, per adeguarsi ai requisiti di marcatura dei contenuti. Come ricorda Agenda Digitale, le aziende dovrebbero mappare da subito i propri contenuti generati dall’IA. Chi vuole capire come conciliare queste regole con la protezione dei dati può partire dalla nostra guida su sicurezza, GDPR e AI.

Modelli GPAI: l’enforcement dell’AI Act diventa concreto

Il secondo grande cambiamento riguarda i modelli di intelligenza artificiale general-purpose, quelli capaci di svolgere molti compiti diversi, dalla generazione di testo a quella di immagini e codice. Gli obblighi sui GPAI erano già formalmente in vigore dal 2 agosto 2025, ma senza un vero apparato sanzionatorio. Con il 2 agosto 2026, come sottolinea il portale specializzato AIPIA, «l’AI Act smette di essere, per i fornitori GPAI, un insieme di obblighi senza conseguenze immediate».

L’AI Office e la vigilanza centralizzata sui GPAI

Da quella data la Commissione europea, attraverso l’AI Office, esercita una vigilanza diretta e centralizzata sui modelli fondativi. È una scelta significativa: mentre i sistemi ad alto rischio restano sotto la supervisione delle autorità nazionali, i GPAI vengono gestiti a livello europeo, con un unico interlocutore. L’AI Office coordina l’applicazione delle regole, valuta i modelli e sviluppa metodologie di assessment.

Gli strumenti a disposizione della Commissione sono robusti: poteri d’indagine, ispezioni, possibilità di accettare impegni vincolanti e di comminare sanzioni. In cambio, l’adesione al Code of Practice volontario offre ai fornitori una presunzione di conformità che rafforza la loro posizione legale. Gli obblighi concreti per chi sviluppa questi modelli restano quelli noti: documentazione tecnica, trasparenza verso chi integra il modello e tutela del diritto d’autore sui dati di addestramento.

Effetti a cascata dell’enforcement GPAI sulle imprese

Le conseguenze si propagano a cascata. Un’azienda che integra un modello GPAI nei propri prodotti rischia problemi di continuità operativa se il fornitore riceve un ordine correttivo. Scegliere un fornitore conforme diventa così una strategia di business, non solo un adempimento burocratico. Vale anche per chi costruisce agenti e automazioni: la scelta del modello di base condiziona l’intera catena di responsabilità. Per capire come funzionano questi modelli alla base, resta utile la nostra guida sull’intelligenza artificiale generativa.

Il rinvio dei sistemi ad alto rischio e il Digital Omnibus

Qui arriva la novità più rilevante rispetto alle previsioni iniziali. Con il Digital Omnibus, l’accordo politico raggiunto nella primavera 2026, l’Unione ha deciso di posticipare gli obblighi più onerosi, quelli sui sistemi ad alto rischio dell’Allegato III: biometria, occupazione, istruzione, accesso a servizi essenziali, forze dell’ordine.

Le nuove scadenze parlano chiaro. I sistemi ad alto rischio standalone dell’Allegato III slittano dal 2 agosto 2026 al 2 dicembre 2027. I sistemi ad alto rischio integrati in prodotti già regolati dall’Allegato I passano invece al 2 agosto 2028. È un rinvio consistente, motivato dalla complessità tecnica di adeguamento e dalla necessità di standard armonizzati che ancora mancano.

Attenzione, però, a leggere il rinvio come un via libera. Come avverte lo studio iSimply, non si tratta di «un liberi tutti, ma di una finestra di tempo in più per arrivare preparati». Restano infatti già pienamente operativi e sanzionabili due blocchi: i divieti sulle pratiche di IA a rischio inaccettabile (articolo 5), in vigore dal 2 febbraio 2025, e appunto gli obblighi sui GPAI. Il Digital Omnibus ha anche introdotto un nuovo divieto sulle immagini intime non consensuali e sul materiale pedopornografico generato dall’IA, con periodo transitorio fino al 2 dicembre 2026.

In sostanza, le imprese hanno più tempo per la parte più complessa, ma non per la trasparenza. E chi lavora nell’ambito HR, biometrico o dei servizi pubblici farebbe bene a usare questa proroga per prepararsi con calma: il tema è particolarmente sentito per chi introduce l’automazione nella selezione del personale, come raccontiamo nella guida sugli agenti AI per le Risorse Umane. Un quadro completo delle scadenze è disponibile anche nei nostri obblighi e scadenze 2026 per le aziende italiane.

Sanzioni dell’AI Act e cosa fare adesso

Il regime sanzionatorio è ciò che dà mordente all’intero impianto. Le multe sono calibrate sulla gravità della violazione e possono raggiungere cifre imponenti: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o il 3% del fatturato per l’inosservanza degli altri obblighi, inclusa la trasparenza, e fino a 7,5 milioni o l’1% per la trasmissione di informazioni inesatte. Per le PMI si applica l’importo inferiore tra i due parametri, un temperamento pensato per non schiacciare le imprese più piccole.

Le azioni prioritarie per le aziende

Cosa conviene fare da subito? Le indicazioni convergenti degli esperti disegnano una checklist chiara. Il primo passo è mappare tutti i sistemi di IA in uso, compresa la cosiddetta shadow AI adottata dai dipendenti senza autorizzazione. Segue la classificazione del rischio secondo le categorie dell’AI Act e la designazione di un responsabile della supervisione.

Sul piano documentale servono log immutabili che provino la conformità, fascicoli pronti per eventuali ispezioni e l’allineamento dei contratti tra AI Act e GDPR per il trattamento dati. C’è poi un obbligo spesso dimenticato: l’alfabetizzazione all’IA del personale (articolo 4), già cogente da 18 mesi. Standard come la ISO/IEC 42001 offrono una struttura ordinata per gestire tutti questi adempimenti. In un contesto dove la regolamentazione non è più un’opzione ma un vincolo operativo, arrivare preparati al 2 agosto 2026 significa trasformare la compliance da costo a vantaggio competitivo.

Fonti:

• Agenda Digitale — Obblighi di trasparenza AI Act dal 2 agosto 2026
• inno3 — Usi AI e obbligo di trasparenza dal 2 agosto
• Gibson Dunn — EU AI Act Omnibus Agreement e rinvio delle scadenze alto rischio
• Sidley Data Matters — EU AI Act transparency obligations
• Technology.org — What actually applies on 2 August 2026
• AIPIA — Enforcement AI Act e sanzioni GPAI agosto 2026
• iSimply — AI Act cosa cambia nel 2026: rinvio alto rischio e sanzioni
• Artificial Intelligence Act — Articolo 50 (testo ufficiale)