AI Act: cosa cambia davvero dal 2 agosto 2026
In queste settimane hai probabilmente letto decine di titoli sull’AI Act. Molti dicono la stessa cosa: “dal 2 agosto 2026 scattano gli obblighi, rischi fino a 35 milioni di euro”. Alcuni sono scritti bene, quasi tutti sono già superati.
Il motivo è semplice: il 24 luglio 2026 l’Unione Europea ha pubblicato in Gazzetta Ufficiale il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, che ha riscritto una parte importante del calendario dell’AI Act a otto giorni dalla scadenza. Chi ha preparato i contenuti prima non poteva saperlo.
Questo articolo mette in fila le date corrette, distingue quello che si applica oggi da quello che si applicherà nel 2027 e nel 2028, e soprattutto risponde alla domanda che interessa davvero chi si occupa di HR, formazione e organizzazione: cosa devo fare adesso, concretamente?
Contenuti
- Facciamo chiarezza: l’AI Act non è “entrato in vigore” il 2 agosto
- Cosa si applica davvero da questo mese
- Cosa ha rinviato il Digital Omnibus
- AI literacy: l’obbligo che riguarda tutte le aziende, anche la tua
- AI Act e GDPR: due norme diverse che si sommano
- Quanto si rischia davvero
- 6 passi concreti per prepararsi
- L’errore più costoso: leggere il rinvio come una pausa
- Domande frequenti sull’AI Act
Facciamo chiarezza: l’AI Act non è “entrato in vigore” il 2 agosto
È una precisazione noiosa, ma spiega tutto il resto.
Il Regolamento (UE) 2024/1689 — l’AI Act — è in vigore dal 1° agosto 2024. Non da questo mese. Quello che cambia nel tempo è l’applicazione delle singole parti, scaglionata su più anni:
- 2 febbraio 2025 — divieti sulle pratiche a rischio inaccettabile (art. 5) e obbligo di alfabetizzazione sull’IA (art. 4);
- 2 agosto 2025 — obblighi per i modelli di IA per finalità generali (i “motori” dietro ChatGPT, Gemini, Claude) e impianto di governance e sanzioni;
- 2 agosto 2026 — applicazione generale del regolamento;
- 2 dicembre 2027 e 2 agosto 2028 — obblighi sui sistemi ad alto rischio, dopo il rinvio di luglio.
Quando un articolo scrive “l’AI Act entra in vigore il 2 agosto 2026”, sta usando la formula sbagliata. Non è pignoleria da giuristi: chi confonde entrata in vigore e applicazione tende poi a sbagliare anche le scadenze operative, e in azienda quelle scadenze diventano budget, piani formativi e priorità.
Cosa si applica davvero da questo mese
Due obblighi, entrambi rilevanti per chi comunica e per chi organizza il lavoro.
1. Gli obblighi di trasparenza (art. 50)
È la parte che tocca più da vicino marketing, comunicazione e customer care. In sintesi:
- Se una persona interagisce con un sistema di IA, deve saperlo. Vale per chatbot, assistenti vocali, agenti conversazionali sul sito o sui social.
- I contenuti generati o manipolati artificialmente vanno dichiarati. Immagini, audio, video e testi sintetici — in particolare i deepfake e i testi pubblicati per informare il pubblico su temi di interesse generale.
- I sistemi di riconoscimento delle emozioni o di categorizzazione biometrica richiedono un’informativa alle persone coinvolte.
Attenzione a un dettaglio che sta generando confusione: il Digital Omnibus ha spostato al 2 dicembre 2026 solo l’obbligo di marcatura tecnica leggibile dalle macchine (il watermarking incorporato nei file). Tutto il resto dell’articolo 50 si applica dal 2 agosto 2026. Il fatto che il watermark tecnico arrivi dopo non autorizza nessuno a pubblicare un video sintetico senza dichiararlo.
2. La vigilanza e le sanzioni diventano operative
Fino a ieri esistevano regole senza un controllore pienamente attrezzato. Da questo mese le autorità nazionali di sorveglianza del mercato hanno pieni poteri.
In Italia il quadro è definito dalla Legge 132/2025, in vigore dal 10 ottobre 2025: l’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità di vigilanza del mercato, con compiti ispettivi e sanzionatori, l’AgID è l’autorità di notifica, e il Garante Privacy resta competente su tutto ciò che riguarda i dati personali. Le autorità di settore (Banca d’Italia, CONSOB, IVASS, AGCOM) mantengono le proprie competenze negli ambiti regolati.
Tradotto: in caso di controllo, un’azienda può trovarsi davanti a più di un interlocutore.
Cosa ha rinviato il Digital Omnibus
Il Regolamento (UE) 2026/1744, pubblicato il 24 luglio 2026 ed entrato in vigore il 27 luglio, nasce da una constatazione pratica: gli standard tecnici armonizzati non erano pronti, diverse linee guida mancavano e molti organismi di valutazione non erano operativi. Imporre obblighi senza gli strumenti per rispettarli avrebbe prodotto solo contenzioso.
Ecco cosa si è spostato:
| Cosa | Data originaria | Nuova data |
|---|---|---|
| Sistemi ad alto rischio autonomi (Allegato III): selezione del personale, credito, biometria, istruzione, servizi pubblici essenziali | 2 agosto 2026 | 2 dicembre 2027 |
| Sistemi ad alto rischio integrati in prodotti (Allegato I): dispositivi medici, macchinari, giocattoli | 2 agosto 2027 | 2 agosto 2028 |
| Sandbox normative nazionali | 2 agosto 2026 | 2 agosto 2027 |
| Marcatura tecnica (watermarking) dei contenuti sintetici | 2 agosto 2026 | 2 dicembre 2026 |
Il pacchetto ha anche aggiunto due nuovi divieti, applicabili dal 2 dicembre 2026: i sistemi di “nudificazione” che generano immagini intime non consensuali e la generazione di materiale pedopornografico. Un segnale utile a leggere correttamente l’operazione: il perimetro delle regole non si sta restringendo, si sta riorganizzando.
Un altro alleggerimento riguarda la burocrazia della conformità: la valutazione d’impatto sui diritti fondamentali (FRIA, art. 27) potrà essere assorbita nella valutazione d’impatto privacy (DPIA) già prevista dal GDPR, evitando due documenti paralleli sugli stessi rischi.
AI literacy: l’obbligo che riguarda tutte le aziende, anche la tua
Qui devo essere onesto, perché sul punto circola parecchia disinformazione — anche da parte di chi vende formazione.
L’articolo 4 dell’AI Act chiede a fornitori e utilizzatori di sistemi di IA di assicurarsi che il personale che li usa abbia un livello sufficiente di competenza. È applicabile dal 2 febbraio 2025, quindi non è una novità di questo mese.
Il Digital Omnibus ha attenuato la formulazione: non più “adottare misure per garantire” un livello sufficiente di alfabetizzazione, ma “adottare misure volte a sostenere lo sviluppo” delle competenze del personale. E la violazione di questo specifico obbligo non comporta una sanzione pecuniaria diretta.
Chi ti dice che “se non formi i dipendenti rischi 35 milioni di euro” ti sta raccontando una cosa che non è vera. La violazione dell’articolo 4 non comporta automaticamente la sanzione massima di 35 milioni di euro o del 7% del fatturato. Resta tuttavia un obbligo sottoposto a vigilanza: le autorità nazionali possono adottare misure correttive e sanzioni proporzionate secondo la disciplina nazionale, soprattutto quando un incidente evidenzi una formazione o una guida interna inadeguate.
Perché allora continuo a considerarla la priorità numero uno? Per tre ragioni molto concrete.
Primo: la formazione documentata è la prima prova di diligenza. In caso di incidente, contenzioso, data breach o ispezione, la domanda che arriva è sempre la stessa: l’azienda aveva fatto quanto ragionevolmente possibile? Un registro formativo che dice chi ha usato quali strumenti, con quale preparazione e quando, è la risposta più solida che puoi avere. L’assenza di quel registro non è una multa: è un aggravante su tutto il resto.
Secondo: gli altri obblighi si rispettano solo se le persone li conoscono. L’obbligo di dichiarare un contenuto generato dall’IA non lo rispetta l’ufficio legale: lo rispetta la persona del marketing che pubblica il post alle 18 di venerdì. Se non sa che esiste, non lo applica. La compliance sull’IA è un tema di comportamenti quotidiani distribuiti, non di documenti.
Terzo: senza competenze diffuse non governi la Shadow AI. Le persone usano già l’IA, con o senza policy. La differenza tra un’azienda esposta e una governata sta quasi tutta in quello che i collaboratori sanno di poter fare, e in quello che sanno di non dover fare.
Da formatore aggiungo una considerazione: l’attenuazione dell’articolo 4 rende la formazione sull’IA meno un adempimento e più una scelta. Il che significa che non basta più il corso da un’ora fatto per spuntare una casella: se lo fai, tanto vale farlo perché serve davvero alle persone.
AI Act e GDPR: due norme diverse che si sommano
È l’equivoco più frequente nelle aziende: pensare che l’AI Act sia una specie di “GDPR 2.0”. Non lo è. Sono due impianti distinti che si applicano insieme.
| GDPR (Reg. UE 2016/679) | AI Act (Reg. UE 2024/1689) | |
|---|---|---|
| Oggetto | I dati personali: raccolta, uso, conservazione | I sistemi di IA: progettazione, immissione sul mercato, uso |
| Logica | Sensibilità del dato e finalità del trattamento | Livello di rischio del sistema (inaccettabile, alto, limitato, minimo) |
| Ruoli | Titolare e Responsabile del trattamento | Fornitore (provider) e Utilizzatore/Deployer |
| Cosa tocca nel quotidiano | Consenso, profilazione, cookie, diritti degli interessati | Trasparenza degli output, etichettatura dei chatbot, prevenzione dei bias |
| Valutazione d’impatto | DPIA | FRIA per l’alto rischio (assorbibile nella DPIA dopo il Digital Omnibus) |
| Sanzione massima | 20 mln € o 4% del fatturato globale | 35 mln € o 7% del fatturato globale (solo per le pratiche vietate) |
Un esempio pratico: uno strumento di IA generativa usato per personalizzare le campagne deve rispettare contemporaneamente la privacy degli utenti (GDPR) e gli obblighi di trasparenza sui contenuti generati (AI Act). Rispettarne uno non ti mette al riparo sull’altro.
Quanto si rischia davvero
L’articolo 99 dell’AI Act prevede tre fasce, non una:
- fino a 35 milioni di euro o il 7% del fatturato mondiale — solo per l’uso di pratiche vietate dall’articolo 5 (manipolazione comportamentale, social scoring, riconoscimento delle emozioni sul posto di lavoro);
- fino a 15 milioni o il 3% — per la violazione degli altri obblighi del regolamento;
- fino a 7,5 milioni o l’1% — per informazioni false, incomplete o fuorvianti fornite alle autorità.
Per le imprese si applica l’importo più alto tra cifra fissa e percentuale. Per PMI e start-up vale la regola opposta: si applica il valore più basso tra i due (art. 99, par. 6). Una tutela reale, che però non azzera il rischio — per una piccola impresa anche una sanzione ridotta può essere pesantissima.
Vale la pena ricordare che il titolo “35 milioni” che leggi ovunque riguarda la fascia più grave e più rara. Il rischio realistico per la maggior parte delle aziende italiane non è quello: è la fascia intermedia, sommata alle sanzioni GDPR e al danno reputazionale.
6 passi concreti per prepararsi
Nessuno di questi richiede un progetto da sei mesi. Tutti richiedono che qualcuno se ne prenda la responsabilità.
1. Censisci l’uso reale dell’IA in azienda. Non solo i software ufficiali: anche le funzionalità di IA già integrate negli strumenti che usate da anni (CRM, gestionali, suite office) e le applicazioni che le persone hanno adottato per conto proprio. Il risultato deve essere un registro aggiornabile, non una fotografia destinata a invecchiare in tre mesi.
2. Capisci in che ruolo sei. Nella quasi totalità dei casi la tua azienda è un deployer, cioè un utilizzatore, non un fornitore. Gli obblighi cambiano parecchio. Se però personalizzi un sistema, lo rimarchi o lo integri in un prodotto che vendi, la posizione può cambiare: è il caso di verificarlo con attenzione.
3. Classifica i sistemi per livello di rischio. Anche se gli obblighi sull’alto rischio slittano al 2027, la classificazione va fatta ora. Se usi strumenti di IA nella selezione del personale o nella valutazione dei collaboratori, sei in un ambito che diventerà ad alto rischio: hai sedici mesi in più, non un’esenzione.
4. Guarda la catena di fornitura e i contratti. Gran parte dei sistemi che utilizzi arriva da terzi. Verifica cosa dichiarano i fornitori sulla conformità, dove vengono trattati i dati, se è previsto l’opt-out dall’addestramento. La contrattualistica non elimina le tue responsabilità: le rende governabili.
5. Trasforma le regole in procedure leggibili. Una policy di quaranta pagine che nessuno legge non protegge nessuno. Serve un documento breve che dica: quali strumenti sono approvati, quali dati non vanno mai inseriti, chi va avvisato in caso di dubbio, come si dichiara un contenuto generato dall’IA. E deve dialogare con quello che avete già su privacy, cybersecurity e proprietà intellettuale.
6. Costruisci un piano formativo tracciabile e differenziato. Il punto chiave è “differenziato”: chi lavora in HR ha bisogni diversi da chi sta in marketing, in produzione o negli acquisti. Un unico corso generalista per tutti è il modo più efficiente di non formare nessuno. Serve una base comune di consapevolezza — cos’è l’IA generativa, dove sbaglia, cosa non va condiviso — e poi moduli specifici per funzione. Il tutto registrato su una piattaforma che permetta di dimostrare chi ha fatto cosa e quando.
L’errore più costoso: leggere il rinvio come una pausa
È la reazione che sto osservando più spesso in queste settimane: “gli obblighi pesanti sono slittati al 2027, ne riparliamo l’anno prossimo”.
È un errore per tre motivi.
Il primo è che gli obblighi rinviati sono una parte del quadro, non il quadro. Divieti, trasparenza e alfabetizzazione si applicano già, e da questo mese c’è chi può verificarli.
Il secondo è di tempistiche reali: un percorso completo di conformità per un sistema ad alto rischio richiede in media dagli 8 ai 14 mesi, con organismi di valutazione già congestionati. Sedici mesi di margine si consumano in fretta.
Il terzo è commerciale, e spesso è quello che convince più dei precedenti: la conformità all’AI Act sta diventando un requisito nelle gare e negli albi fornitori. Le grandi organizzazioni chiedono già ai partner di dimostrare come governano l’IA. Arrivare impreparati a quella domanda costa clienti prima ancora di costare multe.
Vuoi capire da dove partire nella tua azienda? Progettiamo percorsi di AI literacy conformi all’AI Act e corsi di formazione sull’intelligenza artificiale differenziati per funzione aziendale, erogabili in e-learning e tracciabili su piattaforma LMS. Se vuoi confrontarti su come impostare il piano, scrivici: partiamo da una fotografia della situazione reale, non da un catalogo.
Domande frequenti sull’AI Act
L’AI Act è entrato in vigore il 2 agosto 2026? No. L’AI Act è in vigore dal 1° agosto 2024. Il 2 agosto 2026 è la data di applicazione generale del regolamento: da questo momento si applicano pienamente gli obblighi di trasparenza dell’articolo 50 e diventano operative vigilanza e sanzioni a livello nazionale.
Cosa ha cambiato il Digital Omnibus? Il Regolamento (UE) 2026/1744, pubblicato il 24 luglio 2026, ha rinviato gli obblighi sui sistemi ad alto rischio al 2 dicembre 2027 (sistemi autonomi) e al 2 agosto 2028 (sistemi integrati in prodotti), ha spostato al 2 dicembre 2026 la marcatura tecnica dei contenuti sintetici, ha attenuato l’obbligo di alfabetizzazione e ha introdotto due nuovi divieti. Non ha modificato l’impianto basato sul rischio.
La mia azienda usa solo ChatGPT e Copilot. L’AI Act mi riguarda? Sì, come utilizzatore. Gli obblighi principali che ti riguardano sono l’alfabetizzazione del personale, il rispetto dei divieti dell’articolo 5 e — se pubblichi contenuti generati dall’IA o usi chatbot verso il pubblico — la trasparenza dell’articolo 50. Restano poi tutti gli obblighi GDPR sui dati che inserisci in quegli strumenti.
Se non formo i dipendenti sull’IA rischio una multa? Non direttamente. Dopo il Digital Omnibus, la violazione dell’obbligo di alfabetizzazione (art. 4) non comporta una sanzione pecuniaria autonoma. Ma la formazione documentata resta la principale prova di diligenza dell’organizzazione in caso di incidente, contenzioso o ispezione, e senza competenze diffuse gli altri obblighi non vengono rispettati.
Chi controlla l’applicazione dell’AI Act in Italia? La Legge 132/2025 affida la vigilanza del mercato all’Agenzia per la Cybersicurezza Nazionale (ACN) e le funzioni di notifica all’AgID. Il Garante per la protezione dei dati personali resta competente sui profili di trattamento dei dati, mentre le autorità di settore mantengono i propri ambiti.
Devo etichettare tutti i contenuti prodotti con l’IA? L’obbligo riguarda in particolare i contenuti sintetici che possono essere scambiati per autentici — deepfake di persone reali, immagini o audio realistici — e i testi pubblicati per informare il pubblico su temi di interesse generale. Un’immagine dichiaratamente illustrativa o un testo rivisto e validato da una persona seguono logiche diverse. Nel dubbio, la trasparenza costa poco e protegge molto.
