Sommario
Intelligenza Artificiale
Consulenza EU AI Act: classificazione dei sistemi, policy, governance AI, formazione.
Scopri →
Cybersecurity
Consulenza CISO-as-a-service: postura, roadmap di remediation, supporto continuativo.
Scopri →
Dal 2 agosto 2026 l’AI Act è generalmente applicabile e le autorità di vigilanza hanno pieni poteri. Il Digital Omnibus ha spostato in avanti la parte sull’alto rischio, quindi la lista di quello che è dovuto oggi è più corta di quella scritta nel 2024.
Le tabelle valgono per chi fornisce sistemi AI e per chi li usa, imprese e pubbliche amministrazioni, senza soglie dimensionali.
La checklist degli obblighi in vigore
| Obbligo | A chi si applica | In vigore da | Cosa serve avere |
|---|---|---|---|
| Dichiarare che si sta parlando con un’AI (art. 50.1) | chi fornisce sistemi che interagiscono con le persone | 2 ago 2026 | avviso in apertura di conversazione, nel prodotto e nella documentazione |
| Riconoscimento delle emozioni e categorizzazione biometrica (art. 50.3) | chi usa il sistema | 2 ago 2026 | informativa preventiva alle persone riprese, coordinata con quella GDPR |
| Dichiarare deepfake e testi di interesse pubblico (art. 50.4) | chi usa il sistema e diffonde il contenuto | 2 ago 2026 | etichetta visibile sul contenuto, salvo revisione umana o responsabilità editoriale |
| Marcatura tecnica dei contenuti sintetici (art. 50.2) | chi fornisce sistemi generativi | 2 ago 2026 per i sistemi immessi da oggi, 2 dic 2026 per quelli già sul mercato | marcatura leggibile dalle macchine, efficace, affidabile e interoperabile, che rende il contenuto rilevabile come generato o manipolato |
| Alfabetizzazione AI (art. 4) | chi fornisce e chi usa | 2 feb 2025 | misure di formazione proporzionate al ruolo, tracciate |
| Restare fuori dalle pratiche vietate, in gran parte (art. 5) | tutti | 2 feb 2025 | verifica documentata sui casi d’uso, riletta dopo i divieti aggiunti dall’Omnibus su immagini intime non consensuali e CSAM sintetico |
| Regole per i modelli GPAI (artt. 53-55) | chi fornisce modelli immessi sul mercato dal 2 ago 2025 | 2 ago 2025 | documentazione tecnica, policy sul diritto d’autore, sintesi dei dati di addestramento |
Cosa non è obbligatorio oggi
| Obbligo | Quando scatta |
|---|---|
| Sistemi ad alto rischio stand-alone, Allegato III | 2 dicembre 2027 |
| Sistemi ad alto rischio collegati ai prodotti, Allegato I | 2 agosto 2028 |
| Marcatura dei contenuti sintetici (art. 50.2), solo per i sistemi generativi già sul mercato prima del 2 agosto 2026 | 2 dicembre 2026 |
| Fornitori di modelli GPAI immessi sul mercato prima del 2 agosto 2025 | 2 agosto 2027 |
| Sandbox normativi nazionali | 2 agosto 2027 |
Le tre cose da fare comunque
Un inventario dei sistemi AI usati o forniti, con la classificazione di rischio secondo il testo consolidato e un referente interno. Senza quello non si risponde a una richiesta di informazioni, ed è lo stesso inventario che serve per il Cyber Resilience Act e per NIS2, quindi conviene farne uno solo.
L’intervento sull’articolo 50 dove i sistemi sono già esposti. Un chatbot sul sito, un assistente dentro il prodotto o un servizio che genera contenuti richiedono un lavoro di interfaccia e di documentazione che si misura in giorni. È la scadenza di oggi, non una futura.
L’uso dei sedici mesi guadagnati sull’alto rischio. Il rinvio al dicembre 2027 sposta la data, non il lavoro: valutazione di conformità, gestione del rischio, qualità dei dati e sorveglianza umana restano da costruire, e sono le stesse voci che ricompaiono negli obblighi di GDPR e AI Act quando si sovrappongono.
Perché le date sono cambiate
Il Regolamento (UE) 2026/1744 dell’8 luglio 2026, che modifica il Regolamento (UE) 2024/1689 insieme ai regolamenti (UE) 2018/1139 e (UE) 2023/1230, è stato pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio 2026 ed è entrato in vigore il 27 luglio. Chiude un iter cominciato con l’accordo politico provvisorio del 7 maggio, passato per il voto del Parlamento europeo del 16 giugno e per l’adozione del Consiglio del 29 giugno.
Fino al 27 luglio la data applicabile restava il 2 agosto 2026, perché un accordo politico non produce effetti giuridici e le date negoziate diventano vincolanti solo con la pubblicazione. Il rinvio è quindi entrato in vigore con sei giorni di margine sulla scadenza che sposta, e fino a quel momento chi aveva sospeso il proprio programma di conformità contando sull’Omnibus è rimasto scoperto.
L’Omnibus interviene anche sul perimetro: chiarisce la nozione di componente di sicurezza e i criteri di classificazione dell’alto rischio, esclude dall’applicazione diretta i prodotti già disciplinati dal Regolamento Macchine e introduce misure di sostegno per PMI e small mid-caps.
Gli obblighi in dettaglio
Trasparenza, articolo 50. Chi fornisce sistemi che interagiscono con le persone deve renderne riconoscibile la natura artificiale. Chi usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone esposte, e chi diffonde deepfake deve dichiararli. È l’obbligo che tocca il numero più alto di organizzazioni, perché comprende qualunque assistente conversazionale esposto a clienti o cittadini. L’articolo copre anche i testi generati o manipolati destinati a informare il pubblico, salvo revisione umana o responsabilità editoriale. La marcatura tecnica dei contenuti sintetici, che sta nello stesso articolo al comma 2 e consiste nel renderli rilevabili da una macchina invece che con una dichiarazione visibile, vale da oggi per i sistemi generativi immessi sul mercato dal 2 agosto 2026: la transizione fino al 2 dicembre 2026 riguarda soltanto chi aveva già il proprio sistema sul mercato prima di quella data.
Alfabetizzazione. L’obbligo di formazione dell’articolo 4 è in vigore dal 2 febbraio 2025, ma da oggi c’è chi può controllarne il rispetto. L’Omnibus ne ha attenuato la portata rispetto al testo originario, quindi conviene rileggere l’articolo nella versione consolidata prima di dare per acquisito un programma impostato l’anno scorso. Al livello europeo si somma quello italiano: la legge 132/2025 e i suoi decreti attuativi impongono una formazione trasversale e assegnano le competenze ad ACN e AgID.
Modelli di uso generale. Le regole degli articoli 53-55 valgono dal 2 agosto 2025 per i modelli immessi sul mercato da quella data, mentre i fornitori di modelli immessi prima si conformano entro il 2 agosto 2027. L’articolo 54 riguarda i rappresentanti autorizzati dei fornitori stabiliti fuori dall’Unione e l’articolo 55 i modelli con rischio sistemico. Da oggi la Commissione può farli rispettare pienamente, anche con sanzioni.
Chi vigila e con quali sanzioni
Le autorità nazionali dovevano essere designate e dotate di poteri entro il 2 agosto 2025, e il regime sanzionatorio era già applicabile da allora. Quello che cambia oggi è l’oggetto: diventano verificabili e sanzionabili anche gli obblighi di trasparenza dell’articolo 50, e la Commissione acquisisce il potere di far rispettare pienamente gli obblighi sui modelli di uso generale.
In Italia il coordinamento è dell’Agenzia per la Cybersicurezza Nazionale, con AgID come seconda autorità designata dalla legge 132/2025 e competenze settoriali del Garante Privacy, di Banca d’Italia, Consob e IVASS. Per le pratiche vietate dall’articolo 5 si arriva a 35 milioni di euro o al 7% del fatturato mondiale annuo, a seconda di quale sia superiore. Per i fornitori di modelli di uso generale la Commissione può arrivare a 15 milioni o al 3%.
Fonti
- Regolamento (UE) 2026/1744 (Digital Omnibus on AI), testo in Gazzetta Ufficiale UE
- Regolamento (UE) 2024/1689 (AI Act), testo in Gazzetta Ufficiale UE
- key4biz: pubblicate in Gazzetta UE le modifiche del Digital Omnibus
- Il Sole 24 ORE: dal 2 agosto debuttano la vigilanza e i doveri di trasparenza
- ADVANT Nctm: il Consiglio adotta il regolamento di semplificazione dell’AI Act
- Studio Legale Stefanelli: il Consiglio UE adotta il regolamento, slittano le scadenze dell’alto rischio