Scadenze AI Act: il calendario aggiornato dopo il Digital Omnibus

Il regolamento europeo sull'intelligenza artificiale si applica per gradi fino al 2 agosto 2028. Dal 2 agosto 2026 sono in vigore gli obblighi di trasparenza, chi usa un chatbot o pubblica contenuti generati dall'AI deve dichiararlo, mentre gli obblighi più pesanti sui sistemi ad alto rischio sono stati rinviati al 2 dicembre 2027 dal Digital Omnibus, in vigore dal 27 luglio 2026. Ecco cosa significa in pratica per un'azienda che l'intelligenza artificiale la usa e basta, senza svilupparla.

Quali obblighi sono già in vigore adesso

Tre blocchi normativi riguardano già oggi la maggior parte delle aziende italiane, e nessuno dei tre è stato toccato dal rinvio. Il primo sono i divieti, in vigore dal 2 febbraio 2025: l'articolo 5 vieta otto pratiche, quasi tutte con eccezioni tassative per casi specifici, il punteggio sociale, la manipolazione subliminale, lo sfruttamento delle vulnerabilità di età o disabilità, la valutazione predittiva del rischio di reato basata sulla sola profilazione, il riconoscimento delle emozioni sul posto di lavoro e nelle scuole, la raccolta indiscriminata di immagini facciali per costruire banche dati biometriche, la categorizzazione biometrica su caratteristiche sensibili e l'identificazione biometrica remota in tempo reale per contrasto. Dal 2 dicembre 2026 se ne aggiungono altri due, introdotti dall'Omnibus: i sistemi che generano materiale pedopornografico e quelli che producono immagini intime non consensuali.

Il secondo blocco è l'alfabetizzazione, anch'essa dal 2 febbraio 2025: l'articolo 4 obbliga chi impiega sistemi di AI ad adottare misure a sostegno dell'alfabetizzazione del personale che li usa, senza bisogno di un attestato o di un livello certificato, ma con la capacità di dimostrare di aver formato le persone su cosa fa lo strumento, quali sono i suoi limiti e come si riconosce un risultato sbagliato; dal 3 agosto 2026 le autorità nazionali vigilano sull'adempimento. È l'obbligo più trascurato del regolamento, ed è anche il più semplice da soddisfare.

Il terzo, e quello che tocca il maggior numero di imprese perché non riguarda chi sviluppa l'AI ma chi la usa, è la trasparenza dell'articolo 50, in vigore dal 2 agosto 2026, con quattro obblighi concreti: chi interagisce con un chatbot o un assistente virtuale deve saperlo, con un avviso chiaro e non una riga nascosta nelle condizioni d'uso; i contenuti sintetici, testi, immagini, audio e video generati o manipolati, vanno etichettati come tali; chi è sottoposto a riconoscimento delle emozioni va informato, e la stessa regola vale per la categorizzazione biometrica. La marcatura tecnica leggibile dalle macchine, prevista dal paragrafo 2, per i sistemi già sul mercato al 2 agosto 2026 si applica dal 2 dicembre 2026. Le sanzioni per la violazione dell'articolo 50 arrivano a 15 milioni di euro o al 3% del fatturato mondiale annuo, a seconda di quale importo sia maggiore.

Cosa è cambiato con il Digital Omnibus

Il pacchetto approvato nel giugno 2026 ed entrato in vigore il 27 luglio ha spostato in avanti le scadenze sui sistemi ad alto rischio, lasciando ferme tutte le scadenze appena descritte. I sistemi dell'allegato III, quelli autonomi che riguardano selezione del personale, valutazione del merito creditizio, accesso ai servizi pubblici, istruzione e amministrazione della giustizia, passano dal 2 agosto 2026 al 2 dicembre 2027: sedici mesi in più. I sistemi integrati come componenti di sicurezza in prodotti già regolamentati, dai dispositivi medici ai giocattoli, slittano al 2 agosto 2028. La ragione dichiarata è che le norme armonizzate e gli strumenti di supporto tecnico non erano pronti: chiedere alle imprese di conformarsi a requisiti complessi prima che esistano gli standard per farlo avrebbe prodotto adempimenti formali senza sostanza. Non è cambiato nulla su divieti, trasparenza, modelli per finalità generali, alfabetizzazione e sanzioni: chi ha letto "rinvio" e ha archiviato la pratica ha letto male.

Il calendario in ordine

Ripercorrendo tutte le date in sequenza: il 1° agosto 2024 entra in vigore il regolamento (UE) 2024/1689, e riguarda tutti. Il 2 febbraio 2025 scattano i divieti dell'articolo 5 e l'obbligo di alfabetizzazione dell'articolo 4, sempre per tutti. Il 2 agosto 2025 si applicano le regole sui modelli per finalità generali del capo V, sugli organismi notificati, sulla governance e sulle sanzioni, per i fornitori di modelli e le autorità. Il 27 luglio 2026 entra in vigore il Digital Omnibus, per tutti. Il 2 agosto 2026 scatta l'applicazione generale del regolamento, con gli obblighi di trasparenza dell'articolo 50, e riguarda chiunque usi l'AI, anche solo come utilizzatore. Il 2 dicembre 2026 arriva la marcatura tecnica dei contenuti sintetici per i sistemi già sul mercato, insieme ai due nuovi divieti dell'articolo 5, per i fornitori di sistemi già immessi. Il 2 agosto 2027 diventano operativi gli spazi di sperimentazione normativa, per le autorità nazionali e le imprese sperimentatrici. Il 2 dicembre 2027, dopo il rinvio, arrivano gli obblighi per i sistemi ad alto rischio autonomi dell'allegato III, per selezione del personale, credito, istruzione, servizi pubblici, giustizia e infrastrutture critiche. E il 2 agosto 2028, anch'essa una data rinviata, tocca ai sistemi ad alto rischio integrati in prodotti regolamentati dall'allegato I, dispositivi medici, macchinari, giocattoli.

Cosa deve fare un'azienda che usa l'AI, non che la sviluppa

È la posizione in cui si trova la quasi totalità delle PMI italiane, che il regolamento chiama deployer, cioè utilizzatore, e quattro cose contano più di tutte, in ordine di urgenza. Censire dove l'AI è già in casa, non solo nei progetti ufficiali ma anche negli abbonamenti individuali a ChatGPT, negli assistenti dentro il gestionale, nei plugin del CRM: quasi sempre l'inventario riserva sorprese. Verificare gli avvisi di trasparenza, perché se sul sito c'è un chatbot deve dichiararsi, e se il marketing pubblica immagini generate vanno etichettate, interventi da poche ore che chiudono l'esposizione più immediata. Documentare la formazione, con un registro di chi ha ricevuto quale formazione e quando, perché in caso di controllo l'assenza di documentazione pesa quanto l'assenza di formazione. E guardare già al 2 dicembre 2027 se si usa l'AI per selezionare curriculum, valutare il merito creditizio o assegnare servizi: sedici mesi sembrano tanti, ma la valutazione di conformità, il sistema di gestione dei rischi e la documentazione tecnica non si costruiscono in un trimestre.

Il rinvio non è una pausa

Il Digital Omnibus ha spostato le scadenze più onerose, e questo ha prodotto in molte aziende la sensazione che ci sia tempo. I numeri dicono altro: gli obblighi già applicabili riguardano più imprese di quelli rinviati, perché la trasparenza tocca chiunque usi un chatbot e l'alfabetizzazione chiunque abbia dipendenti che usano l'AI. Chi rientra nell'alto rischio ha guadagnato sedici mesi per un lavoro che ne richiede almeno dodici; chi non ci rientra non ha guadagnato niente, perché i suoi obblighi erano già scaduti. Il riferimento normativo di fondo resta il Regolamento (UE) 2024/1689, articoli 4, 5, 50, 99 e allegati I e III. Il calendario viene rivisto a ogni modifica normativa: se vuoi tradurre queste date in un piano concreto per la tua azienda, parliamone.