Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
C'è una domanda che quasi nessuno si è posto nel dibattito delle ultime settimane sul 2 agosto 2026: non cosa deve fare un'impresa per conformarsi all'AI Act, ma come dimostra di averlo fatto quando qualcuno glielo chiede davanti a un giudice o a un'autorità di vigilanza. La risposta è meno ovvia di quanto sembri, e il Digital Omnibus — che pure ha ridisegnato il calendario degli obblighi — non l'ha toccata.
Il 24 luglio 2026 è stato pubblicato nella Gazzetta Ufficiale dell'Unione europea il Regolamento (UE) 2026/1744 dell'8 luglio 2026, il cosiddetto Omnibus digitale sull'IA, entrato in vigore il 27 luglio 2026. Il Digital Omnibus ha riscritto il calendario: rinvia al 2027 e 2028 gli obblighi sui sistemi ad alto rischio. Ma questo rinvio non va letto come una sospensione dell'AI Act: la decisione europea non cancella gli obblighi già in vigore né quelli che da agosto diventeranno centrali per imprese, PMI, studi professionali e organizzazioni che usano strumenti di intelligenza artificiale nei propri processi.
In concreto, restano e si rafforzano obblighi molto concreti: formare chi usa l'AI, rendere trasparente l'interazione con sistemi automatizzati, dichiarare e rendere riconoscibili i contenuti elaborati con l'ausilio dell'AI, verificare i contratti con i fornitori e mappare i casi in cui l'AI entra in processi che incidono sulle persone.
Il nodo della prova: dove il regolamento lascia un vuoto pericoloso
Il Regolamento (UE) 2024/1689 dedica centinaia di articoli a come un sistema di intelligenza artificiale deve comportarsi e poche righe a come un'impresa dimostra, mesi o anni dopo, che quel comportamento c'è stato davvero. In quello squilibrio tra l'abbondanza delle regole di condotta e la scarsità delle regole di prova si gioca buona parte del rischio reale a cui un consiglio di amministrazione si espone quando adotta un sistema ad alto rischio.
È una tensione che la dottrina sintetizza con il brocardo actori incumbit probatio: chi invoca un diritto o contesta una violazione deve fornirne la prova. Nell'AI Act questo principio si capovolge parzialmente — è l'impresa che deve essere in grado di ricostruire, in qualsiasi momento, le scelte compiute nella governance dei propri sistemi di IA.
L'articolo 12 del Regolamento impone ai sistemi ad alto rischio una capacità di registrazione automatica degli eventi e l'articolo 26, al sesto comma, obbliga chi li utilizza a conservare quei registri per almeno sei mesi, con decorrenza dal 2 agosto 2026, un requisito pensato per la vigilanza di mercato che diventa, per un effetto collaterale, la materia prima con cui un'impresa ricostruisce davanti a un giudice i criteri con cui un punteggio è stato costruito.
Il punto critico è che questo obbligo di documentazione — immaginato per le autorità di vigilanza — produce effetti processuali che il legislatore europeo non ha esplicitato: in un contenzioso civile o amministrativo, l'assenza di quei registri può trasformarsi in un indizio a sfavore dell'impresa. Il rischio reale, dunque, si sposta dal rispetto sostanziale della norma alla capacità di ricostruire ex post ciò che è stato fatto.
La giurisprudenza italiana ha già messo a fuoco questo profilo con una pronuncia destinata a fare scuola. Il TAR Lazio, sentenza della sezione III-bis, del 2 febbraio 2026, n. 1895, ha scritto che, anche prima dell'inizio di efficacia, le norme dell'AI Act sono fonti di indirizzo interpretativo, ad esempio nella parte in cui impongono, quale requisito strutturale, l'esistenza di una supervisione umana effettiva, per il controllo, l'intervento e la correzione del funzionamento di un sistema di AI. Se ne ricava che, per i giudici italiani, l'AI Act, anche nelle parti in cui non è ancora efficace, ha già in realtà effetti sostanzialmente precettivi.
La portata di questa affermazione è significativa e spesso sottovalutata nel dibattito sulle scadenze. Le imprese che non si siano ancora dotate di meccanismi effettivi di controllo umano sulle decisioni algoritmiche non potranno invocare la novità della normativa europea come esimente, poiché i principi da essa codificati sono già presenti e giudizialmente azionabili nell'ordinamento interno.
Il fondamento di questa anticipazione si rinviene nella giurisprudenza della Corte di giustizia dell'UE: le normative dell'Unione, qualora non ancora applicabili, possono produrre un parziale effetto anticipatorio, imponendo alle autorità nazionali di evitare interpretazioni e prassi manifestamente incompatibili con gli obiettivi perseguiti dal legislatore europeo. In particolare, la Corte ha chiarito che, nel periodo intercorrente tra l'adozione e l'entrata in vigore di una normativa UE, gli Stati membri sono tenuti a non compromettere gravemente il risultato prescritto (Corte di giustizia UE, 18 dicembre 1997, causa C-129/96, Inter-Environnement Wallonie, punto 45).
La sentenza rafforza e radica nell'ordinamento interno il principio dello human oversight, tracciandone un fondamento plurale: costituzionale, legislativo e, in via interpretativa anticipatoria, eurounitario. Tale ancoraggio multilivello è significativo, poiché sottrae il principio da una dipendenza esclusiva dal diritto europeo ancora in fase di piena applicazione e ne afferma la vigenza immediata come criterio strutturale di legittimità dell'azione automatizzata.
Il rischio dello Shadow AI e la responsabilità lungo la catena del valore
C'è un profilo che le analisi sul calendario degli obblighi tendono a trascurare: quello che accade dentro le aziende ogni giorno, prima ancora che entri in vigore qualsiasi scadenza. In un contesto come quello delle PMI italiane in cui è rilevante il fenomeno dello Shadow AI — un uso non regolamentato dei chatbot da parte dei dipendenti — è necessario segnalare come l'uso dell'intelligenza artificiale stia passando da una fase di scoperta a fasi che richiedono un approccio più responsabile e sicuro.
Molte imprese utilizzano già ChatGPT, Copilot o altri strumenti di intelligenza artificiale nella propria attività quotidiana, spesso senza essersi date regole interne sul loro utilizzo. Questo uso informale e non documentato genera un'esposizione silenziosa: in caso di contestazione, l'impresa non sarà in grado di ricostruire né chi ha usato lo strumento, né per quale finalità, né con quali dati. È precisamente il vuoto probatorio che la sentenza TAR Lazio n. 1895/2026 rende oggi già giuridicamente rilevante.
Il problema si estende alla catena del valore. Per la maggior parte delle imprese italiane, che di questi modelli sono utilizzatrici e non produttrici, l'effetto è indiretto ma reale: la responsabilità si propaga lungo la catena del valore, e diventa legittimo — anzi opportuno — chiedere ai propri fornitori tecnologici garanzie esplicite di conformità. Clausole di conformità all'AI Act, obblighi informativi lungo la catena del valore, allocazione delle responsabilità in caso di riqualificazione del sistema come ad alto rischio nel 2027, coordinamento con il DPA ai sensi del GDPR sono materia già oggi contrattualmente negoziabile — e lo saranno sempre meno, man mano che le scadenze si avvicinano.
La riflessione di fondo che si ricava da questo quadro è quella che Nassim Nicholas Taleb chiamerebbe fragilità da rinvio: ogni proroga normativa genera l'illusione di avere tempo, ma comprime le risorse disponibili per la governance strutturale. Le imprese che attenderanno la vigilia del dicembre 2027 si troveranno a dover costruire in pochi mesi capacità di governance che richiedono molto più tempo per essere interiorizzate.
Ciò che un'impresa deve costruire oggi non è un adempimento formale, ma un'architettura della tracciabilità: inventory dei sistemi AI in uso, policy scritte e aggiornate sull'uso degli strumenti da parte del personale, verbali consiliari che documentino le scelte di adozione, catena delle deleghe sulla supervisione umana, registri di conservazione degli eventi per i sistemi già classificabili come ad alto rischio. Significa dotarsi di policy interne sull'uso dell'AI, documentare la formazione del personale — peraltro già obbligatoria dal febbraio 2025 — costruire un inventario dei sistemi di intelligenza artificiale effettivamente in uso e garantirne la tracciabilità anche in chiave GDPR. Senza queste evidenze documentali, l'azienda resta esposta in caso di controllo da parte dell'Agenzia per la Cybersicurezza Nazionale, individuata tra le autorità competenti nel contesto italiano.
La classificazione fatta oggi consente di distribuire su sedici mesi un lavoro che, concentrato a ridosso del 2 dicembre 2027, diventa insostenibile.
La vera posta in gioco non è quindi la singola scadenza, ma la capacità dell'impresa di rispondere a una domanda semplice e temibile: se domani un giudice, un'autorità o una controparte contrattuale mi chiedesse di dimostrare come ho governato l'intelligenza artificiale nella mia organizzazione, avrei qualcosa da mostrare? Il calendario può slittare. La domanda, no.
Redazione - Staff Studio Legale MP
