AI Act: la scadenza del 2 agosto 2026 e' passata. Che cosa e' obbligatorio adesso

La data intorno a cui si e' costruita meta' della comunicazione sull'AI Act e' passata, e nel frattempo il quadro e' cambiato: il regolamento di modifica noto come Digital Omnibus ha spostato in avanti una parte degli obblighi. Ecco che cosa e' esigibile oggi e che cosa no.

Che cosa e' in vigore adesso

• Divieto delle pratiche inaccettabili, dal 2 febbraio 2025.
• Obbligo di alfabetizzazione del personale che usa sistemi di AI, dalla stessa data.
• Obblighi sui modelli per finalita' generali e impianto sanzionatorio, dal 2 agosto 2025.
• Applicabilita' generale e obblighi di trasparenza verso le persone, dal 2 agosto 2026.

Che cosa e' stato rinviato

Il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ha differito l'applicazione degli obblighi sui sistemi ad alto rischio: 2 dicembre 2027 per i sistemi autonomi elencati nell'allegato, 2 agosto 2028 per quelli che sono componenti di sicurezza di prodotti gia' regolati.

Va letta per quello che e': sono state spostate le scadenze piu' lontane e lasciate in piedi quelle che riguardano tutti. Se qualcuno vi ha detto che «l'AI Act e' slittato», vi ha riferito meta' della notizia.

I dieci adempimenti, in ordine di urgenza

1. Registro dei sistemi in uso. Per ciascuno: nome, fornitore, a che cosa serve, che dati tratta, chi ne risponde, classificazione. Un foglio basta, ma deve esistere — ed e' il documento che nessuno ha.
2. Formazione documentata di chi usa questi sistemi. Obbligo gia' esigibile, e prova della vostra diligenza.
3. Regola interna d'uso: strumenti ammessi, dati che non escono, come si adotta uno strumento nuovo, a chi si segnala un problema.
4. Trasparenza verso le persone: assistenti che si dichiarano, contenuti generati marcati come tali.
5. Valutazione d'impatto dove il trattamento la richiede. Il criterio e' in Valutazione d'impatto: quando serve e che cosa contiene.
6. Supervisione umana effettiva dove il sistema incide su decisioni che riguardano persone: chi, con quanto tempo, con il potere reale di dissentire.
7. Registro degli incidenti: quando un sistema sbaglia in modo significativo, si annota. Serve a voi prima che a un controllo.
8. Verifica dei contratti con i fornitori: trattamento dei dati, trasferimenti fuori dall'Unione, uso per l'addestramento, ripartizione delle responsabilita'.
9. Coordinamento con il GDPR. Il regolamento sull'AI non lo sostituisce: si aggiunge. Cio' che fate con l'AI deve reggere anche sul piano della protezione dei dati.
10. Un referente interno, anche a tempo parziale, che tenga insieme le nove cose sopra. Non e' obbligatorio; senza, nessuna delle altre resta aggiornata.

Le sanzioni, e la soglia citata sempre male

Il regolamento prevede piu' fasce. La piu' alta — fino a 35 milioni di euro o al 7% del fatturato mondiale — riguarda le pratiche vietate. Per la violazione degli altri obblighi degli operatori la soglia massima e' inferiore, e per le informazioni inesatte fornite alle autorita' e' piu' bassa ancora.

E' un punto su cui vale la pena essere precisi, perche' la cifra piu' grande viene attribuita un po' a tutto, compreso l'obbligo di formazione. Chi vi vende un corso citando i 35 milioni vi sta dando un'informazione sbagliata: l'obbligo esiste davvero e non ha bisogno di essere gonfiato.

Se siete una PMI

Il regolamento non esenta per dimensione. Prevede alcune semplificazioni e un approccio proporzionato, ma i quattro adempimenti in cima all'elenco valgono anche per un'azienda di dieci persone, e si esauriscono in una giornata di lavoro. L'inquadramento per ruolo — fornitore o utilizzatore — e' in AI Act: che cosa deve fare davvero la vostra azienda.