La risposta breve
Dal 2 agosto 2026 l'AI Act ha i denti: sono applicabili gli obblighi di trasparenza (articolo 50), è operativo il regime sanzionatorio nazionale (articolo 99) e la Commissione europea può sanzionare i fornitori di modelli per finalità generali (articolo 101). In Italia vigila l'Agenzia per la Cybersicurezza Nazionale.
Attenzione però al malinteso più diffuso: gli obblighi sui sistemi ad alto rischio non partono ora. Sono stati rinviati al 2 dicembre 2027 e al 2 agosto 2028. Ciò che è vincolante oggi è la trasparenza — dichiarare l'uso dell'AI e marcare i contenuti generati — insieme alle regole sui modelli GPAI. Per le imprese è il momento di mappare i propri sistemi, non di farsi prendere dal panico.
Cosa è entrato in vigore il 2 agosto
Il Regolamento europeo sull'intelligenza artificiale è entrato in applicazione in modo scaglionato, e la data del 2 agosto 2026 segna uno degli scalini più concreti. Da questo momento sono applicabili gli obblighi di trasparenza previsti dall'articolo 50. In pratica significa due cose: quando un utente interagisce con un sistema di AI — un chatbot, un assistente vocale — deve esserne informato, a meno che non sia già evidente; e i contenuti sintetici, cioè immagini, audio, video o testi generati o modificati in misura sostanziale dall'AI, devono essere marcati in formato leggibile dalle macchine e riconoscibili come artificiali. Per i deepfake e per i testi pubblicati per informare il pubblico la dichiarazione deve essere esplicita.
Sono obblighi che toccano moltissimi prodotti reali, non solo i laboratori di ricerca: un servizio clienti automatizzato, una funzione di generazione di immagini in un'app, un assistente integrato in un gestionale. Per un'impresa che sta valutando l'integrazione di GenAI nei propri sistemi, la trasparenza smette di essere una buona pratica facoltativa e diventa un requisito di conformità da progettare fin dall'inizio, non da aggiungere dopo il rilascio.
Il secondo pilastro riguarda i modelli per finalità generali (GPAI): i grandi modelli di base su cui si costruiscono molte applicazioni. I loro obblighi — documentazione tecnica, rispetto del diritto d'autore, pubblicazione di una sintesi dei contenuti usati per l'addestramento — sono in vigore dal 2 agosto 2025, ma è solo dal 2 agosto 2026 che la Commissione europea può farli rispettare con poteri di indagine e ammende.
Le sanzioni, ora operative
La differenza vera tra il 2025 e il 2026 è che ora esiste un apparato sanzionatorio. Il regime dell'articolo 99 diventa operativo con importi calibrati sulla gravità della violazione: le pratiche di AI vietate sono punite fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, a seconda di quale sia più alto; la violazione degli altri obblighi — inclusa la trasparenza — fino a 15 milioni o al 3%; le informazioni inesatte, incomplete o fuorvianti fornite alle autorità fino a 7,5 milioni o all'1%. Per i fornitori di modelli GPAI le ammende della Commissione arrivano fino a 15 milioni o al 3%, con criteri di proporzionalità pensati per le PMI.
Sono cifre che spostano il tema dal reparto legale al tavolo delle decisioni di prodotto. Non perché una piccola impresa italiana rischi domani una multa da decine di milioni, ma perché l'ordine di grandezza rende evidente che la conformità non è un adempimento formale da rimandare: è un parametro di progettazione, esattamente come la sicurezza o la protezione dei dati.
Cosa invece è stato rinviato
Qui sta il punto più frainteso di questa scadenza. In parallelo all'entrata in vigore delle sanzioni, l'Unione europea ha spostato in avanti gli obblighi più pesanti: quelli sui sistemi ad alto rischio. Attraverso il pacchetto di semplificazione noto come «Digital Omnibus», gli obblighi relativi ai sistemi elencati nell'Allegato III sono stati rinviati al 2 dicembre 2027, mentre quelli relativi all'Allegato I slittano al 2 agosto 2028.
La conseguenza pratica è che la classificazione ad alto rischio — con i suoi requisiti stringenti di gestione del rischio, qualità dei dati, documentazione, sorveglianza umana e valutazione di conformità — non è ancora un obbligo operativo per la maggior parte delle imprese. Chi ha letto i titoli e ha temuto di dover mettere in regola dall'oggi al domani un sistema di scoring creditizio o di selezione del personale ha più tempo di quanto pensasse. Ciò che è vincolante ora resta la trasparenza e la disciplina sui modelli GPAI; il resto arriva, ma con un orizzonte definito. Confondere i due livelli porta a due errori speculari: spendere subito su adempimenti non ancora dovuti, oppure rilassarsi credendo che nulla sia cambiato.
Chi vigila in Italia
Sul piano nazionale l'Italia ha già definito la governance. La legge n. 132/2025 designa l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza del mercato con poteri sanzionatori, e l'Agenzia per l'Italia digitale (AgID) come autorità di notifica. Il decreto attuativo del 10 giugno 2026 ha precisato questa ripartizione, prevedendo il coordinamento con Banca d'Italia, CONSOB, IVASS e il Garante per la protezione dei dati personali per i settori di rispettiva competenza.
Per un'impresa significa che l'interlocutore in caso di controllo non è un'entità astratta a Bruxelles: per i sistemi di AI sul territorio nazionale il riferimento è l'ACN, mentre per i profili di trattamento dei dati resta competente il Garante privacy, con l'impianto del GDPR che continua ad applicarsi in parallelo. Le imprese di settori regolati — su tutti la FinTech — devono mettere in conto un coordinamento tra più autorità, non un unico sportello.
Cosa significa per chi costruisce o compra software
La lettura corretta di questa scadenza non è «ora è tutto obbligatorio», ma «ora la conformità va gestita per gradi, con priorità chiare». La prima mossa è definire il proprio ruolo per ciascun sistema AI: si è fornitori (chi sviluppa e immette sul mercato il sistema) o deployer (chi lo utilizza in ambito professionale)? Gli obblighi cambiano, e senza questa distinzione ogni valutazione successiva rischia di essere sbagliata.
Segue l'inventario onesto dei sistemi AI usati o sviluppati, con la loro finalità e i dati che trattano. Su questa base si attivano gli obblighi già vincolanti: informare l'utente quando interagisce con un'AI, marcare in modo affidabile i contenuti generati, e — per chi sviluppa o mette a punto modelli — predisporre la documentazione tecnica e verificare il rispetto del diritto d'autore. Sono requisiti che si implementano meglio nel codice e nell'architettura che in una circolare: un'etichetta di provenienza sui contenuti sintetici, un avviso chiaro all'ingresso di un chatbot, un registro degli utilizzi non sono clausole legali ma funzioni di prodotto.
È qui che la conformità incontra lo sviluppo. Tradurre un regolamento in requisiti tecnici — e costruirli dentro il software invece di appiccicarli sopra — è precisamente il lavoro di un team di sviluppo su misura che conosce sia l'ingegneria sia il contesto normativo europeo. Le imprese che affrontano ora la trasparenza e la governance, mentre l'alto rischio è ancora sull'orizzonte del 2027, arriveranno alle scadenze successive con l'impianto già rodato, invece di rincorrerle sotto pressione.
Domande frequenti
Cosa è in vigore dal 2 agosto 2026 con l'AI Act?
Sono applicabili gli obblighi di trasparenza dell'articolo 50 (dichiarare l'interazione con un'AI, marcare i contenuti sintetici in formato leggibile dalle macchine), diventa operativo il regime sanzionatorio dell'articolo 99 e la Commissione europea può esercitare i poteri di enforcement sui fornitori di modelli GPAI. In Italia vigila l'Agenzia per la Cybersicurezza Nazionale, con AgID come autorità di notifica.
Quanto sono alte le sanzioni dell'AI Act?
Le pratiche vietate sono punite fino a 35 milioni di euro o al 7% del fatturato mondiale annuo; la violazione degli altri obblighi, inclusa la trasparenza, fino a 15 milioni o al 3%; le informazioni inesatte alle autorità fino a 7,5 milioni o all'1%. Per i fornitori di modelli GPAI le ammende arrivano fino a 15 milioni o al 3%, con criteri di proporzionalità per le PMI.
Gli obblighi sui sistemi ad alto rischio sono già in vigore?
No. Sono stati rinviati: quelli dell'Allegato III al 2 dicembre 2027 e quelli dell'Allegato I al 2 agosto 2028. Restano confermati per il 2 agosto 2026 gli obblighi di trasparenza e il regime sanzionatorio. Distinguere cosa è vincolante ora da cosa è differito è essenziale per non spendere in anticipo su adempimenti non ancora dovuti né rilassarsi credendo che nulla sia cambiato.
Cosa deve fare un'impresa che usa o commissiona software con AI?
Chiarire il proprio ruolo (fornitore o deployer), fare l'inventario dei sistemi AI usati e attivare gli obblighi già vincolanti: informare quando si parla con un chatbot, marcare i contenuti generati e, per chi sviluppa modelli, predisporre documentazione tecnica e rispetto del diritto d'autore. Dove mancano competenze interne, un partner tecnico può integrare questi requisiti direttamente nell'architettura del software.
Fonti
PMI.it — AI Act dal 2 agosto 2026, obblighi in vigore e rinvii, agosto 2026
Truescreen — AI Act 2 agosto 2026: obblighi e adempimenti per le imprese, agosto 2026
Il Sole 24 Ore — AI Act, dal 2 agosto debuttano la vigilanza e i doveri di trasparenza, luglio 2026
AIPIA — Enforcement AI Act: sanzioni e poteri dal 2 agosto 2026, agosto 2026