AI Act: cosa scatta il 2 agosto 2026 per imprese e professionisti
Il Regolamento (UE) 2024/1689, noto come AI Act, raggiunge il 2 agosto 2026 una delle tappe più rilevanti del proprio percorso di applicazione progressiva.
Da questa data entra in piena efficacia la maggior parte delle disposizioni ancora non operative, con effetti concreti sulle imprese e sui professionisti che sviluppano, distribuiscono o utilizzano sistemi di intelligenza artificiale nell'Unione europea.
Il regolamento, pubblicato nella Gazzetta Ufficiale dell'UE il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024, prevede un'applicazione scaglionata su più fasi:
- il divieto delle pratiche a rischio inaccettabile è scattato il 2 febbraio 2025;
- gli obblighi per i modelli di intelligenza artificiale per finalità generali (GPAI) e il quadro di governance europea sono divenuti operativi il 2 agosto 2025;
- il 2 agosto 2026 rappresenta ora la terza tappa cardine.
Cosa diventa obbligatorio dal 2 agosto 2026
Due blocchi di disposizioni diventano pienamente operativi:
| Ambito | Cosa comporta | Chi è coinvolto |
|---|---|---|
| Obblighi di trasparenza (art. 50) | I sistemi che interagiscono direttamente con le persone fisiche (chatbot, assistenti vocali, agenti conversazionali) devono dichiarare la propria natura artificiale. I contenuti sintetici generati dall'IA (testi, immagini, audio, video) devono essere identificabili come tali. | Fornitori e utilizzatori (deployer) di sistemi di IA conversazionale o generativa, incluse le imprese che li impiegano per il servizio clienti o la comunicazione con i dipendenti |
| Governance e regime sanzionatorio | Le autorità nazionali di vigilanza diventano pienamente operative nelle attività di controllo. Le imprese devono essere in grado di dimostrare la conformità agli obblighi previsti dal regolamento. | Tutti gli operatori che rientrano nel campo di applicazione del regolamento |
Il sistema sanzionatorio, già delineato dal regolamento, trova ora piena applicazione operativa:
| Violazione | Sanzione massima |
|---|---|
| Pratiche vietate (rischio inaccettabile) | 35 milioni di euro o 7% del fatturato globale annuo, se superiore |
| Violazione degli obblighi principali del regolamento | 15 milioni di euro o 3% del fatturato globale annuo, se superiore |
| Informazioni inesatte, incomplete o fuorvianti alle autorità | 7,5 milioni di euro o 1% del fatturato globale annuo, se superiore |
Le implicazioni pratiche per le imprese
Sul piano operativo, gli obblighi che scattano dal 2 agosto 2026 richiedono alle imprese un intervento concreto e non più rinviabile.
Chi utilizza chatbot, assistenti vocali o agenti conversazionali per il servizio clienti, il supporto tecnico o la comunicazione interna deve inserire un'informativa esplicita che segnali la natura artificiale dell'interlocutore, prima o durante l'interazione.
Chi produce contenuti testuali, immagini, audio o video con strumenti di IA generativa – per finalità di marketing, comunicazione istituzionale o pubblicazioni – deve rendere tali contenuti identificabili come sintetici, ad esempio tramite etichette, watermark o metadati, adeguando i flussi editoriali e i processi di approvazione già in uso.
Sul fronte della governance, le imprese devono poter dimostrare, in caso di controllo da parte delle autorità nazionali competenti, di aver mappato i sistemi di IA effettivamente impiegati (spesso introdotti in azienda senza un censimento formale), di aver individuato ruoli e responsabilità interne per la loro gestione e di disporre di una documentazione minima a supporto della conformità.
La mancata predisposizione di questi presidi espone al regime sanzionatorio ora pienamente operativo, che può incidere in modo significativo sul fatturato aziendale.
È inoltre opportuno che le imprese non attendano le scadenze del 2027-2028 per i sistemi ad alto rischio: la struttura di governance richiesta oggi per gli obblighi di trasparenza costituisce la base su cui innestare, nei prossimi mesi, gli adempimenti più stringenti previsti per quella categoria di sistemi.
Attenzione: gli obblighi sui sistemi ad alto rischio sono stati rinviati
Per due anni il 2 agosto 2026 è stato indicato come data di avvio degli obblighi per i sistemi di IA ad alto rischio individuati nell'Allegato III del regolamento (selezione del personale, valutazione del merito creditizio, sistemi biometrici, istruzione, giustizia, migrazione).
Questo calendario è stato successivamente modificato dal pacchetto di semplificazione "AI Digital Omnibus", che ha rivisto le tempistiche applicative:
| Sistemi ad alto rischio | Nuova data di applicazione |
|---|---|
| Sistemi ad alto rischio autonomi (Allegato III) | 2 dicembre 2027 |
| Sistemi ad alto rischio integrati in prodotti già regolati (Allegato I, es. dispositivi con marcatura CE in altri settori) | 2 agosto 2028 |
Il quadro normativo, la governance e le attività di controllo restano comunque pienamente attivi già dal 2026: le imprese che sviluppano o intendono utilizzare sistemi di IA classificabili come ad alto rischio devono quindi iniziare fin d'ora a strutturare i propri processi di conformità, anche in vista delle scadenze del 2027-2028.
Un'ulteriore tappa è fissata al 2 dicembre 2026, quando entreranno in vigore nuovi divieti relativi alla creazione, tramite intelligenza artificiale, di immagini intime senza consenso e di materiale di abuso sessuale su minori, oltre all'obbligo di rendere i contenuti generati dall'IA riconoscibili anche dai sistemi informatici (watermarking).
Le Linee guida della Commissione europea sull’art. 50
Il 20 luglio 2026 la Commissione europea ha approvato, con la Comunicazione C(2026) 5054 final, il testo definitivo delle Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of Regulation (EU) 2024/1689.
Si tratta di un documento non vincolante, adottato ai sensi dell'art. 96, paragrafo 1, lettera d), dell'AI Act, con la finalità di fornire indicazioni operative uniformi a provider, deployer e autorità di vigilanza sul mercato in vista dell'applicazione degli obblighi di trasparenza dal 2 agosto 2026.
Le Linee guida hanno natura interpretativa: non modificano il diritto vigente e lasciano impregiudicata la competenza della Corte di giustizia dell'Unione europea quale interprete ultimo del regolamento.
Il documento chiarisce anzitutto alcune definizioni chiave:
- Contenuto sintetico: output audio, immagine, video o testo generato o manipolato da un sistema di IA, anche se combinato con contenuti di origine umana;
- Deep fake: contenuto immagine, audio o video generato o manipolato tramite IA che presenta una somiglianza apprezzabile con persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico a una persona;
- Sistemi di riconoscimento delle emozioni e di categorizzazione biometrica: sistemi di IA volti, rispettivamente, a identificare o inferire emozioni e intenzioni di persone fisiche sulla base di dati biometrici, oppure ad assegnare persone fisiche a categorie specifiche sulla base di tali dati.
La ripartizione degli obblighi riflette la struttura dell'art. 50 del regolamento, distinguendo tra fornitori e utilizzatori:
| Soggetto | Obblighi |
|---|---|
| Fornitori (provider) | Trasparenza dell'interazione (art. 50, par. 1): progettare i sistemi affinché sia chiaro all'utente che sta interagendo con un'IA. Marcatura e rilevabilità dei contenuti sintetici (art. 50, par. 2): implementare soluzioni tecniche che rendano gli output audio, immagine, video o testo generati o manipolati marcati in formato leggibile da macchina e rilevabili come artificiali |
| Utilizzatori (deployer) | Informazione sui deep fake, sui testi pubblicati per informare il pubblico su questioni di interesse pubblico realizzati con l'IA, e sull'uso di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica nei confronti delle persone esposte |
Chi è il deployer, e cosa significa per un editore
Il regolamento distingue nettamente due ruoli. Il fornitore (provider) è chi sviluppa un sistema di IA o lo immette sul mercato con il proprio nome o marchio. Il deployer – secondo la definizione dell'art. 3, punto 4, del regolamento – è "qualsiasi persona fisica o giuridica, autorità pubblica, agenzia o altro organismo che utilizza un sistema di IA sotto la propria autorità", salvo il caso di uso personale non professionale. È una nozione volutamente ampia: rientra nel perimetro anche un'impresa che si limita ad acquistare e impiegare uno strumento di IA sviluppato da terzi, senza averlo creato.
Su questa base, anche un editore che utilizza sistemi di IA a supporto della produzione di contenuti – ad esempio per la redazione di bozze, la revisione o l'ottimizzazione di articoli – assume la qualifica di deployer. Ciò non comporta però automaticamente l'obbligo di etichettare ogni articolo come "generato dall'IA". L'art. 50, par. 4, secondo comma, prevede infatti un'esenzione specifica per i contenuti testuali destinati a informare il pubblico su questioni di interesse pubblico:
l'obbligo di dichiarare l'origine artificiale del testo "non si applica (…) se il contenuto generato dall'IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione del contenuto".
In presenza di un flusso editoriale strutturato, bozza assistita dall'IA, revisione e validazione da parte della redazione, pubblicazione a firma o comunque sotto la responsabilità di un soggetto identificabile, l'obbligo di etichettatura del singolo articolo non scatta. Restano invece pienamente applicabili gli altri obblighi generali che gravano sui deployer, a partire da quello di alfabetizzazione in materia di IA (art. 4 del regolamento), che richiede alle organizzazioni di garantire che il personale coinvolto possieda un livello adeguato di competenza sull'uso di questi strumenti.
Le Linee guida individuano anche alcune esenzioni operative: per le opere dichiaratamente artistiche, satiriche o di fantasia l'obbligo si attenua, essendo sufficiente una segnalazione che non comprometta la fruizione dell'opera; per i deep fake, la dichiarazione dell'origine sintetica è dovuta a prescindere dall'intento ingannatorio, salvo le eccezioni previste per usi investigativi o di prevenzione dei reati.
Un punto rilevante riguarda il regime transitorio introdotto dal Digital Omnibus on AI: al punto 153, le Linee guida stabiliscono che per i sistemi di IA generativa immessi sul mercato o messi in servizio prima del 2 agosto 2026, gli obblighi di marcatura e rilevabilità di cui all'art. 50, par. 2 beneficiano di un periodo transitorio fino al 2 dicembre 2026. Il transitorio copre esclusivamente la marcatura tecnica dei contenuti, mentre gli altri obblighi di trasparenza restano pienamente applicabili dal 2 agosto 2026.
Le Linee guida si affiancano al Codice di buone pratiche sulla trasparenza dei contenuti generati dall'IA, pubblicato il 10 giugno 2026 e già valutato adeguato dalla Commissione europea e dall'AI Board: l'adesione al Codice costituisce, per le imprese, un elemento di attenuazione della responsabilità in sede di controllo.
Nota bene: la Comunicazione C(2026) 5054 final è stata pubblicata dalla Commissione europea solo in lingua inglese, come di consueto per questo tipo di atti interpretativi non vincolanti, che – a differenza degli atti legislativi pubblicati su EUR-Lex – non seguono il circuito di traduzione nelle 24 lingue ufficiali dell'Unione. Non risulta al momento disponibile una versione italiana ufficiale. Il testo integrale (51 pagine) è consultabile in inglese all'indirizzo: Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of the AI Act.
Il quadro normativo italiano e Origine e finalità del regolamento
Il quadro normativo italiano
Sul piano nazionale, il regolamento europeo è stato integrato dalla Legge 23 settembre 2025, n. 132 (in vigore dal 10 ottobre 2025), che reca disposizioni e deleghe al Governo in materia di intelligenza artificiale, e dai successivi decreti attuativi approvati nel corso del 2026.
Origine e finalità del regolamento
Il Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, è stato approvato in via definitiva dal Consiglio europeo il 21 maggio 2024, dopo il via libera del Parlamento europeo del 13 marzo 2024 (523 voti favorevoli, 46 contrari, 49 astensioni). Con il termine intelligenza artificiale (IA) si indica una famiglia di tecnologie in rapida evoluzione in grado di apportare benefici economici e sociali in tutto lo spettro delle attività industriali e sociali.
Lo scopo del regolamento è migliorare il funzionamento del mercato interno istituendo un quadro giuridico uniforme per lo sviluppo, l'immissione sul mercato, la messa in servizio e l'uso di sistemi di IA nell'Unione, promuovendo un'intelligenza artificiale antropocentrica e affidabile e garantendo un livello elevato di protezione della salute, della sicurezza e dei diritti fondamentali sanciti dalla Carta dei diritti fondamentali dell'Unione europea.
Il regolamento adotta un approccio basato sul rischio, classificando i sistemi di IA in diverse categorie:
- i sistemi che presentano un rischio limitato sono soggetti a obblighi di trasparenza leggeri;
- i sistemi ad alto rischio sono autorizzati, ma soggetti a una serie di requisiti e obblighi per accedere al mercato dell'UE;
- i sistemi a rischio inaccettabile – come la manipolazione comportamentale cognitiva, il punteggio sociale, la polizia predittiva basata sulla profilazione e i sistemi biometrici che classificano le persone per razza, religione o orientamento sessuale – sono vietati.
Obblighi delle imprese
Per i sistemi di IA ad alto rischio sono previsti obblighi specifici e più rigorosi, come la valutazione dei rischi e la conformità a standard elevati di affidabilità e sicurezza. Le imprese sono inoltre obbligate a garantire la trasparenza dei sistemi di IA, compresa la spiegabilità delle decisioni e dei processi decisionali automatizzati. In particolare:
- Trasparenza: le imprese devono garantire che gli utenti siano informati quando interagiscono con un sistema di IA e quando decisioni che li riguardano sono prese con l'assistenza o sulla base di un sistema di IA. Devono inoltre essere fornite informazioni sufficienti sul funzionamento dei sistemi, sui dati utilizzati e sui principi di decisione.
- Documentazione e registrazioni: le imprese devono mantenere documentazione dettagliata dei sistemi di IA, compresi algoritmi, dati di addestramento e procedure di decisione, a supporto della valutazione dell'impatto e della verifica di conformità.
- Spiegabilità: i sistemi di IA devono essere progettati affinché le loro decisioni siano comprensibili agli utenti e ai soggetti interessati.
- Responsabilità: le imprese devono poter identificare chi è responsabile delle diverse fasi del ciclo di vita di un sistema di IA, dall'ideazione all'implementazione e all'uso.