AI Act, cosa è in vigore dal 2 agosto 2026 e cosa deve fare una PMI

Il 2 agosto 2026 è la data che l’AI Act, il regolamento europeo sull’intelligenza artificiale (Regolamento UE 2024/1689), aveva fissato per la sua applicazione generale. La data è arrivata, ma il calendario nel frattempo è cambiato: il 24 luglio 2026 è stato pubblicato in Gazzetta ufficiale dell’Unione europea il cosiddetto Digital Omnibus (Regolamento UE 2026/1744), che rinvia una parte degli obblighi, quelli sui sistemi ad alto rischio, tra la fine del 2027 e il 2028.

Il risultato è una situazione che si presta a letture sbagliate. C’è chi ha concluso che «è tutto rinviato» e chi, all’opposto, teme di essere già fuori norma su tutto. Nessuna delle due letture è corretta: alcuni obblighi sono in vigore da oggi e riguardano anche le aziende piccole, altri sono slittati ma non cancellati, altri ancora valevano già da mesi.

Dal 2 agosto 2026 una parte del regolamento si applica, un’altra è stata rinviata, e a una PMI italiana che usa l’AI nel lavoro di ogni giorno restano alcuni obblighi precisi. La distinzione principale è quella tra fornitore, chi sviluppa e vende un sistema di intelligenza artificiale, e utilizzatore (nel testo del regolamento «deployer»), chi lo adopera in azienda. La maggior parte delle PMI appartiene alla seconda categoria, e gli obblighi sono più leggeri, ma non assenti.

Cosa è in vigore dal 2 agosto 2026

La novità principale è l’articolo 50 del regolamento: gli obblighi di trasparenza verso le persone. Il 20 luglio 2026 la Commissione europea ha pubblicato le linee guida ufficiali su come applicarli. Il principio sta in una riga: chi interagisce con un’intelligenza artificiale, o ne riceve i contenuti, ha il diritto di saperlo. Da questo principio discendono quattro obblighi distinti.

• Chatbot e assistenti virtuali. Se un cliente dialoga con un sistema AI, va informato che sta parlando con una macchina, a meno che non sia evidente dal contesto. Vale per il chatbot sul sito, per l’assistente su WhatsApp, per il risponditore automatico evoluto.
• Contenuti sintetici. Chi fornisce sistemi che generano audio, immagini, video o testi deve marcare i contenuti come generati artificialmente, in un formato leggibile dalle macchine, dove tecnicamente possibile. Questo obbligo grava sui fornitori degli strumenti, non su chi li usa.
• Deepfake. Chi pubblica immagini, audio o video generati o manipolati dall’AI che ritraggono persone, luoghi o eventi reali deve dichiararne l’origine artificiale. Sono escluse le opere con finalità artistica, creativa o satirica.
• Testi su temi di interesse pubblico. Un testo generato dall’AI e pubblicato per informare su questioni di interesse pubblico va dichiarato come tale, a meno che non sia passato da una revisione umana con responsabilità editoriale.

Insieme alla trasparenza, dal 2 agosto diventa operativa la vigilanza. Le autorità nazionali di controllo devono essere in piena funzione (in Italia il ruolo fa capo ad AgID e ACN, designate dalla legge 132/2025) e la Commissione europea può sanzionare direttamente i fornitori di modelli di AI di uso generale, i cosiddetti GPAI, i modelli su cui si appoggiano strumenti come Claude / ChatGPT: fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore.

C’è una tolleranza tecnica da conoscere: per i sistemi già sul mercato prima del 2 agosto 2026, i fornitori hanno tempo fino al 2 dicembre 2026 per adeguare la marcatura automatica dei contenuti sintetici. La tolleranza riguarda solo quella marcatura: gli altri obblighi di trasparenza valgono da subito.

Cosa è stato rinviato, e a quando

Il Digital Omnibus ha spostato in avanti solo gli obblighi sui sistemi ad alto rischio, la parte più onerosa del regolamento. Le nuove scadenze sono due:

• 2 dicembre 2027 per i sistemi ad alto rischio «autonomi» dell’Allegato III: selezione del personale e valutazione dei candidati, accesso al credito, istruzione, biometria, servizi essenziali.
• 2 agosto 2028 per l’AI integrata in prodotti già regolamentati dell’Allegato I: dispositivi medici, macchinari, giocattoli e simili.

Il rinvio non è una cancellazione. Se in azienda usi o stai valutando un sistema che rientra in quelle categorie, ad esempio un software che filtra i curriculum o assegna punteggi ai candidati, il rinvio ti dà solo più tempo per adeguarti. Gli obblighi in arrivo per gli utilizzatori di sistemi ad alto rischio includono sorveglianza umana, controllo dei dati di input e informazione delle persone coinvolte: lavoro organizzativo che conviene impostare con calma, non a ridosso della scadenza.

Dal 2 agosto 2026 l’AI Act chiede a ogni azienda una cosa sola ma non rinviabile: dire alle persone quando davanti a loro c’è un’intelligenza artificiale.

Le regole che valevano già da prima

Il 2 agosto 2026 non è il primo appuntamento del calendario, e conviene ricordare i due precedenti perché riguardano anche le PMI.

Dal 2 febbraio 2025 sono vietate le pratiche a rischio inaccettabile (articolo 5): manipolazione dei comportamenti, punteggio sociale, riconoscimento delle emozioni sul posto di lavoro salvo ragioni mediche o di sicurezza. Le sanzioni su questo fronte sono le più alte dell’intero regolamento: fino a 35 milioni di euro o al 7% del fatturato mondiale.

Dalla stessa data vale l’obbligo di alfabetizzazione AI (articolo 4): chi usa sistemi di intelligenza artificiale in azienda deve assicurare che il personale abbia un livello di competenza adeguato ai compiti. È sufficiente una formazione proporzionata a come l’AI viene usata in azienda, purché documentata. Ne abbiamo scritto in dettaglio nell’articolo sulla formazione del team.

Dal 2 agosto 2025, infine, valgono gli obblighi per i fornitori di modelli GPAI: documentazione tecnica, rispetto del diritto d’autore, trasparenza sui dati di addestramento. Per una PMI utilizzatrice questi obblighi non comportano adempimenti diretti, ma sono la ragione per cui conviene scegliere fornitori strutturati, in grado di dimostrare di essere in regola.

Cosa deve fare adesso una PMI italiana

Per un’azienda che usa l’AI senza svilupparla, l’adeguamento al 2 agosto 2026 è un lavoro che si misura in giorni. I fronti sono quattro.

Primo: censire gli strumenti. Non puoi rispettare obblighi di trasparenza su sistemi che non sai di avere. L’esperienza mostra che in molte aziende il personale usa strumenti AI mai dichiarati, il fenomeno che va sotto il nome di shadow AI e di cui abbiamo già scritto: la mappatura è il primo passo di qualsiasi adeguamento.

Secondo: dichiarare i chatbot. Se sul sito o su WhatsApp risponde un sistema automatico, l’interfaccia deve dirlo in modo chiaro. È una modifica piccola, un’etichetta o un messaggio di apertura, e da oggi è un obbligo sanzionabile.

Terzo: regolare i contenuti generati. Serve una regola interna scritta su cosa l’azienda pubblica: i testi generati dall’AI e rivisti da una persona che se ne assume la responsabilità non richiedono etichette; i contenuti pubblicati senza revisione, o i deepfake, vanno dichiarati. La regola deve essere nota a chiunque gestisca sito e canali social.

Quarto: formare le persone. L’obbligo di alfabetizzazione vale da febbraio 2025, e la trasparenza appena entrata in vigore lo rende più urgente: chi usa gli strumenti deve sapere cosa può pubblicare, cosa va dichiarato e cosa è vietato.

Sul fronte delle sanzioni, la violazione degli obblighi di trasparenza può costare fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, con tetti ridotti per PMI e startup. Nessuno si aspetta multe milionarie a una PMI nei primi giorni di applicazione: le autorità hanno indicato un approccio graduale. Ma l’obbligo è in vigore, l’autorità di vigilanza è operativa, e mettersi in regola costa molto meno di una contestazione successiva.

Se vuoi capire come questi obblighi toccano il tuo caso specifico, ne parliamo volentieri: puoi prenotare una call gratuita di 30 minuti su /prenota-una-call, senza impegno. I sistemi che configuriamo per i nostri clienti sono progettati per i requisiti dell’AI Act, trasparenza inclusa, e l’adeguamento di ciò che già usi può rientrare nella stessa analisi.

Fonti

• Regolamento (UE) 2024/1689, AI Act, testo integrale in italiano su EUR-Lex.
• Regolamento (UE) 2026/1744, Digital Omnibus, pubblicato in Gazzetta ufficiale dell’UE il 24 luglio 2026, su EUR-Lex.
• Linee guida della Commissione europea sugli obblighi di trasparenza (art. 50), 20 luglio 2026.
• Domande e risposte della Commissione sull’articolo 50.
• Legge 23 settembre 2025, n. 132, la legge italiana che designa AgID e ACN come autorità nazionali, su Normattiva.