Il 2 agosto è la data fissata dall’AI Act per l’applicazione generale delle regole europee sull’intelligenza artificiale. La scadenza arriva però con un calendario riscritto a ridosso del traguardo: il Digital Omnibus rinvia al 2027 e 2028 gli obblighi sui sistemi ad alto rischio. Per le imprese scattano comunque due novità sostanziali: gli obblighi di trasparenza verso gli utenti e le nuove sanzioni.
In sintesi:
- dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’art. 50 del Regolamento (UE) n. 2024/1689 su chatbot, deepfake e sistemi di riconoscimento delle emozioni;
- dalla stessa data la UE può sanzionare i fornitori di modelli GPAI ai sensi dell’art. 101, con ammende fino al 3% del fatturato mondiale o 15 milioni di euro;
- il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell’Unione europea del 24 luglio 2026 e in vigore dal 27 luglio, sposta gli obblighi sui sistemi ad alto rischio al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I);
- la marcatura leggibile dalle macchine dei contenuti generati dall’IA scatta il 2 dicembre 2026, insieme ai nuovi divieti su deepfake sessuali e materiale di abuso su minori;
- in Italia la legge n. 132/2025 affida la vigilanza all’ACN e le funzioni di notifica all’AgID.
Gli obblighi AI Act che scattano il 2 agosto 2026
Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’art. 50 dell’AI Act, il regime sanzionatorio nazionale dell’art. 99 e le ammende della Commissione sui fornitori di modelli GPAI previste dall’art. 101. È il blocco di norme che l’art. 113 del Regolamento riserva all’applicazione generale, insieme all’avvio della sorveglianza del mercato da parte delle autorità nazionali.
I modelli GPAI (General Purpose Artificial Intelligence), i sistemi generalisti di grandi dimensioni come ChatGpt, Gemini e Deepseek addestrati con oltre 10^23 FLOPS, sono già soggetti dal 2 agosto 2025 agli obblighi su documentazione, diritto d’autore e sintesi dei contenuti di addestramento. Dal 2 agosto 2026 le violazioni diventano sanzionabili: la Commissione, tramite l’AI Office, può applicare ammende fino al 3% del fatturato mondiale annuo o a 15 milioni di euro, se superiore. Le regole non riguardano i modelli open source, che pubblicano per definizione i propri parametri.
Il rinvio dei sistemi ad alto rischio con l’Omnibus sull’IA
Il Digital Omnibus sull’IA sposta al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio autonomi dell’Allegato III e al 2 agosto 2028 quelli per i sistemi integrati nei prodotti dell’Allegato I. L’iter è stato compresso per chiudere prima della scadenza di agosto: proposta della Commissione il 19 novembre 2025, accordo politico il 7 maggio 2026, voto del Parlamento europeo il 16 giugno e adozione del Consiglio il 29 giugno. Il nuovo calendario è vincolante dal 27 luglio 2026, terzo giorno successivo alla pubblicazione del Regolamento (UE) 2026/1744 nella Gazzetta ufficiale dell’Unione europea del 24 luglio.
Il rinvio non equivale a una sospensione: la mappatura dei sistemi di IA in uso e la classificazione del rischio richiedono mesi di lavoro e le imprese che impiegano software di selezione del personale, credit scoring o controlli biometrici hanno ora una finestra in più per arrivare pronte. Slitta al 2 agosto 2027 anche il termine per le sandbox normative nazionali, gli ambienti controllati in cui testare soluzioni innovative.
L’intervento sull’IA è parte del più ampio pacchetto Omnibus VII, che tocca anche GDPR e regole sui dati: tra le semplificazioni, la valutazione d’impatto sui diritti fondamentali (FRIA, art. 27) potrà essere assorbita nella DPIA e una nuova base giuridica consente il trattamento di categorie particolari di dati per la correzione dei bias. Dal 2 dicembre 2026 si applicano inoltre i due nuovi divieti aggiunti all’art. 5: la generazione di immagini intime non consensuali tramite app di nudificazione e il materiale di abuso sessuale su minori creato con l’IA.
Chatbot e contenuti generati, la trasparenza verso gli utenti
Chi impiega un chatbot rivolto a clienti o dipendenti deve rendere riconoscibile fin dall’inizio dell’interazione che l’interlocutore è un sistema di IA, come previsto dall’art. 50 del Regolamento (UE) n. 2024/1689. Gli obblighi di trasparenza in applicazione dal 2 agosto 2026 riguardano in particolare:
- i fornitori di sistemi destinati a interagire con le persone, progettati in modo da rendere evidente la natura artificiale dell’interlocutore;
- i deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, tenuti a informare le persone esposte;
- chi produce o diffonde deepfake, con l’obbligo di dichiarare l’origine artificiale del contenuto.
La marcatura leggibile dalle macchine dei contenuti generati o manipolati dall’IA (art. 50, par. 2) è invece rinviata al 2 dicembre 2026, con il periodo di tolleranza per i fornitori ridotto da sei a tre mesi.
Il calendario aggiornato dell’AI Act dopo l’Omnibus
Il 2 agosto 2026 è confermato come data di applicazione generale del Regolamento europeo sull’intelligenza artificiale, con le eccezioni ridefinite dall’Omnibus. La tabella riepiloga le scadenze aggiornate per ciascun blocco di obblighi.
| Adempimento | Data di applicazione |
|---|---|
| Divieti sulle pratiche vietate (art. 5) e alfabetizzazione IA (art. 4) | già applicabili dal 2 febbraio 2025 |
| Obblighi per i fornitori di modelli GPAI (Capo V) | dal 2 agosto 2025 |
| Trasparenza verso gli utenti (art. 50, par. 1, 3 e 4) | dal 2 agosto 2026 |
| Sanzioni nazionali (art. 99) e ammende GPAI della Commissione (art. 101) | dal 2 agosto 2026 |
| Marcatura leggibile dalle macchine dei contenuti generati (art. 50, par. 2) | dal 2 dicembre 2026 |
| Nuovi divieti su deepfake sessuali e materiale di abuso su minori | dal 2 dicembre 2026 |
| Sandbox normative nazionali | entro il 2 agosto 2027 |
| Sistemi ad alto rischio autonomi (Allegato III) | dal 2 dicembre 2027 |
| Sistemi ad alto rischio integrati nei prodotti (Allegato I) | dal 2 agosto 2028 |
Sanzioni e autorità di vigilanza in Italia
Le violazioni dell’AI Act sono punite ai sensi dell’art. 99 con ammende fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate e fino a 15 milioni o al 3% per l’inosservanza degli altri obblighi; per PMI e start-up si applica l’importo o la percentuale inferiore tra i due.
In Italia la legge n. 132/2025 designa l’Agenzia per la cybersicurezza nazionale (ACN) come autorità di vigilanza e l’Agenzia per l’Italia digitale (AgID) come autorità di notifica. Il Governo ha avviato il raccordo con l’assetto europeo attraverso un nuovo decreto su autorità nazionali e formazione, approvato in via preliminare in Consiglio dei Ministri, che definisce poteri delle agenzie e obblighi di alfabetizzazione del personale che utilizza sistemi di IA.
