AI Act, dal 2 agosto debuttano la vigilanza e i doveri di trasparenza

Possibili le multe contro le infrazioni. Ma con il Digital Omnibus slitta al 2027 e al 2028 l’applicazione degli obblighi per sistemi ad alto rischio

Domenica prossima doveva essere la data del “big bang” dell’intelligenza artificiale europea. Il 2 agosto 2026 era infatti il giorno previsto per l’applicazione generale dell’AI Act (regolamento Ue 2024/1689), con la partenza degli obblighi sui sistemi ad alto rischio.

Il Digital Omnibus, approvato in via definitiva dal Consiglio Ue il 29 giugno scorso, ha però riscritto il calendario: le regole per i sistemi dell’Allegato III, usati in ambiti sensibili come selezione del personale, credito, istruzione e biometria, slittano al 2 dicembre 2027; quelle per l’Ai integrata nei prodotti dell’Allegato I, come dispositivi medici e macchine, al 2 agosto 2028. La pubblicazione nella Gazzetta Ufficiale dell’Unione europea è attesa entro luglio.

Ma il rinvio non è un “liberi tutti”: dal prossimo 2 agosto, infatti, le autorità di vigilanza entrano in funzione, debuttano gli obblighi di trasparenza e la Commissione Ue può multare i grandi modelli.

E il primo banco di prova per imprese e studi è un obbligo in vigore da un anno e mezzo: la formazione.

Possibili i controlli sull’alfabetizzazione

L’articolo 4 dell’AI Act chiede a chi sviluppa sistemi di intelligenza artificiale (i fornitori) e a chi li utilizza sotto la propria autorità (i deployer: in pratica, chiunque impiega a scopo professionale l’intelligenza artificiale) di assicurare al personale un livello adeguato di alfabetizzazione sull’Ai, proporzionato al ruolo, al contesto d’uso e ai rischi.

L’obbligo è in vigore dal 2 febbraio 2025, ma finora è rimasto senza controllore: è dal 2 agosto 2026 che le autorità nazionali di vigilanza diventano operative e possono verificarne l’adempimento.

Il Digital Omnibus ha ora ammorbidito la formula: ai fornitori e i deployer dei sistemi di Ai è richiesto di adottare non più «misure per garantire» un livello sufficiente di alfabetizzazione del personale, come prevedeva l’AI Act, ma «misure volte a sostenere lo sviluppo» dell’alfabetizzazione del personale. E la violazione del nuovo obbligo non comporterà una sanzione pecuniaria diretta.

Il peso dell’obbligo, però, si misura altrove: in caso di danno, contenzioso o ispezione, la formazione documentata è la prima prova di diligenza dell’organizzazione. È quindi necessario un piano tracciabile, che mappi chi usa quali sistemi, preveda moduli differenziati per funzione e rischio, registri le attività e si aggiorni nel tempo.

Obbligo di dichiarare chatbot e deepfake

Gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act restano ancorati al 2 agosto 2026.

Da domenica prossima chi fornisce sistemi di intelligenza artificiale che interagiscono con le persone deve renderne riconoscibile la natura artificiale, perché l’utente sia a conoscenza del fatto che sta parlando con un chatbot, salvo che sia evidente.

Inoltre, chi impiega sistemi di riconoscimento delle emozioni o sistemi di categorizzazione biometrica deve informare gli interessati. E chi usa l’Ai per creare deepfake o per generare testi pubblicati per informare il pubblico su questioni di interesse pubblico deve dichiararlo.

L’unico alleggerimento concesso dal Digital Omnibus riguarda il watermarking, ossia la marcatura, leggibile dalle macchine, dei contenuti sintetici generati dall’intelligenza artificiale: l’obbligo di adozione viene infatti rinviato di quattro mesi, al 2 dicembre 2026, per i sistemi già sul mercato.

Scatta dal 2 dicembre 2026 anche il nuovo divieto di impiego dell’intelligenza artificiale introdotto dal Digital Omnibus: diventano fuori legge i sistemi che generano immagini intime non consensuali (i cosiddetti nudifier) o materiale pedopornografico, salvo adeguate salvaguardie tecniche.

Scattano i poteri sanzionatori

I fornitori di modelli di intelligenza artificialeper finalità generali (Gpai, che sono alla base dei principali chatbot) devono osservare già dal 2 agosto 2025 gli obblighi di documentazione, trasparenza e rispetto del diritto d’autore.

Ciò che cambia dal 2 agosto 2026 è la possibilità di farli valere: la Commissione Ue, tramite l’Ai Office, potrà chiedere informazioni, valutare i modelli, imporre misure correttive e multe fino a 15 milioni di euro o al 3% del fatturato mondiale annuo (35 milioni o 7% per le pratiche vietate).

L’enforcement sui grandi modelli parla dunque la lingua di Bruxelles; il resto della vigilanza passa dalle autorità nazionali, ed è qui che si apre il cantiere italiano.

In Italia nuovi reati e responsabilità «231»

La cornice italiana c’è già: la vigilanza spetta all’Agenzia per la cybersicurezza nazionale, con Garante privacy, Banca d’Italia, Consob e Ivass nei rispettivi settori. Il 10 giugno scorso il Consiglio dei ministri ha approvato in via preliminare i due decreti attuativi che completano il disegno: il primo riguarda poteri delle autorità, sanzioni, sperimentazione, formazione e lavoro; il secondo è relativo all’uso dell’Ai nelle attività di polizia e responsabilità civile e penale.

La direzione è netta, e passa dal diritto penale. Si prepara il debuttodell’articolo 437-bis del Codice penale, che punisce chi omette le misure di sicurezza sui sistemi di Ai ad alto rischio creando un pericolo concreto per le persone. E i reati legati all’Ai entrano nel catalogo della responsabilità degli enti, disciplinata dal decreto legislativo 231/2001, che espone l’impresa a sanzioni proprie quando il reato è commesso nel suo interesse: vi figurano il nuovo articolo 437-bis e il deepfake illecito (articolo 612-quater del Codice penale), reato già dal 2025. Per le aziende il messaggio è uno: i modelli organizzativi 231 vanno aggiornati al rischio Ai.

Così si impiega il tempo guadagnato

Per chi assiste le imprese il tempo guadagnato con i rinvii va investito. Primo cantiere: censire i sistemi di Ai in uso e classificarli per rischio. L’Omnibus conferma una regola chiave: se il fornitore (chi immette il sistema sul mercato) ritiene che un sistema usato negli ambiti dell’Allegato III non sia ad alto rischio, perché privo di effetti significativi su salute, sicurezza o diritti, deve documentare l’autovalutazione e, quando a fine 2027 scatterà quel regime, registrarla nella banca dati europea dei sistemi ad alto rischio, in gran parte pubblica. Si registra dunque solo l’autovalutazione di chi invoca l’eccezione: una presa di posizione su cui le autorità potranno orientare i controlli. Lo stesso censimento serve a presidiare gli obblighi di trasparenza e a preparare la documentazione che il regime dell’alto rischio richiederà ai clienti.

ll combinato disposto di AI Act e Digital Omnibus definisce le nuove date per l’entrata in vigore a pieno regime delle norme sull’intelligenza artificiale.

 2 febbraio 2025

È in vigore da questa data l’obbligo di formazione del personale sull’Ai.

2 agosto 2026

Scatta la possibilità per le autorità di vigilanza di verificare l’adempimento dell’obbligo di formazione del personale. Si applicano gli obblighi di trasparenza su chatbot e deepfake.

La Commissione può sanzionare i fornitori di modelli Gpai fino a 15 milioni di euro o al 3% del fatturato mondiale annuo.

2 dicembre 2026

Parte l’obbligo di watermarking per i sistemi già sul mercato. Fuori legge i sistemi di Ai che generano immagini intime non consensuali (nudifier).

2 dicembre 2027

È la nuova data di applicazione degli obblighi relativi ai sistemi di Ai ad alto rischio previsti dall’Allegato III dell’AI Act (come selezione del personale, credito, istruzione e biometria).

2 agosto 2028

Si applicano gli obblighi anche ai sistemi di Ai integrati nei prodotti dell’Allegato I (come dispositivi medici e macchine).