Dopo le prime applicazioni di febbraio e agosto 2025, il Regolamento (UE) 2024/1689 – AI Act – arriva alla seconda grande milestone: il 2 agosto 2026. Da quella data scattano gli obblighi per i deployer di sistemi di intelligenza artificiale ad alto rischio elencati nell’Allegato III, le regole di trasparenza dell’art. 50 e il regime sanzionatorio nazionale.
Cosa è già in vigore
L’AI Act è entrato in vigore il 1° agosto 2024 e segue un’applicazione scaglionata:
- 2 febbraio 2025: divieti dell’art. 5 (sistemi di IA a rischio inaccettabile) e obblighi di alfabetizzazione dell’art. 4.
- 2 agosto 2025: governance (Capo VII), regole sui modelli di IA per finalità generali – GPAI – (Capo V), regime sanzionatorio europeo (Capo XII).
- 2 agosto 2026: applicazione generale, inclusi gli obblighi su sistemi ad alto rischio dell’Allegato III e la trasparenza dell’art. 50.
- 2 agosto 2027: applicazione completa anche ai sistemi ad alto rischio dell’Allegato I (prodotti regolati da legislazione settoriale) e ai GPAI immessi sul mercato prima del 2 agosto 2025.
Articolo 26: obblighi per i deployer di sistemi ad alto rischio
L’art. 26 del Regolamento individua gli obblighi del deployer – l’utilizzatore professionale del sistema di IA, in contrapposizione al provider che lo immette sul mercato. I sistemi ad alto rischio dell’Allegato III coprono ambiti come gestione delle infrastrutture critiche, istruzione, lavoro (selezione e gestione del personale), accesso ai servizi essenziali (credito, servizi pubblici, valutazione assicurativa vita e salute), law enforcement, migrazione e frontiere, amministrazione della giustizia.
I principali obblighi dell’art. 26 in vigore dal 2 agosto 2026:
- impiegare il sistema seguendo le istruzioni d’uso del fornitore (c. 1)
- garantire supervisione umana da parte di persone competenti, formate, dotate di autorità (c. 2)
- monitorare il funzionamento e conservare i log generati automaticamente dal sistema per almeno sei mesi (c. 6)
- per i deployer datori di lavoro: informare i lavoratori e i loro rappresentanti prima dell’impiego di un sistema ad alto rischio (c. 7)
- per i deployer pubblici: registrare il sistema nella banca dati UE e svolgere una Fundamental Rights Impact Assessment (FRIA) ai sensi dell’art. 27 (c. 8 e 9)
- cooperare con le autorità competenti e notificare incidenti gravi al fornitore
Articolo 50: trasparenza nei sistemi di IA generativa e di interazione
Sempre dal 2 agosto 2026 si applica integralmente l’art. 50, che impone:
- che le persone fisiche siano informate quando interagiscono con un sistema di IA, a meno che non sia evidente dal contesto (c. 1)
- che i contenuti audio, immagine, video o testo generati o manipolati artificialmente siano contrassegnati in modo machine-readable (c. 2 e 4)
- che i deepfake siano dichiarati come tali (c. 4), con eccezioni stringenti per uso artistico, satirico e di law enforcement
- che i sistemi di riconoscimento delle emozioni o di categorizzazione biometrica informino le persone esposte (c. 3)
GPAI: stato del Codice di condotta
Il Capo V del Regolamento, in vigore dal 2 agosto 2025, disciplina i modelli di IA per finalità generali (GPAI). La Commissione Europea ha pubblicato il 10 luglio 2025 il Codice di condotta GPAI (General-Purpose AI Code of Practice), strumento volontario per facilitare la conformità agli artt. 53 e 55 del Regolamento.
Il Codice si articola in tre capitoli – Trasparenza, Copyright, Sicurezza – e finora è stato sottoscritto da 26 organizzazioni fra cui Amazon, Anthropic, Google, IBM, Microsoft, OpenAI, Aleph Alpha, Cohere, Mistral AI. Meta non ha aderito; xAI ha firmato il solo capitolo Sicurezza.
L’adesione non è obbligatoria, ma offre due vantaggi concreti: presunzione di conformità rispetto agli obblighi del Regolamento, e riduzione dell’onere amministrativo di prova.
L’assetto italiano: ACN e AgID
L’Italia è stato il primo Stato membro ad adottare una legge nazionale di coordinamento (Legge n. 132/2025) ed è in fase di definizione dei decreti attuativi delle competenze sanzionatorie, attese entro ottobre 2026.
Sul piano delle autorità competenti ai sensi dell’art. 70 del Regolamento:
- AgID – Agenzia per l’Italia Digitale: autorità di notifica, competente sulle procedure di valutazione di conformità e accreditamento degli organismi notificati
- ACN – Agenzia per la Cybersicurezza Nazionale: autorità di vigilanza del mercato e single point of contact con le istituzioni UE, con poteri ispettivi e sanzionatori
Per i settori regolati restano in vigore le competenze settoriali specifiche (es. Banca d’Italia per il credito, Garante Privacy per il trattamento di dati personali).
AI Office e governance europea
L’AI Office, ufficio della Commissione Europea operativo dal 2 agosto 2025, è il punto di gravità della governance europea per i GPAI. Riceve le notifiche dei modelli con rischio sistemico (potenza di calcolo > 10^25 FLOP per addestramento), coordina con le autorità nazionali e supporta lo sviluppo di standard armonizzati.
Cosa fare ora, in concreto
- Mappare i sistemi di IA già in uso nell’organizzazione e verificare se rientrano nell’Allegato III. I casi più ricorrenti nelle imprese italiane: tool di screening curriculum, sistemi di scoring del credito, valutazione automatica di rischi assicurativi, gestione delle prestazioni dei lavoratori.
- Identificare il ruolo: provider o deployer? Nei contratti con vendor è frequente che l’impresa cliente sia deployer di un sistema sviluppato da terzi.
- Per i deployer di alto rischio: pianificare entro il 2 agosto 2026 procedura di supervisione umana documentata, conservazione dei log, informativa ai lavoratori, eventuale FRIA se ente pubblico o erogatore di servizi essenziali.
- Per i sistemi di IA generativa e chatbot: implementare le informative di trasparenza e l’eventuale marcatura dei contenuti, anche se il livello tecnico degli standard è ancora in evoluzione.
- Per i provider GPAI: valutare l’adesione al Codice di condotta come strumento di semplificazione della compliance.
Riferimenti normativi
- Regolamento (UE) 2024/1689 del 13 giugno 2024 – AI Act
- Codice di condotta GPAI – Commissione Europea, 10 luglio 2025
- Orientamenti della Commissione sui fornitori di modelli GPAI – luglio 2025
- Legge italiana n. 132/2025 sulla disciplina dell’intelligenza artificiale
- Comunicazione AI Office, operativo dal 2 agosto 2025
Articolo a cura di Fausto Pitzalis. Si applica a imprese e amministrazioni che impiegano sistemi di IA classificati ad alto rischio o sistemi di IA generativa rivolti al pubblico, e ai fornitori di modelli GPAI immessi sul mercato europeo.