Etica e governance

Che cosa è diventato applicabile con l’AI Act il 2 agosto 2026 e che cosa l’Europa ha rinviato al 2027

Le norme dell’AI Act sui sistemi ad alto rischio non sono entrate in applicazione il 2 agosto 2026. Il regolamento (UE) 2026/1744 le ha rinviate a dicembre 2027 e ad agosto 2028. Sono invece diventati applicabili i poteri di vigilanza sull’

Gabriele Masetti · 2026-09-15

La data che l’Europa aveva segnato sul calendario da due anni è arrivata, ma gran parte di ciò che avrebbe dovuto accadere quel giorno non è accaduto. Il 2 agosto 2026 sarebbe dovuto diventare applicabile il regime dell’AI Act per i sistemi ad alto rischio: valutazioni di conformità, documentazione tecnica, registrazione dei log, supervisione umana, iscrizione in una banca dati pubblica dell’UE.

Sei giorni prima era entrato in vigore il regolamento (UE) 2026/1744 — il Digital Omnibus on AI — che ha rinviato quel regime al 2 dicembre 2027 per i sistemi autonomi elencati nell’allegato III e al 2 agosto 2028 per l’IA integrata in prodotti già disciplinati dalle norme UE sulla sicurezza dei prodotti. Nell’allegato III l’AI Act colloca gli impieghi che riguardano direttamente le persone: selezione del personale e gestione dei lavoratori, valutazione dell’affidabilità creditizia, istruzione, servizi pubblici essenziali, migrazione, attività di contrasto.

Ciò che è diventato applicabile il 2 agosto aveva una portata più circoscritta e, a suo modo, più incisiva. La Commissione ha acquisito il potere di indagare sui fornitori di modelli di IA per finalità generali e di sanzionarli. Sono entrati in applicazione gli obblighi di trasparenza dell’articolo 50. È cominciata anche l’attività di vigilanza nazionale prevista dal sistema di supervisione su cui dovrebbe poggiare tutto il resto, negli Stati membri che ne hanno istituito uno. L’Europa non ha abbandonato il proprio quadro normativo: ha iniziato ad applicare la parte rivolta a circa una dozzina di fornitori di modelli e ha rinviato quella rivolta a decine di migliaia di soggetti che impiegano sistemi di IA.

Il regolamento che ha spostato la scadenza

La Commissione ha proposto il Digital Omnibus on AI il 19 novembre 2025. Un trilogo nell’aprile 2026 si è concluso senza accordo dopo dodici ore; i negoziatori hanno raggiunto un’intesa nelle prime ore del 7 maggio e i rappresentanti degli Stati membri l’hanno confermata il 13 maggio.

Le commissioni per il Mercato interno e le Libertà civili hanno approvato il compromesso il 2 giugno con 93 voti a favore, 4 contrari e 15 astensioni. Il Parlamento lo ha adottato in seduta plenaria il 16 giugno con 423 voti a favore, 57 contrari e 174 astensioni; il Consiglio ha dato l’approvazione definitiva il 29 giugno e il testo è apparso nella Gazzetta ufficiale il 24 luglio. L’intero iter è durato otto mesi: poco, per gli standard dell’istituzione che aveva impiegato tre anni per l’AI Act stesso.

Il regolamento esplicita la ragione del rinvio. Il considerando 40 richiama «la ritardata disponibilità di norme, specifiche comuni e orientamenti alternativi e la ritardata istituzione delle autorità nazionali competenti»: ritardi che, secondo il testo, compromettono l’effettiva applicazione e rischiano di far aumentare i costi di attuazione senza giustificazione. Le norme armonizzate che avrebbero consentito a un’azienda di dimostrare la conformità non erano pronte. E, nella maggior parte delle capitali, non lo erano nemmeno le autorità di regolamentazione.

I correlatori non l’hanno presentato come un intervento tecnico.

A tutti gli imprenditori e gli ingegneri là fuori: stiamo premendo il pulsante di pausa sull’AI Act e stiamo riducendo gli oneri burocratici. — Arba Kokalari, eurodeputata (EPP, Svezia), correlatrice del Digital Omnibus on AI

Che cosa è diventato effettivamente applicabile

Gli obblighi relativi ai modelli di IA per finalità generali — documentazione del modello, una politica sul diritto d’autore, una sintesi pubblica dei dati di addestramento e, per i modelli con rischio sistemico, test avversari e segnalazione degli incidenti — si applicano dal 2 agosto 2025. Un anno dopo è terminato il periodo di tolleranza prima dell’avvio dell’attività di vigilanza.

Dal 2 agosto 2026 l’Ufficio per l’IA può esigere la documentazione tecnica ai sensi dell’articolo 91, ottenere accesso a un modello e svolgere proprie valutazioni ai sensi dell’articolo 92, e ordinare misure correttive ai sensi dell’articolo 93, fino a limitare la disponibilità del modello nell’Unione. L’articolo 101 fissa la sanzione per un fornitore di modelli a 15 milioni di euro o al 3% del fatturato annuo mondiale totale, se superiore.

Il Digital Omnibus ha inoltre concentrato nell’Ufficio per l’IA la supervisione dei modelli per finalità generali e dell’IA integrata nelle piattaforme online di dimensioni molto grandi ai sensi del Digital Services Act. La vigilanza sui modelli di frontiera è ora una questione di Bruxelles, non delle autorità nazionali.

L’articolo 50 è entrato in applicazione secondo il calendario previsto. I sistemi che interagiscono con le persone devono dichiarare di essere macchine; i contenuti generati devono recare marcature leggibili dalle macchine; i deepfake devono essere etichettati; chi impiega sistemi di riconoscimento delle emozioni deve informarne le persone che vi sono esposte. La Commissione ha pubblicato gli orientamenti definitivi sulla trasparenza il 20 luglio 2026. I sistemi già sul mercato prima del 2 agosto hanno tempo fino al 2 dicembre 2026 per soddisfare il requisito della marcatura leggibile dalle macchine.

Insieme agli orientamenti, la Commissione ha avviato un Code of Practice on Transparency of AI-generated Content, sottoscritto da circa 190 organizzazioni entro la fine di luglio 2026. La sezione dei fornitori elenca Aleph Alpha, Anthropic, Black Forest Labs, Cohere, Google, Meta, Microsoft, Mistral, OpenAI e Synthesia; quella dei soggetti che impiegano i sistemi comprende aziende come Getty Images, Lenovo e Lufthansa. Meta, che non aveva mai sottoscritto il codice di buone pratiche sull’IA per finalità generali, ha firmato questo.

Chi ha spinto per il rinvio

Le pressioni sono arrivate dalle capitali quanto dai consigli di amministrazione. Germania e Francia hanno guidato gli Stati membri che sostenevano che il calendario originario avrebbe svantaggiato i produttori europei: il cancelliere Friedrich Merz ha assunto personalmente la difesa di questa posizione e ha coinvolto l’Italia. Le richieste tedesche di una più ampia esenzione per i settori regolamentati hanno rischiato di far saltare il compromesso nelle sue ultime ore.

Corporate Europe Observatory ha misurato l’accesso ottenuto dai diversi interlocutori. Secondo la sua analisi dell’aprile 2026, in media l’84% degli incontri tenuti nel 2025 dai tredici commissari responsabili degli omnibus si è svolto con gruppi imprenditoriali, contro il 7,8% con organizzazioni della società civile. Sui temi della semplificazione e degli omnibus, il gabinetto di Valdis Dombrovskis ha tenuto con rappresentanti delle imprese 182 incontri su 189; quello di Stéphane Séjourné ne ha tenuti 84, tutti con rappresentanti delle imprese. La partecipazione delle imprese ai 34 Implementation Dialogues legati alla semplificazione è stata del 71,1%.

Michael McNamara, uno dei due correlatori che hanno negoziato il testo, ha affermato che molte delle modifiche al regolamento rispecchiavano quelle richieste dalle aziende tecnologiche con sede negli Stati Uniti e si è chiesto in che modo tali richieste abbiano influito sulle istanze di rinvio avanzate da alcuni Stati membri.

Chi si è opposto e per quali ragioni

L’associazione dei consumatori BEUC ha accolto con favore i nuovi divieti, ma ha avvertito che la semplificazione dovrebbe rendere le norme più facili da applicare e far rispettare, anziché servire da copertura per la deregolamentazione. Ha inoltre criticato la scelta di lasciare i consumatori senza le tutele previste per i sistemi ad alto rischio fino alla fine del 2027 e, nel caso dell’IA integrata nei prodotti, fino al 2028.

L’obiezione più netta riguarda ciò che il tempo aggiuntivo lascia passare. In base alle norme transitorie dell’AI Act, i sistemi ad alto rischio immessi sul mercato prima della nuova scadenza restano esclusi dagli obblighi, a meno che non siano successivamente modificati in modo sostanziale. Le autorità di regolamentazione non hanno definito questa soglia.

Laura Caroli, già co-negoziatrice dell’AI Act, ha detto a Tech Policy Press che i sistemi ad alto rischio usati nelle assunzioni «potrebbero restare esclusi dall’AI Act a tempo indeterminato» se impiegati prima del 2 dicembre 2027. L’eurodeputato dei Verdi Sergey Lagodinsky ha definito la stessa disposizione una scappatoia che crea «un incentivo a immettere prodotti sul mercato prima dell’entrata in vigore dell’AI Act». Sedici mesi in più significano anche sedici mesi in cui i sistemi già immessi sul mercato sono esentati dai nuovi obblighi.

Le altre modifiche che l’hanno accompagnato

Il rinvio ha dominato i titoli, ma il regolamento contiene diversi altri aggiustamenti. Le imprese classificate come «small mid-caps» — in generale, quelle sopra la soglia delle PMI ma con meno di circa 750 dipendenti e 150 milioni di euro di fatturato — ottengono modelli semplificati per la documentazione, requisiti proporzionati per la gestione della qualità e priorità nell’accesso agli spazi di sperimentazione normativa.

Fornitori e utilizzatori possono ora trattare categorie particolari di dati personali per rilevare e correggere le distorsioni, nel rispetto di requisiti di pseudonimizzazione, controlli degli accessi, limiti alla condivisione e obblighi di cancellazione. L’obbligo di alfabetizzazione in materia di IA è stato attenuato: da obbligo rigoroso a obbligo di mezzi. Il regolamento macchine è stato inserito nell’allegato I e la Commissione dovrà specificare requisiti equivalenti entro il 2 agosto 2028.

Il divieto aggiunto dall’Omnibus

Il rinvio non ha soltanto sottratto obblighi. Il regolamento inserisce nell’articolo 5, quello dei divieti assoluti, una nuova pratica vietata: i sistemi di IA che generano o manipolano materiale realistico raffigurante le parti intime o l’attività sessuale di una persona identificabile senza il suo consenso esplicito, e i sistemi di IA che generano materiale pedopornografico. Il divieto riguarda anche i fornitori i cui strumenti di uso generale per immagini o video producono tali contenuti come risultato ragionevolmente prevedibile e riproducibile, in assenza di misure di salvaguardia adeguate.

Si applica dal 2 dicembre 2026, senza esenzioni per gli strumenti già sul mercato, e rientra nella fascia di sanzioni più elevata prevista dall’AI Act.

Colpiscono persone reali, in stragrande maggioranza donne, con lo scopo di umiliarle, denigrarle e ridurle a oggetti. — Michael McNamara, eurodeputato (Renew, Irlanda), correlatore del Digital Omnibus sull’IA

A quanto ammontano le sanzioni e chi le irrogherebbe

L’Omnibus non ha modificato i massimali delle sanzioni.

Che queste cifre abbiano un significato dipende da chi ha il potere di applicarle. Gli Stati membri dovevano designare le autorità di vigilanza del mercato e le autorità di notifica entro il 2 agosto 2025. La maggior parte non ha rispettato la scadenza.

Secondo un monitoraggio dell’attuazione curato dal Future of Life Institute, al 17 giugno 2026 nove Stati membri avevano designato chiaramente entrambe le autorità, dodici avevano assetti parziali o provvedimenti legislativi ancora in sospeso e sei non avevano né l’una né l’altra. L’Italia fa eccezione nella direzione opposta: la legge 132/2025, in vigore dal 10 ottobre 2025, ne ha fatto il primo Stato membro dotato di una legge nazionale sull’IA che si affianca al regolamento dell’UE.

Il considerando della stessa Commissione, in altre parole, descrive la situazione con franchezza. La scadenza è stata spostata in parte perché l’apparato che avrebbe dovuto farla rispettare non esiste ancora in diciotto Stati membri.

Meta, pesi aperti e un’esenzione che non si applica

La decisione di Meta di non rendere disponibili nell’UE i modelli Llama di frontiera era il banco di prova della portata dell’AI Act rispetto ai modelli con pesi aperti. Una decisione successiva della stessa Meta ha superato i termini di quel confronto.

L’8 aprile 2026 Meta Superintelligence Labs ha rilasciato Muse Spark, il suo primo modello di frontiera e il primo senza pesi aperti, accessibile tramite API anziché pubblicato per il download. La versione 1.1 è stata distribuita con i pesi chiusi. Meta ha dichiarato di avere ancora intenzione di rilasciare i pesi della versione 1.2 e, al 2 settembre 2026, non aveva ancora deciso per la versione 1.3. La licenza di Llama 3.2 già non concedeva i diritti sui suoi modelli multimodali alle persone domiciliate nell’Unione europea e alle società con sede principale al suo interno, ma non agli utenti finali di prodotti o servizi che incorporano quei modelli.

Il punto normativo resta valido, ma a parti invertite. L’articolo 53 esenta i modelli di IA per finalità generali realmente liberi e open source da parte degli obblighi di documentazione, ma solo se i pesi, l’architettura e le informazioni sull’utilizzo sono pubblici senza clausole che ne vietino l’uso commerciale. Un modello designato come portatore di rischio sistemico, invece, è soggetto a tutti gli obblighi dell’articolo 53, qualunque sia la sua licenza. Per un modello di frontiera che comporta un rischio sistemico, rendere pubblici i pesi non alleggerisce gli obblighi imposti da Bruxelles. La questione a cui Meta ha risposto in aprile era commerciale, non giuridica.

Il resto del mondo a settembre 2026

Il contrasto con gli Stati Uniti è istruttivo. L’Executive Order 14365, firmato l’11 dicembre 2025, ha stabilito una politica federale contraria a una «regolamentazione statale eccessiva», e il 9 gennaio 2026 il Dipartimento di Giustizia ha annunciato una AI Litigation Task Force per intentare cause contro gli stati in merito alle loro leggi sull’IA. Ad aprile non aveva ancora avviato alcuna causa propria: la sua prima comparsa in un procedimento contro una legge statale sull’IA è stata una richiesta di intervento nella causa intentata da xAI contro il Colorado, depositata il 24 aprile 2026.

La prima impugnazione per incostituzionalità dell’AI Act del Colorado è arrivata invece da un’azienda: xAI, il 9 aprile 2026. Il Colorado ha risposto abrogando e reintroducendo il proprio quadro normativo con SB 26-189, firmata il 14 maggio 2026: gli obblighi per sviluppatori e soggetti che impiegano i sistemi decorrono ora dal 1° gennaio 2027. Due giurisdizioni, metodi opposti, stesso risultato: le norme che avrebbero dovuto produrre effetti nel 2026 li producono nel 2027.

Il Regno Unito si è spinto più avanti verso la deregolamentazione senza dover abrogare nulla, perché non ha mai legiferato. L’8 giugno 2026 il Ministero della Giustizia ha annunciato il primo AI Growth Lab settoriale per i servizi legali. Ha una funzione consultiva: le autorità di regolamentazione si confrontano con le imprese per spiegare come le norme esistenti si applichino a un prodotto di IA, e la partecipazione «non costituirà approvazione, avallo o autorizzazione da parte delle autorità di regolamentazione. I requisiti legali e normativi resteranno invariati».

Il quadro europeo ruota ora attorno a tre date: il 2 dicembre 2026 per il divieto dei nudifier e del CSAM e per la fine del periodo transitorio relativo al watermarking; il 2 dicembre 2027 per i sistemi ad alto rischio dell’allegato III; il 2 agosto 2028 per l’IA integrata nei prodotti regolamentati. La parte dell’AI Act che vincola un numero ristretto di grandi fornitori di modelli è operativa. La parte che vincolerà l’ospedale, la banca e l’agenzia di selezione del personale si applicherà dal 2 dicembre 2027, e arriverà solo se prima arriveranno gli standard e le autorità.