TL;DR: Dal 2 agosto 2026 l’AI Act (Reg. UE 2024/1689) diventa pienamente applicabile. La novità concreta sono gli obblighi di trasparenza dell’articolo 50 — chatbot, deepfake e contenuti sintetici dovranno dichiararsi come tali — più le sanzioni fino al 3% del fatturato mondiale per i fornitori di modelli GPAI. Il Digital Omnibus ha rinviato al 2027-2028 solo gli obblighi sui sistemi ad alto rischio, non il resto.
Il 2 agosto 2025, un anno fa esatto, ero al telefono con un cliente che mi chiedeva se ChatGPT usato in azienda fosse “a norma”. Gli risposi che la domanda giusta non era “è a norma” ma “in che fase del calendario dell’AI Act siamo”. Un anno dopo, quella stessa domanda mi arriva ogni settimana, e la data che tutti citano è il 2 agosto 2026. Nella mia esperienza di chi ha visto nascere reti aziendali quando il fax era ancora tecnologia di punta, ho imparato una cosa sulle scadenze normative europee: raramente sono un big bang, quasi sempre un cantiere a fasi. L’AI Act non fa eccezione, e capirlo bene evita sia il panico sia la sottovalutazione.
Cos’è l’AI Act e perché il 2 agosto è la data chiave
L’AI Act (Regolamento UE 2024/1689) è la prima legge al mondo dedicata specificamente all’intelligenza artificiale, in vigore dal 1° agosto 2024 con un’applicazione scaglionata su più anni. Il 2 agosto 2026 segna l’”applicazione generale” del Regolamento: da quella data si aggiungono alla platea più ampia di soggetti gli obblighi di trasparenza e il regime sanzionatorio pieno, mentre altre parti erano già attive da prima.
Il percorso è cominciato il 2 febbraio 2025 con il divieto delle pratiche a rischio inaccettabile — sorveglianza di massa, social scoring, riconoscimento delle emozioni su lavoratori e studenti — e l’obbligo di alfabetizzazione IA per chi utilizza questi sistemi. Dal 2 agosto 2025 sono invece scattati gli obblighi per i fornitori di modelli GPAI (General Purpose AI, cioè i modelli generalisti come quelli dietro ChatGPT, Gemini o Copilot) su documentazione tecnica e trasparenza sui dati di addestramento. Come sintetizza Matteo Molesti, partner di Elexia Avvocati & Commercialisti, il 2 agosto 2026 “è la data di discontinuità: il regolamento UE 2024/1689 o AI Act diventerà pienamente applicabile”. È lo spartiacque, non il punto di partenza: chi pensa di partire da zero il 2 agosto ha già saltato due tappe.
Cosa prevede davvero l’articolo 50 dell’AI Act sulla trasparenza?
L’articolo 50 introduce il diritto di sapere, in modo esplicito, quando si interagisce con un sistema artificiale o si legge/guarda un contenuto da esso generato. Riguarda chatbot, assistenti vocali, testi, immagini, audio e video sintetici, e distingue due ruoli: il fornitore che sviluppa il sistema e il deployer che lo utilizza verso il pubblico.
Come spiega Anna Cataleta, giurista e consulente P4I, “l’impatto maggiore per le imprese riguarda gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act”. In pratica, un chatbot aziendale dovrà dichiarare la propria natura artificiale fin dall’avvio dell’interazione — ad esempio con un messaggio come “Stai interagendo con un sistema di intelligenza artificiale” o un’icona riconoscibile — salvo che ciò sia già evidente dal contesto. Le linee guida della Commissione sono piuttosto stringenti su questo punto: non basta un riferimento generico nascosto nei termini e condizioni. Per i deepfake l’obbligo di segnalazione vale sempre, a prescindere dall’intento di ingannare, con eccezioni per opere satiriche o artistiche; per i testi generati dall’IA e pubblicati per informare il pubblico su temi di interesse generale, l’obbligo cade solo se il contenuto ha ricevuto un controllo editoriale umano con qualcuno che se ne assume la responsabilità.
C’è però una proroga tecnica: la marcatura leggibile dalle macchine dei contenuti sintetici (art. 50, par. 2 — filigrane digitali, metadati, impronte crittografiche) per i sistemi già sul mercato prima del 2 agosto 2026 slitta al 2 dicembre 2026, grazie al Digital Omnibus. Tutti gli altri obblighi dell’articolo 50 restano invece fissi al 2 agosto, senza deroghe.
Cosa cambia per chi usa ChatGPT, Copilot o Gemini in azienda?
Chi usa modelli GPAI come strumenti di terze parti non diventa automaticamente “fornitore” e non eredita gli obblighi documentali previsti dal Capo V dell’AI Act — quelli restano in capo a chi sviluppa e immette sul mercato il modello. Ma dal 2 agosto 2026 cambia il rischio per chi quei modelli li fornisce: scattano i poteri sanzionatori pieni della Commissione europea.
I modelli GPAI — sistemi generalisti addestrati con oltre 10^23 FLOP di potenza di calcolo, secondo la soglia tecnica indicata dagli orientamenti della Commissione — sono già soggetti dal 2 agosto 2025 a obblighi di documentazione tecnica, politiche sul diritto d’autore e pubblicazione di una sintesi dei contenuti di addestramento. La novità del 2026 è che “a decorrere dal 2 agosto 2026 i poteri di esecuzione della Commissione entrano in vigore”, come chiarisce la stessa Commissione europea nei suoi orientamenti ufficiali per i fornitori di modelli GPAI, con la possibilità di applicare ammende pecuniarie in caso di violazioni. Per chi in azienda ha già integrato Copilot, ChatGPT Enterprise o Gemini in flussi di lavoro critici, la conseguenza pratica è indiretta ma concreta: aumenta la pressione sui fornitori a documentare in modo verificabile capacità, limiti e rischi sistemici dei modelli, informazioni che dovrebbero arrivare a cascata anche a chi li integra a valle.
Il Digital Omnibus ha rinviato l’AI Act? Cosa slitta davvero al 2027-2028?
No, il Digital Omnibus non sospende l’AI Act né ne cambia l’impianto: rinvia solo il calendario degli obblighi per i sistemi ad alto rischio. Il pacchetto, proposto dalla Commissione il 19 novembre 2025 e adottato dal Consiglio UE il 29 giugno 2026, sposta al 2 dicembre 2027 gli obblighi per i sistemi ad alto rischio “stand-alone” dell’Allegato III (biometria, infrastrutture critiche, istruzione, lavoro, giustizia) e al 2 agosto 2028 quelli per i sistemi integrati in prodotti già regolati (dispositivi medici, veicoli, ascensori).
| Scadenza | Cosa si applica |
|---|---|
| 2 febbraio 2025 | Pratiche vietate (art. 5) e alfabetizzazione IA (art. 4) |
| 2 agosto 2025 | Obblighi per fornitori di modelli GPAI (Capo V) |
| 2 agosto 2026 | Trasparenza (art. 50) e sanzioni piene (art. 99 e 101) |
| 2 dicembre 2026 | Marcatura leggibile-macchina dei contenuti IA; nuovi divieti su deepfake sessuali e materiale di abuso su minori |
| 2 agosto 2027 | Sandbox normative nazionali |
| 2 dicembre 2027 | Sistemi ad alto rischio autonomi (Allegato III) |
| 2 agosto 2028 | Sistemi ad alto rischio integrati in prodotti (Allegato I) |
Tabella elaborata su dati PMI.it e ProcessoCivileTelematico.it.
Il messaggio operativo, come sintetizza l’avvocato Luca Frabboni (Maat Srl), è che “alcune attività di compliance potranno essere pianificate con maggiore gradualità, ma l’adeguamento all’AI Act non può essere rinviato in blocco”. Attenzione anche a un dettaglio procedurale non banale: fino alla pubblicazione in Gazzetta Ufficiale UE, il nuovo calendario è politicamente approvato ma non ancora formalmente vigente — vale quindi la prudenza nei documenti interni.
Quali sono le sanzioni e chi vigila in Italia?
Le sanzioni dell’AI Act sono tra le più severe del panorama normativo europeo: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni di euro o al 3% del fatturato per la violazione degli altri obblighi (compresi quelli di trasparenza e quelli sui fornitori GPAI), con importi ridotti per PMI e start-up. Dal 2 agosto 2026 questo regime sanzionatorio diventa pienamente operativo, sia a livello di Commissione (per i fornitori GPAI, tramite l’AI Office) sia a livello di autorità nazionali (art. 99).
In Italia, la legge n. 132/2025 ha designato l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza e l’Agenzia per l’Italia Digitale (AgID) come autorità di notifica. Non si tratta solo di teoria: Molesti cita già “il caso degli avvocati italiani sanzionati per aver depositato documenti con errori generati dall’IA” — un promemoria che il rischio reputazionale e disciplinare precede spesso quello puramente pecuniario.
Cosa deve fare in pratica una PMI italiana nei prossimi mesi?
Una checklist minima, utile prima del 2 agosto:
- Mappare tutti i sistemi di IA in uso (chatbot, assistenti, strumenti di screening CV, generatori di contenuti) e capire se l’azienda è fornitore, deployer o entrambi.
- Verificare le interfacce utente: chi interagisce con un chatbot o assistente vocale aziendale deve capirlo subito, senza ambiguità.
- Etichettare i contenuti sintetici (testo, immagini, audio, video) generati con IA, informandosi presso i fornitori su quali marcature sono disponibili.
- Formare il personale sull’obbligo di alfabetizzazione IA, già in vigore dal febbraio 2025 ma spesso disatteso nelle piccole realtà.
- Rivedere i contratti con i fornitori di modelli GPAI, chiedendo evidenza della documentazione tecnica richiesta dal Capo V.
- Coordinare con il DPO la sovrapposizione tra AI Act, GDPR e obblighi di trasparenza sui sistemi di riconoscimento emozioni/biometria.
Cosa era già in vigore prima del 2 agosto 2026?
Prima di questa data erano già obbligatori i divieti sulle pratiche a rischio inaccettabile (dal 2 febbraio 2025) e gli obblighi documentali per i fornitori di modelli GPAI (dal 2 agosto 2025). Ciò che arriva ora non è quindi il primo pezzo dell’AI Act, ma il blocco più ampio per numero di soggetti coinvolti: trasparenza generalizzata e sanzioni piene. Confonderli porta a due errori opposti — pensare di essere già in regola solo perché si rispettavano i divieti del 2025, oppure credere che tutto parta oggi da zero.
Implicazioni pratiche per le PMI italiane
Il divario di adozione racconta perché questa scadenza pesa in modo diverso a seconda della dimensione d’impresa. Secondo l’Istat, nel 2024 solo l’8% delle aziende italiane utilizzava sistemi di intelligenza artificiale, contro una media europea del 13,5%; nel 2025 la quota italiana è salita al 16,4%, ma con un divario enorme tra grandi imprese (53,1% di adozione) e PMI, ferme al 15,7%. Significa che la maggioranza delle piccole imprese italiane che oggi usa un chatbot o un tool generativo lo fa spesso senza policy, senza mappatura dei rischi e senza competenze legali interne dedicate — esattamente il profilo più esposto a un controllo a campione da parte di ACN.
Nella mia esperienza di chi ha accompagnato PMI nell’adozione di strumenti come Copilot, l’errore più comune non è tecnico ma organizzativo: si adotta lo strumento e si rimanda “a dopo” la governance. Con l’AI Act, quel “dopo” ha ora una data precisa e sanzioni concrete. Non è hype normativo: è la stessa logica del GDPR nel 2018, quando le aziende che avevano già una cultura minima di data governance si sono adeguate in settimane, mentre le altre hanno rincorso per anni.
L’AI Act si applica solo alle grandi aziende o anche alle PMI?
Si applica a qualsiasi impresa che sviluppi o utilizzi sistemi di IA nel mercato UE, indipendentemente dalla dimensione, anche se le sanzioni previste per PMI e start-up sono ridotte rispetto a quelle per le grandi imprese, con l’importo o la percentuale inferiore tra i due parametri applicabile.
ChatGPT o Copilot in azienda vanno dichiarati ai dipendenti?
Sì: se il sistema interagisce direttamente con le persone (dipendenti o clienti) tramite chat o voce, l’utente deve poter capire senza ambiguità di avere di fronte una macchina, salvo che ciò sia già evidente dal contesto d’uso.
Il Digital Omnibus significa che possiamo aspettare fino al 2027?
No. Il Digital Omnibus rinvia solo gli obblighi sui sistemi ad alto rischio (al 2027-2028). Gli obblighi di trasparenza dell’articolo 50 e le sanzioni piene restano fissi al 2 agosto 2026, senza alcuna deroga generale.
Cosa rischia un’azienda che non si adegua entro il 2 agosto?
Sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo per la violazione degli obblighi di trasparenza e degli altri obblighi generali, fino a 35 milioni o al 7% per le pratiche vietate, con importi ridotti per PMI e start-up.
Conclusioni
Il 2 agosto 2026 non è il giorno in cui “arriva” l’AI Act, ma il giorno in cui smette di essere un esercizio di anticipazione e diventa un rischio sanzionatorio concreto per chi non si è mosso. La parte che considero più sottovalutata non è la trasparenza sui chatbot — relativamente semplice da implementare — ma la disciplina organizzativa che serve per mantenerla nel tempo, mano a mano che nuovi strumenti IA entrano in azienda senza passare da un processo di valutazione. Il Digital Omnibus ha comprato tempo sui sistemi ad alto rischio, non sulla trasparenza quotidiana. Le PMI italiane, ancora indietro nell’adozione strutturata secondo i dati Istat, hanno davanti una finestra stretta ma reale per non ripetere gli errori fatti con il GDPR.
Riferimenti (APA)
- Sky TG24 (2026, 21 luglio). AI Act, cosa cambia dal 2 agosto: le nuove regole europee sull’intelligenza artificiale. — Livello C — consultato il 21/07/2026.
- Commissione Europea, Digital Strategy (2026, 28 aprile). Orientamenti per i fornitori di modelli di IA per finalità generali. — Livello A/B — consultato il 21/07/2026.
- Fabi, A. (2026, 16 luglio). AI Act dal 2 agosto 2026, obblighi in vigore e rinvii. PMI.it — Livello B/C — consultato il 21/07/2026.
- Frabboni, L. (2026, 29 giugno). AI Act e Digital Omnibus 2026: nuove scadenze, obblighi confermati dal 2 agosto 2026. ProcessoCivileTelematico.it — Livello C — consultato il 21/07/2026.
- Nuzzo, A. (2026, 10 giugno). Dal 2 agosto chi usa l’AI deve dirlo. Cosa cambia per le imprese italiane con l’AI Act. Money.it — Livello C — consultato il 21/07/2026.
- Fonti verificate al 21/07/2026.
Link interni Argos
- AI Act e governance: chi controlla chi?
- AI Act: il rinvio al 2027 per i sistemi ad alto rischio. Cosa significa davvero per l’Europa?
- L’Italia ha una legge sull’Intelligenza Artificiale: ora non si scherza più
- Il grande salto: dal 9 dicembre 2026 il software diventa un prodotto. Ce ne siamo accorti?
Rispondi