Da mesi il 2 agosto 2026 viene presentato come lo spartiacque dell'intelligenza artificiale in Europa: la data in cui l'AI Act (Regolamento UE 2024/1689) diventerebbe pienamente operativo, con obblighi stringenti e sanzioni milionarie per chiunque usi sistemi di IA in azienda. La realtà, come spesso accade con le norme complesse, è più articolata — e vale la pena capirla con precisione, senza allarmismo né sottovalutazione.
Cosa è stato rinviato
Il Digital Omnibus (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026) — un pacchetto di semplificazione approvato a pochi giorni dalla scadenza — ha rinviato gli obblighi più onerosi dell'AI Act, quelli relativi ai sistemi ad alto rischio:
- Al 2 dicembre 2027: i sistemi ad alto rischio "autonomi", cioè non incorporati in altri prodotti — ad esempio quelli usati per selezione del personale, valutazione del merito creditizio, accesso a servizi essenziali, infrastrutture critiche.
- Al 2 agosto 2028: i sistemi ad alto rischio già incorporati in prodotti regolati da altre normative di settore, come dispositivi medici o macchinari.
Cosa invece è già operativo dal 2 agosto 2026
Il rinvio riguarda solo i sistemi ad alto rischio appena descritti. Tre obblighi restano attivi fin da subito:
- Gli obblighi di trasparenza (art. 50): chi usa un chatbot, un deepfake o un sistema di riconoscimento delle emozioni deve dichiararlo esplicitamente a chi vi interagisce.
- Il regime sanzionatorio nazionale, già pienamente in vigore.
- Le sanzioni della Commissione sui fornitori di modelli di IA per finalità generali (GPAI) — le cui regole di governance, va precisato, sono attive già dal 2 agosto 2025: dal 2 agosto 2026 scatta la piena applicabilità del regime sanzionatorio su queste regole.
L'obbligo che quasi nessuno nota
C'è un adempimento già in vigore da tempo e sistematicamente ignorato: l'alfabetizzazione AI (art. 4), che impone a chi utilizza sistemi di intelligenza artificiale in azienda — anche solo come utilizzatore, non da sviluppatore — di garantire al personale una comprensione adeguata di come questi strumenti funzionano, dei loro limiti e dei rischi connessi. Riguarda anche l'uso quotidiano di strumenti come ChatGPT o Copilot integrati nei processi aziendali, non solo sistemi di IA "importanti" o visibili.
Il collegamento con la privacy
Per le aziende che già gestiscono adempimenti GDPR, l'AI Act introduce una valutazione parallela: la FRIA (Valutazione d'Impatto sui Diritti Fondamentali, art. 27), da coordinare — non sostituire — con la DPIA già prevista dall'art. 35 del GDPR. Sono documenti distinti, ma vanno costruiti insieme, riutilizzando le analisi comuni sui rischi.
Il vantaggio di chi ha già un sistema di gestione della sicurezza delle informazioni
Le aziende che hanno già certificato un Sistema di Gestione della Sicurezza delle Informazioni secondo la ISO 27001 non partono da zero rispetto agli obblighi dell'AI Act. L'inventario degli asset informativi, la metodologia di valutazione del rischio e le procedure di gestione degli incidenti richieste dalla 27001 sono esattamente l'infrastruttura su cui si costruisce la mappatura dei sistemi di IA richiesta dall'AI Act — non un adempimento parallelo scollegato, ma un'estensione naturale di un sistema di gestione già esistente. Non a caso, lo standard specifico per la gestione dell'intelligenza artificiale — la ISO/IEC 42001 — condivide con la 27001 la stessa struttura organizzativa di base, pensata per integrarsi con i sistemi di gestione già in uso in azienda.
Cosa fare in pratica, senza aspettare il 2027
Il rinvio degli obblighi sui sistemi ad alto rischio non è una sospensione: è tempo da usare, non da ignorare. Un percorso di conformità completo per un sistema ad alto rischio richiede mediamente tra 8 e 14 mesi, con organismi di valutazione già sotto pressione. Il primo passo, realizzabile da subito, è mappare i sistemi di IA effettivamente in uso in azienda — spesso più numerosi di quanto si pensi, perché integrati silenziosamente in software gestionali, strumenti HR o piattaforme di customer care — e classificarli per livello di rischio.
Le sanzioni
Per le violazioni più gravi, l'AI Act prevede ammende fino a 35 milioni di euro o il 7% del fatturato globale annuo — un impianto sanzionatorio comparabile, per severità, a quello del GDPR.
L'AI Act si applica per fasi, non con un'unica scadenza: capire quali obblighi sono già attivi e quali ancora no è il primo passo per non farsi cogliere impreparati, né spendere energie su adempimenti che possono ancora attendere.
