EU AI Act, 2 agosto 2026: cosa scatta davvero e cosa è slittato

"Dal 2 agosto 2026 scatta l'AI Act" è la frase che leggi ovunque, ed è imprecisa al punto da essere pericolosa per chi la prende come guida operativa. Quel giorno non scatta tutto, e soprattutto non scatta la parte che la maggior parte degli articoli dà per certa: gli obblighi per i sistemi ad alto rischio. La realtà è un quadro a due binari, dove alcune cose entrano in vigore con certezza e altre dipendono da un atto, il Digital Omnibus, che alla redazione di questo articolo è ancora un accordo politico provvisorio, non diritto pubblicato. In un progetto di adeguamento normativo per una PMI, distinguere ciò che è legge da ciò che è un'intenzione di legge è la differenza tra preparare l'azienda alla scadenza giusta e sprecare budget su una scadenza che è stata spostata, o peggio, dare per spostata una scadenza che invece tiene. In questo articolo metto ordine: cosa scatta davvero il 2 agosto 2026, cosa è rinviato e con quale stato giuridico, e cosa un decisore deve fare adesso.

Cosa scatta davvero il 2 agosto 2026?

Scatta l'applicabilità generale del regolamento, la trasparenza dell'articolo 50 e i poteri sanzionatori della Commissione sui modelli di uso generale, e nessuna di queste cose è toccata dal rinvio. Sono il binario "vigente", quello che entra in vigore con certezza indipendentemente dall'esito del Digital Omnibus. Vediamole con precisione.

Il primo blocco è l'applicabilità generale del Regolamento (UE) 2024/1689: il regolamento diventa pienamente applicabile, e l'impianto sanzionatorio nazionale diventa operativo. Il secondo è la trasparenza dell'articolo 50: i chatbot devono dichiararsi come AI, i contenuti sintetici vanno etichettati. Questo obbligo riguarda da vicino qualunque azienda che usi un assistente conversazionale o generi contenuti con l'AI, ed è in vigore dal 2 agosto 2026 per i deployer, cioè per chi quei sistemi li usa professionalmente. Il terzo è l'enforcement sui GPAI: i poteri della Commissione, tramite l'AI Office, sui provider di modelli di uso generale, con sanzioni fino al 3% del fatturato mondiale. Da notare che gli obblighi sostanziali per i provider GPAI non nascono ora, sono in vigore dal 2 agosto 2025: quello che si attiva nel 2026 è la macchina sanzionatoria della Commissione.

Per contestualizzare, vale la pena ricordare cosa è già diritto applicabile oggi, perché molti se ne dimenticano: l'AI Act è entrato in vigore il 1 agosto 2024; dal 2 febbraio 2025 sono operativi i divieti dell'articolo 5 (le pratiche proibite, come il social scoring o l'inferenza emotiva sul posto di lavoro) e l'obbligo di alfabetizzazione AI dell'articolo 4; dal 2 agosto 2025 valgono gli obblighi per i provider GPAI. Il 2 agosto 2026, quindi, non è un punto di partenza: è una tappa di un calendario già in corso. I testi e le date ufficiali sono nel Regolamento (UE) 2024/1689 su EUR-Lex.

Cosa è stato rinviato, e perché "rinviato" è una parola da maneggiare con cura?

È stato rinviato l'alto rischio, ma il rinvio è un accordo provvisorio che diventa vincolante solo quando viene pubblicato in Gazzetta Ufficiale UE, e finché non lo è, la data originale resta legalmente in piedi. Questo è il punto più frainteso dell'intera materia, e sbagliarlo in un documento di compliance è l'errore più costoso che si possa fare. Il Digital Omnibus, l'accordo provvisorio raggiunto il 7 maggio 2026 tra Consiglio e Parlamento europeo (comunicato del Consiglio), sposta in avanti le scadenze per i sistemi ad alto rischio: l'alto rischio dell'Annex III (biometria, infrastrutture critiche, istruzione, lavoro, servizi essenziali, giustizia) passa dal 2 agosto 2026 al 2 dicembre 2027; l'alto rischio dell'Annex I (AI embedded in prodotti già regolati) dal 2 agosto 2027 al 2 agosto 2028.

Ma, e qui sta la cautela, un accordo provvisorio non è diritto vigente. Il voto finale del Parlamento è atteso intorno all'inizio di luglio 2026, l'adozione formale è prevista prima del 2 agosto, e le modifiche entrano in vigore solo pochi giorni dopo la pubblicazione in Gazzetta Ufficiale. Finché quella pubblicazione non avviene, il 2 agosto 2026 resta giuridicamente una data di scadenza viva anche per l'alto rischio. Questo significa che il claim "dal 2 agosto 2026 scattano gli obblighi high-risk" è falso se l'Omnibus viene pubblicato in tempo, ma darlo per rinviato prima della pubblicazione è prematuro. La formulazione corretta, e l'unica difendibile in un parere, è il doppio binario con lo stato: in vigore con certezza il primo binario, atteso ma non ancora pubblicato il rinvio del secondo. Chi scrive un documento di compliance prima della pubblicazione deve dare entrambi, qualificati.

In compliance, una data senza il suo stato giuridico è disinformazione, non semplificazione. "Il 2 agosto 2026 scatta l'alto rischio" e "l'alto rischio è rinviato al 2027" sono entrambe sbagliate finché il Digital Omnibus non è in Gazzetta Ufficiale: la verità è che dipende da un atto non ancora pubblicato, e va detto così.

Se stai cercando di capire a quale scadenza la tua azienda è davvero soggetta, e con quale margine, nel mio profilo professionale trovi l'esperienza concreta su adeguamenti normativi e sicurezza per le PMI, dove la prima cosa che faccio è separare gli obblighi vigenti dalle intenzioni regolatorie.

Perché il dicembre 2027 non è un pulsante snooze?

Perché il rinvio sposta la scadenza, non smonta l'obbligo, e contiene un meccanismo che può anticiparla. È l'errore strategico opposto a quello di chi si fa prendere dal panico: trattare il dicembre 2027 come un permesso per non pensarci. Tre ragioni per cui sarebbe un errore. La prima: il dicembre 2027 è un limite esterno, non una garanzia. L'accordo prevede che la Commissione possa anticipare la scadenza a sei mesi dopo aver formalmente concluso che gli standard e gli strumenti di conformità necessari sono pronti. Se quegli standard arrivano prima, la finestra si stringe.

La seconda: l'architettura dell'AI Act resta intatta. Il Digital Omnibus è una semplificazione e un rinvio mirato di alcune scadenze, non uno smantellamento: l'approccio basato sul rischio, la struttura di governance e gli obblighi fondamentali restano quelli. Chi pensa che il rinvio significhi "l'Europa ha fatto marcia indietro sull'AI" ha letto male. La terza: preparare un sistema ad alto rischio alla conformità richiede tempo, e sedici mesi in più non sono un eccesso, sono il minimo per fare le cose bene. Un'azienda che integra un sistema potenzialmente high-risk e aspetta il 2027 per iniziare la valutazione di conformità si troverà a fare di corsa proprio il lavoro che la proroga voleva permettere di fare con calma.

C'è poi un dettaglio che il rinvio non tocca e che va segnato: la trasparenza. Il watermarking dell'articolo 50(2) per i sistemi precedenti ad agosto 2026 slitta al 2 dicembre 2026, ma tutti gli altri obblighi di trasparenza, inclusi quelli per i deployer, restano al 2 agosto 2026. Il rinvio dell'alto rischio non è un rinvio della trasparenza.

Quanto si rischia, in concreto?

Si rischia in proporzione al fatturato mondiale, e le fasce dicono chiaramente quali violazioni l'Europa considera più gravi. Il quadro sanzionatorio dell'AI Act è strutturato per tier, e conoscerlo aiuta a capire dove conviene investire prima. La fascia più alta colpisce le pratiche proibite dell'articolo 5: fino a 35 milioni di euro o il 7% del fatturato mondiale, l'importo maggiore. Sono i divieti già in vigore dal febbraio 2025, ed è esattamente sotto questa cornice che il Garante italiano ha bloccato il monitoraggio emotivo dei lavoratori. Violare un divieto non è una questione di scadenze future: è sanzionabile adesso.

La fascia intermedia copre gli obblighi sui sistemi ad alto rischio e gli altri obblighi: fino a 15 milioni di euro o il 3% del fatturato. Le informazioni scorrette fornite alle autorità costano fino a 7,5 milioni o l'1%. E per i provider di modelli di uso generale, la Commissione può sanzionare fino al 3% del fatturato mondiale o 15 milioni, con i poteri che diventano operativi proprio il 2 agosto 2026. La lettura strategica è che le sanzioni più pesanti sono legate ai divieti, che sono già legge, non agli obblighi high-risk, che sono rinviati: un'azienda che oggi si preoccupa solo dell'alto rischio sta guardando la scadenza meno urgente e ignorando quella già scattata.

Cosa deve fare adesso una PMI italiana?

Deve capire in quale ruolo si trova, e per la stragrande maggioranza delle PMI quel ruolo non è quello che fa scattare gli obblighi pesanti. Il caso tipico di una PMI italiana è il deployer che integra un modello di uso generale via API: usa l'AI, non la sviluppa né la immette sul mercato. Per un deployer in questo scenario, gli obblighi correnti sono tre, e nessuno dei tre è l'alto rischio: l'alfabetizzazione AI del personale, la trasparenza dell'articolo 50 verso gli utenti, e la conformità GDPR sul trattamento dei dati. Questi valgono adesso, sono gestibili, e sono ciò su cui concentrare l'energia, invece di farsi spaventare da obblighi high-risk che, nella maggior parte dei casi, non si applicano.

In pratica, questo si traduce in azioni concrete e non costose. L'alfabetizzazione AI non è un corso universitario: è assicurarsi che chi usa gli strumenti capisca cosa stanno facendo, dove sbagliano e quali dati è lecito dare loro in pasto. La trasparenza dell'articolo 50 spesso si risolve con una riga onesta nell'interfaccia ("questa risposta è generata da un'AI") e con l'etichettatura dei contenuti sintetici. La conformità GDPR è il vero lavoro sostanziale, perché un deployer che manda dati personali a un modello deve avere una base giuridica, una valutazione d'impatto dove serve, e la garanzia che quei dati siano trattati in modo conforme. È qui che il discorso sull'AI Act si salda con quello sulla sovranità del dato, e dove un'analisi seria fa la differenza tra un adempimento formale e una protezione reale.

Sul fronte italiano, il quadro di enforcement si sta definendo con la legge quadro L. 132/2025 (attenzione all'errore frequente: è la 132 del 2025, non del 2024). Le autorità si dividono i ruoli: AgID come autorità di notifica e per le sandbox regolatorie, l'Agenzia per la Cybersicurezza Nazionale per la vigilanza di mercato e il potere sanzionatorio, con Banca d'Italia, CONSOB e IVASS sulle rispettive competenze settoriali e il Garante Privacy su biometria, giustizia e frontiere. Che le autorità facciano sul serio lo dimostra un fatto concreto: con il provvedimento n. 342 del 14 maggio 2026 il Garante ha bloccato un sistema di monitoraggio emotivo e dello stress dei lavoratori basato su AI, richiamando proprio il divieto dell'articolo 5. Non è teoria: è il primo intervento del 2026 sull'AI aziendale, e dice che i divieti già in vigore vengono applicati.

C'è infine un angolo che quasi nessuno in Italia sta raccontando, ed è il più rilevante operativamente: la doppia scadenza dell'autunno 2026. Mentre il 2 agosto attiva l'enforcement GPAI dell'AI Act, il 31 ottobre 2026 scadono le misure di sicurezza di base della NIS2, e l'ACN si trova nel doppio ruolo di autorità NIS2 e di vigilanza sull'AI Act. Per una PMI in perimetro NIS2 che usa anche l'AI, i due adempimenti convergono nello stesso autunno e davanti alla stessa autorità. Ne ho scritto in dettaglio nella guida alla compliance NIS2 su server Hetzner e OVH, e il punto è che trattarli come due progetti separati è uno spreco: molte delle misure organizzative e tecniche che la NIS2 richiede, dalla gestione degli accessi alla tracciabilità delle operazioni, coprono anche le esigenze di documentazione che l'AI Act impone, e la sovrapposizione si gestisce con un piano solo invece che con due iniziative scollegate che si pestano i piedi.

Il messaggio da portare a casa è che la compliance all'AI Act non è un muro che cade tutto in una data, è un calendario a fasi con stati giuridici diversi, e la competenza sta nel leggerlo per quello che è. Il 2 agosto 2026 porta obblighi reali e immediati, la trasparenza e l'enforcement GPAI, che vanno affrontati adesso; l'alto rischio è quasi certamente rinviato, ma con un atto che va verificato pubblicato prima di darlo per fatto; e il dicembre 2027 non è un rinvio a non pensarci, è il tempo per prepararsi a un obbligo che resta. Per una PMI, la mossa giusta non è il panico né l'attesa, è capire il proprio ruolo e adempiere a ciò che è già legge, mentre si pianifica con calma ciò che lo diventerà. Se vuoi una mappa chiara di quali scadenze toccano davvero la tua azienda, distinguendo gli obblighi vigenti dalle intenzioni regolatorie e dalla sovrapposizione con la NIS2, contattami per una consulenza diretta: partiamo da cosa fai con l'AI, non da cosa fa paura leggere nei titoli.