AI Act 2026: cosa è in vigore, cosa è rinviato e da dove cominciare

C'è una data che molti hanno segnato sul calendario con un certo nervosismo: 2 agosto 2026. Da quel giorno, sei giorni fa, il Regolamento europeo sull'intelligenza artificiale è entrato nella sua fase di applicazione generale (1). E l'Italia è arrivata all'appuntamento con i compiti fatti: il 10 giugno il Consiglio dei Ministri ha approvato i decreti attuativi della legge 132/2025, la nostra legge nazionale sull'AI. Primo Stato membro a farlo (2).

Quindi è il momento di farsi prendere dal panico? No. È il momento di capire cosa vale, cosa è stato rinviato e cosa conviene fare. Che sono tre cose diverse, e chi le confonde di solito sta vendendo qualcosa.

Questo articolo fa il punto con calma. Se poi vuoi partire dalle basi, il percorso gratuito del nostro AI Hub esiste esattamente per questo.

Le date sul calendario (e quelle spostate)

La prima cosa da sapere è che l'AI Act non è entrato in vigore tutto insieme. È un'applicazione a tappe, e il quadro aggiornato ad agosto 2026 è questo:

Il rinvio dell'alto rischio è la notizia che circola meno, forse perché toglie drammaticità ai titoli. Il pacchetto Digital Omnibus ha spostato gli obblighi più onerosi al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I) (3). Tradotto: se usate l'AI per valutare candidati o concedere crediti, avete più tempo per prepararvi. Ma le fondamenta, divieti e alfabetizzazione, sono già in vigore da un pezzo.

Quanto costa sbagliare

Parliamo di sanzioni, perché è la domanda che arriva sempre per prima. I numeri del regolamento sono questi: fino a 35 milioni di euro o il 7% del fatturato mondiale per chi usa pratiche vietate, fino a 15 milioni o il 3% per le altre violazioni, fino a 7,5 milioni per informazioni false alle autorità (1).

Cifre pensate per le big tech, non per lo studio professionale di sei persone. E infatti il regolamento lo dice esplicitamente: per PMI e startup si applica l'importo inferiore tra quelli previsti, con costi di conformità proporzionali e sandbox regolatori ad accesso prioritario (4).

Il quadro italiano aggiunge però due elementi che meritano attenzione anche in una PMI. Il primo: le decisioni sulla costituzione, modifica o estinzione del rapporto di lavoro non possono basarsi sul solo trattamento automatizzato. Un licenziamento deciso da un algoritmo è nullo (2). Il secondo: il nuovo articolo 437-bis del codice penale, che punisce l'omessa adozione di misure di sicurezza sui sistemi ad alto rischio quando ne deriva un pericolo concreto (2).

Cosa deve fare davvero una PMI

Tolto il rumore, gli adempimenti concreti per un'azienda che usa l'AI (e non la sviluppa) si contano sulle dita di una mano.

Sapere cosa si sta usando. Sembra banale, non lo è. L'AI è già dentro il CRM, il gestionale, la suite email, spesso senza che nessuno l'abbia deciso esplicitamente. Il primo adempimento è un inventario: quali sistemi, per quali processi, con quali dati. Senza questa mappa, ogni discorso di conformità è teoria. La nostra checklist per valutare un tool AI è un buon punto di partenza.

Verificare di non toccare le pratiche vietate. Per la stragrande maggioranza delle PMI è una verifica rapida che finisce con un sospiro di sollievo. Ma va fatta: il social scoring o il riconoscimento delle emozioni sul posto di lavoro sono vietati dal 2025, e sono l'unica area dove le sanzioni pesanti sono già operative.

Rendere riconoscibile ciò che è artificiale. L'articolo 50, in vigore dal 2 agosto: chi mette a disposizione un chatbot deve fare in modo che l'utente sappia di parlare con una macchina, e i contenuti generati devono poter essere segnalati come tali (5). Se avete un assistente sul sito o pubblicate contenuti generati, è il momento di controllarli.

Formare chi usa i sistemi. L'articolo 4, l'obbligo di alfabetizzazione. Ne parliamo tra un attimo, perché merita un discorso a parte.

GDPR e AI Act: due leggi, un buon senso solo

Domanda ricorrente: "ma noi il GDPR l'abbiamo già fatto, non basta?" No, ma aiuta parecchio. Le due normative fanno mestieri diversi e si incastrano più di quanto si scontrino.

Il GDPR protegge i dati personali, con qualunque tecnologia vengano trattati: vale per l'AI come valeva per il foglio Excel. L'AI Act regola i sistemi di intelligenza artificiale in base al rischio del caso d'uso, anche quando di dati personali non ne toccano. Quando un sistema AI tratta dati personali, e succede quasi sempre, si applicano entrambi, in parallelo: nessuno dei due assorbe l'altro.

L'incastro pratico si vede bene su un chatbot rivolto ai clienti: il GDPR chiede base giuridica, informativa e minimizzazione dei dati; l'AI Act aggiunge che l'utente deve sapere di parlare con una macchina. Stesso strumento, due lenti complementari. E chi ha già una DPIA fatta bene, la valutazione d'impatto sulla protezione dei dati prevista dal GDPR, si trova avvantaggiato: la FRIA dell'AI Act, la gemella che estende l'analisi ai diritti fondamentali per i sistemi ad alto rischio, ne ricalca la logica. Entrambe le sigle, con esempi, sono nel glossario.

Sul fronte autorità, in Italia la vigilanza AI va ad ACN e AgID, ma il Garante Privacy non esce di scena: resta competente su tutto ciò che è dato personale e sui sistemi ad alto rischio in ambiti come giustizia e forze dell'ordine (2). E a livello europeo l'EDPB ha già chiarito che i modelli AI addestrati su dati personali non sono automaticamente anonimi, con tutto ciò che ne consegue (6).

L'obbligo più vecchio è quello che quasi tutti ignorano

L'articolo 4 dell'AI Act è in vigore dal 2 febbraio 2025. Dice una cosa semplice: chi fornisce o utilizza sistemi AI deve garantire che il proprio personale abbia un livello sufficiente di alfabetizzazione all'AI, tenendo conto del contesto e delle persone coinvolte.

Un anno e mezzo dopo, è ancora l'obbligo meno rispettato. Forse perché non prevede una sanzione diretta e immediata, forse perché "formare le persone" suona meno urgente di "compilare la documentazione". Eppure è la base di tutto il resto: un team che sa riconoscere un'allucinazione, che sa quali dati non incollare in un prompt, che sa quando fidarsi di un output e quando verificarlo, è un team che ha già risolto metà dei problemi di conformità. E parecchi problemi operativi.

È il motivo per cui abbiamo costruito l'AI Hub e l'abbiamo messo in cima: AI Literacy Essentials, un corso gratuito di 90 minuti in sei capitoli. Laboratori interattivi, scenari di lavoro veri con feedback immediato, un planner dedicato proprio all'articolo 4, attestato finale. Accanto al corso, le risorse rapide: un glossario di 55 termini spiegati in italiano, la checklist per valutare i tool e un modello di policy aziendale da adattare.

Non è un adempimento formale travestito da corso. È il contrario: formazione vera che, tra le altre cose, soddisfa un obbligo.

Un chatbot che si presenta

Piccola nota di trasparenza applicata, visto che l'articolo 50 la richiede. Sul nostro sito lavora Joshua, il nostro assistente AI. Si presenta come tale dal primo messaggio, risponde su corsi, servizi e risorse, e nell'AI Hub fa da companion: spiega i concetti del corso e suggerisce il passo successivo. Il nome viene da un film del 1983 in cui un computer impara che certe partite non vanno giocate. Ci sembrava il riferimento giusto per un'epoca che chiede all'AI esattamente questo: sapere dove fermarsi.

Se volete vedere com'è fatta la trasparenza dell'articolo 50 quando non è un cavillo ma un tratto di carattere, fategli una domanda.

Da dove cominciare, in pratica

Se avete letto fin qui, il percorso è già chiaro. Prima le persone, poi i processi, poi la documentazione. L'inventario dei sistemi e la verifica delle pratiche vietate si fanno in qualche ora di lavoro ben spesa. L'alfabetizzazione del team parte gratis dal corso. E per chi vuole un percorso strutturato sui propri casi reali, dati, policy, verifica degli output, ruoli, c'è la formazione per aziende, con l'articolo 4 come criterio e non come spauracchio.

L'AI Act, visto da vicino, assomiglia poco al mostro burocratico che qualcuno racconta. Assomiglia di più a una richiesta di buon senso messa nero su bianco: sappi cosa usi, dillo a chi interagisce con le tue macchine, forma chi le adopera. Tutte cose che un'azienda ben gestita vorrebbe fare comunque.

Il resto, come sempre, è marketing.

Fonti

1. Regolamento (UE) 2024/1689: testo ufficiale su EUR-Lex: Il testo integrale dell'AI Act, incluse le disposizioni su sanzioni e proporzionalità per le PMI.
2. Diritto al Digitale: I decreti attuativi italiani dell'AI Act: Analisi dei decreti approvati dal CdM il 10 giugno 2026 in attuazione della legge 132/2025.
3. EU Artificial Intelligence Act: Implementation Timeline: Il tracker indipendente più citato sulle scadenze, aggiornato con i rinvii del Digital Omnibus.
4. EU AI Act: Guida per le PMI: Misure di proporzionalità, sandbox regolatori e semplificazioni per le piccole imprese.
5. IPSOA: AI Act, cosa cambia per le imprese dal 2 agosto 2026: Gli obblighi di trasparenza dell'articolo 50 e l'operatività dell'apparato sanzionatorio.
6. EDPB: Opinion 28/2024 sui dati personali nei modelli AI: Il parere del Board europeo sull'intreccio tra GDPR e sviluppo o uso di modelli AI.