AI Act: che cosa si applica a partire dal 2 agosto

Il 2 agosto 2026 era da tempo la data cerchiata in rosso relativamente agli adempimenti introdotti dall’AI Act (Reg. (UE) 2024/1689). Il 27 luglio, tuttavia, è entrato in vigore il cosiddetto Digital Omnibus sull’ AI, il regolamento di semplificazione (Reg. (UE) 2026/1744) adottato dal Consiglio che ne ha rimodulato il calendario di applicazione introducendo delle proroghe per garantire ai soggetti destinatari della norma di avere più tempo per adeguarvisi.

Gli obblighi sui sistemi ad alto rischio dell’Allegato III si applicheranno dal 2 dicembre 2027, mentre per quelli incorporati in prodotti soggetti alla normativa di armonizzazione dell’Allegato I il termine è il 2 agosto 2028. 

Sono rimasti al di fuori della proroga:

• gli obblighi di trasparenza ex art. 50: ai fornitori si richiede che i sistemi destinati a interagire con le persone siano progettati in modo che l’utente sappia di trovarsi di fronte a un sistema di intelligenza artificiale, salvo che ciò risulti evidente e che gli output dei sistemi generativi siano marcati in un formato leggibile in modo automatico. Ai deployer è imposto di rendere chiaramente riconoscibili i contenuti che costituiscono deepfake, di informare le persone esposte a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica e di segnalare i testi generati dall’intelligenza artificiale su questioni di interesse pubblico. Le linee guida della Commissione del 20 luglio 2026 e il Codice di condotta sulle GPAI (General-Purpose AI) del 10 giugno ne precisano il perimetro. Per i sistemi generativi già sul mercato prima del 2 agosto la finestra di adeguamento tecnico si chiude il 2 dicembre 2026.
• i divieti dell’articolo 5 (Pratiche di IA vietate) e l’obbligo di alfabetizzazione (AI literacy) dell’articolo 4 restano applicabili dal 2 febbraio 2025.

Al fine di stabilire il perimetro degli obblighi derivanti dall’ AI act occorrerà stabilire se l’impresa agisca come “deployer” o come “fornitore”, posto che chi immette sul mercato un sistema con il proprio marchio o ne modifica in modo sostanziale la destinazione assume la posizione di fornitore, con relativi obblighi più estesi mentre chi utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un'attività personale non professionale, è considerato “deployer”. 

Sul piano operativo il punto di partenza è la mappatura dei sistemi in uso, che nella maggior parte delle organizzazioni può risultare più ampia del previsto, infatti, accanto alle applicazioni acquistate in modo consapevole vi sono spesso funzioni di intelligenza artificiale incorporate in gestionali e piattaforme di assistenza alla clientela (ad es. chatbot). 

Seguono la revisione delle interazioni di tali sistemi con il pubblico e la verifica dei contratti con i fornitori tecnologici, che raramente disciplinano in modo espresso la marcatura degli output e la ripartizione delle responsabilità in caso di contestazione.

Quanto alle sanzioni applicabili, i massimali sono differenziati: fino a 35 milioni di euro o al 7 per cento del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o al 3 per cento per la violazione degli obblighi di trasparenza e degli altri obblighi di fornitori e deployer; per le piccole e medie imprese si applica il minore fra i due importi. La commisurazione tiene conto della gravità e della durata della violazione, delle dimensioni dell’operatore e delle misure adottate per attenuare il danno.