Il 2 agosto 2026 era la data scritta nell'AI Act sin dalla sua pubblicazione, nel 2024: il giorno in cui il grosso del regolamento sarebbe diventato applicabile. È arrivata. Ma sei giorni prima è entrato in vigore un altro regolamento — il Regolamento (UE) 2026/1744, l'"Omnibus digitale sull'IA" — che ha riscritto il calendario.
Il risultato è un quadro che nessuno dei riassunti circolati nei mesi scorsi descrive correttamente. Vale la pena mettere in fila cosa è applicabile oggi, 4 agosto 2026, e cosa no.
1. Cosa è scattato davvero
Dal 2 agosto è applicabile l'articolo 50, gli obblighi di trasparenza. In pratica:
- i sistemi che interagiscono direttamente con le persone — chatbot, assistenti vocali, agenti conversazionali — devono rendere riconoscibile il fatto di essere IA;
- i contenuti sintetici (testo, immagini, audio, video) e i deepfake vanno etichettati come tali;
- i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica richiedono un'informativa esplicita alle persone esposte.
Insieme alla trasparenza è arrivata la parte meno raccontata e più concreta: governance e sanzioni diventano operative. Le autorità nazionali entrano nel pieno dei poteri di vigilanza, mentre l'AI Office europeo mantiene la supervisione esclusiva sui modelli per finalità generali.
2. Il calendario riscritto
| Data | Cosa si applica |
|---|---|
| 2 ago 2026 | Trasparenza (art. 50), governance, sanzioni |
| 2 dic 2026 | Marcatura tecnica per i sistemi già sul mercato (art. 50, par. 2); nuovi divieti assoluti |
| 2 dic 2027 | Sistemi ad alto rischio autonomi (Allegato III) |
| 2 ago 2028 | Alto rischio integrato in prodotti regolati (dispositivi medici, macchinari, giocattoli) |
Il rinvio più rilevante riguarda l'Allegato III: IA usata in ambito lavorativo, istruzione, valutazione del credito, forze dell'ordine, infrastrutture critiche. Doveva essere l'evento del 2 agosto 2026, è slittato al 2 dicembre 2027. Chi aveva pianificato la conformità su quella data ha guadagnato sedici mesi.
Vale la pena ricordare l'iter, perché spiega la fretta: proposta della Commissione il 19 novembre 2025, accordo in trilogo il 7 maggio 2026, voto del Parlamento europeo il 16 giugno, via libera definitivo del Consiglio il 29 giugno, pubblicazione in Gazzetta il 24 luglio, entrata in vigore il 27. Sei giorni di margine sulla scadenza che il regolamento stesso andava a spostare.
3. Perché il rinvio non è un liberi tutti
Due ragioni.
La prima: le sanzioni sulla trasparenza sono già pienamente esigibili, e non sono simboliche — fino a 15 milioni di euro o il 3% del fatturato mondiale annuo. L'articolo 50 è anche l'obbligo con il perimetro più largo di tutto il regolamento: non tocca solo chi sviluppa modelli, ma qualunque azienda abbia messo un chatbot sul proprio sito o generi contenuti con l'IA per il marketing.
La seconda: il 2 dicembre 2026 arrivano nuovi divieti assoluti, introdotti dall'Omnibus e non presenti nel testo del 2024. Riguardano la generazione non consensuale di immagini intime realistiche e la produzione di materiale pedopornografico tramite IA. Su questi non c'è periodo transitorio.
4. Cosa cambia per chi gestisce l'infrastruttura
L'AI Act non regola i data center. Regola i sistemi che ci girano dentro — e questo, per un operatore di infrastruttura, produce tre effetti molto concreti.
Il compute entra nel fascicolo di conformità. I sistemi ad alto rischio devono garantire registrazione degli eventi, tracciabilità e conservazione della documentazione tecnica. Chi ospita l'addestramento o l'inferenza diventa il posto fisico in cui quei log vivono, con requisiti di integrità e retention che finiscono nei contratti, non nelle slide.
La catena di fornitura si allunga. Un fornitore di GPU-as-a-service non è il "provider" del sistema di IA ai sensi del regolamento, ma è parte della catena che il provider deve poter documentare. Le domande che ci arrivano dai clienti sono già cambiate: dove girano i workload, chi può accedervi, con quale giurisdizione sui dati.
Le tre normative convergono. AI Act sulla conformità dei sistemi, NIS2 sulla sicurezza della catena di fornitura, Cloud and AI Development Act sulla capacità e sui livelli di sovranità. Guardate insieme, spingono nella stessa direzione: compute europeo, contrattualizzato in modo verificabile. È esattamente il perimetro su cui è costruito il progetto Apulia Tech Hub.
5. La checklist di agosto
Per chi usa IA in azienda, cinque cose da fare adesso e non a dicembre:
- Inventariare i punti di contatto IA-utente — ogni chatbot, assistente e generatore di contenuti già in produzione
- Sistemare le informative: dichiarare l'IA dove interagisce, etichettare l'output sintetico
- Verificare la marcatura tecnica dei sistemi legacy in vista del 2 dicembre 2026
- Riclassificare il portafoglio rispetto all'Allegato III: il rinvio a dicembre 2027 va usato, non dimenticato
- Chiedere ai fornitori dove gira il compute e quali log sono garantiti per contratto
Sedici mesi di rinvio sull'alto rischio sono un regalo che si consuma in fretta. Il 2 agosto ha spostato una scadenza, non il problema.
Nota: questo articolo ha finalità informative e non costituisce consulenza legale. L'inquadramento dei singoli sistemi di IA va verificato con i propri advisor.