AI Act 2026: cosa cambia dal 2 agosto per imprese e PA

Dal 2 agosto 2026 l’AI Act, il regolamento (UE) 2024/1689, è entrato nella sua fase generale di applicazione. Il quadro è stato però modificato nelle settimane precedenti dal regolamento (UE) 2026/1744, il Digital Omnibus on AI, pubblicato il 24 luglio, che ha semplificato alcuni adempimenti e ridefinito le scadenze relative ai sistemi ad alto rischio. Per imprese e pubbliche amministrazioni occorre quindi distinguere gli obblighi già operativi da quelli che entreranno in applicazione tra il 2027 e il 2028.

AI Act e AI literacy: gli obblighi già applicabili dal 2025

Un primo gruppo di disposizioni era già applicabile dal 2 febbraio 2025. Tra queste rientra l’articolo 4 sull’AI literacy: provider e deployer devono adottare misure per sviluppare competenze adeguate nel personale e nei soggetti che utilizzano sistemi di intelligenza artificiale per loro conto. La Commissione ha chiarito nel luglio 2026 che non viene richiesto un livello standardizzato di alfabetizzazione per ogni singolo addetto: le misure devono essere proporzionate alle conoscenze disponibili, al contesto di utilizzo e ai soggetti sui quali il sistema viene impiegato. Le regole di vigilanza ed enforcement sono operative dall’agosto 2026.

Come funziona l’approccio basato sul rischio dell’AI Act

L’AI Act mantiene un approccio basato sul rischio. Alcuni utilizzi ritenuti incompatibili con i diritti fondamentali sono vietati; i sistemi classificati come high-risk sono sottoposti a requisiti più stringenti; altre applicazioni ricadono soprattutto negli obblighi di trasparenza. La posizione dell’organizzazione nella filiera è altrettanto rilevante. L’articolo 3 definisce provider il soggetto che sviluppa, o fa sviluppare, un sistema e lo immette sul mercato o lo mette in servizio con il proprio nome. È invece deployer il soggetto che utilizza un sistema di AI sotto la propria autorità nell’ambito professionale. Un’impresa può quindi rientrare nel perimetro del regolamento anche quando utilizza tecnologie sviluppate da terzi. La distinzione incide direttamente sugli obblighi applicabili e rende necessario conoscere non soltanto quale tecnologia viene adottata, ma anche il ruolo assunto dall’organizzazione nel suo utilizzo.

Obblighi di trasparenza dell’AI Act dal 2 agosto 2026

Dal 2 agosto sono applicabili gli obblighi di trasparenza dell’articolo 50. Le linee guida definitive pubblicate dalla Commissione il 20 luglio precisano le responsabilità di provider e deployer. I provider di sistemi che interagiscono direttamente con persone devono rendere riconoscibile l’interazione con un’AI, salvo che ciò sia già evidente. Per determinati contenuti sintetici o manipolati sono previsti anche meccanismi di marcatura leggibili dalle macchine. I deployer devono invece fornire specifiche informazioni quando utilizzano sistemi di riconoscimento delle emozioni o categorizzazione biometrica, diffondono deepfake oppure pubblicano testi generati o manipolati dall’AI su questioni di interesse pubblico in assenza di revisione umana o controllo editoriale.

Deepfake e contenuti generati dall’AI: le linee guida europee

La Commissione ha affiancato alle linee guida un Code of Practice sulla trasparenza dei contenuti generati dall’AI, coordinato dall’AI Office. Al 31 luglio risultavano oltre 180 organizzazioni aderenti. Il Codice rappresenta uno strumento volontario per dimostrare la conformità agli obblighi di marcatura ed etichettatura. Chi non aderisce deve comunque dimostrare il rispetto dell’articolo 50 attraverso mezzi alternativi adeguati. Il tema assume particolare rilevanza per le organizzazioni che utilizzano strumenti generativi nella produzione e diffusione di contenuti, nella relazione con clienti e utenti o nell’automazione di servizi digitali.

Sistemi AI ad alto rischio: le scadenze del 2027 e 2028

La disciplina più articolata sui sistemi ad alto rischio entrerà invece in applicazione progressivamente. Dopo le modifiche introdotte dal Digital Omnibus, il 2 dicembre 2027 è la data prevista per i sistemi classificati high-risk ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III, che comprende anche determinati impieghi nell’occupazione, nel credito e nell’accesso a servizi essenziali. Per i sistemi collegati ai prodotti disciplinati dall’allegato I la scadenza è fissata al 2 agosto 2028. Per queste applicazioni il regolamento prevede requisiti relativi, tra l’altro, a gestione del rischio, dati, documentazione, supervisione umana, accuratezza, robustezza e cybersicurezza.

AI Act in Italia: il ruolo di AgID, ACN e Garante Privacy

Sul piano italiano, la legge 132/2025 ha individuato AgID e ACN come autorità nazionali per l’intelligenza artificiale, attribuendo alla prima funzioni di promozione e notifica e alla seconda compiti di vigilanza e cybersicurezza. Nel luglio 2026 il Garante Privacy ha espresso parere favorevole, chiedendo però maggiori garanzie, sullo schema di decreto legislativo AG 421 relativo ai poteri delle autorità nazionali e alla formazione. Nelle fonti ufficiali consultate al 22 agosto non risulta ancora pubblicato in Gazzetta Ufficiale il decreto definitivo corrispondente. Il Garante ha inoltre richiamato l’attenzione sulla tutela dei dati biometrici, tema che incrocia direttamente alcune delle applicazioni dell’intelligenza artificiale sottoposte a maggiori vincoli.

Cosa devono verificare oggi imprese, utility e PA

Per le imprese, le attività da avviare oggi sono abbastanza definite. Il primo passaggio consiste nel creare un inventario dei sistemi di Intelligenza Artificiale effettivamente utilizzati, compresi quelli integrati in software e servizi forniti da terzi, indicando per ciascuno la funzione svolta, i dati trattati, gli utenti coinvolti e le decisioni supportate. Su questa base va chiarito il ruolo assunto dall’azienda ai sensi dell’AI Act e verificato il rispetto degli obblighi già applicabili, a partire dall’AI literacy del personale e dagli adempimenti di trasparenza verso clienti e utenti. Per le applicazioni che potrebbero rientrare tra i sistemi ad alto rischio, come determinati strumenti utilizzati nel recruiting, nella valutazione dei lavoratori o nell’accesso a servizi essenziali, è invece opportuno predisporre una roadmap verso le scadenze del 2027 e del 2028, verificando fin da ora documentazione dei fornitori, supervisione umana, tracciabilità, gestione dei dati e requisiti di cybersecurity. Il risultato operativo dovrebbe essere una mappa aziendale dell’AI che consenta di distinguere i sistemi già soggetti a obblighi, quelli che richiedono adeguamenti futuri e le applicazioni a rischio limitato, assegnando responsabilità interne e priorità di intervento.