La risposta breve
Dal 2 agosto 2026 la Commissione europea può far rispettare le regole del regolamento IA sull'IA per finalità generali (GPAI) e comminare multe fino a 15 milioni di euro o il 3% del fatturato annuo mondiale, a seconda di quale sia il valore più alto. Gli obblighi in sé si applicano dal 2 agosto 2025; ciò che arriva ora è il meccanismo per farli rispettare — richieste di documentazione, valutazioni dei modelli, ordini correttivi e sanzioni. L'anno di grazia è finito.
Se il tuo prodotto poggia su un modello per finalità generali, lo ospita o lo affina, è una questione di filiera, non solo un titolo sui produttori di modelli. La mossa giusta: trattare la maturità regolamento IA del tuo fornitore di modello come una due diligence che verifichi, non come una casella che dai per spuntata.
Cosa cambia davvero il 2 agosto
Le regole GPAI non sono nuove. Si applicano a ogni modello per finalità generali immesso sul mercato dell'UE dal 2 agosto 2025 e coprono documentazione tecnica, una politica sul diritto d'autore, una sintesi pubblica dei dati di addestramento e ulteriori obblighi di sicurezza per i modelli ritenuti portatori di rischio sistemico. Ciò che mancava finora era l'applicazione: i poteri di vigilanza e sanzione della Commissione sono stati deliberatamente sospesi per un anno affinché i fornitori e l'Ufficio IA di nuova istituzione rendessero operativo il regime prima che qualcuno rischiasse sanzioni.
Quel periodo di grazia termina il 2 agosto 2026. Da quel giorno la Commissione può fare quattro cose concrete. Può emettere richieste di informazioni e attendersi risposte accurate e complete (articolo 91). Può condurre valutazioni di un modello, anche con esperti indipendenti, per verificare la conformità o indagare un rischio sistemico (articolo 92). Può ordinare misure correttive — fino a limitare, ritirare o richiamare un modello dal mercato dell'UE (articolo 93). E può comminare multe fino al 3% del fatturato annuo mondiale o 15 milioni di euro, a seconda di quale sia il valore più alto (articolo 101). I team che rilasciano funzionalità GenAI nell'UE si trovano ora a valle di un fornitore a cui può essere ordinato di modificare o ritirare un modello.
Perché l'Omnibus non ha spostato questa data
Si è fatto molto rumore sull'ammorbidimento del regolamento IA, e in parte è vero. Il pacchetto di semplificazione Digital Omnibus — approvato dal Parlamento europeo il 16 giugno 2026 e ratificato definitivamente dal Consiglio il 29 giugno 2026 — ha rinviato gli obblighi ad alto rischio di circa 12-16 mesi. I sistemi ad alto rischio autonomi dell'Allegato III si applicano ora dal 2 dicembre 2027 e l'IA ad alto rischio integrata nei prodotti regolamentati dell'Allegato I dal 2 agosto 2028. Se il tuo piano di conformità era ancorato alle vecchie date ad alto rischio, ora hai più margine di prima.
Ma l'Omnibus è stato chirurgico su ciò che ha spostato. Ha lasciato i poteri sanzionatori sull'IA per finalità generali e gli obblighi di trasparenza dell'articolo 50 esattamente dov'erano: entrambi cadono ancora il 2 agosto 2026. Il titolo «l'UE ha rinviato il regolamento IA» è quindi vero solo a metà. Il calendario ad alto rischio è slittato; quello di GPAI e trasparenza no. Per i molti team la cui esposizione all'IA passa per modelli di base e funzionalità rivolte all'utente anziché per sistemi formalmente ad alto rischio, la data vincolante è quella rimasta ferma.
La parte che coglie impreparati gli acquirenti
Le multe puntano ai fornitori di modelli GPAI, ma il rischio non si ferma alla loro porta. Se effettui fine-tuning, self-hosting o costruisci prodotti su un modello per finalità generali, la documentazione, la posizione sul diritto d'autore e lo stato di conformità di quel fornitore diventano parte della tua stessa filiera. Un ordine correttivo contro un modello a monte — una modifica imposta o un ritiro dal mercato dell'UE — è il tuo fermo, la tua ri-architettura, la tua conversazione col cliente. La risposta pratica: sapere esattamente quali modelli stanno sotto il tuo prodotto e tenere sotto revisione lo stato regolamento IA del fornitore invece di darlo per scontato.
C'è inoltre un obbligo che ricade direttamente sui deployer, qualunque modello usino. La trasparenza dell'articolo 50, efficace lo stesso 2 agosto 2026, significa comunicare alle persone quando interagiscono con un sistema di IA ed etichettare chiaramente i contenuti generati o manipolati dall'IA come immagini, audio o video sintetici. Non è un problema del produttore di modelli che puoi esternalizzare; è una decisione di prodotto nella tua interfaccia. Se gestisci chatbot, generi contenuti multimediali o rilasci copiloti IA nell'UE, il lavoro di informativa ed etichettatura spetta a te.
Cosa significa per i team negli Stati Uniti & in Italia
Per i team statunitensi che vendono in Europa, la riformulazione è che il regolamento IA è ora una legge applicata, con un supervisore che può richiedere documenti e comminare sanzioni, non un progetto di conformità futuro. La portata extraterritoriale è il punto: si applica dove un modello o un sistema di IA è immesso o usato sul mercato dell'UE, indipendentemente da dove abbia sede l'azienda. Se utenti europei toccano la tua IA, gli obblighi seguono il prodotto oltre l'Atlantico, e «siamo un'azienda americana» non è una difesa.
Per i team italiani e per chiunque operi in un settore regolamentato, la mossa efficiente è integrare il lavoro sul regolamento IA nella governance già in essere anziché avviare un programma parallelo. Le abitudini di documentazione, tracciabilità dei dati e registrazione degli accessi che GDPR e conformità alla protezione dei dati già richiedono si sovrappongono strettamente a ciò che una richiesta di informazioni ai sensi del regolamento IA domanderebbe. In una FinTech che tratta dati di pagamento o presso un operatore sanitario che detiene cartelle cliniche, l'auditabilità costruita per le regole esistenti è gran parte del lavoro; le aggiunte specifiche per l'IA sono l'informativa di trasparenza, l'inventario dei modelli e la due diligence sui fornitori.
La trappola, da entrambe le parti, è trattare il 2 agosto come una scadenza una tantum anziché come l'inizio di un regime applicato. L'applicazione è una capacità che la Commissione ora detiene in modo permanente, e le prime richieste di informazioni mostreranno con quanta incisività verrà usata. I team che ne escono avanti sono quelli che possono rispondere a «su quali modelli facciamo affidamento, cosa dichiarano e dove segnaliamo l'IA agli utenti?» senza affanni — perché è esattamente ciò che chiederanno un regolatore, un cliente enterprise o una revisione di sicurezza.
Cosa fare prima della scadenza
Non serve un ufficio legale per fare progressi concreti prima del 2 agosto. Serve un inventario e qualche decisione.
- Inventaria le tue dipendenze dai modelli. Elenca ogni modello per finalità generali che i tuoi prodotti richiamano, ospitano o affinano, e annota se si tratta di un'API ospitata o di un modello che gestisci in proprio.
- Verifica lo stato regolamento IA di ciascun fornitore. Conferma che pubblichi documentazione tecnica, una politica sul diritto d'autore e una sintesi dei dati di addestramento — e tratta le lacune come rischio fornitore, non come formalità.
- Mappa i tuoi obblighi ai sensi dell'articolo 50. Individua ogni punto in cui gli utenti interagiscono con l'IA o vedono contenuti generati dall'IA, e implementa informativa ed etichettatura chiare nell'interfaccia.
- Tieni pronta una documentazione consegnabile. Mantieni la documentazione delle fonti di dati, dell'uso dei modelli e delle decisioni, così da poter rispondere a una richiesta di informazioni senza ricostruire la storia.
- Riusa il tuo impianto GDPR. Collega il lavoro sul regolamento IA alla governance esistente sulla protezione dei dati — tracciabilità dei dati, controllo degli accessi, logging — invece di costruire un binario separato.
- Pianifica un cambiamento a monte. Decidi in anticipo cosa faresti se un modello da cui dipendi venisse modificato o ritirato dal mercato dell'UE, e tieni pronta un'alternativa.
Nulla di tutto ciò è consulenza legale, e l'esatta postura applicativa si chiarirà solo quando la Commissione inizierà a usare i suoi poteri. Ma la direzione è inequivocabile: dal 2 agosto 2026 le regole GPAI del regolamento IA sono applicabili, sostenute da multe reali — e i team che hanno mappato per tempo la propria esposizione vi risponderanno con una risposta anziché con l'affanno.
Domande frequenti
Cosa cambia per i fornitori di IA il 2 agosto 2026?
Diventano applicabili i poteri sanzionatori della Commissione europea sui fornitori di modelli di IA per finalità generali (GPAI). Gli obblighi GPAI sono in vigore dal 2 agosto 2025, ma il meccanismo di vigilanza e sanzione è stato sospeso per un anno per consentire a fornitori e Ufficio IA di prepararsi. Questo periodo di grazia termina il 2 agosto 2026, quando i poteri acquistano efficacia: richieste di informazioni, valutazioni dei modelli, misure correttive e multe.
A quanto ammontano le multe del regolamento IA per i fornitori GPAI?
In base all'articolo 101, la Commissione può multare un fornitore di modello GPAI fino al 3% del fatturato annuo mondiale totale o 15 milioni di euro, a seconda di quale sia il valore più alto. Le multe possono applicarsi per violazione degli obblighi GPAI, per informazioni inesatte, incomplete o fuorvianti in risposta a una richiesta di documentazione, per il rifiuto di misure correttive o per il diniego di accesso a un modello ai fini della valutazione.
Il Digital Omnibus ha rinviato la data del 2 agosto 2026?
No. Il Digital Omnibus, a cui il Consiglio ha dato il via libera definitivo il 29 giugno 2026 dopo l'approvazione del Parlamento del 16 giugno 2026, ha rinviato gli obblighi ad alto rischio di 12-16 mesi: sistemi autonomi dell'Allegato III dal 2 dicembre 2027 e IA integrata in prodotti regolamentati dal 2 agosto 2028. I poteri sanzionatori GPAI e gli obblighi di trasparenza dell'articolo 50 sono rimasti invariati e cadono entrambi il 2 agosto 2026.
Riguarda anche le aziende che usano solo l'IA?
Le multe colpiscono i fornitori di modelli GPAI, ma gli effetti si propagano a valle. Se effettui fine-tuning, ospiti o costruisci prodotti su un modello per finalità generali, lo stato di conformità, la documentazione e la posizione sul diritto d'autore del fornitore diventano un rischio di filiera. Anche i deployer hanno obblighi di trasparenza ai sensi dell'articolo 50 dallo stesso giorno — dichiarare l'interazione con l'IA ed etichettare i contenuti generati dall'IA —, perciò tratta la maturità del fornitore come due diligence, non come un dato acquisito.
Cosa dovrebbero fare i team negli Stati Uniti e in Italia prima della scadenza?
Mappa quali modelli per finalità generali usano i tuoi prodotti e verifica lo stato regolamento IA di ciascun fornitore, inclusi documentazione tecnica e politica sul diritto d'autore. Censisci i tuoi obblighi di trasparenza ai sensi dell'articolo 50 e implementa l'informativa sull'interazione con l'IA e l'etichettatura dei contenuti. Conserva la documentazione delle fonti di dati e dell'uso dei modelli per rispondere a una richiesta di informazioni. Nei settori regolamentati, integra tutto ciò nella governance GDPR e settoriale esistente invece che in un progetto separato.
Fonti
Consiglio dell'UE — Intelligenza artificiale: il Consiglio dà il via libera definitivo alla semplificazione delle regole, 29 giugno 2026 (fonte primaria)
Commissione europea — Regolamento IA, quadro normativo e calendario di applicazione (fonte primaria)
Regolamento IA dell'UE — Applicazione del Capo V (GPAI): poteri ai sensi degli articoli 91–93 e 101