“Ma allora è tutto rinviato?” È la domanda che ci stiamo sentendo fare più spesso in queste settimane. La risposta breve è: no. Il 2 agosto 2026 — tra pochi giorni — l’AI Act diventa pienamente operativo su fronti che toccano quasi ogni azienda. Su altri, invece, l’Europa ha davvero spostato l’asticella più in là.
Il risultato è una gran confusione, alimentata da articoli scritti prima dell’ultimo cambio di regole e mai aggiornati. Facciamo chiarezza punto per punto: cosa scatta il 2 agosto, cosa è slittato e a quando, e cosa devi fare adesso.
Cos’è cambiato: il Digital Omnibus
Il 29 giugno 2026 il Consiglio dell’Unione Europea ha approvato il pacchetto noto come Digital Omnibus, un intervento di semplificazione che modifica il Regolamento (UE) 2024/1689, cioè l’AI Act. Il motivo era concreto: l’industria europea aveva segnalato che i requisiti per i sistemi ad alto rischio non erano applicabili nei tempi previsti, perché mancavano ancora standard tecnici e linee guida operative.
Il compromesso è questo: si rinviano gli obblighi più pesanti sull’alto rischio, ma resta ferma la data del 2 agosto 2026 per trasparenza, sanzioni e vigilanza. Tradotto: la parte che riguarda soprattutto i grandi operatori slitta, la parte che riguarda anche la PMI con un chatbot sul sito resta.
Cosa scatta davvero il 2 agosto 2026
Da quella data diventano pienamente operativi:
- L’impianto sanzionatorio. Le autorità nazionali di vigilanza acquisiscono pieni poteri e le multe diventano concretamente irrogabili.
- Gli obblighi di trasparenza dell’articolo 50, che toccano moltissime imprese anche piccole.
- La governance e gli obblighi sui modelli GPAI, i modelli di intelligenza artificiale per finalità generali.
- L’applicabilità generale del Regolamento in tutta l’Unione.
Se hai letto in giro che “il 2 agosto non cambia niente perché è tutto rinviato”, ti hanno informato male.
L’articolo 50: l’obbligo che tocca (quasi) tutti
È il punto più sottovalutato, perché non serve fare nulla di esotico per esserne coinvolti. Dal 2 agosto 2026:
- Chatbot e assistenti virtuali devono informare l’utente che sta interagendo con un sistema di intelligenza artificiale, salvo quando ciò sia evidente. Se hai una chat AI sul sito, ti riguarda.
- Deepfake e contenuti manipolati vanno dichiarati in modo chiaro e distinguibile, non oltre il primo momento di esposizione del pubblico.
- Riconoscimento delle emozioni e categorizzazione biometrica: le persone esposte al sistema vanno informate.
C’è una sola eccezione temporale: la marcatura tecnica machine-readable dei contenuti sintetici — il “watermark” leggibile dalle macchine, obbligo in capo ai fornitori — è stata spostata al 2 dicembre 2026 dal Digital Omnibus.
A supporto, la Commissione Europea ha pubblicato le linee guida sugli obblighi di trasparenza e un Codice di buone pratiche sui contenuti generati dall’intelligenza artificiale: sono oggi il riferimento pratico per capire come adempiere senza interpretazioni fantasiose.
Cosa è stato rinviato (e a quando)
- Sistemi ad alto rischio dell’Allegato III — selezione del personale, scoring creditizio, sanità, istruzione, infrastrutture critiche, giustizia, gestione migrazioni: dal 2 agosto 2026 al 2 dicembre 2027.
- Sistemi ad alto rischio integrati nei prodotti, Allegato I — dispositivi medici, macchinari, giocattoli, veicoli, ascensori: dal 2 agosto 2027 al 2 agosto 2028.
- Marcatura machine-readable dei contenuti sintetici: al 2 dicembre 2026.
Sono rinvii significativi, che danno respiro a chi sviluppa o impiega sistemi nelle aree più delicate. Ma vanno letti per quello che sono.
“Rinviato” non vuol dire “non devi fare niente”
È l’equivoco più costoso che vediamo in questo periodo. Per tre ragioni:
- Le sanzioni sono operative dal 2 agosto. Non su tutto, ma su ciò che è già applicabile: pratiche vietate, obblighi di trasparenza, obblighi sui modelli GPAI.
- Alcuni obblighi sono in vigore dal 2 febbraio 2025 e moltissime aziende non li hanno ancora applicati: i divieti sulle pratiche inaccettabili e, soprattutto, l’obbligo di alfabetizzazione sull’intelligenza artificiale.
- Il rinvio dell’alto rischio è una finestra, non un’assoluzione. Chi rientra nell’Allegato III ha guadagnato tempo per un lavoro che resta corposo: gestione del rischio, qualità dei dati, documentazione tecnica, tracciabilità, supervisione umana, valutazione di conformità. Iniziare adesso significa scegliere i propri tempi e i propri costi, invece di subirli a ridosso della scadenza.
L’obbligo che quasi nessuno ha applicato: l’AI literacy
L’articolo 4 dell’AI Act è in vigore dal 2 febbraio 2025 e chiede una cosa apparentemente semplice: chi impiega sistemi di intelligenza artificiale deve garantire un livello sufficiente di alfabetizzazione in materia di IA al personale che li utilizza.
Non è un adempimento formale da archiviare in un raccoglitore. Significa che le persone devono capire che cosa sta facendo lo strumento che hanno davanti, quali sono i suoi limiti, quali dati possono inserire e quali no, come riconoscere un output sbagliato. È anche la difesa più economica contro l’errore più diffuso in assoluto: incollare dati aziendali riservati dentro un chatbot pubblico.
È esattamente il tipo di percorso che costruiamo con la nostra formazione aziendale: non un seminario una tantum, ma un percorso documentato — perché in un’ispezione ciò che non è documentato, semplicemente, non esiste.
Le sanzioni: ordini di grandezza
- Fino a 35 milioni di euro o il 7% del fatturato annuo mondiale (si applica l’importo maggiore) per le pratiche vietate dall’articolo 5.
- Fino a 15 milioni di euro o il 3% del fatturato per la maggior parte delle altre violazioni.
- Importi ridotti per PMI e startup, ma tutt’altro che simbolici.
Sono ordini di grandezza paragonabili a quelli del GDPR e, in alcuni casi, superiori.
La checklist: cosa fare adesso
- Fai l’inventario dei sistemi di IA che usi. Non solo quelli “ufficiali”: conta gli assistenti usati dai singoli reparti, i plugin, le funzioni di intelligenza artificiale già dentro i gestionali. Non puoi mettere in regola ciò che non sai di avere.
- Sistema la trasparenza del chatbot. Se hai una chat AI sul sito o sui canali social deve dichiarare di essere un sistema di intelligenza artificiale: è una modifica di poche righe, con un impatto sanzionatorio sproporzionato se manca.
- Dichiara i contenuti generati con IA dove previsto, in particolare deepfake e contenuti manipolati.
- Avvia la formazione AI literacy e documentala: partecipanti, contenuti, date, verifica finale.
- Nomina un referente per la governance dell’IA e scrivi una policy interna d’uso: cosa si può fare, con quali strumenti, con quali dati.
- Guarda i fornitori. Se un software che usi incorpora intelligenza artificiale, chiedi la documentazione di conformità e inserisci clausole contrattuali su informazioni, incidenti e responsabilità.
- Se rientri nell’alto rischio, usa la finestra fino a dicembre 2027 per una gap analysis seria. Non è tempo regalato: è tempo per lavorare con ordine.
Domande frequenti
Il 2 agosto 2026 è stato rinviato?
No. Sono stati rinviati gli obblighi sui sistemi ad alto rischio. Per il 2 agosto 2026 restano confermati l’applicabilità generale del Regolamento, gli obblighi di trasparenza dell’articolo 50, la governance sui modelli GPAI e l’impianto sanzionatorio.
Ho solo un chatbot sul sito: sono coinvolto?
Sì. Dal 2 agosto 2026 un sistema che interagisce direttamente con le persone deve informarle che si tratta di intelligenza artificiale, salvo quando ciò sia già evidente dal contesto.
Quando si applicano gli obblighi sui sistemi ad alto rischio?
Dopo il Digital Omnibus: 2 dicembre 2027 per i sistemi autonomi dell’Allegato III e 2 agosto 2028 per quelli integrati in prodotti già regolamentati (Allegato I).
L’obbligo di formazione sull’intelligenza artificiale è già in vigore?
Sì, dal 2 febbraio 2025 (articolo 4). Riguarda tutto il personale che utilizza sistemi di IA e conviene documentarlo.
Quanto rischia concretamente un’azienda?
Fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate; fino a 15 milioni o il 3% per la maggior parte delle altre violazioni, con importi ridotti per PMI e startup.
Come possiamo aiutarti
In Mediaform accompagniamo aziende ed enti nella conformità all’AI Act con un percorso concreto: inventario e mappatura dei sistemi di IA già in uso, gap analysis, definizione della policy di governance, sistemazione degli obblighi di trasparenza (a partire dal chatbot) e formazione AI literacy documentata per il personale.
Lo facciamo con lo stesso approccio della nostra attività di consulenza in cybersecurity e data protection: prima si capisce cosa c’è davvero in azienda, poi si mette in sicurezza. Nessuna promessa magica, solo lavoro fatto bene.
Per il quadro completo di obblighi e sanzioni resta utile anche il nostro approfondimento sull’AI Act per le aziende italiane.
Vuoi capire in mezz’ora se sei in regola? Parliamone, senza impegno.
- Scrivici a assistenza@media-form.it
- Chiamaci o scrivici su WhatsApp allo 010 893 3172
- Scopri i nostri percorsi di formazione su IA e cybersecurity
Mediaform, da Genova dal 2001: software su misura, cybersecurity, reti e formazione.