Il 2 agosto 2026 è la data che segna il passaggio dell'AI Act dalla teoria alla pratica: diventano applicabili gli obblighi di trasparenza e l'intero impianto sanzionatorio, con le autorità nazionali dotate di pieni poteri di controllo. Molte piccole e medie imprese sono convinte che il regolamento europeo sull'intelligenza artificiale riguardi solo le big tech, ma basta un chatbot sul sito aziendale, un'immagine generata con l'IA in una campagna marketing o un software di screening dei curriculum per rientrare nel perimetro. Vediamo cosa scatta davvero, cosa è stato rinviato e da dove cominciare.
Cosa scatta il 2 agosto 2026 (e cosa è stato rinviato)
L'AI Act è in vigore dall'agosto 2024, ma con un'applicazione graduale. Dopo i divieti sulle pratiche inaccettabili e le regole sui modelli di IA per finalità generali, il 2 agosto 2026 arriva lo scaglione più rilevante per le imprese: diventano applicabili gli obblighi di trasparenza previsti dall'articolo 50 e diventa pienamente operativa la governance nazionale, con il relativo regime sanzionatorio.
Attenzione però a un cambiamento recente che ha generato non poca confusione: il pacchetto europeo di semplificazione noto come Digital Omnibus, adottato nei mesi scorsi, ha rinviato gli obblighi sui sistemi ad alto rischio. Come riportano le analisi di settore pubblicate a luglio 2026, i requisiti per i sistemi autonomi ad alto rischio (selezione del personale, istruzione, biometria, infrastrutture critiche, accesso a servizi essenziali) si applicheranno dal 2 dicembre 2027, mentre per i sistemi incorporati in prodotti con marcatura CE, come dispositivi medici e macchinari industriali, la scadenza slitta al 2 agosto 2028. Gli obblighi di trasparenza, invece, non sono stati prorogati: la data del 2 agosto 2026 resta confermata.
Trasparenza: quattro obblighi che toccano anche le PMI
L'articolo 50 dell'AI Act individua quattro situazioni in cui l'intelligenza artificiale deve, letteralmente, "presentarsi". Sono casi molto più comuni di quanto si pensi:
- Chatbot e assistenti virtuali: chi mette a disposizione di clienti e utenti un sistema di IA con cui si interagisce direttamente deve informare le persone che stanno dialogando con una macchina, salvo che sia evidente dal contesto.
- Sistemi biometrici: le persone esposte a sistemi di riconoscimento delle emozioni o di categorizzazione biometrica devono esserne informate.
- Contenuti sintetici e deepfake: immagini, audio e video generati o manipolati con l'IA devono essere chiaramente riconoscibili come artificiali. Vale anche per le creatività pubblicitarie e i contenuti social prodotti con strumenti generativi.
- Testi destinati a informare il pubblico: gli articoli e i testi generati con l'IA su questioni di interesse pubblico vanno segnalati quando manca una revisione umana effettiva o una responsabilità editoriale.
C'è poi un obbligo specifico per chi fornisce sistemi di IA generativa: gli output devono essere marcati in un formato leggibile dalle macchine, che ne renda riconoscibile l'origine artificiale. Per i sistemi già sul mercato è previsto un periodo di adeguamento fino al 2 dicembre 2026.
Sanzioni e controlli: chi vigila in Italia
Dal 2 agosto 2026 l'impianto sanzionatorio dell'AI Act diventa pienamente operativo. I massimali sono importanti: fino a 35 milioni di euro o il 7% del fatturato globale annuo per le pratiche vietate, fino a 15 milioni o il 3% per le altre violazioni degli obblighi del regolamento e fino a 7,5 milioni o l'1,5% per informazioni false o incomplete fornite alle autorità. Per PMI e startup è previsto un correttivo: tra l'importo fisso e la percentuale sul fatturato si applica il valore più basso.
Sul fronte italiano il quadro è già definito dalla legge 132/2025, in vigore dal 10 ottobre 2025: l'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità di vigilanza del mercato, con poteri di ispezione, accertamento e sanzione, mentre AgID è l'autorità di notifica, competente anche per le sandbox regolatorie a supporto delle imprese. La stessa legge ha introdotto nuove fattispecie di reato per l'uso fraudolento dell'intelligenza artificiale.
Le PMI italiane sono in ritardo
I numeri raccontano un tessuto produttivo impreparato. Secondo una nota diffusa da Confindustria a febbraio 2026, oltre il 60% delle PMI italiane che utilizzano regolarmente strumenti di IA generativa non ha ancora avviato alcun processo strutturato di adeguamento. Il motivo è quasi sempre un errore di prospettiva: si pensa che l'AI Act riguardi chi sviluppa l'intelligenza artificiale, non chi la usa. In realtà il regolamento si applica anche ai "deployer", cioè alle aziende che impiegano sistemi di IA nella propria attività: il chatbot di assistenza clienti sul sito, le immagini generate per il catalogo, il tool che pre-seleziona i candidati.
C'è anche una questione di tempi tecnici: gli esperti di compliance stimano in quattro-sei mesi il percorso di adeguamento documentale per una PMI media. Chi parte oggi non arriverà perfettamente pronto alla scadenza, ma potrà dimostrare di aver avviato un percorso serio, un elemento che le autorità valutano quando graduano le sanzioni.
Da dove cominciare: una roadmap in cinque passi
Per una PMI il percorso di conformità non richiede strutture complesse, ma metodo. Le azioni prioritarie sono:
- Censire gli strumenti di IA in uso, compresa la cosiddetta "shadow AI": gli strumenti che i dipendenti utilizzano di propria iniziativa, spesso con account personali, sono i più rischiosi perché sfuggono a ogni controllo.
- Classificare i sistemi per livello di rischio secondo le categorie del regolamento (inaccettabile, alto, limitato, minimo), verificando modalità d'uso e dati trattati.
- Adeguare informative e interfacce: disclosure sui chatbot, etichettatura dei contenuti generati, informative per i sistemi biometrici eventualmente presenti.
- Adottare una policy aziendale sull'IA e formare il personale: la policy deve indicare gli strumenti autorizzati, i dati che non vanno mai inseriti nei sistemi (dati personali e sanitari, contratti riservati, credenziali, documentazione proprietaria) e i casi in cui è obbligatoria la revisione umana, ad esempio per documenti destinati a terzi o decisioni che incidono sulle persone. La formazione va documentata.
- Tracciare tutto il percorso: registri, verbali di formazione, valutazioni svolte. In caso di controllo, la documentazione è ciò che dimostra la diligenza dell'azienda.
Il valore di un partner IT specializzato
L'adeguamento all'AI Act intreccia competenze normative, tecnologiche e organizzative: mappare i sistemi, valutarne il rischio, configurare correttamente gli strumenti e proteggere i dati che li alimentano non è un lavoro da improvvisare, soprattutto in una PMI dove le risorse IT interne sono limitate. Affidarsi a un partner IT specializzato, che conosca sia le soluzioni di intelligenza artificiale sia i requisiti di sicurezza e compliance, permette di trasformare una scadenza normativa in un'occasione per usare l'IA in modo più consapevole, sicuro e produttivo.