AI Act: cosa cambia dal 2 agosto 2026 (e come prepararsi)

Il 2 agosto 2026 è una delle date più attese dell'intero percorso applicativo del Regolamento europeo sull'intelligenza artificiale (Regolamento UE 2024/1689, l'"AI Act"). Non è una tappa qualsiasi: è il momento in cui diventa operativo il cuore dell'impianto normativo, con effetti concreti su chi sviluppa, distribuisce o semplicemente utilizza sistemi di intelligenza artificiale in azienda.

In questo articolo facciamo il punto in modo chiaro e senza allarmismi: cosa entra davvero in vigore, cosa è stato rinviato, quali sono le sanzioni e — soprattutto — cosa conviene fare da subito.

Un regolamento ad applicazione scaglionata

L'AI Act è entrato in vigore il 1° agosto 2024, ma il legislatore europeo ha scelto fin dall'inizio un'applicazione progressiva, per dare a imprese e istituzioni il tempo di adeguarsi. Le tappe fondamentali sono:

• 2 febbraio 2025 — Divieto delle pratiche a rischio inaccettabile (art. 5) e obbligo di alfabetizzazione in materia di IA (AI literacy) per il personale.
• 2 agosto 2025 — Obblighi per i modelli di IA per finalità generali (GPAI) e avvio del quadro di governance europeo.
• 2 agosto 2026 — Entrano in piena efficacia gli obblighi di trasparenza e diventano operative la vigilanza e le sanzioni. È la tappa di cui parliamo qui.

Cosa entra in vigore il 2 agosto 2026

1. Gli obblighi di trasparenza (art. 50)

L'articolo 50 non impone un obbligo generalizzato per qualsiasi sistema di IA, ma interviene nelle situazioni in cui l'utente rischia di essere ingannato o esposto a contenuti artificiali senza saperlo. Il principio è semplice: nessuno deve scoprire dopo di aver interagito con una macchina o di aver visto un contenuto sintetico.

In concreto:

• Chatbot e assistenti conversazionali: chi fornisce sistemi che interagiscono direttamente con le persone deve rendere riconoscibile la natura artificiale dell'interazione, salvo che sia già evidente. L'avviso deve essere chiaro e fornito al più tardi al momento della prima interazione.
• Contenuti sintetici: i contenuti generati o manipolati dall'IA (testo, immagini, audio, video) devono essere marcati in modo leggibile dalle macchine.
• Deepfake: chi utilizza l'IA per creare immagini, audio o video che costituiscono deepfake deve dichiararne l'origine artificiale.
• Testi di pubblico interesse: quando l'IA genera testi pubblicati per informare il pubblico su questioni di interesse generale, occorre dichiararlo.
• Riconoscimento emozioni e categorizzazione biometrica: chi impiega questi sistemi deve informare le persone interessate.

Un punto spesso trascurato: gli obblighi si distribuiscono in base al ruolo ricoperto nella filiera. I fornitori (provider) devono integrare la trasparenza già in fase di progettazione dei sistemi; i deployer — cioè le aziende, gli studi professionali e le società di consulenza che utilizzano l'IA sotto la propria responsabilità — devono informare le persone esposte ai sistemi o ai contenuti. Uno stesso soggetto può assumere entrambi i ruoli contemporaneamente per sistemi diversi.

2. Governance e sanzioni operative

Dal 2 agosto 2026 le autorità nazionali di vigilanza diventano pienamente operative e possono verificare l'adempimento degli obblighi. In Italia, con la Legge 132/2025 (in vigore dal 10 ottobre 2025), la supervisione sui modelli di IA per finalità generali è affidata all'Agenzia per la Cybersicurezza Nazionale (ACN), affiancata da AgID.

Le violazioni degli obblighi di trasparenza sono sanzionabili fino a 15 milioni di euro oppure, per le imprese, fino al 3% del fatturato mondiale annuo dell'esercizio precedente, se superiore. Per PMI e start-up si applica il limite più basso tra i due.

Le Linee guida della Commissione e il Codice di condotta

Il 20 luglio 2026 la Commissione europea ha pubblicato le Linee guida definitive per aiutare fornitori e utilizzatori a rispettare l'articolo 50. Il messaggio di fondo è che la trasparenza non è un'etichetta da apporre a fine progetto, ma una responsabilità da assumere fin dalla progettazione del sistema.

Le Linee guida indicano anche come dimostrare la conformità, in particolare tramite l'adesione al Codice di condotta sulla trasparenza dei contenuti generati dall'IA, riconosciuto come strumento volontario idoneo ad attestare la conformità. Chi non aderisce dovrà dimostrare il rispetto degli obblighi con strumenti alternativi equivalenti. A supporto delle imprese la Commissione ha inoltre attivato l'AI Act Service Desk, un punto di riferimento informativo costantemente aggiornato.

Cosa è stato rinviato (e cosa resta confermato)

Il pacchetto di semplificazione noto come "Digital Omnibus" ha rivisto alcune tempistiche. In particolare, gran parte degli obblighi sui sistemi ad alto rischio autonomi (Allegato III) — quelli impiegati in ambiti come lavoro, credito, biometria, servizi pubblici essenziali, giustizia e law enforcement — è stata posticipata dal 2 agosto 2026 al 2 dicembre 2027.

Attenzione a una sfumatura importante: i rinvii diventano giuridicamente efficaci solo dopo la pubblicazione del Digital Omnibus nella Gazzetta Ufficiale dell'UE. Fino a quel momento, sul piano strettamente formale, resta valido il calendario originario. Gli obblighi di trasparenza dell'art. 50, invece, restano ancorati al 2 agosto 2026 indipendentemente dall'Omnibus: è la scadenza che non si tocca.

Restano inoltre confermati due appuntamenti al 2 dicembre 2026:

• L'obbligo di etichettatura leggibile dalle macchine (watermarking) dei contenuti generati dall'IA per i sistemi già sul mercato.
• Due nuovi divieti: gli strumenti che generano immagini intime non consensuali e il materiale di abuso sessuale su minori generato artificialmente, sia per chi li sviluppa sia per chi li utilizza.

Cosa fare adesso: una checklist operativa

Che siate fornitori o utilizzatori di IA, questi sono i passi concreti da avviare senza aspettare:

1. Mappare i sistemi di IA utilizzati in azienda, distinguendo per ciascuno il ruolo di provider e/o deployer.
2. Verificare l'ambito applicativo dell'art. 50: interazione diretta con persone, generazione o manipolazione di contenuti sintetici, deepfake, testi di pubblico interesse, riconoscimento emozioni o categorizzazione biometrica.
3. Predisporre o aggiornare le informative e le modalità di disclosure — banner, messaggi vocali, etichette, icone — nel rispetto dei requisiti di chiarezza, distinguibilità e accessibilità.
4. Verificare marcatura e strumenti di rilevazione dei contenuti generati artificialmente.
5. Rivedere le clausole contrattuali con i fornitori terzi di sistemi di IA, chiedendo garanzie esplicite di conformità: la responsabilità si propaga lungo la catena del valore.
6. Valutare l'adesione al Codice di condotta come strumento per ridurre il rischio regolatorio e l'onere probatorio.
7. Formare il personale: l'obbligo di AI literacy è già in vigore dal febbraio 2025. Documentare la formazione fa parte della conformità.
8. Conservare la documentazione delle misure adottate: dal 2 agosto, in caso di ispezione o contenzioso, conta poter dimostrare la diligenza, non raccontarla.

In sintesi

L'AI Act non chiede alle imprese di rinunciare all'intelligenza artificiale. Chiede di poter dimostrare che ogni suo utilizzo è governato, tracciato e trasparente. Il 2 agosto 2026 sposta l'attenzione dal "quando dovremo occuparcene" al "cosa dobbiamo poter dimostrare da subito".

Prepararsi ora, con un percorso strutturato, significa trasformare un obbligo normativo in un vantaggio di fiducia verso clienti e stakeholder.

Vuoi capire a che punto è la tua azienda rispetto agli obblighi dell'AI Act? Il team di Solutica può aiutarti a mappare i sistemi, valutare i rischi e costruire un percorso di conformità su misura. Contattaci per una prima analisi.