AI Act 2026: Scadenza 2 Agosto, Cosa Cambia per Utenti e Imprese in Italia

L’AI Act 2026 entra nella sua fase più importante il 2 agosto: dopo le norme su pratiche vietate (febbraio 2025) e governance (agosto 2025), tocca agli obblighi sui modelli di intelligenza artificiale generale (GPAI) e a gran parte delle disposizioni sui sistemi ad alto rischio. Per le imprese italiane che utilizzano o sviluppano soluzioni AI, questa data segna il passaggio dall’anteprima normativa alla compliance obbligatoria — con sanzioni fino al 7% del fatturato globale per chi non si adegua.

L’AI Act 2026 — Regolamento (UE) 2024/1689 — è la prima normativa al mondo che disciplina in modo organico lo sviluppo, l’immissione sul mercato e l’uso dei sistemi di intelligenza artificiale. Approvato dal Parlamento Europeo nel marzo 2024 ed entrato in vigore il 1° agosto 2024, applica un approccio basato sul rischio: vieta alcune pratiche, regola strettamente i sistemi ad alto rischio, impone obblighi di trasparenza per quelli a rischio limitato, lascia liberi i sistemi a rischio minimo. La sua applicazione è scaglionata in quattro fasi, e il 2 agosto 2026 è quella più impattante per imprese e mercato.

Per inquadrare l’AI Act 2026 nel contesto italiano, vale la pena leggerlo insieme alla nostra analisi sulle imprese italiane e l’IA: oltre il 38% delle aziende sopra i 10 dipendenti ha adottato almeno una soluzione AI nei processi aziendali, ma solo il 15% ha già una governance AI documentata. Per chi sta valutando come integrare l’automazione nei flussi di lavoro, è utile anche la nostra guida sugli agenti AI per le aziende italiane. La compliance al regolamento europeo è destinata a essere una sfida significativa per il sistema produttivo nazionale, soprattutto per le PMI.

Una premessa: l’AI Act 2026 non riguarda solo le grandi tech statunitensi o cinesi. Anche un’azienda italiana che integra ChatGPT in un proprio servizio, che utilizza algoritmi di selezione del personale, che impiega sistemi di riconoscimento documentale o credit scoring automatizzato, ricade nel suo perimetro applicativo. Capire dove si è collocati nello spettro del rischio è il primo passo della compliance.

---

AI Act 2026: le scadenze chiave

Il calendario di applicazione dell’AI Act 2026 è scaglionato in quattro fasi. La prima fase è entrata in vigore il 2 febbraio 2025 e ha riguardato i divieti assoluti: sono vietati i sistemi di social scoring* dei cittadini, i sistemi di riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole, i sistemi di identificazione biometrica in tempo reale negli spazi pubblici (salvo eccezioni stringenti per la sicurezza nazionale), i sistemi di estrazione massiva di immagini facciali da Internet o videocamere di sorveglianza, i sistemi di alfabetizzazione AI dei dipendenti.

La seconda fase, dell’agosto 2025, ha introdotto la governance: nomina degli organismi di controllo nazionali (in Italia AgID e Agenzia per la Cybersicurezza Nazionale), istituzione dell’AI Office europeo, primi obblighi per i fornitori di GPAI* (general purpose AI). La terza fase è la più importante e parte il 2 agosto 2026: obblighi pieni per i fornitori di GPAI (compresi modelli come GPT, Gemini, Claude, Llama), obblighi di trasparenza per sistemi che generano contenuti sintetici (deepfake e simili), obblighi per i sistemi ad alto rischio già sul mercato di adeguarsi entro 24 mesi. La quarta e ultima fase, dell’agosto 2027, riguarderà alcuni settori specifici (componenti di sicurezza di prodotti regolamentati come dispositivi medici, veicoli, ascensori) con due anni di transizione aggiuntivi.

«L’AI Act 2026 è il regolamento più ambizioso mai concepito sull’intelligenza artificiale, e probabilmente il modello che gli altri continenti seguiranno. La sfida per le imprese europee è trasformare un onere normativo in un vantaggio competitivo di trustworthy AI.»

— Avv. Massimiliano Nicotra, esperto di diritto delle nuove tecnologie, Università LUISS, 2026

---

Cosa cambia il 2 agosto 2026

Il 2 agosto 2026 è la data cardine dell’AI Act 2026 perché diventano pienamente applicabili gli obblighi per i fornitori di modelli di intelligenza artificiale ad uso generale (GPAI) — categoria che comprende i grandi modelli linguistici come GPT-5 di OpenAI, Gemini di Google, Claude di Anthropic, Llama di Meta, Mistral. Questi fornitori dovranno: documentare e rendere disponibile la tecnical documentation del modello (architettura, dati di training, processo di valutazione), fornire un sintetico riepilogo dei dati di training, rispettare la normativa europea sul copyright (con un sistema di opt-out per gli editori), pubblicare un copyright policy.

Per i GPAI considerati a “rischio sistemico” (sostanzialmente, modelli con potenza di calcolo addestramento superiore a 10^25 FLOPs — soglia che oggi viene superata da GPT-4, Gemini Ultra, Claude Opus, Grok 4) sono previsti obblighi rafforzati nell’AI Act 2026: valutazione di sicurezza con red teaming, monitoraggio degli incidenti gravi, cybersecurity dei modelli e degli endpoint, valutazione e mitigazione dei rischi sistemici. Sul fronte dei deepfake e dei contenuti sintetici, dal 2 agosto 2026 chiunque generi pubblicamente immagini, video o audio sintetici deve etichettarli in modo machine-readable. Le piattaforme social hanno l’obbligo di amplificare questa etichettatura e renderla visibile agli utenti finali. Le sanzioni per le violazioni dell’AI Act 2026 sono pesanti: fino a 35 milioni di euro o al 7% del fatturato globale annuo per le pratiche vietate; fino a 15 milioni o al 3% del fatturato per altre violazioni. L’enforcement è coordinato a livello UE dall’AI Office, con autorità nazionali competenti per le sanzioni.

---

Sistemi ad alto rischio: obblighi per imprese italiane

I sistemi ad alto rischio sono il cuore dell’AI Act 2026 e quelli che riguardano direttamente la maggior parte delle imprese italiane. Sono classificati come “ad alto rischio” i sistemi AI utilizzati in otto aree: identificazione biometrica e categorizzazione, gestione di infrastrutture critiche, istruzione e formazione professionale, occupazione e gestione del personale, accesso a servizi essenziali (welfare, credito), forze dell’ordine, immigrazione e controllo frontiere, amministrazione della giustizia e processi democratici. Concretamente: un algoritmo di screening dei curriculum, un sistema di credit scoring* automatizzato per concedere prestiti, un sistema di sorveglianza biometrica all’ingresso di un’azienda, un AI di supporto al giudice nelle valutazioni di pena.

Gli obblighi per chi sviluppa o utilizza sistemi ad alto rischio nell’AI Act 2026 sono articolati: implementare un sistema di gestione del rischio durante tutto il ciclo di vita; assicurare qualità dei dati di training, validazione e test (rappresentatività, assenza di bias sistematici); produrre documentazione tecnica completa e mantenere log dettagliati; garantire trasparenza ai deployer (chi utilizza il sistema); mantenere supervisione umana significativa; assicurare accuracy, robustness e cybersecurity; effettuare la valutazione di conformità prima dell’immissione sul mercato. Per le imprese italiane, la prima azione operativa è completare un AI inventory aziendale — mappare tutti i sistemi AI utilizzati e classificarli per livello di rischio — entro l’estate 2026. AgID ha pubblicato linee guida operative semplificate per le PMI, scaricabili gratuitamente dal sito istituzionale. Il rischio per chi non si attrezza è duplice: sanzioni amministrative pesanti, ma anche esclusione dalle filiere di clienti enterprise che pretenderanno compliance documentata dai propri fornitori. Sul piano degli incentivi, vale la pena leggere anche la nostra guida all’iperammortamento AI 2026 per le imprese, che può sostenere economicamente gli investimenti in conformità.

«Le PMI italiane hanno una finestra di sei mesi per mettersi in regola con l’AI Act 2026. Aspettare l’autunno significa rischiare di restare tagliati fuori da gare pubbliche e contratti enterprise dove la AI compliance è già diventata requisito.»

— Carlo Privitera, presidente Anorc Professioni, associazione professionisti digitali, 2026

---

Cosa cambia per gli utenti finali

Per gli utenti finali, l’AI Act 2026 introduce alcuni diritti fondamentali. Il primo è il diritto a sapere: quando si interagisce con un chatbot o un sistema AI, dev’essere chiaro che si sta dialogando con una macchina. Le immagini, i video e gli audio generati artificialmente devono essere etichettati come tali. Su piattaforme social e siti di informazione i deepfake non dichiarati sono considerati una violazione e possono comportare la rimozione del contenuto e sanzioni alla piattaforma.

Il secondo diritto previsto dall’AI Act 2026 è quello a non essere oggetto di decisioni completamente automatizzate in alcuni ambiti (selezione del personale, accesso al credito, sussidi pubblici). In questi casi, deve sempre essere previsto un controllo umano significativo, e l’utente ha il diritto di ricevere spiegazioni sulla decisione e di chiedere il riesame. Il terzo diritto è quello a presentare reclami alle autorità competenti — in Italia AgID — quando si ritiene di essere stati danneggiati da un sistema AI ad alto rischio non conforme. Le piattaforme che usano AI generativa per i contenuti (Google Bard/Gemini, ChatGPT, Copilot) dovranno fornire trasparenza sui dati di training utilizzati, consentire l’opt-out dei creatori di contenuti dall’inclusione nei training futuri, e ridurre l’esposizione degli utenti a contenuti AI di scarsa qualità o falsi (le cosiddette “hallucination*” dei modelli linguistici). Per chi utilizza ChatGPT, Gemini, Claude e simili nelle proprie attività professionali — dai commercialisti agli avvocati — l’AI Act 2026 richiede inoltre obblighi di alfabetizzazione AI: assicurarsi che chi opera abbia formazione adeguata sulle capacità e limiti del modello utilizzato. Sul tema dei contenuti sintetici e dei rischi per i cittadini, è utile la nostra guida alle truffe deepfake su WhatsApp in Italia.

---

Glossario AI Act

* Social scoring

Sistema che assegna a una persona un punteggio di “credibilità sociale” basato su comportamenti reali o presunti, e che condiziona l’accesso a servizi o opportunità. È vietato dall’AI Act 2026 dal 2 febbraio 2025.

* GPAI

General Purpose AI: modelli di intelligenza artificiale ad uso generale, addestrati su grandi quantità di dati, capaci di svolgere una vasta gamma di compiti. Comprende GPT, Gemini, Claude, Llama. Soggetti a obblighi specifici dal 2 agosto 2026.

* Credit scoring

Algoritmo che assegna un punteggio di affidabilità creditizia a una persona o impresa, utilizzato dalle banche per concedere prestiti, mutui e fidi. Considerato sistema ad alto rischio dall’AI Act 2026.

* Hallucination

Tendenza dei modelli linguistici a generare contenuti apparentemente coerenti ma fattualmente errati o inventati. Limite tecnico ancora aperto, che richiede controllo umano significativo nei contesti professionali.

---

Domande frequenti sull’AI Act 2026

La mia azienda usa ChatGPT, devo fare qualcosa?

Sì. Anche per l’uso di GPAI di terzi (ChatGPT, Gemini, Claude) l’AI Act 2026 richiede alfabetizzazione del personale, valutazione del rischio dei processi in cui il GPAI è integrato, e — se si tratta di processi ad alto rischio — adempimenti completi di compliance. Almeno un AI inventory aziendale entro l’estate. (Fonte: AgID 2026)

Cosa succede se non rispetto l’AI Act?

Le sanzioni dell’AI Act 2026 sono articolate per violazione: fino a 35 milioni di euro o 7% del fatturato globale per pratiche vietate; fino a 15 milioni o 3% del fatturato per violazioni di obblighi su sistemi ad alto rischio o trasparenza; fino a 7,5 milioni o 1,5% per informazioni inesatte alle autorità. (Fonte: Regolamento UE 2024/1689)

Posso usare deepfake legalmente?

L’utilizzo di deepfake non è vietato in sé dall’AI Act 2026, ma chi li produce per pubblicazione deve dichiararne la natura sintetica con etichettatura machine-readable. Vietato è invece l’uso di deepfake per ingannare elettori, simulare identità di persone reali in modo lesivo, frodi, e tutto ciò che ricade in altre normative penali. (Fonte: Regolamento UE 2024/1689, art. 50)

Chi controlla l’applicazione dell’AI Act in Italia?

In Italia le autorità competenti sull’AI Act 2026 sono AgID (per la maggior parte dei sistemi e per il coordinamento generale), Agenzia per la Cybersicurezza Nazionale (per i profili di cybersecurity), Garante Privacy (per i profili di protezione dati). L’AI Office europeo coordina a livello UE. (Fonte: Decreto attuativo italiano 2025)