Dal 2 agosto 2026 l’AI Act entra nella sua fase più delicata: quella dell’enforcement. Dopo due anni di applicazione progressiva del primo regolamento europeo sull’intelligenza artificiale, iniziano a produrre effetti concreti nuove disposizioni e diventa pienamente operativo il sistema sanzionatorio per gli obblighi già applicabili. Parallelamente, grazie al pacchetto di semplificazione (“AI Omnibus”) concordato nel 2026, alcune delle prescrizioni più onerose per i sistemi ad alto rischio sono state rinviate al dicembre 2027 e al 2028, lasciando alle imprese più tempo per adeguarsi.
Per le aziende italiane non si tratta soltanto di un tema di compliance. L’AI Act sta diventando uno dei principali fattori che influenzeranno la strategia di innovazione, la governance dei dati, lo sviluppo dei prodotti digitali, i rapporti con clienti e fornitori e perfino le modalità con cui verranno progettati i futuri agenti AI.
L’AI Act non deveessere interpretato esclusivamente come un insieme di vincoli normativi, ma come un elemento destinato a rafforzare la fiducia nell’intelligenza artificiale, favorendo un’adozione più ampia nelle imprese europee.
Indice degli argomenti
Perché il 2 agosto rappresenta uno spartiacque
L’AI Act è entrato formalmentein vigore il 1° agosto 2024, ma il legislatore europeo ha previsto un’applicazione graduale.
La roadmap è stata costruita per consentire alle imprese di adattarsi progressivamente:
- febbraio 2025: divieto delle pratiche di AI considerate inaccettabili e introduzione degli obblighi di AI literacy;
- agosto 2025: obblighi per i modelli di AI general purpose (GPAI), come i foundation model;
- agosto 2026: entrata in vigore di una nuova tranche di obblighi, tra cui quelli di trasparenza, e piena operatività del sistema sanzionatorio per le disposizioni già applicabili;
- dicembre 2027 e agosto 2028: applicazione delle principali regole per molte categorie di sistemi ad alto rischio, dopo il rinvio deciso con il pacchetto di semplificazione europeo.
Questo significa che il 2 agosto non coincide con l’obbligo generalizzato di adeguamento di qualsiasi applicazione AI, come spesso viene erroneamente riportato, ma rappresenta il momento in cui alcune norme diventano concretamente esigibili e iniziano a poter essere sanzionate.
Le sanzioni: fino al 7% del fatturato mondiale
Uno degli elementi che ha maggiormente attirato l’attenzione delle imprese riguarda il regime sanzionatorio.
L’articolo 99 dell’AI Act prevede infatti multe che possono raggiungere livelli analoghi a quelli del GDPR.
In particolare sono previste:
- fino a 35 milioni di euro oppure il 7% del fatturato mondiale per le pratiche vietate;
- fino a 15 milioni di euro oppure il 3% del fatturato mondiale per la violazione degli altri obblighi previsti dal regolamento;
- fino a 7,5 milioni di euro oppure l’1% del fatturato per informazioni false, incomplete o fuorvianti fornite alle autorità competenti.
La logica è simile a quella già adottata con il GDPR: le sanzioni più elevate sono riservate alle violazioni che incidono maggiormente sui diritti fondamentali delle persone.
Cosa cambia concretamente per le imprese
Per moltissime aziende il cambiamento non riguarda tanto la tecnologia quanto la governance.
Negli ultimi due anni la diffusione della Generative AI è avvenuta spesso in modo spontaneo: dipendenti che utilizzano chatbot, software che integrano modelli linguistici, agenti AI sperimentali, automazione documentale, assistenti virtuali.
Con l’AI Act questa fase “artigianale” termina.
Le organizzazioni devono iniziare a conoscere con precisione:
- quali sistemi AI utilizzano;
- chi li fornisce;
- per quali processi vengono impiegati;
- quale livello di rischio comportano;
- quali dati trattano;
- quali obblighi normativi si applicano.
In altre parole, l’intelligenza artificiale entra definitivamente nella governance aziendale, esattamente come negli anni scorsi era accaduto con la cybersecurity o con la protezione dei dati personali.
L’obbligo che riguarda praticamente tutti: la trasparenza
Tra le disposizioni che diventano centrali dal 2 agosto vi sono quelle previste dall’articolo 50 dell’AI Act.
Sono norme che interessano un numero molto ampio di imprese, comprese PMI che utilizzano strumenti di AI generativa.
In sintesi occorre garantire che:
- gli utenti sappiano quando stanno interagendo con un sistema di AI;
- immagini, video, audio e deepfake generati artificialmente siano opportunamente identificati;
- siano rispettati specifici obblighi di etichettatura dei contenuti sintetici;
- le informazioni siano comunicate in modo chiaro e comprensibile.
Non significa che ogni contenuto prodotto con ChatGPT debba riportare automaticamente un’etichetta, ma che le imprese debbano valutare attentamente quando l’obbligo di trasparenza si applica e predisporre procedure coerenti.
L’AI Act introduce una nuova disciplina dell’innovazione
Uno degli aspetti più significativi dell’AI Act è che non nasce con l’obiettivo di limitare l’innovazione, bensì di orientarla verso un utilizzo più sicuro e affidabile. Il regolamento europeo adotta infatti un approccio basato sul rischio: la maggior parte delle applicazioni di intelligenza artificiale oggi impiegate dalle imprese rientra nelle categorie a rischio minimo o limitato e, di conseguenza, potrà continuare a essere utilizzata con obblighi relativamente contenuti. È il caso, ad esempio, degli assistenti alla scrittura, degli strumenti a supporto della produttività individuale, dei sistemi di classificazione documentale o dei motori di raccomandazione.
Diverso è il caso delle applicazioni che possono avere un impatto significativo sui diritti fondamentali delle persone. In questo ambito rientrano, tra gli altri, i sistemi impiegati nella selezione del personale, nella valutazione dei lavoratori, nella concessione del credito, nei processi educativi, in ambito sanitario, nella gestione delle infrastrutture critiche e nelle tecnologie biometriche. Per queste categorie il legislatore europeo ha previsto requisiti molto più rigorosi in termini di gestione del rischio, qualità dei dati, trasparenza, supervisione umana e documentazione tecnica.
L’obiettivo dell’AI Act è quindi quello di evitare una regolamentazione indiscriminata dell’intelligenza artificiale, concentrando gli obblighi sulle applicazioni che presentano i rischi più elevati per le persone e per la società, senza ostacolare lo sviluppo delle numerose soluzioni di AI che possono contribuire a migliorare l’efficienza, la competitività e la capacità di innovazione delle imprese. rischio sociale è maggiore.
Il rinvio dei sistemi ad alto rischio non è un “liberi tutti”
Nel 2026 l’Unione Europea ha approvato il cosiddetto AI Omnibus, con l’obiettivo di semplificare l’attuazione del regolamento.
La modifica più rilevante riguarda proprio i sistemi ad alto rischio.
Le imprese dispongono ora di più tempo per adeguarsi:
- dicembre 2027 per molte categorie dell’Allegato III;
- agosto 2028 per i sistemi incorporati in prodotti regolamentati.
La ragione del rinvio è pratica: mancavano ancora standard tecnici armonizzati, linee guida complete e strumenti operativi sufficientemente maturi.
Il messaggio della Commissione europea, però, è chiaro: il rinvio serve a prepararsi meglio, non a rimandare ogni attività.Perché i CIO devono iniziare dalla mappatura
Per i CIO e, più in generale, per i responsabili dell’innovazione, il primo passo verso la conformità all’AI Act non consiste nella predisposizione della documentazione legale, bensì nella costruzione di un inventario completo dell’intelligenza artificiale presente in azienda. Prima ancora di valutare gli obblighi normativi, è infatti necessario conoscere con precisione quali sistemi di AI siano effettivamente in uso.
Molte organizzazioni scoprono di utilizzare un numero molto più elevato di strumenti rispetto a quanto immaginato inizialmente. Oltre alle applicazioni acquistate direttamente dall’azienda, sono spesso presenti servizi cloud che integrano funzionalità di intelligenza artificiale, chatbot sviluppati per uso interno, agenti AI ancora in fase sperimentale, strumenti adottati autonomamente dai dipendenti per aumentare la propria produttività e software sviluppati internamente che incorporano componenti di AI.
Solo dopo aver realizzato questa mappatura è possibile classificare ciascun sistema in base al livello di rischio previsto dall’AI Act, individuare gli obblighi applicabili e definire un percorso di adeguamento realmente efficace. Per molte imprese, dunque, la sfida più urgente non è tanto introdurre nuove tecnologie, quanto acquisire una piena consapevolezza di quelle già presenti all’interno dell’organizzazione.
L’AI governance diventa una competenza manageriale
Un altro effetto dell’AI Act riguarda la nascita di nuovi modelli organizzativi.
Sempre più imprese stanno introducendo:
- AI Governance Board;
- AI Officer;
- AI Risk Committee;
- procedure di validazione dei modelli;
- audit periodici;
- programmi di AI literacy.
Quest’ultimo aspetto è particolarmente importante.
L’AI Act richiede infatti che chi utilizza sistemi di intelligenza artificiale possieda competenze adeguate per comprenderne funzionamento, limiti e rischi. Non basta acquistare una piattaforma: serve costruire competenze diffuse all’interno dell’organizzazione. (Strategia Digitale Europea)
Dalla compliance all’innovazione responsabile
Per molte imprese europee la vera sfida non sarà evitare una multa.
Sarà riuscire a trasformare la compliance in un vantaggio competitivo.
I clienti iniziano infatti a chiedere maggiore trasparenza sugli algoritmi utilizzati, gli investitori valutano con crescente attenzione la governance dell’AI e i partner tecnologici devono dimostrare affidabilità lungo tutta la catena del valore.
In questo contesto, la capacità di documentare il funzionamento dei sistemi, garantire supervisione umana, tracciare i dati utilizzati e rendere trasparente l’impiego dell’intelligenza artificiale diventa un elemento distintivo, non soltanto un obbligo normativo.
Le cinque priorità per le aziende nei prossimi mesi
Alla luce delle nuove scadenze, le imprese dovrebbero concentrarsi su cinque attività prioritarie:
- Mappare tutti i sistemi di AI utilizzati, inclusi quelli introdotti spontaneamente dai dipendenti.
- Classificare ogni applicazione secondo il livello di rischio previsto dall’AI Act.
- Verificare gli obblighi di trasparenza applicabili ai contenuti generati e alle interazioni con gli utenti.
- Definire una governance interna con ruoli, responsabilità e processi di controllo.
- Investire nella formazione e nell’AI literacy di manager, sviluppatori e utilizzatori finali.
L’AI Act non rallenta l’innovazione: cambia il modo di innovare
La fase inaugurata il 2 agosto rappresenta probabilmente il passaggio più significativo nella costruzione del mercato europeo dell’intelligenza artificiale.
L’Europa ha scelto una strada diversa rispetto ad altri ecosistemi: non quella dell’assenza di regole, ma quella di un’innovazione governata dal principio della fiducia.
Per le imprese questo comporta un cambio di paradigma. L’intelligenza artificiale non potrà più essere introdotta come semplice sperimentazione tecnologica affidata ai singoli team. Diventerà invece una componente strutturale della governance aziendale, al pari della cybersecurity, della protezione dei dati e della compliance normativa.
Chi interpreterà l’AI Act soltanto come un costo amministrativo rischierà di perdere competitività. Chi, invece, saprà utilizzarlo per costruire processi più trasparenti, affidabili e controllabili potrà rafforzare la fiducia di clienti, investitori e partner, trasformando la conformità in una leva di innovazione sostenibile e di lungo periodo.
Partecipa alla community