Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Il 2 agosto 2026 è arrivato con una doppia notizia. La buona: gli obblighi più onerosi sui sistemi di intelligenza artificiale ad alto rischio sono stati rinviati. La cattiva — e meno raccontata — è che gli obblighi di trasparenza dell'art. 50 del Regolamento (UE) 2024/1689 sono invece pienamente esigibili da quella stessa data, e toccano la stragrande maggioranza delle imprese italiane, comprese le PMI che non hanno mai sentito parlare di "alto rischio".
Capire cosa scatta davvero, e cosa è stato spostato in avanti, non è esercizio accademico: è la condizione minima per evitare sanzioni che — come si vedrà — possono arrivare fino al 3% del fatturato mondiale annuo.
Cosa cambia per le aziende dal 2 agosto 2026 con l'AI Act?
Dal 2 agosto 2026 assumono particolare rilevanza tre blocchi di disposizioni. Il rinvio operato dal Digital Omnibus è selettivo: non riguarda l'intero AI Act e non sospende l'applicazione del GDPR, della normativa sul lavoro, delle regole antidiscriminatorie, della disciplina sulla sicurezza o delle disposizioni italiane già vigenti.
Il primo blocco riguarda gli obblighi di trasparenza. Dal 2 agosto 2026 entrano in vigore gli obblighi previsti dall'articolo 50 dell'AI Act, la norma che impone a chi sviluppa e a chi utilizza sistemi di intelligenza artificiale di dichiarare, in modo chiaro e verificabile, quando un contenuto testuale, audio, video o un'interazione conversazionale è generata o manipolata da un algoritmo. Non si tratta di un adempimento burocratico isolato, ma del tassello che rende operativo uno dei principi cardine dell'AI Act: nessun utente deve scoprire dopo di aver parlato con una macchina o di aver guardato un contenuto sintetico senza saperlo prima.
Si tratta di un passaggio che riguarda la maggior parte delle imprese italiane ed europee, perché l'art. 50 disciplina proprio i sistemi di IA a "rischio limitato": la categoria in cui rientrano gli strumenti oggi più diffusi, come chatbot, assistenti vocali e sistemi di generazione di testo, immagini, audio e video.
In termini concreti, gli utenti devono essere informati, fin dal primo contatto, quando interagiscono con chatbot o assistenti virtuali, salvo che la natura artificiale sia già evidente. I fornitori di sistemi generativi devono inoltre rendere testi, immagini, audio e video riconoscibili mediante marcature tecniche leggibili dalle macchine. I deployer devono segnalare in modo percepibile i deepfake e i testi destinati a informare il pubblico su questioni di interesse generale.
Un aspetto che molte imprese trascurano riguarda la distribuzione della responsabilità. Gli obblighi di trasparenza dell'articolo 50 gravano su entrambi i soggetti — fornitore e deployer — ciascuno per la sua parte: il fornitore deve progettare il sistema in modo che l'utente sia informato, il deployer deve usarlo in quel modo e non disattivare quella informazione. Tradotto: se hai comprato un chatbot da un'agenzia e lo hai messo sul tuo sito, non puoi dire "è un problema loro". La responsabilità di chi mette il sistema davanti ai clienti resta tua.
Un ulteriore elemento di attenzione per chi gestisce la compliance integrata: l'informativa privacy risponde agli articoli 13 e 14 del GDPR e riguarda il trattamento dei dati personali; l'art. 50 dell'AI Act richiede invece un avviso sulla natura artificiale dell'interazione o del contenuto, dovuto anche quando non è trattato alcun dato personale. Una modifica all'informativa non copre l'obbligo di trasparenza sull'IA. I due adempimenti coesistono e non si sostituiscono.
Il secondo blocco che scatta dal 2 agosto 2026 è quello sanzionatorio. Con l'applicazione dell'articolo 50 diventa operativo l'impianto sanzionatorio dell'articolo 99. La violazione degli obblighi di trasparenza rientra nella fascia intermedia: fino a 15 milioni di euro o il 3% del fatturato mondiale annuo, se superiore. Per le PMI e le piccole imprese a media capitalizzazione si applica l'importo inferiore tra i due parametri, non il maggiore. Non è una soglia trascurabile neanche per le realtà medio-piccole.
Il terzo blocco attivo riguarda i sistemi vietati e i modelli GPAI, la cui applicazione era già partita in agosto 2025 e rimane invariata. Nello stesso giorno la Commissione europea, attraverso l'AI Office, acquisisce il potere di sanzionare direttamente i modelli di intelligenza artificiale per finalità generale.
Cosa prevede il Digital Omnibus sul rinvio dell'AI Act?
Con il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell'Unione europea il 24 luglio 2026, Parlamento europeo e Consiglio intervengono sull'AI Act con un articolato pacchetto di modifiche volto a semplificarne l'attuazione, senza ridurre il livello di tutela garantito per salute, sicurezza e diritti fondamentali.
L'ultimo tassello formale, l'adozione da parte del Consiglio, è arrivato il 29 giugno 2026. Da lì l'iter si è chiuso rapidamente: dopo la firma dei presidenti delle due istituzioni, il testo — datato 8 luglio 2026 — è stato pubblicato nella Gazzetta ufficiale dell'Unione europea, serie L, il 24 luglio 2026 come Regolamento (UE) 2026/1744. A norma del suo articolo 4, l'atto è entrato in vigore il terzo giorno successivo alla pubblicazione, cioè il 27 luglio 2026: sei giorni prima del 2 agosto, la data in cui sarebbero altrimenti scattati gli obblighi originari sull'alto rischio.
La modifica più rilevante sul piano operativo riguarda le scadenze per i sistemi ad alto rischio. Per i sistemi autonomi ad alto rischio — quelli disciplinati dall'Allegato III dell'AI Act — la nuova data di applicazione è fissata al 2 dicembre 2027. Per i sistemi di IA ad alto rischio incorporati in prodotti regolamentati, invece, l'applicazione delle relative disposizioni è rinviata al 2 agosto 2028.
Il legislatore ha riconosciuto che i ritardi nella predisposizione di norme tecniche, quadri di governance nazionali e procedure di valutazione della conformità avrebbero reso insostenibile il rispetto della data originaria del 2 agosto 2026.
Restano invece invariate le disposizioni già applicabili dal 2 febbraio 2025 (Capi I e II) e quelle sui modelli di IA per finalità generali, in vigore dal 2 agosto 2025.
Il Digital Omnibus introduce anche una novità strutturale che riguarda le imprese di dimensioni intermedie: il regolamento introduce, per la prima volta nel testo dell'AI Act, una nuova categoria intermedia tra le PMI e le grandi imprese, la "piccola impresa a media capitalizzazione". Sul piano delle sanzioni, per questa categoria si applica — come per le PMI — l'importo inferiore tra il massimale assoluto e la percentuale di fatturato.
Le PMI italiane devono adeguarsi all'AI Act dal 2026?
La risposta è sì, e il perimetro è più ampio di quanto si pensi. L'articolo 50 non pone soglie dimensionali: si applica a chi mette a disposizione un sistema di AI che interagisce con persone fisiche. La dimensione dell'impresa conta per la sanzione, non per l'obbligo.
La scadenza non interessa soltanto le grandi aziende tecnologiche o i soggetti che sviluppano sistemi di intelligenza artificiale; riguarda anche le imprese, comprese le PMI, che utilizzano chatbot sul proprio sito, assistenti virtuali, strumenti di intelligenza artificiale generativa, sistemi biometrici o contenuti prodotti mediante IA.
Sul fronte italiano, il percorso attuativo è avanzato rispetto agli altri Stati membri. Il 10 giugno 2026 il Consiglio dei Ministri ha approvato in via preliminare due decreti legislativi attuativi della Legge n. 132/2025, rendendo l'Italia il primo Stato membro dell'UE ad operazionalizzare un quadro normativo nazionale sull'intelligenza artificiale pienamente allineato al Regolamento (UE) 2024/1689.
Il primo decreto riguarda i poteri delle autorità nazionali, la vigilanza, le sanzioni, gli spazi di sperimentazione, la formazione e le disposizioni in materia di lavoro. Il secondo regola l'impiego dei sistemi di intelligenza artificiale nelle attività di polizia e introduce disposizioni in tema di responsabilità civile e penale.
Tra i poteri previsti rientra anche l'applicazione delle sanzioni amministrative indicate dall'articolo 99 dell'AI Act. La delega rafforza i poteri ispettivi e di vigilanza sul mercato AI: richieste di informazioni, ispezioni anche senza preavviso, controlli sui sistemi ad alto rischio e definizione delle procedure sanzionatorie.
È importante precisare il grado di vigenza attuale di questi decreti. Nel giugno 2026 il Governo ha approvato in esame preliminare due schemi di decreto legislativo; alla data del 21 luglio 2026, entrambi risultano ancora sottoposti all'esame parlamentare. La loro entrata in vigore formale è quindi distinta dal quadro europeo direttamente applicabile, che non attende i decreti nazionali.
Un punto merita una riflessione non banale, che negli articoli correnti sul tema viene sistematicamente omessa: il rinvio del Digital Omnibus non è una proroga di sistema, ma una scelta selettiva e motivata dalla mancanza di standard tecnici armonizzati. Ciò significa che le imprese che usano sistemi classificabili come ad alto rischio ai sensi dell'Allegato III — software di selezione del personale, credit scoring automatizzato, sistemi di valutazione della solvibilità, controllo biometrico degli accessi — non sono esentate dall'obbligo di mappare e classificare questi strumenti già adesso. Il rinvio sposta la data in cui scatta la piena conformità tecnica e la registrazione nei database nazionali; non sposta il momento in cui l'impresa deve sapere cosa ha in casa. Il maggiore tempo concesso dal Digital Omnibus deve essere utilizzato per prepararsi, non per rinviare l'adeguamento. Il rinvio della disciplina dell'alto rischio non giustifica una sospensione delle attività di adeguamento. L'obiettivo non deve essere soltanto rispettare una singola scadenza, ma costruire una governance che renda gli impieghi dell'IA conoscibili, controllabili e documentabili.
C'è poi un ulteriore profilo di rischio che le imprese tendono a sottostimare: la legge 132/2025 prevede già il reato per la diffusione illecita di deepfake, punito con la reclusione da uno a cinque anni. Il combinato disposto rende l'Italia uno dei Paesi europei con l'apparato sanzionatorio più articolato sull'uso improprio dell'intelligenza artificiale. Il profilo penale non attende né il 2027 né il 2028.
In questa prospettiva risuona particolarmente il brocardo vigilantibus iura subveniunt: il diritto assiste chi vigila, non chi attende. Le scadenze rinviate non sono un salvacondotto; sono una finestra operativa che si chiude. Chi la usa per costruire una governance interna solida si troverà avvantaggiato non solo sul piano della compliance, ma anche su quello della credibilità contrattuale nei confronti di clienti, partner e finanziatori che già oggi valutano l'affidabilità AI delle imprese con cui operano.
Come osservava Norberto Bobbio, le norme non contano per quel che enunciano, ma per come vengono applicate. L'AI Act ha enunciato i principi nel 2024; dal 2 agosto 2026 ha cominciato ad applicarli, con sanzioni reali e autorità nazionali operative. Il discrimine tra imprese attrezzate e imprese esposte si misura adesso — non tra diciassette mesi.
Redazione - Staff Studio Legale MP
