Il 2 agosto 2026 è la data che troverai citata in ogni newsletter di questo periodo, quasi sempre con lo stesso tono allarmato. Secondo una rilevazione dell'Istituto Italiano per l'Intelligenza Artificiale, a ridosso della scadenza l'83% delle PMI italiane non si è ancora mosso.
La buona notizia è che la scadenza è molto meno drammatica di come viene raccontata, perché il Digital Omnibus — approvato dal Consiglio UE — ha spostato in avanti la parte più pesante. La cattiva è che quello che resta riguarda praticamente chiunque usi un chatbot o generi contenuti con l'AI, quindi anche studi professionali e microimprese che pensavano di non essere coinvolti.
Questo articolo prova a separare le due cose.
Nota: questo è un articolo divulgativo scritto da chi sviluppa software, non una consulenza legale. Per una valutazione sul tuo caso specifico serve un legale.
Cosa scatta davvero il 2 agosto 2026
Due blocchi.
Primo: gli obblighi di trasparenza dell'articolo 50. Diventano pienamente applicabili. Sono quelli che toccano il maggior numero di aziende, perché non dipendono dal settore in cui operi ma da come usi l'AI.
Secondo: il quadro di governance e sanzioni. Le autorità nazionali entrano nella pienezza dei poteri. Fino a ieri l'AI Act era in gran parte una norma senza vigilanza operativa; da questa data non più.
Gli obblighi di trasparenza, in concreto
L'articolo 50 impone cinque cose. Le prime due sono quelle che riguardano quasi tutti:
- Se un sistema interagisce con persone, deve dichiarare di essere un'AI. Vale per chatbot, assistenti vocali, agenti conversazionali. L'eccezione è quando la natura artificiale è ovvia dal contesto — ma "ovvio" va inteso in senso stretto, non come scusa.
- I contenuti sintetici vanno marcati. Immagini, audio, video e testo generati artificialmente devono essere identificabili, in un formato leggibile da una macchina.
- I deepfake vanno dichiarati. Se pubblichi un contenuto che riproduce in modo realistico persone o eventi ma è generato o manipolato con l'AI, devi dirlo.
- I testi generati dall'AI e pubblicati per informare il pubblico su questioni di interesse pubblico vanno dichiarati. Attenzione: non si applica se c'è revisione editoriale umana con assunzione di responsabilità. Il blog aziendale medio, riletto e firmato da una persona, non rientra.
- I sistemi di riconoscimento delle emozioni o categorizzazione biometrica devono informare le persone esposte.
Se hai un chatbot sul sito, il punto 1 ti riguarda. Se generi immagini per i social, il punto 2. Se non fai né l'una né l'altra cosa, probabilmente sei fuori dal perimetro dell'articolo 50 — il che non significa essere fuori dall'AI Act, ma vicino.
Cosa invece è stato rinviato
Qui sta la differenza tra il panico da newsletter e la realtà. Il Digital Omnibus ha spostato gli obblighi sui sistemi ad alto rischio, che sono quelli davvero onerosi: documentazione tecnica, sistema di gestione del rischio, qualità dei dati, sorveglianza umana, robustezza e cybersecurity.
| Cosa | Quando si applica |
|---|---|
| Trasparenza (art. 50) | 2 agosto 2026 |
| Governance e sanzioni | 2 agosto 2026 |
| Alfabetizzazione IA (art. 4) | Già in vigore |
| Sistemi ad alto rischio autonomi | 2 dicembre 2027 |
| Alto rischio integrato in prodotti con normativa settoriale | 2 agosto 2028 |
Tradotto: se stavi rimandando l'analisi sui sistemi ad alto rischio, hai ancora oltre un anno. Se stavi rimandando la trasparenza sui chatbot, hai pochi giorni.
L'obbligo che quasi nessuno cita
L'articolo 4, sull'alfabetizzazione in materia di IA, è già applicabile e non è stato toccato dal Digital Omnibus. Dice che chi sviluppa o utilizza sistemi di IA deve garantire un livello sufficiente di competenza al personale che li usa.
Non serve un corso certificato. Serve poter dimostrare che chi usa questi strumenti in azienda sa cosa sta usando, con quali limiti e quali rischi. Una formazione interna documentata basta, e per uno studio di tre persone può essere mezza giornata verbalizzata.
Fornitore o utilizzatore: cambia tutto
L'errore più comune è leggere l'AI Act come se fosse un elenco unico di adempimenti. Non lo è: gli obblighi dipendono dal ruolo.
- Fornitore (provider): sviluppi un sistema di IA e lo immetti sul mercato con il tuo nome. Qui gli obblighi sono massimi.
- Utilizzatore (deployer): usi sotto la tua responsabilità un sistema sviluppato da altri. È il caso della stragrande maggioranza di professionisti e PMI.
- Distributore o importatore: metti a disposizione sul mercato UE sistemi altrui.
Se usi ChatGPT per scrivere email, un CRM con funzioni predittive o un assistente AI per rispondere ai clienti, sei un utilizzatore. I tuoi obblighi dal 2 agosto sono essenzialmente: dichiarare l'AI dove interagisce con le persone, marcare i contenuti sintetici quando li pubblichi, e formare chi la usa.
Attenzione a un caso di confine: se personalizzi pesantemente un sistema di terzi e lo offri ai tuoi clienti con il tuo marchio, puoi diventare fornitore. È la situazione tipica di chi rivende soluzioni AI in white label, e va valutata con un legale.
Come metterti in regola prima del 2 agosto
Cinque passaggi. Per una realtà piccola è il lavoro di un pomeriggio, non di un progetto di compliance.
- Fai l'inventario dei sistemi di IA che usi. Tutti, non solo quelli evidenti: assistenti conversazionali, generatori di testo e immagini, funzioni AI dentro il gestionale, strumenti di trascrizione, filtri antispam evoluti. Per ciascuno annota fornitore, finalità e chi lo usa.
- Determina il tuo ruolo per ciascun sistema. Nella quasi totalità dei casi sarai utilizzatore. Segna a parte quelli che offri ai clienti con il tuo marchio: sono i soli su cui serve un approfondimento.
- Metti la dichiarazione dove l'AI parla con le persone. Se hai un chatbot sul sito o un assistente che risponde ai clienti su WhatsApp, deve essere chiaro che è un'AI. Una riga nel messaggio di benvenuto risolve il 90% dei casi.
- Definisci una regola interna sui contenuti generati. Chi pubblica cosa, cosa va marcato, cosa passa dalla revisione umana. Mettila per iscritto: in caso di controllo, una procedura documentata vale molto più di una prassi orale.
- Documenta la formazione del personale. Anche minima, anche interna. Data, partecipanti, argomenti. È l'articolo 4, ed è già in vigore.
Fatto questo, sei nella condizione della gran parte delle PMI conformi. Il resto — valutazioni sui sistemi ad alto rischio — ha tempo fino a dicembre 2027.
Le sanzioni
I massimali fanno notizia: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo. Vanno però contestualizzati, perché quel tetto riguarda le pratiche vietate dell'articolo 5 — manipolazione subliminale, social scoring, sfruttamento di vulnerabilità. Non è lo scenario di uno studio commercialista che usa un assistente per le email.
Per le violazioni degli obblighi degli operatori i massimali sono più bassi, e il regolamento prevede espressamente che per PMI e startup si tenga conto della dimensione dell'impresa nella determinazione dell'importo.
Il rischio realistico per una piccola realtà non è la multa da record. È il combinato con il GDPR: se il tuo chatbot tratta dati personali senza informativa adeguata, il problema non arriva dall'AI Act ma dal Garante — che, come si è visto con Replika e Character.AI, su questi temi interviene.
Cosa abbiamo dovuto fare noi
Full disclosure: sviluppiamo un assistente AI, quindi siamo fornitori e questi obblighi ci riguardano in pieno. Raccontiamo cosa abbiamo fatto perché è più utile di un elenco astratto.
Il punto più impegnativo è stato il primo dell'articolo 50, e non per ragioni tecniche. Quando costruisci un assistente conversazionale con una personalità, la tentazione di lasciarlo "stare nel personaggio" anche quando gli chiedono se è umano è forte: rende il prodotto più immersivo.
Abbiamo scelto il contrario, e l'abbiamo reso una regola non aggirabile: nessuno dei sei companion può negare di essere un'AI, in nessun contesto, nemmeno durante una conversazione di ruolo. Se glielo chiedi, te lo dice.
Sul resto: server nell'Unione europea, conversazioni escluse dall'addestramento dei modelli, informativa accessibile dal prodotto. I dettagli tecnici sono in Sicurezza e I tuoi dati.
Se ti serve un assistente per il lavoro che parta già da questi presupposti, la panoramica per professionisti è in AI per aziende.
FAQ
Devo fare qualcosa entro il 2 agosto 2026 se uso solo ChatGPT per lavoro?
Poco, ma non zero. Se usi l'AI internamente e non pubblichi contenuti sintetici né gestisci chatbot rivolti al pubblico, l'articolo 50 ti tocca marginalmente. Resta l'articolo 4 sull'alfabetizzazione, già in vigore: assicurati che chi usa questi strumenti sia formato e documentalo.
Gli obblighi sui sistemi ad alto rischio sono stati cancellati?
No, rinviati. Il Digital Omnibus li ha spostati al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per quelli integrati come componenti di sicurezza in prodotti già regolati da normativa settoriale.
Il mio chatbot deve dire di essere un'AI?
Sì, se interagisce con persone fisiche e la sua natura artificiale non è evidente dal contesto. In pratica: mettilo nel messaggio di benvenuto e fai in modo che risponda in modo veritiero se qualcuno glielo chiede direttamente.
Devo etichettare gli articoli del blog scritti con l'AI?
L'obbligo riguarda i testi pubblicati per informare il pubblico su questioni di interesse pubblico, e non si applica se c'è revisione editoriale umana con assunzione di responsabilità. Un contenuto riletto, corretto e firmato da una persona è fuori dall'obbligo. Restano le regole delle piattaforme, che sono un'altra cosa.
Le sanzioni da 35 milioni si applicano anche a una piccola impresa?
Quel massimale riguarda le pratiche vietate dell'articolo 5, non gli obblighi ordinari. Per le altre violazioni i tetti sono più bassi e il regolamento impone di considerare la dimensione dell'impresa. Il rischio concreto per una PMI passa più dal GDPR che dall'AI Act.
Sono fornitore o utilizzatore se rivendo un servizio AI ai miei clienti?
Dipende da come lo fai. Se lo rivendi così com'è, resti distributore. Se lo personalizzi in modo sostanziale e lo offri con il tuo marchio, puoi qualificarti come fornitore e assumerti obblighi molto più estesi. È il caso tipico da far valutare a un legale.
