EU AI Act: cosa cambia concretamente dal 2 agosto 2026

Prima solo un breve accenno al contesto per capire di cosa stiamo parlando.

Cos'è l'AI Act (in breve)

L'AI Act è il regolamento europeo che disciplina l'intelligenza artificiale. È il primo del suo genere al mondo ed è entrato formalmente in vigore nell'agosto 2024, ma si applica a scaglioni: le varie regole diventano operative in momenti diversi, distribuiti fino al 2027-2028.

Il principio è: non tutte le AI sono uguali, quindi non tutte vanno regolate allo stesso modo. Il regolamento divide i sistemi in quattro fasce, in base al rischio che comportano per le persone.

Rischio inaccettabile: vietato
Pratiche considerate incompatibili con i diritti fondamentali, sono semplicemente proibite:

• assegnare ai cittadini un "punteggio sociale" in base ai loro comportamenti
• usare tecniche subliminali o ingannevoli per orientare le scelte delle persone a loro danno
• dedurre lo stato emotivo dei dipendenti sul posto di lavoro
• identificare le persone tramite riconoscimento facciale in tempo reale negli spazi pubblici (salvo strette eccezioni)

Alto rischio: regolato in modo pesante.
Sistemi che incidono su decisioni importanti nella vita delle persone, quali:

• selezione del personale
• accesso al credito
• sanità
• istruzione
• infrastrutture critiche

Qui gli obblighi sono seri (documentazione, gestione del rischio, sorveglianza umana), ma riguardano una minoranza di aziende.

Rischio limitato: obblighi di trasparenza.
Nella pratica, è la situazione in cui ricade la stragrande maggioranza delle PMI e dei professionisti che usano:

• chatbot
• assistenti virtuali
• strumenti per generare testi e immagini.

Qui l'obbligo principale è la trasparenza: rendere riconoscibile agli utenti quando stanno interagendo con un sistema di intelligenza artificiale o quando un contenuto è stato generato dall'AI.

Rischio minimo: nessun obbligo.
Filtri antispam, videogiochi, la maggior parte delle automazioni interne. Nessun adempimento specifico.

Opinioni pro e contrarie: un freno all'innovazione o una tutela necessaria?

L'AI Act è oggetto di critiche serie, e non solo di comodo. La critica più forte è che regolare una tecnologia così giovane e versatile rischia di ingessarla. Chi sostiene questa critica osserva che gli obblighi allungano i tempi di lancio e alzano i costi, con lo svantaggio maggiore proprio per startup e piccole imprese, quelle che meno possono permettersi uffici legali dedicati. Il timore è che l'Europa finisca per avere accesso a soluzioni "seconde scelta", mentre l'innovazione vera si sviluppa altrove, dove le regole sono più leggere.

Dall'altra parte c'è un argomento altrettanto concreto: sistemi che decidono chi ottiene un prestito, chi viene assunto o come vengono gestite infrastrutture critiche non possono essere scatole nere senza regole, e un minimo di trasparenza e responsabilità tutela i cittadini da abusi e discriminazioni.

Puoi avere la tua opinione su quale delle due voci pesi di più, è un dibattito legittimo e aperto. Ma dal punto di vista di chi manda avanti o lavora in un'azienda, la domanda pratica è un'altra: la legge esiste, si applica, e non si può ignorarla. Quindi come continuo a usare l'AI in tranquillità? Proviamo a rispondere a questa domanda nel resto dell’articolo.

Dove serve davvero attenzione

Per la maggior parte delle aziende e professionisti gli adempimenti sono contenuti, ma due aspetti meritano cura: capire con precisione qual è il proprio ruolo di fronte alla legge, e sapere esattamente cosa scatta e quando. Sono i due punti su cui è più facile fare confusione, e sono proprio quelli che vediamo ora.

Una distinzione importante: Sei un "deployer" o un "provider"?

Il regolamento usa due parole che vale la pena imparare, perché stabiliscono quanti obblighi hai.

Il deployer (utilizzatore) è chi usa un sistema di AI nella propria attività. Se metti un chatbot sul sito, usi uno strumento che genera testi per il marketing o hai una funzione AI nel gestionale, sei un deployer. Gli obblighi qui sono leggeri.

Il provider (fornitore) è chi sviluppa un sistema di AI e lo immette sul mercato. Gli obblighi sono nettamente più pesanti.

Quasi tutte le aziende si collocano d'istinto tra i deployer. E spesso è corretto. Ma c'è una trappola da conoscere.

La distinzione non dipende da chi ha addestrato il modello. Se prendi un modello di terze parti (per intenderci, quelli dietro i più noti strumenti di AI), lo integri nel tuo prodotto, lo personalizzi e lo distribuisci con il tuo marchio, in diversi casi il regolamento ti considera provider. È esattamente ciò che succede quando una software house costruisce una funzione AI dentro un gestionale che poi vende, o quando un'azienda mette in commercio un assistente basato su servizi esterni.

Come fai a saperlo? Poniti tre domande: usi l'AI dentro la tua azienda o la vendi ai clienti? La distribuisci con il tuo nome sopra? La stai modificando in modo sostanziale? Se le tre risposte ti fanno sospettare di essere un provider, è il momento di sentire un consulente. Chiarire il ruolo prima di progettare una funzione AI costa molto meno che rincorrerlo dopo.

Cosa scatta davvero il 2 agosto 2026

Qui c'è stato parecchio rumore, perché a fine giugno 2026 è stato adottato il cosiddetto Digital Omnibus, e il messaggio arrivato al mercato è stato "hanno rinviato l'AI Act". In realtà non è proprio così: è slittata solo una parte precisa, il resto entra in vigore.

È stato rinviato il grosso degli obblighi sui sistemi ad alto rischio: quelli autonomi (credito, assicurazioni, infrastrutture, selezione del personale) al 2 dicembre 2027, quelli integrati in prodotti come dispositivi medici o macchinari al 2 agosto 2028.

Non è stato rinviato ciò che scatta il 2 agosto 2026: gli obblighi di trasparenza (l'articolo 50 del regolamento) e la piena operatività delle autorità di vigilanza, con il relativo apparato sanzionatorio. In Italia la vigilanza è affidata all'Agenzia per la Cybersicurezza Nazionale.

In pratica: le aziende toccate dalla parte rinviata sono relativamente poche e in genere già strutturate. Le aziende toccate dalla parte non rinviata sono quasi tutte quelle che hanno un chatbot o generano contenuti con l'AI. Cioè, probabilmente, anche la tua.

La lista pratica: cosa devi fare

La trasparenza si traduce in quattro situazioni concrete. In tutte, il principio è lo stesso: le persone hanno diritto di sapere quando stanno interagendo con un sistema di AI o guardando un contenuto che ha prodotto.

1. Dichiara i chatbot e gli assistenti. Se un utente interagisce con un sistema AI come chatbot di supporto, assistente virtuale, agente che risponde alle email, deve saperlo. Basta un avviso chiaro anche piccolo all'inizio dell'interazione
2. Etichetta i contenuti generati. Immagini, video, audio prodotti o modificati con l'AI vanno segnalati come tali. I deepfake in particolare vanno sempre dichiarati.
3. Segnala i testi pubblicati senza revisione umana. Se pubblichi automaticamente, senza un'effettiva revisione umana, testi generati dall'AI destinati a informare il pubblico su temi di interesse generale, il regolamento prevede specifici obblighi di trasparenza. Un punto importante è proprio la revisione umana: un testo generato dall'AI ma controllato, corretto e approvato da una persona non è trattato allo stesso modo di un contenuto pubblicato automaticamente.
4. Informa in caso di riconoscimento emozioni o categorizzazione biometrica. Meno comune, ma presente in alcune soluzioni di analytics e retail: se le usi, le persone vanno informate.

A queste si aggiungono due cose spesso dimenticate, ma già in vigore da tempo: l'alfabetizzazione AI del personale (tu e il team dovete avere una competenza di base sui sistemi che usate) e il rispetto dei divieti assoluti visti sopra.

C'è infine una scadenza da segnare in agenda: il 2 dicembre 2026 entra l'obbligo di etichettatura leggibile dalle macchine (una sorta di watermark nei metadati del file) per i contenuti generati dai sistemi già sul mercato. È un requisito tecnico: l'etichetta visibile non basta, il marcatore deve stare dentro il file.

La cosa positiva, come nota chi questi sistemi li costruisce, è che quasi tutti questi interventi si risolvono con facili modifiche dentro al prodotto, non producendo faldoni: un piccolo avviso nell'interfaccia, un'etichetta, un punto in cui una persona approva prima della pubblicazione, un log delle decisioni. Sono cose che, sapendo dove mettere le mani, si sistemano in poco tempo.

E gli agenti AI?

Gli agenti AI (sistemi che non si limitano a rispondere o generare testo, ma ricevono un obiettivo, completano dei task in autonomia usando anche strumenti esterni, ad esempio:) meritano un discorso a parte, perché sempre più aziende li stanno adottando.

L'AI Act non li nomina esplicitamente, ma la definizione di "sistema di AI" è abbastanza ampia da comprenderli, e la Commissione lo ha confermato. La cosa importante da capire è questa: il livello di rischio dipende da cosa fa l'agente, non dal fatto che sia autonomo.

Un agente che gestisce un flusso di lavoro interno(smista ticket, riconcilia fatture, prepara report o coordina attività) nella maggior parte dei casi non rientra tra i sistemi ad alto rischio: continueranno quindi ad applicarsi soprattutto gli obblighi di trasparenza. Lo stesso agente diventa ad alto rischio nel momento in cui la sua azione tocca decisioni sensibili sulle persone: filtrare candidature, valutare l'affidabilità creditizia, gestire l'accesso a servizi essenziali. La regola pratica: se agisce su dati e processi è generalmente rischio limitato; se agisce su decisioni che riguardano le persone (lavoro, credito, diritti, sicurezza) è quasi certamente alto rischio.

Se costruisci o usi agenti, tre accortezze ti mettono al riparo. Tieni un umano nel circuito per le decisioni che contano: l'agente può lavorare da solo sulle cose a basso impatto, ma le scelte importanti devono poter essere riviste e fermate da una persona. Tieni traccia di cosa fa con log che permettano di ricostruire perché è arrivato a una certa decisione. E se usi un agente sviluppato da terzi in un contesto delicato, fatti dare istruzioni chiare dal fornitore su cosa il sistema sa e non sa fare.

Un'ultima nota utile: una semplice automazione a regole fisse, che esegue sempre gli stessi passaggi senza adattarsi, di norma non rientra nemmeno nella definizione di sistema di AI. La linea di confine è la capacità di adattarsi e scegliere, non il semplice fatto di essere automatizzato.

Checklist finale

Per la maggior parte delle aziende il percorso può essere molto semplice:

• Mappa dove hai l'AI nei tuoi sistemi, incluso il chatbot installato due anni fa e il plugin di generazione del CMS. La mappa reale è quasi sempre più ampia di quella percepita.
• Chiarisci il tuo ruolo (deployer o provider, vedi sopra) per ciascun sistema. Nei dubbi, senti un consulente.
• Chiudi i gap di trasparenza: avviso sui chatbot, etichetta sui contenuti generati, indicazione sui testi pubblicati senza revisione.
• Verifica i log: se domani dovessi spiegare come un sistema è arrivato a una decisione, ci riusciresti?
• Forma il team sull'uso dell'AI: è l'obbligo che si dimentica più spesso.
• Segna il 2 dicembre 2026 per l'etichettatura leggibile dalle macchine.

La compliance costa molto meno quando la incorpori nella progettazione invece di rincorrerla dopo una segnalazione. E per un'azienda che usa l'AI in modo trasparente e sensato, questo insieme di regole si traduce in poche modifiche ben fatte.

*

*

*

Questo articolo ha finalità informative e non costituisce un parere legale. Per la classificazione del rischio dei tuoi sistemi specifici e per casi che sfiorano l'area ad alto rischio, rivolgiti a un consulente specializzato. Le scadenze citate sono aggiornate a metà 2026 e possono essere ulteriormente modificate: verifica sempre lo stato più recente della normativa.