Obblighi trasparenza AI Act, Digital Omnibus AI Act, sanzioni AI Act PMI, ACN AgID AI Act
Se hai letto in giro che il 2 agosto 2026 “scatta l’AI Act”, hai in mano solo mezza informazione — e rischi di prepararti alla cosa sbagliata. Negli ultimi mesi il quadro è cambiato: una parte degli obblighi che dovevano diventare pienamente operativi quel giorno è stata rinviata, mentre un’altra parte, meno raccontata ma più urgente per la maggior parte delle aziende, resta confermata.
Se usi strumenti di intelligenza artificiale nella tua azienda — anche solo un chatbot sul sito o un tool che genera contenuti — questa distinzione determina cosa devi fare davvero da qui alle prossime settimane, e cosa invece puoi permetterti di pianificare con più calma.
Cosa succede davvero il 2 agosto 2026
La parte confermata riguarda gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. In pratica: se la tua azienda usa un sistema di intelligenza artificiale che interagisce con persone (un chatbot, un assistente vocale), genera contenuti sintetici (testo, immagini, audio, video) o produce contenuti che potrebbero sembrare reali (deepfake), da questa data devi renderlo riconoscibile in modo chiaro a chi lo usa o lo vede.
Non è un dettaglio burocratico: la Commissione Europea ha pubblicato le linee guida definitive su questo punto il 20 luglio 2026, e le violazioni sono sanzionabili — fino a 15 milioni di euro o il 3% del fatturato globale annuo, a seconda di quale valore sia più alto (soglie ridotte per le PMI).
Insieme alla trasparenza, dal 2 agosto diventa pienamente operativo anche il regime sanzionatorio nazionale e parte ufficialmente la sorveglianza di mercato da parte delle autorità italiane. Da questo momento, in altre parole, i controlli non sono più solo teorici.
Il Digital Omnibus: cosa slitta, e a quando
La parte che invece NON scatta più il 2 agosto — e che spiega la confusione in giro — riguarda i sistemi ad alto rischio (quelli elencati nell’Allegato III del Regolamento: selezione del personale, accesso al credito, alcuni usi in ambito sanitario o educativo, tra gli altri).
Il 29 giugno 2026 il Consiglio dell’Unione Europea ha approvato in via definitiva il Digital Omnibus on AI, un pacchetto pensato per semplificare l’applicazione del Regolamento e ridurre il carico amministrativo sulle imprese. Tra le modifiche principali, gli obblighi per i sistemi ad alto rischio sono stati rinviati:
- 2 dicembre 2027 per i sistemi ad alto rischio “autonomi” (non incorporati in altri prodotti)
- 2 agosto 2028 per i sistemi ad alto rischio incorporati in prodotti già soggetti a normativa europea di armonizzazione
Anche l’obbligo specifico di marcatura tecnica dei contenuti generativi (il cosiddetto watermarking machine-readable) slitta dal 2 agosto al 2 dicembre 2026.
Restano invece invariati, perché già in vigore da tempo, i divieti sulle pratiche AI considerate inaccettabili e l’obbligo di alfabetizzazione AI del personale — quest’ultimo attivo già dal febbraio 2025.
Chi vigila in Italia, e cosa rischi
La Legge 132/2025 ha definito chi controlla cosa nel nostro Paese. L’ACN (Agenzia per la Cybersicurezza Nazionale) è l’autorità di vigilanza generale, con poteri ispettivi e sanzionatori. L’AgID (Agenzia per l’Italia Digitale) si occupa invece di notifica e accreditamento degli organismi che valutano la conformità dei sistemi AI. Per i settori regolamentati — banche, assicurazioni, finanza — restano competenti le rispettive autorità di settore (Banca d’Italia, Consob, Ivass), mentre il Garante Privacy mantiene le proprie competenze sui dati personali.
Le sanzioni seguono tre fasce, proporzionate alla gravità:
- Fino a 35 milioni di euro o il 7% del fatturato globale per l’uso di pratiche vietate
- Fino a 15 milioni o il 3% per le altre violazioni degli obblighi (inclusa la trasparenza)
- Fino a 7,5 milioni o l’1% per informazioni scorrette fornite alle autorità
Per le PMI le soglie sono proporzionalmente ridotte, ma l’esposizione — anche solo reputazionale, o in fase di partecipazione a bandi pubblici che richiedono conformità normativa — resta concreta.
Cosa deve fare davvero la tua azienda da qui al 2 agosto
Non serve una rivoluzione interna, ma serve mettere ordine, e farlo adesso — non a dicembre 2027, quando la scadenza sarà quella dei sistemi ad alto rischio.
Censisci gli strumenti AI che usi davvero. Chatbot sul sito, strumenti di generazione contenuti, assistenti vocali, sistemi che elaborano candidature o richieste dei clienti: se interagiscono con persone o generano contenuti sintetici, ricadono nell’obbligo di trasparenza del 2 agosto.
Rendi riconoscibile l’uso dell’AI dove serve. Un avviso chiaro su un chatbot, un’etichetta su un contenuto generato, un’istruzione interna per chi produce testi o immagini con strumenti AI: sono i primi passi concreti, non un progetto lungo mesi.
Conserva le evidenze. In caso di controllo, quello che conta è poter dimostrare le scelte fatte — non solo di averle fatte.
Se invece la tua azienda ha sistemi che potrebbero rientrare nell’alto rischio, il rinvio del Digital Omnibus non è un motivo per rimandare: è tempo in più per prepararsi con metodo, non per non prepararsi affatto.
In sintesi
Il 2 agosto 2026 non è “il giorno dell’AI Act” come racconta la narrazione più diffusa — ma non è nemmeno una data da ignorare. È il giorno in cui la trasparenza sull’uso dell’intelligenza artificiale diventa obbligatoria per la maggior parte delle aziende che la usano, con sanzioni reali dietro l’angolo, mentre gli obblighi più pesanti sui sistemi ad alto rischio hanno guadagnato tempo fino al 2027 e al 2028.
Conoscere la differenza tra le due cose è quello che permette di concentrare gli sforzi dove servono davvero, invece di rincorrere una scadenza sbagliata o, peggio, ignorarne una vera.
[Box CTA] Non sai ancora se la tua azienda rientra negli obblighi del 2 agosto? In oltre 25 anni di esperienza diretta su ogni livello del digitale, aiutiamo le aziende a capire dove si collocano rispetto all’AI Act e a mettere in ordine gli strumenti AI che già usano. Parliamone → [link contatti]
FAQ
❓ La mia azienda è obbligata a fare qualcosa entro il 2 agosto 2026? Se usi sistemi di intelligenza artificiale che interagiscono con persone o generano contenuti sintetici (testo, immagini, audio, video), sì: si applicano gli obblighi di trasparenza dell’articolo 50. Se non usi AI in questo modo, l’urgenza è minore.
❓ Cos’è il Digital Omnibus e perché cambia le scadenze? È un pacchetto di modifiche all’AI Act approvato dal Consiglio dell’Unione Europea il 29 giugno 2026, pensato per semplificare l’applicazione del Regolamento. Ha rinviato gli obblighi sui sistemi ad alto rischio al 2027-2028, senza toccare la trasparenza.
❓ Chi controlla il rispetto dell’AI Act in Italia? L’ACN (Agenzia per la Cybersicurezza Nazionale) ha i poteri di vigilanza e sanzione. L’AgID si occupa di notifica e accreditamento degli organismi di conformità. Per settori regolamentati restano competenti le autorità di settore.
❓ Quanto rischia una PMI che non rispetta gli obblighi di trasparenza? Le sanzioni per le violazioni degli obblighi (trasparenza inclusa) arrivano fino a 15 milioni di euro o il 3% del fatturato globale, con soglie ridotte per le PMI. Va considerato anche il rischio reputazionale e l’impatto su eventuali bandi pubblici.
