Il 2 agosto 2026 doveva essere il "giorno X" dell'AI Act: piena applicazione degli obblighi sui sistemi ad alto rischio. Non andrà così. Il Regolamento (UE) 2026/1744 (il Digital Omnibus sull'IA), pubblicato in Gazzetta ufficiale dell'UE il 24 luglio 2026 e in vigore dal 27 luglio, ha ridisegnato il calendario. La domanda a cui rispondere subito è doppia: cosa è stato rinviato, e cosa scatta comunque il 2 agosto? La risposta breve: l'alto rischio slitta, ma trasparenza, vigilanza e sanzioni partono davvero.
Il nuovo calendario dopo il Regolamento UE 2026/1744
Il Digital Omnibus modifica il Regolamento (UE) 2024/1689 senza toccarne l'impianto: categorie di rischio, divieti e fasce sanzionatorie restano quelli. Cambiano le date di applicazione degli obblighi sui sistemi ad alto rischio.
| Data | Cosa si applica |
|---|---|
| 2 febbraio 2025 | Divieti sulle pratiche a rischio inaccettabile (art. 5) e alfabetizzazione AI (art. 4) — già in vigore |
| 2 agosto 2025 | Regole sui modelli di AI per finalità generali (GPAI), governance e quadro sanzionatorio |
| 2 agosto 2026 | Trasparenza (art. 50) per i sistemi immessi sul mercato da questa data; piena operatività di vigilanza e sanzioni; sandbox regolamentari nazionali operative |
| 2 dicembre 2026 | Marcatura dei contenuti per i sistemi generativi già sul mercato prima del 2 agosto 2026; nuovi divieti su materiale intimo non consensuale e materiale di abuso su minori |
| 2 dicembre 2027 | Obblighi per i sistemi ad alto rischio "stand-alone" dell'Allegato III (rinviati dal 2 agosto 2026) |
| 2 agosto 2028 | Obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati dell'Allegato I (rinviati dal 2 agosto 2027) |
Un dettaglio che vale più del rinvio stesso: la proposta iniziale della Commissione legava le nuove date alla disponibilità delle norme armonizzate. Nel testo finale quel meccanismo è stato eliminato: le date sono ora incondizionate. Chi conta su un ulteriore slittamento sta facendo una scommessa, non un piano.
Cosa scatta davvero il 2 agosto 2026
Tre cose, tutte operative:
- Trasparenza (art. 50) — chi mette sul mercato o usa chatbot, sistemi di riconoscimento delle emozioni o generatori di contenuti sintetici deve rispettare gli obblighi di informazione e marcatura per i sistemi immessi da questa data (per quelli già sul mercato la marcatura dei contenuti scatta il 2 dicembre 2026).
- Vigilanza — le autorità nazionali di vigilanza del mercato acquisiscono pieni poteri, e ogni Stato membro deve avere almeno una sandbox regolamentare operativa.
- Sanzioni — il quadro sanzionatorio, applicabile sulla carta dal 2 agosto 2025, diventa pienamente azionabile; da questa data la Commissione può inoltre irrogare le sanzioni ai fornitori di modelli GPAI (art. 101).
In altre parole: il 2 agosto 2026 non arriva l'onda degli obblighi sull'alto rischio, ma arriva chi controlla.
Le sanzioni: quanto si rischia
L'art. 99 del Regolamento (UE) 2024/1689 fissa tre fasce, per ciascuna delle quali si applica l'importo più alto tra cifra fissa e percentuale del fatturato mondiale annuo:
- fino a 35 milioni di euro o al 7% — violazione dei divieti dell'art. 5;
- fino a 15 milioni di euro o al 3% — violazione degli obblighi di fornitori, deployer, importatori, distributori e organismi notificati, inclusa la trasparenza dell'art. 50;
- fino a 7,5 milioni di euro o all'1% — informazioni scorrette, incomplete o fuorvianti alle autorità.
Per PMI e start-up vale la regola inversa: si applica il più basso tra i due importi. Nel decidere la sanzione le autorità devono considerare gravità e durata della violazione, dimensione dell'operatore, cooperazione e intenzionalità: arrivare a un'ispezione con un inventario dei sistemi AI e un fascicolo documentale ordinato non è un dettaglio estetico, è un fattore di mitigazione.
Chi vigila in Italia: AgID, ACN e Garante
L'Italia si è mossa prima di molti altri Stati membri con la legge 23 settembre 2025, n. 132, la legge nazionale sull'intelligenza artificiale:
- AgID è l'autorità di notifica: accredita e vigila gli organismi incaricati di verificare la conformità dei sistemi AI, oltre a promuovere lo sviluppo dell'IA;
- ACN (Agenzia per la cybersicurezza nazionale) è l'autorità di vigilanza del mercato, con poteri ispettivi e sanzionatori;
- restano ferme le competenze delle autorità di settore (Banca d'Italia, Consob, IVASS) e del Garante privacy: quando un sistema AI tratta dati personali, il GDPR continua ad applicarsi in parallelo.
A giugno 2026 il Consiglio dei ministri ha approvato in esame preliminare i decreti attuativi della delega: definiscono poteri e procedure delle autorità, il regime sanzionatorio nazionale e una sandbox italiana gestita da AgID e ACN. L'iter non è concluso, ma la direzione è chiara: il sistema dei controlli si sta accendendo adesso.
Il rinvio non è una pausa: cosa fare ora
Se la tua azienda sviluppa o usa sistemi candidati all'alto rischio, il rinvio al 2027/2028 è tempo utile, non tempo libero. Tre mosse concrete:
- Chiudi ciò che è già obbligatorio: alfabetizzazione AI, rispetto dei divieti, trasparenza verso utenti e destinatari dei contenuti generati.
- Congela l'inventario e la classificazione dei sistemi AI in uso: è il prerequisito di qualunque piano (ne abbiamo scritto nella checklist per le PMI).
- Pianifica l'alto rischio a ritroso dal 2 dicembre 2027: sistema di gestione del rischio, data governance, documentazione tecnica e sorveglianza umana non si improvvisano in un trimestre.
Da dove partire
Il modo più rapido per capire se il nuovo calendario ti allarga o ti stringe i tempi è un gap assessment indipendente: una fotografia di dove sei rispetto al Regolamento e alla legge 132/2025, con priorità, responsabili e date. È il primo passo per arrivare davanti alle autorità — europee o italiane — con un piano, non con una giustificazione.