Negli ultimi mesi, intorno all’AI Act, il dibattito si è concentrato su una sola parola: rinvio. Il pacchetto europeo che la stampa ha ribattezzato Digital Omnibus ha spostato in avanti gli obblighi più pesanti, quelli sui sistemi ad alto rischio e molte imprese ne hanno tratto una conclusione comoda: se ne riparla nel 2027, per ora si può aspettare. È la lettura che fa perdere più tempo. Il 2 agosto 2026 resta una data che conta, ma non per le ragioni che circolano. Una parte degli obblighi non slitta affatto, il rinvio non è ancora legge definitiva e la cosa che davvero conviene fare non dipende da quale delle due scadenze prevarrà.
Cosa è già entrato in vigore e cosa è slittato
Conviene partire da un fatto che il rumore sul rinvio tende a coprire: l’AI Act, il Regolamento europeo 2024/1689, è in vigore dal 1° agosto 2024 e si applica per gradi. Alcune regole sono già in vigore. Dal 2 febbraio 2025 sono vietate le pratiche di IA inaccettabili, come il punteggio sociale e certe forme di manipolazione ed è scattato l’obbligo di alfabetizzazione, cioè di assicurarsi che chi usa questi sistemi in azienda sappia cosa sta usando. Dal 2 agosto 2025 sono operativi gli obblighi sui modelli di IA per finalità generali, la governance e, soprattutto, il regime delle sanzioni: fino a 35 milioni di euro o il 7% del fatturato mondiale per chi usa le pratiche vietate, fino a 15 milioni o il 3% per la violazione degli altri obblighi.
Il vero oggetto del rinvio è un altro: i sistemi ad alto rischio. Sono quelli elencati nell’Allegato III, cioè software per la selezione del personale e lo screening dei curriculum, sistemi di credit scoring, strumenti per la valutazione scolastica, identificazione biometrica. Per questi, gli obblighi pesanti dovevano partire il 2 agosto 2026. Il Digital Omnibus, proposto dalla Commissione il 19 novembre 2025 e arrivato a un accordo politico il 7 maggio 2026, li sposta in avanti, con una data ultima fissata al 2 dicembre 2027, e rinvia al 2028 quelli legati ai prodotti dell’Allegato I.
C’è però un dettaglio che cambia tutto il ragionamento. Alla data di oggi quell’accordo non è ancora legge definitiva: l’adozione formale è attesa per l’estate, prima della scadenza, ma finché non è pubblicata, gli obblighi originari restano in calendario. Contare sul rinvio prima che sia legge, in questo quadro, resta un azzardo.
Cosa il 2 agosto 2026 porta comunque
Mentre l’attenzione era sul rinvio dell’alto rischio, è passata in secondo piano la parte che il 2 agosto 2026 porta con sé in ogni caso. La più trasversale è la trasparenza dell’articolo 50 e riguarda moltissime imprese che si considerano fuori dal perimetro. Da quella data un chatbot deve dichiarare di essere un sistema automatico e i contenuti generati o manipolati con l’IA, dai testi alle immagini ai deepfake, devono essere marcati come artificiali in modo riconoscibile. Per i sistemi già sul mercato è previsto un breve periodo di adattamento sulla marcatura, ma la direzione è quella e tocca chiunque usi strumenti generativi nella comunicazione, nel marketing, nel servizio clienti.
A questo si aggiunge ciò che è già operativo: il divieto delle pratiche inaccettabili, l’obbligo di alfabetizzazione del personale, le sanzioni. Dal 2 dicembre 2026 arrivano poi due nuovi divieti, sul materiale intimo non consensuale e sul materiale pedopornografico generati con l’IA. E sul fronte italiano la legge 132 del 2025 ha già adeguato l’ordinamento, introdotto il reato di deepfake all’articolo 613-quater del codice penale e rafforzato il legame tra l’uso dell’IA e il Modello 231, la responsabilità da reato dell’impresa.
Resta il nodo dell’alto rischio per chi quei sistemi li usa davvero. Anche ammesso che il rinvio diventi definitivo, la conformità non è un adempimento documentale dell’ultimo minuto: richiede sistemi di gestione del rischio, governance dei dati, sorveglianza umana, tracciabilità, documentazione tecnica, valutazioni di conformità. Un percorso completo di adeguamento per un sistema ad alto rischio richiede tra gli otto e i quattordici mesi e chi aspetta la certezza del rinvio si gioca proprio il tempo che gli servirebbe.
Le mosse che valgono in entrambi gli scenari
La buona notizia è che le azioni utili sono le stesse sia che il rinvio arrivi, sia che salti. Si costruisce per strati, partendo da ciò che non cambia.
- La prima mossa è l’inventario. Mappare ogni sistema di IA usato, in sviluppo o già realizzato, e classificarlo per ruolo (l’impresa è fornitore, utilizzatore o importatore?) e per livello di rischio (vietato, alto, limitato, minimo). Sono quattro-otto settimane di lavoro che da sole producono una consapevolezza che oggi a molte aziende manca: spesso non si sa nemmeno quanti strumenti di IA siano già entrati nei processi aziendali.
- La seconda è coprire subito ciò che non slitta. Verificare di non usare pratiche vietate, formare chi opera con questi sistemi per assolvere l’obbligo di alfabetizzazione, mettere a norma la trasparenza dell’articolo 50 dichiarando i chatbot e marcando i contenuti generati. Sono adempimenti a costo contenuto che evitano la fascia di sanzioni più aggressive.
- La terza è la governance integrata. L’IA non vive isolata: si interseca con la protezione dei dati, con la sicurezza informatica e con il Modello 231. Un’impresa che tiene questi fronti in compartimenti separati moltiplica costi e punti ciechi.
- La quarta, per chi usa o svilupperà sistemi ad alto rischio, è progettare in maniera conforme fin dall’inizio. Integrare tracciabilità e sorveglianza umana in fase di progetto costa una frazione del rifacimento successivo e gli organismi che certificano questi sistemi hanno già agende sature.
Quando conviene impostare il percorso
Se l’azienda usa software di selezione del personale, scoring, strumenti generativi nella comunicazione o sistemi che incidono su decisioni rilevanti per le persone, la scadenza di agosto non è un tema da rimandare a dopo il chiarimento sul rinvio. Una mappatura iniziale dei sistemi e degli obblighi che li riguardano, fatta nelle prossime settimane, dice con precisione cosa è già dovuto e cosa può attendere, senza scommettere sull’incertezza normativa. Lo Studio Legale VDS, attraverso il dipartimento di compliance e nuove tecnologie e in raccordo con l’Ufficio Legale in Outsourcing, può accompagnare l’inventario dei sistemi e l’impostazione del percorso di conformità.
