Il 2 agosto 2026 l'AI Act entra nella sua fase operativa. Da mesi se ne parla come della scadenza che avrebbe reso obbligatori i requisiti per i sistemi ad alto rischio, ma nel frattempo il quadro è cambiato: con il pacchetto Digital Omnibus (approvato dal Parlamento europeo il 16 giugno 2026 e adottato in via definitiva dal Consiglio il 29 giugno), le istituzioni europee hanno rinviato proprio quegli obblighi.
Risultato: molte aziende oggi non sanno più cosa vale e cosa no. Alcune si sono fermate («tanto è tutto rinviato»), altre corrono su adempimenti che non le riguardano ancora. Entrambe sbagliano.
In questo articolo mettiamo in fila cosa scatta davvero il 2 agosto 2026, cosa slitta, e perché aspettare il 2027 è comunque una cattiva idea.
In sintesi
Il 2 agosto 2026 l'AI Act diventa applicabile nella sua struttura generale: obblighi di trasparenza (art. 50), vigilanza nazionale e regime sanzionatorio pieno.
Il Digital Omnibus rinvia gli obblighi per i sistemi ad alto rischio: Allegato III al 2 dicembre 2027, Allegato I (prodotti regolamentati) al 2 agosto 2028.
I divieti (art. 5) e l'obbligo di alfabetizzazione AI (art. 4) sono già in vigore dal febbraio 2025: nessun rinvio.
Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale.
#Il calendario aggiornato, in una tabella
Scadenza | Cosa diventa applicabile | Stato |
|---|---|---|
2 febbraio 2025 | Divieti pratiche inaccettabili (art. 5) + alfabetizzazione AI (art. 4) | Già in vigore |
2 agosto 2025 | Obblighi per i modelli di AI per finalità generali (GPAI) | Già in vigore |
2 agosto 2026 | Trasparenza (art. 50), governance e vigilanza nazionale, sanzioni | Scatta ora |
2 dicembre 2027 | Obblighi sistemi ad alto rischio (Allegato III) | Rinviata dal Digital Omnibus |
2 agosto 2028 | Obblighi sistemi ad alto rischio (Allegato I, prodotti regolamentati) | Rinviata dal Digital Omnibus |
Le nuove date sono ormai definitive: il regolamento di modifica è stato adottato formalmente (Parlamento europeo il 16 giugno 2026, Consiglio il 29 giugno 2026) e la pubblicazione in Gazzetta Ufficiale dell'UE è attesa entro fine luglio, in ogni caso prima del 2 agosto, con entrata in vigore tre giorni dopo.
#Cosa è stato rinviato (e cosa significa Allegato III)
Il rinvio riguarda gli obblighi più pesanti del regolamento: quelli per i sistemi ad alto rischio.
L'Allegato III copre gli ambiti in cui un errore dell'AI tocca diritti fondamentali delle persone: biometria, occupazione e gestione dei lavoratori (screening dei CV, valutazione del personale), istruzione, accesso a servizi essenziali come il credit scoring, forze dell'ordine e giustizia. Per questi sistemi, requisiti come la gestione del rischio (art. 9), la documentazione tecnica, la sorveglianza umana (art. 14) e la trasparenza verso gli utilizzatori (art. 13) diventeranno vincolanti dal 2 dicembre 2027.
L'Allegato I riguarda invece l'AI integrata in prodotti già regolamentati (macchinari, dispositivi medici, giocattoli) e slitta al 2 agosto 2028.
#Cosa scatta comunque il 2 agosto 2026
Qui sta il punto che molti stanno sottovalutando. Il rinvio non è una sospensione dell'AI Act: dal 2 agosto 2026 il regolamento diventa applicabile nella sua struttura generale, con tre fronti concreti.
1. Obblighi di trasparenza (art. 50)
Se la tua azienda usa o offre sistemi di AI che interagiscono con le persone, dal 2 agosto 2026:
- gli utenti devono sapere che stanno parlando con un'AI (chatbot, assistenti virtuali, voicebot);
- i contenuti generati o manipolati dall'AI, inclusi i deepfake, devono essere riconoscibili come tali;
- i testi generati dall'AI e pubblicati per informare il pubblico devono essere dichiarati.
Per la maggior parte delle PMI e delle startup che integrano AI nei propri prodotti, questo è l'adempimento immediato, non i requisiti alto rischio.
Non si parte al buio: a giugno 2026 la Commissione ha pubblicato la versione finale del Code of Practice sulla trasparenza dei contenuti generati dall'AI e le linee guida sull'art. 50. Il Codice (ad adesione volontaria, con una prima finestra di firma chiusa il 22 luglio 2026) è destinato a diventare il principale riferimento per dimostrare la conformità: chi non aderisce dovrà dimostrarla con altri mezzi, esponendosi a uno scrutinio maggiore.
2. Regime sanzionatorio pieno
Le sanzioni diventano pienamente operative:
- fino a 35 milioni di euro o 7% del fatturato mondiale per le pratiche vietate;
- fino a 15 milioni o 3% per la violazione degli altri obblighi;
- fino a 7,5 milioni o 1% per informazioni inesatte alle autorità.
Per PMI e startup si applica l'importo più basso tra valore assoluto e percentuale, ma parliamo comunque di cifre in grado di compromettere un'azienda.
3. Vigilanza nazionale
Le autorità di vigilanza nazionali diventano operative con poteri di controllo e ispezione. La fase «nessuno controlla» finisce.
E non dimentichiamo ciò che è già in vigore da febbraio 2025 senza alcun rinvio: il divieto delle pratiche inaccettabili (social scoring, manipolazione subliminale) e l'obbligo di alfabetizzazione AI. Il personale che usa sistemi di AI deve avere un livello adeguato di competenza, e questo vale per qualunque azienda, di qualunque dimensione.
#«Allora aspettiamo il 2027»: perché è un errore
Il rinvio degli obblighi alto rischio sembra regalare un anno e mezzo di tempo. In pratica, per chi vende software o servizi AI ad altre aziende, il mercato si sta muovendo più veloce della legge:
- Il procurement enterprise chiede già evidenze. I questionari fornitori includono sempre più spesso domande su AI governance, gestione del rischio AI e standard come la ISO/IEC 42001, il primo standard certificabile per i sistemi di gestione dell'intelligenza artificiale. Chi non ha risposte strutturate perde deal oggi, non nel 2027.
- La conformità non si improvvisa. Inventario dei sistemi AI, classificazione del rischio, documentazione tecnica, sorveglianza umana: per un sistema ad alto rischio parliamo di mesi di lavoro. Chi parte a metà 2027 arriverà tardi.
- La governance AI riduce rischi reali, non solo regolatori. L'adozione di AI in azienda cresce più in fretta della capacità di controllarla: agenti AI autonomi, strumenti adottati dai team senza approvazione (il cosiddetto shadow AI). Un framework di governance serve a te prima ancora che al regolatore.
- Chi ha già una ISO 27001 è a metà strada. La ISO/IEC 42001 condivide la stessa struttura dei sistemi di gestione: circa metà dei controlli di un sistema di gestione per la sicurezza delle informazioni è riutilizzabile. Estendere è molto più economico che partire da zero, e presidiare entrambe significa coprire sicurezza delle informazioni e governance AI con un unico impianto.
#Checklist operativa: cosa fare entro il 2 agosto 2026
#Come ti aiuta CertAI
CertAI accompagna le aziende nel percorso di conformità: inventario e classificazione dei sistemi AI secondo i criteri dell'AI Act, gap analysis normativa, documentazione generata e personalizzata sui tuoi sistemi, e percorso verso gli standard certificabili come ISO/IEC 42001 e ISO/IEC 27001. (vedi il servizio CertAI per l’AI Act)
Il 2 agosto 2026 non è la scadenza che era stata annunciata, ma non è nemmeno un rinvio generale. È il momento in cui l'AI Act smette di essere teoria.
Vuoi capire cosa significa l'AI Act per la tua azienda? CertAI ti guida dall'inventario dei sistemi AI alla conformità.
Fonti: Regolamento (UE) 2024/1689 (AI Act); regolamento "Digital Omnibus on AI" (approvato dal Parlamento europeo il 16 giugno 2026, adottato dal Consiglio il 29 giugno 2026); Code of Practice on Transparency of AI-Generated Content e linee guida art. 50 della Commissione europea (giugno 2026). Ultimo aggiornamento: 19 luglio 2026.
