La risposta breve
Dal 2 agosto 2026 l'AI Act europeo è pienamente applicabile: la Commissione può far valere gli obblighi per i modelli di IA per finalità generali (GPAI), con sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale. In Italia la cornice nazionale è già operativa: la legge 132/2025, in vigore dal 10 ottobre 2025, è il primo quadro nazionale in Europa allineato all'AI Act, e i primi decreti attuativi sono stati approvati in via preliminare il 10 giugno 2026.
Per un'impresa che sviluppa o usa software con componenti di IA, il messaggio è pratico: la fase in cui l'AI Act era «una cosa del 2025» è finita. Chi ha già mappato i propri sistemi e classificato il rischio arriva pronto alla scadenza; chi non l'ha fatto ha ancora una finestra breve per mettersi in regola prima che scattino vigilanza e sanzioni.
Cosa succede il 2 agosto
Il 2 agosto 2026 è la data in cui il regolamento europeo sull'intelligenza artificiale — l'AI Act — diventa pienamente applicabile. Non è un inizio da zero: gli obblighi di governance e quelli specifici per i fornitori di modelli per finalità generali (GPAI) erano già scattati il 2 agosto 2025. Ciò che cambia adesso è la capacità di far rispettare quelle regole. Da questa data la Commissione europea può avviare l'enforcement nei confronti dei fornitori GPAI, con sanzioni che arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, se superiore.
Per capire chi tocca conviene distinguere i ruoli previsti dall'AI Act. Un'impresa può essere fornitore (chi sviluppa o immette sul mercato un sistema di IA), deployer (chi lo utilizza a fini professionali) o entrambi. Gli obblighi più pesanti gravano sui sistemi classificati «ad alto rischio» e sui grandi modelli generativi, ma anche chi si limita a integrare un modello di terze parti in un proprio prodotto eredita responsabilità di trasparenza e documentazione. È qui che l'adeguamento all'AI Act smette di essere un adempimento formale e diventa una scelta di architettura: come tracci i dati, come registri le decisioni del modello, come garantisci la supervisione umana.
La legge italiana 132/2025 e i decreti attuativi
L'Italia si è mossa prima di molti altri Paesi. La legge n. 132 del 2025, in vigore dal 10 ottobre 2025, è il primo quadro nazionale in Europa costruito per allinearsi all'AI Act e non per sovrapporvisi. Non riscrive il regolamento europeo — che resta la fonte principale — ma ne cala i principi nel contesto italiano: uso dell'IA nel mondo del lavoro, in sanità, nella giustizia e nella pubblica amministrazione, con l'obiettivo dichiarato di uno sviluppo «antropocentrico» e sotto controllo umano.
La legge delega poi al Governo l'adozione di decreti attuativi, che sono la parte operativa del disegno. Un primo gruppo è stato approvato in via preliminare dal Consiglio dei Ministri il 10 giugno 2026 e tocca temi concreti: maggiori controlli sull'uso degli algoritmi nel lavoro, profili sanitari e professionali, impiego dell'IA in ambito giudiziario e di polizia, nuove fattispecie penali. Sul fronte industriale, la cornice richiama un programma di investimenti fino a un miliardo di euro destinato a startup e PMI nei campi dell'IA, della cybersicurezza e delle tecnologie emergenti — un segnale che la regolamentazione viaggia insieme al sostegno all'ecosistema, non contro di esso.
AgID e ACN: chi vigila su cosa
Uno dei nodi più concreti per le imprese è capire a chi rispondere. La legge 132/2025 disegna un modello a due autorità. Ad AgID — l'Agenzia per l'Italia Digitale — è affidato il ruolo di autorità di notifica: accredita e sorveglia gli organismi che valutano la conformità dei sistemi di IA, cioè i soggetti che rilasciano le verifiche richieste per i sistemi ad alto rischio. All'ACN — l'Agenzia per la Cybersicurezza Nazionale — spetta invece la vigilanza del mercato, con poteri ispettivi, e il ruolo di punto di contatto unico con l'Unione europea.
La divisione ha una logica: la valutazione della conformità e la sicurezza informatica sono competenze diverse, e affidarle a due agenzie evita di concentrare tutto in un unico soggetto. Per l'impresa significa però che il perimetro di interlocuzione si allarga: non basta guardare a Bruxelles, occorre presidiare anche il livello nazionale, dove vengono definite procedure, moduli e tempi. Restano ambiti in via di definizione — la ripartizione fine delle competenze si chiarirà con i decreti attuativi e i regolamenti delle due agenzie — e questo è un motivo in più per non aspettare l'ultima circolare prima di iniziare a organizzarsi.
Cosa significa per chi sviluppa o commissiona software
Per un'impresa italiana che costruisce o acquista software, i due binari — regolamento europeo e legge nazionale — vanno letti insieme, non come due burocrazie separate. Il punto di partenza pratico è sempre lo stesso: sapere dove l'IA è effettivamente presente nei propri prodotti e processi. Molte aziende scoprono di usarla in più punti di quanto pensino — un modello di raccomandazione, un filtro antifrode, un assistente che smista i ticket — e ciascuno di questi va classificato per rischio secondo l'AI Act.
Fatto l'inventario, il lavoro diventa ingegneristico prima che legale. Un sistema ad alto rischio richiede documentazione tecnica, tracciabilità dei dati di addestramento, log delle decisioni e un meccanismo di supervisione umana verificabile. Chi integra un modello GPAI di terze parti deve poter dimostrare quali garanzie ha ottenuto dal fornitore. Sono requisiti che si progettano meglio dentro il software fin dall'inizio, e che diventano costosi se aggiunti dopo. Dove mancano competenze interne, un team esterno di sviluppo su misura o di adeguamento consente di avviare il percorso subito, invece di rimandare in attesa di assunzioni difficili in un mercato tech tirato.
C'è anche un'opportunità, non solo un obbligo. Il programma di investimenti da un miliardo di euro per startup e PMI segnala che chi si adegua per tempo può presentarsi al mercato — e ai bandi — con sistemi già conformi, mentre i concorrenti rincorrono. La compliance ben progettata non è un freno: è un modo per rendere vendibile e difendibile un prodotto che usa l'IA, soprattutto verso clienti enterprise e pubblica amministrazione che la conformità la chiedono per contratto.
Come prepararsi nei prossimi mesi
La scadenza è vicina, ma l'adeguamento è un percorso, non un interruttore. Una sequenza praticabile, soprattutto per chi parte con risorse limitate:
- Inventariate i sistemi di IA. Mappate ogni punto in cui usate o incorporate l'IA, con chi è il fornitore e a cosa serve. Senza questo elenco ogni valutazione di rischio è cieca.
- Classificate il rischio. Applicate le categorie dell'AI Act — rischio inaccettabile, alto, limitato, minimo — a ciascun sistema. Concentrate gli sforzi sull'alto rischio.
- Documentate dati e decisioni. Per i sistemi critici mettete a posto tracciabilità dei dati, log delle decisioni e prove della supervisione umana. È la parte che richiede più tempo.
- Verificate i fornitori GPAI. Se integrate modelli di terzi, raccogliete le informazioni e le garanzie che vi servono per rispettare i vostri obblighi di trasparenza.
- Presidiate il livello nazionale. Seguite i decreti attuativi e i regolamenti di AgID e ACN: procedure e moduli operativi si definiscono lì, non solo a Bruxelles.
Nulla di tutto questo trasforma un'impresa in uno studio legale, e non è l'obiettivo. Il segnale strategico è un altro: la regolamentazione dell'IA in Europa e in Italia è passata dalla teoria alla pratica, con date, autorità e sanzioni. Il vantaggio andrà a chi la incorpora nel modo di costruire software, non a chi la subisce all'ultimo momento — e si comincia da un inventario onesto, un sistema per volta.
Domande frequenti
Cosa cambia dal 2 agosto 2026 con l'AI Act?
Dal 2 agosto 2026 il regolamento europeo sull'intelligenza artificiale diventa pienamente applicabile. Da questa data la Commissione europea può far valere gli obblighi per i fornitori di modelli per finalità generali (GPAI), con sanzioni fino a 15 milioni di euro o al 3% del fatturato mondiale annuo. Gli obblighi di governance e per i modelli GPAI erano già scattati il 2 agosto 2025.
Cos'è la legge italiana 132/2025 sull'intelligenza artificiale?
La legge n. 132 del 2025, in vigore dal 10 ottobre 2025, è il primo quadro nazionale in Europa allineato all'AI Act europeo. Detta principi su uso dell'IA nel lavoro, nella sanità, nella giustizia e nella PA, e delega al Governo l'adozione di decreti attuativi. Un primo gruppo di decreti è stato approvato in via preliminare dal Consiglio dei Ministri il 10 giugno 2026.
Che ruolo hanno AgID e ACN nella governance dell'IA?
La legge 132/2025 affida ad AgID (Agenzia per l'Italia Digitale) il ruolo di autorità di notifica, che accredita e vigila sugli organismi che valutano la conformità dei sistemi. All'ACN (Agenzia per la Cybersicurezza Nazionale) spetta la vigilanza del mercato, con poteri ispettivi, e il ruolo di punto di contatto unico con l'Unione europea per l'IA.
Cosa deve fare un'impresa che sviluppa o usa software con IA?
Il primo passo è mappare dove l'IA è presente nei propri prodotti e processi e classificarne il rischio secondo l'AI Act. Poi occorre documentare dati, logica e supervisione umana dei sistemi ad alto rischio, verificare gli obblighi di trasparenza e allineare i fornitori di modelli GPAI. Dove mancano competenze interne, un team esterno di sviluppo o di compliance permette di avviare l'adeguamento senza attendere assunzioni.
Fonti
Dipartimento per la trasformazione digitale — Approvata in via definitiva la legge italiana sull'intelligenza artificiale (legge 132/2025)
Agenda Digitale — Decreti AI: più controlli sull'uso degli algoritmi nel lavoro, cosa cambia (10 giugno 2026)
Commissione europea — Regulatory framework on Artificial Intelligence (AI Act)
EU Artificial Intelligence Act — Implementation timeline (piena applicabilità 2 agosto 2026)