Il 2 agosto 2026 l'AI Act entra nella sua fase operativa: trasparenza, vigilanza e sanzioni diventano realtà per le imprese europee. Ma il Digital Omnibus, adottato in via definitiva dal Consiglio UE il 29 giugno 2026, ha riscritto il calendario: gli obblighi sui sistemi ad alto rischio slittano al 2027 e al 2028. Ecco cosa scatta davvero tra poche settimane, cosa è già in vigore e cosa è stato rinviato.
⚖ In breve
- Dal 2 agosto 2026 si applicano le disposizioni dell'AI Act non toccate dall'Omnibus: obblighi di trasparenza (art. 50), regime sanzionatorio (art. 99) ed enforcement nazionale.
- Gli obblighi sui sistemi ad alto rischio sono rinviati: al 2 dicembre 2027 per i sistemi autonomi dell'Allegato III, al 2 agosto 2028 per quelli integrati nei prodotti (Allegato I).
- Restano pienamente in vigore i divieti dell'art. 5 e l'obbligo di alfabetizzazione IA (dal 2 febbraio 2025) e le regole sui modelli GPAI (dal 2 agosto 2025).
- Novità in controtendenza: dal 2 dicembre 2026 divieto dei sistemi che generano contenuti intimi non consensuali (app "nudifier") e materiale di abuso su minori.
- In Italia la vigilanza è affidata all'Agenzia per la Cybersicurezza Nazionale, con AgID come autorità di notifica (L. 132/2025).
Indice dell'articolo
Un calendario a tappe: cosa è già in vigore
Il Regolamento (UE) 2024/1689 — l'AI Act — è entrato in vigore il 1° agosto 2024, ma il legislatore europeo ha scelto fin dall'inizio un'applicazione scaglionata, calibrata sul livello di rischio dei sistemi di intelligenza artificiale. Prima di capire cosa cambia il 2 agosto 2026, occorre quindi ricostruire cosa è già diritto applicabile.
2 febbraio 2025
Pratiche vietate e alfabetizzazione IA. Sono applicabili i divieti dell'art. 5 (manipolazione cognitiva, social scoring da parte di autorità pubbliche, talune forme di sorveglianza biometrica) e l'obbligo di AI literacy dell'art. 4: chi utilizza sistemi di IA deve garantire che il proprio personale possieda competenze adeguate.
2 agosto 2025
Modelli GPAI e governance europea. Si applicano le regole sui modelli di IA per finalità generali (trasparenza, documentazione tecnica, gestione dei rischi sistemici) e l'architettura di governance dell'Unione, con l'AI Office al centro.
★ 2 agosto 2026
La fase operativa. Diventano applicabili le disposizioni non differite dal Digital Omnibus: obblighi di trasparenza (art. 50), regime sanzionatorio, vigilanza del mercato ed enforcement nazionale. È la scadenza che riguarda il maggior numero di imprese.
2 dicembre 2026
Nuovi divieti e marcatura dei contenuti. Scatta il divieto dei sistemi "nudifier" e del materiale di abuso sintetico su minori; termina il periodo transitorio per le soluzioni tecniche di marcatura machine-readable dei contenuti generati dall'IA.
2 dicembre 2027 — 2 agosto 2028
Alto rischio. Per effetto del Digital Omnibus, gli obblighi sui sistemi ad alto rischio si applicano dal 2 dicembre 2027 (sistemi autonomi, Allegato III) e dal 2 agosto 2028 (sistemi integrati nei prodotti, Allegato I).
Un equivoco diffuso merita di essere sgomberato subito: l'AI Act non riguarda soltanto chi sviluppa modelli di intelligenza artificiale. Riguarda anche — e per il tessuto produttivo italiano soprattutto — chi quei sistemi li utilizza sotto la propria autorità: il regolamento li chiama deployer. L'impresa che adotta un software di selezione del personale, la banca che usa sistemi di credit scoring, l'azienda che espone un chatbot ai propri clienti: tutti rientrano nel perimetro applicativo, con obblighi differenziati in base al ruolo e al livello di rischio del sistema.
Il Digital Omnibus: cosa cambia e quando entra in vigore
Il 2 agosto 2026 era stato concepito, nel testo originario del regolamento, come il punto di arrivo: l'attivazione del corpo principale dell'AI Act, inclusi gli obblighi più onerosi sui sistemi ad alto rischio elencati nell'Allegato III. Qui interviene l'elemento più rilevante per chi deve pianificare gli investimenti di compliance dei prossimi mesi.
Con il Digital Omnibus sull'IA — la proposta di semplificazione presentata dalla Commissione il 19 novembre 2025 nell'ambito del pacchetto Omnibus digitale — il calendario è stato ridisegnato. L'iter è stato rapidissimo, e non per caso: accordo politico provvisorio tra Consiglio e Parlamento il 7 maggio 2026, approvazione del Parlamento europeo il 16 giugno 2026, adozione formale del Consiglio dell'Unione europea il 29 giugno 2026, che ha chiuso la procedura legislativa ordinaria. L'obiettivo dichiarato era completare l'intero percorso — adozione, firma e pubblicazione — prima che maturasse la scadenza del 2 agosto, così da sostituire il vecchio calendario con il nuovo prima che la prima scadenza sull'alto rischio diventasse efficace.
Precisione lessicale d'obbligo. Alla data di pubblicazione di questo articolo, il regolamento modificativo — che interviene sull'AI Act, sul regolamento Macchine (UE) 2023/1230 e sul regolamento EASA (UE) 2018/1139 — risulta adottato in via definitiva ma in attesa di pubblicazione nella Gazzetta ufficiale dell'Unione europea. Entrerà in vigore il terzo giorno successivo alla pubblicazione.
Fino a quel momento, sul piano strettamente giuridico, continua ad applicarsi l'AI Act nella formulazione del 2024: chi pianifica sulle nuove scadenze lo fa sulla base di un testo ormai definito e politicamente irreversibile, ma è bene esserne consapevoli.
Il Digital Omnibus non si limita a spostare date. Introduce anche misure di semplificazione sostanziale: l'estensione della documentazione tecnica semplificata alle Small Mid-Caps (imprese con meno di 750 dipendenti e fatturato annuo non superiore a 150 milioni di euro), la possibilità di assorbire la valutazione d'impatto sui diritti fondamentali (FRIA, art. 27) nella DPIA già prevista dal GDPR, l'alleggerimento della registrazione nella banca dati UE per i sistemi non ad alto rischio e la sostituzione dell'atto di esecuzione sul monitoraggio post-commercializzazione con linee guida non vincolanti. E, in controtendenza rispetto agli slittamenti, aggiunge all'art. 5 nuovi divieti con decorrenza ravvicinata: dal 2 dicembre 2026 saranno vietati, per fornitori e deployer, i sistemi destinati a generare contenuti sessuali o intimi non consensuali (le cosiddette app "nudifier") e il materiale di abuso sessuale su minori, anche interamente sintetico.
Cosa scatta davvero il 2 agosto 2026
Sgomberato il campo dall'alto rischio, resta un nucleo di obblighi tutt'altro che marginale. Dal 2 agosto 2026 si applicano infatti le disposizioni dell'AI Act non differite dall'Omnibus: per la gran parte delle imprese italiane, sono queste le regole con cui fare i conti nell'immediato.
Trasparenza verso le persone
Chi espone un chatbot a clienti o dipendenti deve rendere riconoscibile che l'interlocutore è una macchina. I deployer di sistemi di riconoscimento delle emozioni o categorizzazione biometrica devono informare le persone esposte; chi produce o manipola deepfake deve dichiararne la natura artificiale.
Art. 50, Reg. (UE) 2024/1689Marcatura dei contenuti generati
I fornitori di sistemi che generano audio, immagini, video o testo devono apporre una marcatura tecnica in formato machine-readable che renda i contenuti rilevabili come artificiali. L'Omnibus ha ridotto da sei a tre mesi il periodo transitorio per le soluzioni tecniche: la scadenza è il 2 dicembre 2026.
Art. 50, par. 2Sanzioni operative
Il regime sanzionatorio diventa pienamente azionabile: fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli altri obblighi. Per PMI e start-up si applica l'importo o la percentuale inferiore tra i due.
Art. 99Vigilanza nazionale
Si attivano vigilanza del mercato ed enforcement a livello nazionale. In Italia, la legge 132/2025 ha designato l'Agenzia per la Cybersicurezza Nazionale come autorità di vigilanza e AgID come autorità di notifica: dal 2 agosto ispezioni e reclami hanno un destinatario istituzionale.
L. 132/2025Il punto, per le imprese, non è il massimale teorico delle sanzioni. È che dal 2 agosto un'ispezione dell'autorità di vigilanza, un contenzioso con un dipendente o un reclamo di un cliente possono chiedere la stessa cosa: le prove della diligenza organizzativa. Chi usa l'IA deve poter dimostrare che ogni utilizzo è censito, governato e tracciato — e la dimostrazione presuppone documenti, non racconti.
Cosa è stato rinviato (e a quando)
Il rinvio più significativo riguarda il cuore del regolamento: gli obblighi di conformità per i sistemi ad alto rischio ex art. 6 — gestione dei rischi, qualità dei dataset, documentazione tecnica, registrazione automatica dei log, sorveglianza umana, valutazione di conformità. Obblighi che gravano sui fornitori ma anche, in misura calibrata, sui deployer (art. 26): uso conforme alle istruzioni, sorveglianza umana affidata a persone competenti, conservazione dei log, informazione dei lavoratori quando il sistema è usato sul posto di lavoro.
| Adempimento | Scadenza originaria | Nuova scadenza |
|---|---|---|
| Sistemi ad alto rischio autonomi (Allegato III: biometria, infrastrutture critiche, istruzione, lavoro, credito, migrazione, giustizia) | 2 agosto 2026 | 2 dicembre 2027 |
| Sistemi ad alto rischio integrati nei prodotti (Allegato I: dispositivi medici, giocattoli, ascensori, ecc.) | 2 agosto 2027 | 2 agosto 2028 |
| Sandbox regolamentari nazionali (obbligo di istituzione da parte degli Stati membri) | 2 agosto 2026 | 2 agosto 2027 |
| Prodotti coperti dal regolamento Macchine (UE) 2023/1230 | Applicazione diretta AI Act | Esclusi dall'applicazione diretta |
Attenzione però a leggere correttamente il rinvio: differire l'efficacia non significa sospendere la preparazione. Costruire un sistema di gestione dei rischi, predisporre la documentazione tecnica, formare le persone che eserciteranno la sorveglianza umana richiede mesi, non settimane. Le imprese che utilizzano sistemi riconducibili all'Allegato III — software di recruitment e screening dei CV, credit scoring, strumenti di valutazione del personale — hanno oggi una finestra di sedici mesi in più: un orizzonte di pianificazione, non un permesso di attendere.
La checklist operativa per le imprese
Cosa fare, concretamente, nelle settimane che separano dal 2 agosto? L'ordine che segue riflette le priorità giuridiche: prima ciò che è già efficace, poi ciò che scatta ad agosto, infine ciò che conviene avviare per tempo.
Road map di conformità — estate 2026
Sei passaggi in ordine di priorità giuridica
- Censire i sistemi di IA in uso — inclusi quelli mai formalmente autorizzati (la cosiddetta shadow AI): chi li ha introdotti, con quali dati, per quali decisioni.
- Verificare i divieti dell'art. 5 — già pienamente efficaci dal febbraio 2025, con le sanzioni più severe dell'intero impianto.
- Assolvere l'obbligo di alfabetizzazione IA (art. 4) — formazione documentata per chi usa i sistemi, in vigore da diciotto mesi.
- Adeguare la trasparenza — informativa chatbot, dichiarazione dei deepfake, marcatura machine-readable dei contenuti generati entro il 2 dicembre 2026.
- Classificare i sistemi rispetto all'Allegato III — e avviare per tempo documentazione tecnica, gestione del rischio e sorveglianza umana in vista del 2 dicembre 2027.
- Aggiornare contratti e informative — AI Act e GDPR vanno letti insieme: quando l'IA tratta dati personali, la conformità è necessariamente congiunta.
Un'ultima notazione di metodo. Il 2 agosto 2026 non è un traguardo ma una tappa: segna il momento in cui la governance dell'intelligenza artificiale smette di essere un vantaggio competitivo e diventa il requisito minimo verificabile. L'impresa che sa quali sistemi di IA utilizza, con quali dati e con quali garanzie verso clienti e dipendenti non sta soltanto evitando una sanzione: sta costruendo un asset di affidabilità che pesa sempre di più nei rapporti commerciali, dove la richiesta di garanzie sulla catena tecnologica è in costante aumento.
Domande frequenti sull'AI Act e la scadenza del 2 agosto 2026
Cosa cambia davvero per le imprese il 2 agosto 2026?
Dal 2 agosto 2026 diventano applicabili le disposizioni dell'AI Act non differite dal Digital Omnibus: gli obblighi di trasparenza dell'art. 50 (informativa per chatbot, deepfake e sistemi di riconoscimento delle emozioni), il regime sanzionatorio dell'art. 99 e l'enforcement nazionale, con vigilanza del mercato pienamente operativa. Gli obblighi sui sistemi ad alto rischio, originariamente previsti per questa data, sono invece stati rinviati al 2027 e al 2028.
Gli obblighi sui sistemi di IA ad alto rischio sono stati rinviati?
Sì. Il Digital Omnibus sull'IA, adottato in via definitiva dal Consiglio UE il 29 giugno 2026, sposta l'applicazione degli obblighi per i sistemi ad alto rischio autonomi dell'Allegato III (biometria, infrastrutture critiche, istruzione, lavoro, credito, migrazione, giustizia) al 2 dicembre 2027, e per i sistemi integrati come componenti di sicurezza nei prodotti dell'Allegato I al 2 agosto 2028. Il regolamento modificativo entra in vigore il terzo giorno successivo alla pubblicazione in Gazzetta ufficiale dell'Unione europea.
Quali obblighi dell'AI Act sono già in vigore oggi?
Dal 2 febbraio 2025 si applicano i divieti dell'art. 5 (manipolazione cognitiva, social scoring pubblico, talune forme di sorveglianza biometrica) e l'obbligo di alfabetizzazione in materia di IA dell'art. 4, che impone alle imprese di garantire competenze adeguate al personale che utilizza sistemi di intelligenza artificiale. Dal 2 agosto 2025 si applicano inoltre le regole sui modelli di IA per finalità generali (GPAI) e l'architettura di governance europea.
Quali sanzioni rischia un'impresa che non si adegua all'AI Act?
Il regime sanzionatorio dell'art. 99 prevede fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore, per le pratiche vietate dall'art. 5; fino a 15 milioni o al 3% per la violazione degli altri obblighi, inclusi quelli gravanti sui deployer. Per le PMI e le start-up si applica, in un'ottica di proporzionalità, l'importo o la percentuale inferiore tra i due.
La mia impresa usa solo chatbot e IA generativa: cosa deve fare?
Anche in assenza di sistemi ad alto rischio, dal 2 agosto 2026 chi espone un chatbot a clienti o dipendenti deve rendere riconoscibile che l'interlocutore è una macchina, e chi produce o manipola deepfake deve dichiararne la natura artificiale. I fornitori di sistemi generativi devono inoltre apporre una marcatura tecnica machine-readable sui contenuti prodotti, con periodo transitorio che scade il 2 dicembre 2026. Resta fermo l'obbligo di alfabetizzazione IA, già in vigore.
Chi vigila sull'applicazione dell'AI Act in Italia?
La legge 132/2025 ha designato l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza e l'AgID come autorità di notifica. Dal 2 agosto 2026, con l'applicazione delle disposizioni su vigilanza del mercato ed enforcement, ispezioni e reclami hanno quindi un destinatario istituzionale operativo anche a livello nazionale.
Il Digital Omnibus è già in vigore?
Il regolamento modificativo è stato adottato in via definitiva: approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno 2026, entrerà in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea, attesa entro luglio 2026. Fino a quel momento, formalmente, resta applicabile l'AI Act nella versione del 2024: il testo del nuovo calendario è però ormai definito e l'iter legislativo concluso.
Il diritto dell'IA cambia in fretta. Noi lo seguiamo per te.
Iscriviti alla newsletter dell'Osservatorio Giuridico Celotti: analisi puntuali su AI Act, decreti attuativi e giurisprudenza, direttamente nella tua casella di posta.
Iscriviti alla newsletter →Fonti normative e istituzionali:
Regolamento (UE) 2024/1689 (AI Act), artt. 4, 5, 6, 26, 27, 50, 99 e Allegati I e III • Regolamento c.d. "Digital Omnibus sull'IA" (procedura 2025/0359(COD), PE-CONS 30/26), adottato dal Consiglio UE il 29 giugno 2026 • Commissione europea, Quadro normativo sull'IA (digital-strategy.ec.europa.eu) • Legge 23 settembre 2025, n. 132 • Regolamento (UE) 2023/1230 (Macchine).
Articolo aggiornato al 17 luglio 2026. Il presente contributo ha finalità informativa e non costituisce parere legale.
