AI Act: cosa cambia dal 2 agosto 2026 e come prepararsi
Il Regolamento (UE) 2024/1689 è in vigore, ma applica i suoi obblighi a tappe. Dal 2 agosto 2026 scattano trasparenza, misure per l'innovazione ed enforcement. Cosa è certo, cosa resta in movimento con il Digital Omnibus, e le priorità operative per imprese e amministrazioni.
— Studio LX20 Law Firm
Regolamento (UE) 2024/1689 — stato dell'applicazione al 10 luglio 2026. Il primo regolamento organico dell'Unione sull'intelligenza artificiale è in vigore dal 1° agosto 2024, ma applica i suoi obblighi in modo scaglionato. La soglia rilevante nell'immediato è il 2 agosto 2026. In questo contributo distinguiamo ciò che è già certo da ciò che è stato differito, e indichiamo le priorità operative per imprese e amministrazioni.
Il punto sullo stato dell'applicazione
L'AI Act non "entra in vigore" il 2 agosto 2026: è in vigore da quasi due anni. Ciò che matura progressivamente è l'*applicazione* delle singole tranche di obblighi. Le tappe già consolidate sono tre.
- Dal 2 febbraio 2025 si applicano le definizioni, gli obblighi di alfabetizzazione in materia di intelligenza artificiale e i divieti relativi alle pratiche a rischio inaccettabile.
- Dal 2 agosto 2025 si applicano le regole sui modelli di intelligenza artificiale per finalità generali (general-purpose AI, "GPAI") e l'impianto di governance europea e nazionale.
- Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell'art. 50, le misure a sostegno dell'innovazione e l'avvio dell'attività di controllo. È la finestra imminente e, per questa parte, certa. Il trattamento dei sistemi ad alto rischio, originariamente previsto anch'esso a partire da questa data, è stato invece differito, come si dirà.
Il nodo dei sistemi ad alto rischio
Il cuore materiale dell'AI Act sono i sistemi ad alto rischio, ai quali si applica un insieme esteso di requisiti (gestione del rischio, governance dei dati, documentazione tecnica, tracciabilità, sorveglianza umana, accuratezza e cybersicurezza, valutazione di conformità, marcatura CE, registrazione, monitoraggio post-commercializzazione). Proprio su questo segmento il calendario è stato modificato.
Il testo originario del Regolamento (art. 113) fissava l'applicazione dei sistemi ad alto rischio dell'allegato III al 2 agosto 2026 e di quelli costituiti da prodotti regolati (allegato I) al 2 agosto 2027. Nell'ambito del pacchetto di semplificazione digitale (c.d. *Digital Omnibus*) queste scadenze sono state differite: il regolamento di modifica è stato approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno 2026, e alla data del presente contributo attende soltanto la firma e la pubblicazione nella Gazzetta ufficiale dell'Unione europea, attesa entro la seconda metà di luglio 2026.
Per effetto della modifica, l'applicazione dei sistemi ad alto rischio dell'allegato III slitta al 2 dicembre 2027 e quella dei sistemi incorporati in prodotti regolati (allegato I) al 2 agosto 2028. Sul piano metodologico va tenuta ferma una distinzione: fino alla pubblicazione in Gazzetta ufficiale le scadenze formalmente vigenti restano quelle originarie (2 agosto 2026 / 2027); dalla pubblicazione — imminente — subentrano le nuove date. In ogni caso l'atto è già stato adottato da entrambi i co-legislatori: non si tratta più di una semplice proposta.
La stessa modifica introduce altri elementi rilevanti: un nuovo divieto ai sensi dell'art. 5 relativo alla generazione di materiale pedopornografico e di immagini intime non consensuali (c.d. *nudifiers*), e un regime transitorio per la marcatura dei contenuti generati, con i sistemi generativi immessi sul mercato prima del 2 agosto 2026 tenuti all'obbligo di *watermarking* solo dal 2 dicembre 2026.
La lettura prudente resta la stessa: il differimento allenta la tempistica, non l'obbligo. Costruire fin d'ora l'impianto documentale richiesto dagli articoli da 9 a 15 del Regolamento resta la scelta corretta, a prescindere dallo slittamento.
L'AI Act non riguarda solo chi sviluppa modelli
L'errore più comune è pensare che il Regolamento colpisca solo i grandi sviluppatori di modelli. La logica della catena del valore è invece severa: chi integra un modello terzo in un prodotto proprio, chi lo rimarchia, chi lo distribuisce o importa, e chi lo utilizza in contesti regolati assume obblighi propri. In determinate ipotesi — cambio di marchio, modifica della finalità d'uso o modifiche sostanziali — un distributore, un importatore o un utilizzatore può diventare a tutti gli effetti "provider" ai fini del Regolamento, con il relativo carico di conformità.
Rilevante anche la portata extraterritoriale: la strategia "sviluppo fuori dall'Unione, vendita in Unione tramite interfaccia di programmazione (API)" non mette automaticamente al riparo dal Regolamento quando l'output del sistema è utilizzato nell'Unione.
Trasparenza dei contenuti: la scadenza più vicina
Per testate, editori, piattaforme e uffici di comunicazione, l'adempimento più immediato è l'art. 50 del Regolamento (UE) 2024/1689. Chi pubblica testi generati o manipolati dall'intelligenza artificiale "al fine di informare il pubblico su questioni di interesse generale" deve, di regola, dichiararne la natura, salvo che il contenuto sia stato sottoposto a revisione umana o a controllo editoriale con assunzione della relativa responsabilità. Gli output sintetici (audio, immagini, video, testo) devono inoltre essere marcati in formato leggibile dalla macchina e riconoscibili come artificiali, nei limiti della fattibilità tecnica.
Il 10 giugno 2026 la Commissione ha pubblicato un codice di condotta sulla trasparenza dei contenuti generati dall'intelligenza artificiale, corredato di un set di icone per l'etichettatura. È uno strumento volontario e non sostituisce l'art. 50, che resta un obbligo di legge applicabile dal 2 agosto 2026.
Sanzioni
L'apparato sanzionatorio è severo. Le violazioni del divieto di pratiche vietate (art. 5) possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore. Altre violazioni rilevanti — tra cui gli obblighi di trasparenza dell'art. 50 e gli obblighi di fornitori, importatori, distributori e deployer — possono arrivare fino a 15 milioni di euro o al 3% (art. 99). La fornitura di informazioni inesatte o fuorvianti alle autorità può comportare sanzioni fino a 7,5 milioni di euro o all'1%. Per i fornitori di modelli per finalità generali, l'art. 101 consente alla Commissione sanzioni fino al 3% del fatturato mondiale annuo o 15 milioni di euro, se superiore.
Il metodo: distinguere norma, interpretazione e semplificazione
Un'avvertenza metodologica è doverosa. Attorno al Regolamento si è formato un ecosistema di linee guida, FAQ, codici di condotta e standard tecnici in costruzione. Questi strumenti orientano fortemente interpretazione e attività di controllo, ma non hanno il rango del Regolamento. Nel lavoro di conformità conviene tenere distinti tre livelli: la norma vigente, la transizione applicativa e le semplificazioni in corso. In particolare, i primi standard armonizzati europei sono attesi nel 2026 e solo la loro pubblicazione nella Gazzetta ufficiale dell'Unione europea (GUUE) produrrà la presunzione di conformità: fino ad allora, molte organizzazioni operano senza un pieno "safe harbour".
Lo Studio segue l'evoluzione del quadro europeo e nazionale e assiste imprese e amministrazioni nella mappatura dei sistemi, nell'attribuzione dei ruoli lungo la catena del valore e nella predisposizione degli adempimenti. Per un confronto sulla vostra situazione specifica è possibile contattare il team.
*Il presente contributo costituisce materiale informativo aggiornato al 10 luglio 2026. Non costituisce parere legale. I richiami normativi (Reg. (UE) 2024/1689; Reg. (UE) 2016/679; regolamento di modifica Digital Omnibus, adottato il 16 e 29 giugno 2026 e in attesa di pubblicazione in GUUE) hanno valore di sintesi e non sostituiscono la lettura del testo ufficiale né il parere di un professionista qualificato.*