Il 2 agosto 2026 acquista efficacia il nucleo generale dell’AI Act rimasto fuori dalle tappe anticipate del 2025 e dalle proroghe dell’AI Omnibus, con un perimetro diverso da quello raccontato negli ultimi mesi.
Le regole sui sistemi ad alto rischio, tra cui valutazione di conformità, sistema di gestione della qualità, sorveglianza umana e gestione degli incidenti, sono state spostate al 2 dicembre 2027 per i casi dell’Allegato III e al 2 agosto 2028 per i prodotti dell’Allegato I. Quello che resta fermo al 2 agosto 2026 sono gli obblighi di trasparenza verso il pubblico.
Restano fermi anche il sistema sanzionatorio nazionale e i poteri pieni che la Commissione esercita sui fornitori di modelli per finalità generali. È un impatto più ristretto di quanto si temesse un anno fa, ma anche più immediato di quanto suggerisca la narrazione del rinvio. Tocca il modo in cui un’azienda parla con i propri clienti e il modo in cui un consiglio di amministrazione decide.
Indice degli argomenti
AI Act 2 agosto 2026, gli obblighi di trasparenza verso il pubblico
L’art. 50 presidia il modo in cui un sistema si presenta all’esterno. Chi interagisce con un chatbot, un assistente vocale, un servizio di prenotazione o un’interfaccia di customer care automatizzata deve poter capire che il proprio interlocutore è una macchina, salvo che la natura artificiale dell’interazione risulti già evidente dal contesto. Sarà, per molte imprese, il primo effetto tangibile della scadenza. Presentare un assistente automatico come se fosse un operatore umano altera la percezione del destinatario e il modo in cui vengono raccolte dichiarazioni, preferenze, consensi o dati personali, un effetto che supera di gran lunga la semplice scelta di tono. Dal 2 agosto quella scelta diventa oggetto di verifica legale, dal nome dato all’assistente al tono delle risposte, dall’eventuale volto sintetico alla collocazione dell’avviso.
Contenuti generati dall’intelligenza artificiale e deepfake
Un secondo fronte di trasparenza tocca i contenuti generati o manipolati dall’intelligenza artificiale. I fornitori di sistemi capaci di produrre testo, immagini, audio e video devono incorporare soluzioni tecniche che rendano gli output riconoscibili in formato leggibile dalla macchina, ma quel segnale tecnico si perde facilmente lungo la filiera, un’esportazione, una compressione, un ridimensionamento o una semplice modifica possono cancellarlo prima che il contenuto arrivi al pubblico.
Un’agenzia, una società di comunicazione, un ufficio marketing interno o una redazione digitale vedono così il controllo giuridico spostarsi dalla scelta del fornitore fino al formato consegnato al pubblico. Quando il contenuto presenta persone, luoghi, oggetti o eventi in modo falsamente autentico, quello che la norma chiama deepfake, l’obbligo cambia natura. Chi lo diffonde deve dichiararne apertamente l’origine artificiale, con un’eccezione più flessibile per le opere dichiaratamente satiriche o di fantasia, purché la loro natura resti percepibile.
Il livello dell’obbligo cambia a seconda del contenuto. Un avatar dichiaratamente virtuale pone questioni diverse dalla ricostruzione verosimile di un evento fittizio e la dicitura ‘creato con IA’ applicata in modo uniforme a qualsiasi elaborato resta comoda ma imprecisa, perché l’art. 50 distingue ruoli, tecniche, finalità ed eccezioni.
Testi generati dall’IA e responsabilità editoriale
Una disciplina più specifica si applica ai testi generati o manipolati dall’IA e pubblicati per informare il pubblico su questioni di interesse generale. Il deployer deve segnalarne l’origine artificiale, salvo che il contenuto sia stato sottoposto a revisione umana o controllo editoriale, con una persona fisica o giuridica che ne conservi la responsabilità.
Quella soglia è più alta per testate, uffici stampa ed enti che pubblicano analisi su temi di rilievo collettivo e comporta assunzione di responsabilità sul testo, verifica del contenuto, possibilità di modificarlo prima della pubblicazione, un soggetto identificato che autorizza la pubblicazione. Un flusso redazionale che approva automaticamente centinaia di testi conserva l’etichetta formale della revisione, ma offre una base debole davanti a un’autorità che verifica.
Riconoscimento delle emozioni e categorizzazione biometrica
L’art. 50 raggiunge anche i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica, usati in ambienti di lavoro, punti vendita, scuole, servizi di sicurezza o selezione del personale. Le persone esposte devono ricevere un’informazione sul funzionamento del sistema, mentre il trattamento dei dati resta comunque soggetto al GDPR e alle altre regole europee applicabili.
Per le imprese italiane serve un censimento dei sistemi già in uso
La scadenza produce, per l’impresa italiana, un obbligo organizzativo preciso, sapere dove questi sistemi sono già in uso. Un censimento limitato ai contratti intestati alla direzione IT racconta solo una parte del fenomeno. Molti sistemi entrano in azienda attraverso account individuali, funzioni aggiunte a software già acquistati, piattaforme di marketing o strumenti usati dalle agenzie esterne.
La ricognizione va fatta per processo aziendale, oltre il perimetro del reparto IT, dalla comunicazione alle risorse umane, dalle vendite all’assistenza, dalla produzione alla gestione documentale.
Sanzioni AI Act e poteri della Commissione sui modelli GPAI
Il 2 agosto si attiva anche il sistema sanzionatorio. Per le violazioni diverse dalle pratiche vietate, il tetto sale fino a 15 milioni di euro o al 3 per cento del fatturato mondiale annuo. Le informazioni fornite alle autorità che risultano inesatte o incomplete, oppure apertamente fuorvianti, fanno scattare un limite diverso, fino a 7,5 milioni o all’1 per cento, con soglie più favorevoli per le PMI. Sul fronte dei modelli per finalità generali, la Commissione europea può da questa data esercitare pienamente i propri poteri di vigilanza sui provider di GPAI e sanzionare la violazione degli obblighi già in vigore dal 2 agosto 2025, fino a 15 milioni di euro o al 3 per cento del fatturato mondiale, mentre i modelli immessi sul mercato prima di quella data restano protetti dal regime transitorio fino al 2 agosto 2027.
Le imprese che usano questi modelli sentiranno l’effetto più immediato sul piano contrattuale prima che su quello ispettivo, i provider rivedranno condizioni d’uso, informazioni tecniche, clausole sui dati e procedure di cooperazione, mentre i clienti dovranno verificare se quegli aggiornamenti toccano segreti commerciali, proprietà dei dati, diritto di audit o continuità del servizio.
Sistemi ad alto rischio, cosa slitta al 2027 e al 2028
Il rinvio dei sistemi ad alto rischio riflette il tempo che gli standard armonizzati richiedono per convertire i requisiti generali in specificazioni tecniche operative. Il termine cade al 2 dicembre 2027 per i casi dell’Allegato III, tra cui istruzione, lavoro, credito e giustizia e al 2 agosto 2028 per i sistemi incorporati in prodotti già regolati, come dispositivi medici o macchine.
Restano comunque operative, per l’intero periodo, le discipline indipendenti da quella categoria, dalle pratiche vietate alla protezione dei dati, dal diritto del lavoro alla responsabilità contrattuale. Un sistema di selezione del personale può attendere il 2027 per il blocco completo degli adempimenti ad alto rischio, ma il suo uso attuale produce già conseguenze sotto il GDPR e lo Statuto dei lavoratori.
AI Act e diritto societario: il ruolo degli amministratori
La scadenza incontra a questo punto il diritto societario. Gli amministratori curano assetti adeguati alla natura e alle dimensioni dell’attività esercitata, ai sensi dell’art. 2381 del codice civile e un sistema algoritmico che incide su assunzioni, prezzi, credito o accesso a servizi modifica quel processo aziendale a tutti gli effetti.
La discrezionalità imprenditoriale protegge la scelta assunta sulla base di informazioni sufficienti e di un’istruttoria coerente. Un’applicazione acquistata senza censimento, affidata a un ufficio privo di competenze, alimentata con dati aziendali e usata per decisioni rilevanti espone invece gli amministratori sul terreno dell’organizzazione. Il danno può nascere dall’output del sistema, ma la responsabilità gestoria si colloca più a monte, nell’assenza di regole e controlli sui flussi informativi.
Verbali, contratti e due diligence nell’adeguamento all’AI Act
Questo principio ha conseguenze pratiche precise. La verbalizzazione del consiglio diventa uno strumento di prova. Negli impieghi più sensibili dovrebbe dare conto della finalità aziendale, del fornitore scelto, dei controlli umani previsti e degli incidenti rilevanti, perché una delibera che autorizza genericamente ‘l’impiego di soluzioni di intelligenza artificiale’ lascia indeterminata l’allocazione delle responsabilità. Anche i contratti vanno aggiornati, su accesso alle informazioni, proprietà degli output, conservazione dei log e diritto di audit, perché una clausola che promette tracciabilità perde efficacia quando il fornitore rifiuta l’accesso.
Nelle operazioni di acquisizione lo stesso censimento entra nella due diligence legale, dove una società può mostrare poche risorse tecnologiche proprie e una dipendenza decisiva da servizi algoritmici esterni, una dipendenza che incide sul valore industriale prima ancora che sulle garanzie contrattuali.
Governance dell’intelligenza artificiale oltre l’adempimento
La scadenza chiede più di una dichiarazione di intenti sulla governance dell’intelligenza artificiale enunciata soltanto a parole. Chiede un lavoro organizzativo che resti in piedi oltre il giorno dell’adempimento, capace di dire quali sistemi parlano con il pubblico, quali contenuti sintetici vengono diffusi e chi li approva, quali marcature tecniche restano lungo la filiera, quale organo interno riceve le informazioni sulle anomalie. L’adeguamento al Regolamento si misura in questo lavoro quotidiano dentro l’organizzazione, prima ancora che nelle formule con cui viene comunicato all’esterno.
Partecipa alla community