Una data che cambia il gioco

Il 2 agosto 2026 è una data che vale la pena segnarsi in agenda. Da quel giorno il Regolamento (UE) 2024/1689 – noto come AI Act – acquisisce piena cogenza in tutta l’Unione Europea: entrano in vigore le regole di trasparenza dell’articolo 50, l’impianto sanzionatorio completo e la governance nazionale. Non è più un orizzonte lontano: è dopodomani in termini operativi.

Per molte aziende italiane il sospetto è che l’AI Act riguardi qualcun altro – i big tech, gli sviluppatori di modelli giganti, le aziende sanitarie o finanziarie regolate. È un sospetto in larga parte sbagliato: anche un’impresa medio-piccola che usa un chatbot di servizio clienti basato su un Large Language Model, un assistente documentale che «legge» PDF, o un tool di selezione del personale che usa AI rientra negli obblighi. La pioggia, in questo caso, bagna tutti.

Cos’è l’AI Act in 3 righe

L’AI Act è il primo regolamento al mondo che disciplina in modo organico l’intelligenza artificiale. Classifica i sistemi di AI in quattro categorie di rischio (inaccettabile, alto, limitato, minimo) e impone obblighi proporzionali. È pubblicato in Gazzetta Ufficiale UE il 12 luglio 2024 ed è entrato in vigore il 1° agosto 2024, con applicazione progressiva nei due anni successivi. Il calendario degli obblighi è il vero punto da capire.

Il calendario: cosa è già in vigore, cosa scatta il 2 agosto 2026

L’applicazione dell’AI Act è scaglionata. Vediamo dove siamo:

• 2 febbraio 2025 — Sono entrati in vigore i divieti (pratiche AI inaccettabili) e gli obblighi di AI literacy per i fornitori e i deployer di sistemi AI.
• 2 agosto 2025 — Sono diventati applicabili gli obblighi per i fornitori di modelli di AI per finalità generali (GPAI, come GPT, Claude, Gemini, Llama). Sono nominate le autorità nazionali competenti e governance UE attiva.
• 2 agosto 2026 — La data chiave. Si attivano gli obblighi di trasparenza dell’articolo 50 (chatbot, deepfake, riconoscimento delle emozioni). Diventa pienamente operativo l’impianto sanzionatorio e la vigilanza delle autorità nazionali.
• 2 dicembre 2026 — Scatta l’obbligo di marcatura machine-readable dei contenuti sintetici generati dall’AI (termine prorogato dal Digital Omnibus).
• 2 dicembre 2027 — Si applicano gli obblighi per i sistemi ad alto rischio dell’Allegato III (selezione personale, scoring creditizio, AI in sanità, istruzione, infrastrutture critiche, applicazione della legge, gestione migrazioni, amministrazione della giustizia): rinviati dal 2 agosto 2026 dal Digital Omnibus.
• 2 agosto 2028 — Si applicano gli obblighi sui sistemi ad alto rischio integrati in prodotti soggetti a legislazione di armonizzazione dell’Unione (Allegato I): dispositivi medici, macchinari, giocattoli, veicoli, ascensori: rinviati dal 2 agosto 2027.

In altre parole, agosto 2026 è il momento in cui l’AI Act diventa «reale» per la stragrande maggioranza delle imprese.

Modelli GPAI: già obbligati, sanzioni in arrivo

I fornitori di modelli GPAI – OpenAI, Anthropic, Google, Mistral, Meta e gli altri – sono soggetti agli obblighi dell’AI Act dal 2 agosto 2025. Devono mantenere documentazione tecnica aggiornata, rendere disponibili informazioni ai deployer (cioè alle aziende che integrano i modelli nei propri prodotti), rispettare le policy di copyright sui dati di addestramento, e – per i modelli a rischio sistemico – svolgere valutazioni di sicurezza approfondite e notificare incidenti all’AI Office europeo.

Il punto operativo importante per chi usa GPAI in azienda: i fornitori del modello sono obbligati a fornirvi documentazione precisa sui rischi, sulle limitazioni e sulle policy di uso. Avete il diritto e il dovere di pretenderla. Nel contratto con il fornitore di AI deve essere prevista la condivisione delle informazioni di compliance.

I sistemi ad alto rischio: chi è davvero coinvolto

L’Allegato III dell’AI Act elenca le aree in cui un sistema AI è considerato «ad alto rischio». Vale la pena leggerlo perché tocca molte realtà aziendali tipiche:

• Gestione delle risorse umane: AI per la selezione, lo screening dei CV, la valutazione delle prestazioni, le decisioni di promozione o licenziamento.
• Accesso a servizi essenziali: scoring creditizio, valutazione del rischio assicurativo vita e salute, gestione delle priorità nei servizi pubblici.
• Istruzione e formazione: AI per valutare studenti, predire abbandoni, assegnare percorsi formativi.
• Infrastrutture critiche: gestione di reti energetiche, idriche, trasporti.
• Forze dell’ordine, giustizia, gestione migrazioni: applicazioni in cui l’AI influenza decisioni che impattano i diritti fondamentali.

Per ognuno di questi sistemi, dal 2 dicembre 2027 (termine rinviato dal Digital Omnibus) servono: un sistema di gestione del rischio per l’intero ciclo di vita del prodotto, dati di addestramento e validazione di qualità (rappresentativi e privi di bias), documentazione tecnica completa, tracciabilità e log delle decisioni del sistema, trasparenza verso gli utenti, supervisione umana significativa, robustezza, accuratezza e cybersecurity. Per molti sistemi serve anche una valutazione di conformità con marcatura CE.

Trasparenza: l’articolo 50 tocca quasi tutti

L’articolo 50 dell’AI Act introduce obblighi di trasparenza che colpiscono anche chi non opera ad alto rischio. Tre punti spesso sottovalutati:

1. Chatbot e assistenti virtuali: se un sistema AI interagisce con persone fisiche, l’utente deve essere informato che sta dialogando con una macchina (a meno che sia palese dal contesto). Tradotto: nei chatbot di customer service serve un disclaimer iniziale chiaro.
2. Contenuti generati con AI: testi, immagini, audio o video generati o manipolati dall’AI devono essere etichettati come tali (con eccezioni per usi giornalistici editoriali e simili). Per i deepfake, l’obbligo è rigoroso.
3. Riconoscimento emotivo e categorizzazione biometrica: se usate sistemi che analizzano le emozioni o categorizzano persone in base a dati biometrici (escluse situazioni di sicurezza e medicina), gli interessati vanno informati esplicitamente.

Il principio è semplice: l’utente ha diritto di sapere quando interagisce con o è oggetto di un sistema di AI.

Le sanzioni: ordini di grandezza

L’AI Act prevede tre fasce di sanzioni amministrative, sempre con il principio del «valore più alto tra una somma fissa e una percentuale del fatturato globale»:

• Fino a 35 milioni di euro o il 7% del fatturato annuo mondiale per le violazioni delle pratiche vietate (sistemi a rischio inaccettabile).
• Fino a 15 milioni di euro o il 3% del fatturato annuo mondiale per le violazioni degli altri obblighi del Regolamento.
• Fino a 7,5 milioni di euro o l’1% del fatturato annuo mondiale per la comunicazione di informazioni false, incomplete o fuorvianti alle autorità.

Le PMI godono di una mitigazione: per loro le sanzioni sono determinate considerando il valore più basso tra somma fissa e percentuale. Mitigazione, non esenzione.

AI literacy: l’obbligo nascosto che riguarda tutti

Un articolo dell’AI Act spesso passato sotto silenzio è il 2 dell’articolo 4: ogni azienda che utilizza sistemi AI è tenuta a garantire un livello sufficiente di alfabetizzazione al personale che li impiega. Non è un suggerimento, è un obbligo: bisogna formare le persone su cosa fa il sistema, quali sono i suoi limiti, come riconoscere errori e come comportarsi in caso di esiti anomali. La traduzione operativa è un piano formativo strutturato, documentato e ripetuto nel tempo.

Cosa fare nelle prossime sei settimane

Una checklist concreta, valida per qualsiasi azienda che usi AI in modo non occasionale:

1. Mappa l’AI in azienda. Quali sistemi sono in uso, da chi, con quali dati, con quali fornitori. Spesso copilot, assistenti documentali e plugin sono entrati senza un censimento formale.
2. Classifica ogni sistema rispetto alle quattro categorie di rischio dell’AI Act. La maggior parte sarà a rischio limitato o minimo, ma anche a quel livello scattano obblighi (trasparenza, AI literacy).
3. Verifica i contratti con i fornitori di modelli e applicazioni AI. Devono includere clausole su documentazione, condivisione informazioni di compliance, gestione incidenti e responsabilità.
4. Per i sistemi ad alto rischio: avvia subito una gap analysis rispetto all’Allegato III e ai requisiti tecnici. Il lavoro per essere pronti al 2 dicembre 2027 è corposo: gestione del rischio, dataset di qualità, documentazione, tracciabilità, valutazione di conformità.
5. Aggiungi disclaimer e trasparenza dove serve: chatbot del sito, contenuti generati con AI, comunicazioni automatizzate.
6. Pianifica la formazione AI literacy. Non un seminario una tantum: un percorso ripetuto, con valutazione finale e documentazione del completamento.
7. Documenta tutto. Nelle ispezioni dell’autorità di vigilanza ciò che non è documentato è come se non esistesse. Il principio è identico al GDPR e al NIS2.

Il punto pratico

L’AI Act non è un esercizio teorico. È una normativa con sanzioni paragonabili a quelle del GDPR – in alcuni casi più severe – e con un ambito di applicazione che tocca quasi qualunque azienda che abbia integrato AI nei processi. Il margine per arrivare preparati al 2 agosto 2026 si sta esaurendo. Le aziende che si organizzano adesso scelgono i loro tempi e i loro costi; chi aspetta li subirà nei mesi a ridosso della scadenza.

Come possiamo aiutarti

In Mediaform accompagniamo aziende ed enti nella conformità all’AI Act con un percorso strutturato: gap analysis e mappatura dei sistemi AI, supporto alla classificazione dei rischi, definizione delle policy di governance, integrazione delle clausole nei contratti, predisposizione della documentazione tecnica, supporto alla cybersecurity dei sistemi AI e formazione AI literacy del personale.

Per una valutazione iniziale sulla tua situazione AI Act scrivici a assistenza@media-form.it oppure contattaci.