Sull’AI Act le imprese chiedono quasi sempre cosa dice la norma, mentre la domanda giusta è: cosa devo fare io ed entro quando? Il Regolamento non tratta tutti allo stesso modo e non si applica tutto insieme. Dal 27 luglio 2026 il testo di riferimento è quello modificato dal Regolamento (UE) 2026/1744, l’Omnibus digitale sull’IA, che ha spostato alcune scadenze e ne ha aggiunte altre.
Indice degli argomenti:
Il primo passo: capire chi siamo
Siamo un provider se sviluppiamo un sistema di AI, se lo immettiamo sul mercato con il nostro marchio o se lo modifichiamo in modo sostanziale.
Siamo un deployer se usiamo sotto la nostra responsabilità un sistema costruito da altri. Il provider risponde di come il sistema è fatto, il deployer di come lo usa.
Sulla prima distinzione se ne innesta una seconda: l’ambito in cui operiamp. Marketing, e-commerce e analisi commerciale non sono ad alto rischio.
Selezione e gestione del personale, credito e assicurazioni, giustizia e servizi pubblici rientrano nell’Allegato III, mentre l’AI clinica passa dall’Allegato I. Incrociando i due assi si ottengono le quattro posizioni vere in cui si trovano le aziende. Chi usa l’AI solo dentro casa non è fuori dal perimetro, è deployer a tutti gli effetti.
Due obblighi in vigore del 2025
Dal 2 febbraio 2025 sono vietate le pratiche inaccettabili dell’articolo 5, cioè la manipolazione subliminale dannosa, il social scoring, lo sfruttamento delle persone fragili, il riconoscimento delle emozioni sul lavoro e a scuola.
Dalla stessa data si applica l’articolo 4 sull’alfabetizzazione, che l’Omnibus ha riscritto. Fornitori e deployer non devono più garantire un livello sufficiente di competenza, devono adottare misure a sostegno del suo sviluppo, senza dover garantire alcuno specifico livello in capo a nessun individuo.
Da obbligo di risultato si è passati a un obbligo di mezzi, in vigore dal 27 luglio 2026. Il percorso formativo serve comunque, perché è così che dimostri di aver adottato quelle misure.
Le norme entrate in vigore il 2 agosto 2026
Il 2 agosto 2026 è la scadenza generale, e l’Omnibus non l’ha toccata. Da ora in poi si applicano la trasparenza dell’articolo 50 e la vigilanza del mercato, mentre il regime sanzionatorio è già in vigore dal 2 agosto 2025, tranne l’articolo 101.
Per un provider a rischio limitato il lavoro è dichiarare che un contenuto è generato dall’AI e segnalare che l’utente parla con un chatbot.
Per un deployer il carico sta nell’articolo 50, paragrafo 4, cioè dichiarare i deepfake e i testi generati che pubblichi su questioni di interesse pubblico.
Gli obblighi sui modelli per finalità generali non nascono qui, perché il Capo V si applica dal 2 agosto 2025. Quello arrivato ad agosto 2026 è l’articolo 101, cioè il potere della Commissione di sanzionare i fornitori di quei modelli fino a 15 milioni di euro o al 3 per cento del fatturato mondiale.
La scadenza nuova: 2 dicembre 2026
L’Omnibus ha fissato due adempimenti. Il primo riguarda chi ha già un prodotto generativo sul mercato: il nuovo articolo 111, paragrafo 4, dà ai fornitori di sistemi che generano contenuti sintetici immessi prima del 2 agosto 2026 tempo fino a dicembre per conformarsi alla marcatura leggibile da macchina dell’articolo 50, paragrafo 2. Quattro mesi su un prodotto già in produzione sono pochi.
Il secondo sono i nuovi divieti dell’articolo 5, lettere ba) e bb), sul materiale intimo riferibile a una persona identificabile senza consenso esplicito e su quello pedopornografico. Il divieto non tocca solo chi ha quella finalità, ma anche i sistemi in cui l’esito è prevedibile e mancano garanzie, quindi tocca chiunque immetta un generatore di immagini.
Sull’alto rischio le scadenze sono cambiate
Gli obblighi del Capo III, sezioni 1, 2 e 3, slittano al 2 dicembre 2027 per i sistemi dell’articolo 6, paragrafo 2, e dell’Allegato III, e al 2 agosto 2028 per quelli dell’articolo 6, paragrafo 1, e dell’Allegato I, ossia i componenti di sicurezza in prodotti già regolati. Sono due allegati distinti, e chi li confonde pianifica sulla data sbagliata.
Il rinvio non è un condono e non copre tutto. Per un provider ad alto rischio la lista comprende gestione del rischio, qualità dei dati, documentazione tecnica e sorveglianza umana, mentre la valutazione di conformità sta nella sezione 5 e non è rinviata. Le sanzioni arrivano fino a 15 milioni di euro o al 3 per cento del fatturato mondiale, se superiore.
Per un deployer ad alto rischio il peso si sposta sull’uso, quindi sorveglianza umana sulle decisioni, conservazione dei log e, in diversi casi, una valutazione d’impatto. Il punto vero è che questi sistemi sono già in uso adesso, mentre la scadenza del Regolamento è nel 2027.
Da non dimenticare la normativa italiana
Dal 10 ottobre 2025 è in vigore la Legge 132/2025, che affida ad AgID le funzioni di notifica e ad ACN la vigilanza del mercato. I decreti attuativi, approvati in esame preliminare il 10 giugno 2026, devono completare l’iter entro ottobre.
Il professionista che usa l’AI nella prestazione deve dirlo al cliente con parole chiare. Il datore di lavoro deve informare il lavoratore dell’uso di sistemi decisionali o di monitoraggio automatizzati, secondo l’articolo 1-bis del D.Lgs. 152/1997. Il divieto di decidere sul rapporto di lavoro con il solo trattamento automatizzato, con nullità del licenziamento intimato in violazione, sta negli schemi di decreto e non è ancora vigente. Un limite lo pone però già l’articolo 22 del GDPR, quindi chi gestisce processi HR si muove come se il vincolo ci fosse.
Come muoversi in pratica
Come muoversi? Prima occorre qualificarsi: provider o deployer, alto rischio oppure no. Poi controlliamo le scadenze su quel parametro:
- divieti e alfabetizzazione valgono già adesso, come pure la trasparenza entrata in vigore il 2 agosto 2026,
- la marcatura dei contenuti a dicembre.
- L’alto rischio ha più tempo, ma è quello da avviare per primo perché è il più lungo da costruire.
Chi parte oggi ha un vantaggio, perché ormai i clienti business chiedono le carte prima di firmare, e chi non ha le carte in regola vede sfumare gli accordi.
Partecipa alla community