AI Act: dal 2 agosto 2026 una nuova fase per la compliance dell’intelligenza artificiale
AI Act: dal 2 agosto 2026 una nuova fase per la compliance dell’intelligenza artificiale
A cura di Avv. Sara Lepidi
Abstract
Dal prossimo 2 agosto, l’AI Act entra nella sua fase di piena operatività. Per imprese, pubbliche amministrazioni e professionisti non si tratta semplicemente di una nuova scadenza normativa: diventano concretamente applicabili gran parte degli obblighi previsti dal Regolamento (UE) 2024/1689, imponendo un ripensamento delle modalità con cui i sistemi di intelligenza artificiale vengono sviluppati, acquisiti e utilizzati. In questo contributo analizziamo le principali novità, gli adempimenti che entrano in vigore e le criticità applicative che le organizzazioni sono chiamate ad affrontare.
INDICE
- Introduzione
- Un approccio basato sul rischio
- Cosa cambia dal 2 agosto
- Gli obblighi di trasparenza
- L’AI governance come nuovo presidio di compliance
- Le principali criticità applicative
- Considerazioni finali
Introduzione
Il 2 agosto 2026 rappresenta una delle date più significative nel percorso di attuazione del Regolamento (UE) 2024/1689 (“AI Act”), il primo quadro normativo organico adottato dall’Unione europea per disciplinare lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale.
Contrariamente a quanto spesso si ritiene, l’AI Act non è destinato a trovare applicazione in un’unica data. Il legislatore europeo ha infatti previsto, all’art. 113, un regime di applicazione progressiva, con l’obiettivo di consentire agli operatori economici di adeguare gradualmente i propri modelli organizzativi e i processi interni.
Dopo l’entrata in vigore del Regolamento il 1° agosto 2024, l’applicazione delle disposizioni relative alle pratiche di IA vietate (art. 5) e degli obblighi di alfabetizzazione in materia di intelligenza artificiale (art. 4), il 2 agosto 2026 segna l’avvio della piena operatività della maggior parte delle disposizioni del Regolamento. Per molte imprese, dunque, l’intelligenza artificiale esce definitivamente dalla fase sperimentale per diventare un tema di compliance, al pari della protezione dei dati personali, della cybersicurezza e della gestione del rischio.
Un approccio basato sul rischio
L’AI Act adotta un modello regolatorio fondato sul principio del risk-based approach, in base al quale gli obblighi imposti agli operatori sono proporzionati al livello di rischio che il sistema di IA può comportare per la salute, la sicurezza e i diritti fondamentali delle persone.
Il Regolamento distingue quattro categorie principali:
- pratiche di IA vietate;
- sistemi di IA ad alto rischio;
- sistemi soggetti a specifici obblighi di trasparenza;
- sistemi a rischio minimo o limitato, per i quali non sono previsti obblighi particolari, fatta salva l’applicazione della normativa generale.
Questa impostazione riflette la volontà del legislatore europeo di evitare una regolamentazione indiscriminata dell’innovazione tecnologica, concentrando gli adempimenti nei casi in cui l’utilizzo dell’intelligenza artificiale possa incidere maggiormente sui diritti degli individui.
Cosa cambia dal 2 agosto
La data del 2 agosto 2026 assume rilievo perché rende concretamente operativi gli obblighi previsti dal Capo III dell’AI Act per la maggior parte dei sistemi di IA qualificati come ad alto rischio.
Per tali sistemi trovano applicazione requisiti particolarmente articolati, tra cui:
- l’adozione di un sistema di gestione del rischio (art. 9);
- l’utilizzo di dataset adeguati e correttamente governati (art. 10);
- la predisposizione della documentazione tecnica (art. 11);
- la registrazione automatica degli eventi mediante sistemi di logging (art. 12);
- adeguati livelli di trasparenza e istruzioni per gli utilizzatori (art. 13);
- misure di supervisione umana (art. 14);
- requisiti di accuratezza, robustezza e cybersicurezza (art. 15).
Non tutti gli obblighi gravano esclusivamente sul produttore del sistema di IA. Il Regolamento individua infatti diversi soggetti della filiera — provider, deployer, importatori e distributori — attribuendo a ciascuno responsabilità specifiche. Ciò comporta che anche imprese che utilizzano sistemi di IA sviluppati da terzi potrebbero essere chiamate a rispettare precisi obblighi documentali e organizzativi.
Gli obblighi di trasparenza
Tra le disposizioni che assumono particolare rilevanza pratica vi sono quelle contenute nell’art. 50 AI Act, dedicate alla trasparenza.
L’obiettivo della norma è semplice: consentire agli utenti di comprendere quando stanno interagendo con un sistema di intelligenza artificiale e quando un contenuto è stato generato o manipolato artificialmente.
Gli obblighi riguardano, ad esempio chatbot e assistenti virtuali, sistemi di riconoscimento delle emozioni, sistemi di categorizzazione biometrica, immagini, audio, video e testi sintetici, inclusi i cosiddetti deepfake.
In tali ipotesi gli operatori sono tenuti ad adottare misure affinché gli utenti ricevano informazioni chiare e i contenuti artificiali risultino riconoscibili, attraverso strumenti tecnici idonei, salvo le eccezioni previste dal Regolamento.
Si tratta di una disciplina che mira a rafforzare la fiducia nell’utilizzo dell’intelligenza artificiale, riducendo il rischio di fenomeni di manipolazione, disinformazione o utilizzo inconsapevole di contenuti sintetici.
L’AI governance come nuovo presidio di compliance
Uno degli aspetti più rilevanti dell’AI Act è rappresentato dall’impatto organizzativo che esso produce all’interno delle imprese.
La conformità al Regolamento non può essere perseguita esclusivamente mediante interventi di natura tecnica. È invece necessario adottare un modello di AI Governance che consenta di integrare la gestione dell’intelligenza artificiale nei processi aziendali.
In termini operativi, le organizzazioni dovrebbero innanzitutto procedere a una ricognizione dei sistemi di IA effettivamente utilizzati, distinguendo tra strumenti sviluppati internamente e soluzioni fornite da soggetti terzi. A tale attività dovrebbe seguire la classificazione dei sistemi in base al livello di rischio previsto dall’AI Act e l’individuazione del ruolo ricoperto dall’organizzazione nella catena di fornitura.
Occorre inoltre predisporre procedure interne di controllo, definire responsabilità chiare, mantenere un’adeguata documentazione e garantire un livello di formazione del personale coerente con quanto richiesto dall’art. 4 del Regolamento.
L’AI governance è destinata così ad affiancarsi agli altri sistemi di compliance già presenti nelle organizzazioni, creando inevitabili punti di contatto con il GDPR, la direttiva NIS2, il Regolamento DORA e, per molte imprese, con i modelli organizzativi adottati ai sensi del D.Lgs. 231/2001.
Le principali criticità applicative
Nonostante il quadro normativo sia ormai definito, la concreta applicazione dell’AI Act presenta ancora diversi profili di complessità.
Una prima criticità riguarda la qualificazione dei sistemi di IA.
Stabilire se un determinato software rientri nella definizione di “sistema di intelligenza artificiale” contenuta nell’art. 3 del Regolamento, oppure se debba essere classificato come sistema ad alto rischio o soggetto ai soli obblighi di trasparenza, richiede spesso valutazioni tecniche e giuridiche non immediate.
Ulteriori difficoltà derivano dalla corretta individuazione del ruolo assunto dall’organizzazione. Nella pratica, infatti, non sempre è agevole distinguere tra provider e deployer, soprattutto quando un sistema sviluppato da terzi viene personalizzato, integrato o modificato per specifiche esigenze aziendali.
Particolarmente delicata è poi la gestione dei sistemi di IA generativa. Sebbene molti operatori utilizzino quotidianamente strumenti come assistenti virtuali, piattaforme di generazione automatica di testi o applicazioni per la creazione di immagini, la verifica della conformità richiede un’attenta analisi dei rapporti contrattuali con il fornitore, delle modalità di utilizzo e dell’eventuale trattamento di dati personali o informazioni riservate.
Non meno rilevante è il tema del coordinamento con la normativa esistente. L’AI Act, infatti, non sostituisce il GDPR né le altre discipline settoriali, ma si affianca ad esse. Ciò significa che un sistema di IA potrà essere contemporaneamente soggetto agli obblighi in materia di protezione dei dati personali, sicurezza delle reti, tutela dei consumatori, diritto del lavoro o responsabilità del produttore.
Infine, molte disposizioni del Regolamento richiederanno un’importante attività interpretativa. Le linee guida della Commissione europea e le indicazioni delle autorità competenti avranno un ruolo determinante nel chiarire alcuni concetti ancora suscettibili di diverse letture applicative, contribuendo a rendere più uniforme l’applicazione della disciplina nei vari Stati membri.
Considerazioni finali
Il 2 agosto 2026 non rappresenta semplicemente una nuova scadenza normativa, ma segna l’inizio di una fase in cui l’intelligenza artificiale entra stabilmente tra gli ambiti della compliance aziendale.
L’esperienza maturata negli ultimi anni con il GDPR dimostra come un adeguamento tempestivo non debba essere considerato esclusivamente un costo organizzativo, ma possa tradursi in un elemento di affidabilità e competitività. Anche per l’AI Act la capacità di documentare le scelte adottate, gestire i rischi e dimostrare un utilizzo responsabile dell’intelligenza artificiale rappresenterà un fattore sempre più rilevante nei rapporti con clienti, partner commerciali e autorità di vigilanza.
Per questo motivo, il 2 agosto 2026 dovrebbe essere considerato non come il punto di arrivo del percorso di adeguamento, ma come l’inizio di una nuova stagione della governance digitale, nella quale innovazione tecnologica e conformità normativa saranno chiamate a procedere di pari passo.