L'EU AI Act nel 2026: cosa è già in vigore e cosa ci aspetta
L'EU AI Act nel 2026: cosa è già in vigore e cosa ci aspetta
In breve
→ L’EU AI Act è in vigore da agosto 2024. Le pratiche vietate sono sanzionabili da febbraio 2025. Gli obblighi per i modelli GPAI sono in vigore da agosto 2025. → Il 2 agosto 2026 si attivano contemporaneamente tre elementi: i poteri sanzionatori per i modelli GPAI, gli obblighi di trasparenza previsti dall'Articolo 50 per gli agenti IA rivolti ai clienti e la piena autorità di vigilanza del mercato per i regolatori nazionali. → L'obbligo di trasparenza dell'Articolo 50 è il più immediato a livello operativo per la maggior parte delle aziende: qualsiasi sistema di IA che interagisce con utenti dell'UE deve dichiarare, fin dal primo momento di interazione, che si tratta di un'IA. Questo requisito si applica a partire dal 2 agosto 2026. → Un accordo provvisorio del 7 maggio 2026 sul Digital Omnibus ha raddoppiato i tempi per gli obblighi ad alto rischio dell'Allegato III, posticipandoli dal 2 agosto 2026 al 2 dicembre 2027. Questo non influisce sulle sanzioni GPAI né sui requisiti di trasparenza di agosto 2026. → Il divario di conformità è concreto: la maggior parte delle organizzazioni non dispone di inventari sistematici dei propri sistemi di IA. Le tre priorità immediate che devi affrontare sono: completare un inventario della tua IA, classificare i sistemi in base ai livelli di rischio e implementare i requisiti di trasparenza di agosto 2026 per gli agenti rivolti ai clienti. Aggiornato il 6 luglio 2026
L'EU AI Act è entrato in vigore ad agosto 2024. A due anni di distanza, il panorama normativo è cambiato in modo significativo. Diverse disposizioni sono già in vigore. Un accordo storico nel maggio 2026 ha rimodellato la timeline per l'IA ad alto rischio. E il 2 agosto 2026, a poche settimane di distanza al momento della stesura di questo articolo, rappresenta una data di applicazione davvero cruciale per la maggior parte delle imprese che distribuiscono l'IA nel o verso il mercato dell'UE.
Questo articolo illustra i punti già in vigore, i cambiamenti previsti per il 2 agosto 2026, il significato dell'accordo Digital Omnibus del maggio 2026 per le tempistiche dell'IA ad alto rischio e le azioni che i leader aziendali dovrebbero intraprendere per prepararsi.
Cosa è già in vigore
L'EU AI Act è entrato in vigore il 1° agosto 2024. Le pratiche vietate e gli obblighi di alfabetizzazione sull'intelligenza artificiale hanno preso il via il 2 febbraio 2025. Le regole di governance e gli obblighi per i fornitori di modelli di IA di uso generale (General Purpose AI - GPAI) sono diventati applicabili il 2 agosto 2025.
Ciò significa che ad oggi sono già operativi tre livelli di obblighi:
Pratiche vietate (in vigore da febbraio 2025): Otto categorie di utilizzo dell'IA sono del tutto vietate ai sensi dell'Articolo 5. Tra queste rientrano i sistemi di IA che manipolano il comportamento umano per eludere il libero arbitrio, i sistemi di social scoring, l'identificazione biometrica remota in tempo reale per le forze dell'ordine negli spazi pubblici, il riconoscimento delle emozioni nei luoghi di lavoro e negli istituti scolastici, e la categorizzazione biometrica utilizzata per dedurre caratteristiche protette. Qualsiasi azienda che utilizzasse sistemi di IA in queste categorie era tenuta a cessarne l'uso a partire da febbraio 2025.
Obblighi per i modelli GPAI (in vigore da agosto 2025): I fornitori di modelli di General Purpose AI — i modelli di base (foundation models) e i modelli linguistici di grandi dimensioni (LLM) alla base della maggior parte delle implementazioni di IA aziendali — sono soggetti a obblighi di documentazione, trasparenza e valutazione dei rischi sistemici da agosto 2025. A partire dal 2 agosto 2026, la Commissione potrà imporre sanzioni in caso di non conformità dei modelli GPAI. La sanzione massima è di 15 milioni di euro o del 3% del fatturato annuo globale, a seconda di quale sia il valore più alto.
Cosa cambia il 2 agosto 2026
Il 2 agosto 2026 è la singola data più importante rimasta nel calendario dell'Act. Tre meccanismi sanzionatori distinti si attiveranno contemporaneamente.
Applicazione delle sanzioni GPAI. La Commissione acquisirà pieni poteri sanzionatori sui fornitori di modelli GPAI a partire dal 2 agosto 2026. L'Ufficio per l'IA — l'organo della Commissione con competenza esclusiva sui modelli GPAI — avrà piena autorità investigativa da quella data, compresa la richiesta di documentazione, l'accesso ai modelli, le ispezioni in loco e le misure correttive.
Obblighi di trasparenza ai sensi dell'Articolo 50. Qualsiasi sistema di IA progettato per interagire con persone fisiche deve informare tali persone del fatto che stanno interagendo con un'IA fin dal primo momento del contatto. I sistemi di IA che rilevano emozioni o classificano gli utenti sulla base di dati biometrici devono informare gli utenti al momento dell'attivazione. I sistemi di IA immessi sul mercato dell'UE a partire dal 2 agosto 2026 che generano o manipolano contenuti audio, immagini o video sintetici dovranno integrare marcatori leggibili dal computer che identifichino i risultati come generati dall'IA.
Autorità di vigilanza del mercato. Le autorità nazionali di vigilanza del mercato acquisiranno pieni poteri d'indagine e sanzionatori a partire dal 2 agosto 2026.
Per le aziende che distribuiscono agenti di IA rivolti ai clienti nei mercati dell'UE, gli obblighi di trasparenza previsti dall'Articolo 50 rappresentano il requisito operativo più immediato. Qualsiasi chatbot, assistente virtuale o agente di supporto basato su IA che interagisce con i clienti dell'UE deve rivelare la propria natura fin dal primo contatto. Questo obbligo si applica a partire dal 2 agosto 2026, indipendentemente da dove si trovi la sede principale dell'organizzazione.
Cosa significa l'accordo Digital Omnibus del maggio 2026 per l'IA ad alto rischio
Lo sviluppo recente più significativo è l'accordo politico del 7 maggio 2026 sul Digital Omnibus relativo all'IA. I legislatori dell'UE hanno raggiunto un accordo provvisorio che differisce la scadenza per la conformità dei sistemi ad alto rischio — originariamente fissata per il 2 agosto 2026 — al 2 dicembre 2027 per i sistemi di IA ad alto rischio nuovi o sostanzialmente modificati elencati nell'Allegato III.
I sistemi ad alto rischio dell'Allegato III includono l'IA utilizzata per decisioni relative all'occupazione (assunzione, valutazione delle prestazioni, assegnazione dei compiti, monitoraggio dei lavoratori, promozioni e licenziamenti), credit scoring, accesso all'istruzione e gestione delle frontiere. Per le aziende che utilizzano l'IA nel contesto di HR, assunzioni o gestione delle prestazioni, questa proroga mette a disposizione ulteriore tempo di preparazione.
Tuttavia, si applicano alcune precisazioni importanti. L'Omnibus è un accordo provvisorio in attesa dell'adozione formale, prevista per luglio 18. Le aziende dovrebbero considerare il 2 dicembre 2027 come data di riferimento per la pianificazione degli obblighi legati all'Allegato III, monitorando al contempo l'approvazione formale. La proroga non influisce sugli obblighi relativi ai modelli GPAI o sui requisiti di trasparenza del 2 agosto 2026, entrambi i quali mantengono la loro tempistica originale.
Il framework basato sul rischio e cosa significa per l'IA aziendale
La struttura centrale dell'EU AI Act classifica i sistemi di IA in base al livello di rischio, con obblighi proporzionati ad esso.
I sistemi vietati affrontano un divieto assoluto su casi d'uso specifici, come descritto sopra.
I sistemi ad alto rischio ricompresi nelle categorie dell'Allegato III affrontano gli obblighi più estesi: valutazioni di conformità, documentazione tecnica, requisiti di governance dei dati, meccanismi di supervisione umana e registrazione nel database dell'UE sull'IA. La scadenza del 2 dicembre 2027 si applica ai sistemi dell'Allegato III nuovi o sostanzialmente modificati.
I sistemi a rischio limitato — che includono la maggior parte degli agenti di IA aziendali, compresi i chatbot rivolti ai clienti e i copilot di produttività interna — affrontano principalmente obblighi di trasparenza. L'obbligo di rivelare agli utenti che stanno interagendo con un'IA fin dal primo istante rappresenta il requisito principale per questa categoria, attivo dal 2 agosto 2026.
I sistemi a rischio minimo — motori di raccomandazione, filtri antispam, ricerca assistita da IA — non affrontano alcun obbligo vincolante.
La domanda pratica per la maggior parte dei leader aziendali non è se abbiano o meno a che fare con sistemi di IA vietati o a rischio minimo. Si tratta invece di capire se i loro agenti rivolti ai clienti e i copilot interni rientrino nella categoria a rischio limitato che richiede informative sulla trasparenza, o se qualcuno dei loro sistemi di IA tocchi le categorie ad alto rischio dell'Allegato III.
Cosa dovrebbero fare le aziende adesso
Il gap di conformità è un problema reale. Le analisi sulla preparazione delle imprese mostrano costantemente che la maggior parte delle organizzazioni non dispone di inventari sistematici dei sistemi di IA in produzione, rendendo impossibile la classificazione dei rischi e la pianificazione della conformità.
Ci sono tre azioni pratiche e immediate da intraprendere, indipendentemente dalla fase del ciclo di conformità in cui si trova l'organizzazione.
Completa un inventario dei sistemi di IA. Documenta ogni sistema di IA in produzione o in fase di sviluppo che interagisce con gli utenti dell'UE o opera nel mercato europeo. Per ogni sistema mappa: cosa fa, quali dati elabora, su quali decisioni influisce e chi lo utilizza. Questo inventario costituisce la base per qualsiasi lavoro di classificazione e conformità.
Classifica i sistemi in base ai livelli di rischio. Mappa ogni sistema inventariato rispetto alle categorie di rischio dell'Act. La maggior parte delle implementazioni di IA aziendali rientrerà nel rischio limitato (che richiede informative sulla trasparenza) o nel rischio minimo (nessun obbligo vincolante). I sistemi che richiedono un'attenta valutazione sono quelli che toccano le categorie dell'Allegato III: assunzioni e decisioni relative alle risorse umane, valutazione del credito e sistemi che prendono decisioni sull'accesso a servizi essenziali.
Implementa subito i requisiti di trasparenza previsti per agosto 2026. Per qualsiasi agente di IA rivolto ai clienti che interagisce con utenti nell'UE, l'obbligo di informativa si attiva il 2 agosto 2026. Si tratta di un requisito concreto e immediatamente operativo che non richiede una valutazione di conformità o documentazione tecnica — richiede semplicemente che l'agente informi gli utenti, all'inizio dell'interazione, che stanno parlando con un'IA. Se questo aspetto non è ancora implementato, ti consigliamo di provvedere prima del 2 agosto 2026.
Nebuly
Nebuly è la piattaforma di ROI per l'IA aziendale. Si connette agli agenti di IA su cui si basa il tuo business, agli assistenti con cui i tuoi clienti interagiscono e agli strumenti che i tuoi dipendenti utilizzano ogni giorno, tra cui Claude, ChatGPT e Copilot, e traduce questa attività in valore di business. Quanto tempo viene risparmiato nei vari team. Su quali ricavi influisce la tua IA. Come si presentano l'adozione e le competenze in materia di IA nella pratica, tra reparti e aree geografiche. Il tutto aggregato a livello aziendale, mai associato a singoli individui.
Nebuly supporta la distribuzione self-hosted su AWS, Azure e GCP, mantenendo tutti i dati di interazione all'interno della tua infrastruttura. Soddisfa gli standard SOC 2 Type II, ISO 27001 e ISO 42001.
Se hai bisogno di chiarezza su ciò che il tuo investimento nell'IA sta effettivamente offrendo, prenota una demo.
Domande frequenti
Quali obblighi dell'EU AI Act sono già in vigore nel 2026?
A metà del 2026, due ondate di obblighi dell'EU AI Act saranno già operative. La prima, in vigore da febbraio 2025, riguarda le pratiche di IA vietate ai sensi dell'Articolo 5 — otto categorie di utilizzo dell'IA totalmente proibite, come il riconoscimento delle emozioni sul luogo di lavoro, il social scoring e l'identificazione biometrica in tempo reale per le forze dell'ordine nei luoghi pubblici. La seconda, in vigore da agosto 2025, riguarda i fornitori di modelli GPAI — i modelli di base e i modelli linguistici di grandi dimensioni (LLM) che supportano l'IA aziendale. I fornitori di GPAI sono soggetti a obblighi di documentazione, trasparenza e valutazione del rischio sistemico ad agosto 2025.
Cosa succede il 2 agosto 2026?
Il 2 agosto 2026 si attiveranno tre meccanismi di sanzione. La Commissione acquisirà il potere di sanzionare i fornitori di modelli GPAI, con multe fino a un massimo di 15 milioni di euro o il 3% del fatturato annuo globale. Entreranno in vigore gli obblighi di trasparenza previsti dall'Articolo 50, che richiedono ai sistemi di AI che interagiscono con le persone fisiche di dichiarare, all'inizio dell'interazione, che si tratta di un'intelligenza artificiale: questo si applica a chatbot per i clienti, assistenti virtuali e agenti di supporto AI distribuiti nei mercati dell'UE. Inoltre, le autorità nazionali di vigilanza del mercato acquisiranno pieni poteri investigativi e sanzionatori. Per la maggior parte delle aziende, l'obbligo di trasparenza dell'Articolo 50 rappresenta la scadenza più immediata su cui agire.
Cosa ha cambiato l'accordo di maggio 2026 sul Digital Omnibus?
L'accordo provvisorio del 7 maggio 2026 sul Digital Omnibus ha posticipato la scadenza per la conformità ai sensi dell'Annex III per i sistemi ad alto rischio dal 2 agosto 2026 al 2 dicembre 2027, nel caso di sistemi di IA ad alto rischio nuovi o sostanzialmente modificati. I sistemi dell'Annex III includono l'IA utilizzata per le decisioni in materia di occupazione, la valutazione del merito creditizio, l'accesso all'istruzione e la gestione delle frontiere. Questa proroga offre alle aziende che utilizzano l'IA nelle risorse umane, nel reclutamento e nella gestione delle prestazioni circa 16 mesi in più per prepararsi. L'accordo non influisce sugli obblighi relativi ai modelli GPAI né sui requisiti di trasparenza previsti per agosto 2026, che rimangono invariati rispetto alla tabella di marcia originale.
Quali imprese sono maggiormente colpite dall'EU AI Act?
La legge si applica a qualsiasi organizzazione che sviluppi, distribuisca o utilizzi sistemi di IA all'interno dell'UE, o i cui sistemi di IA siano utilizzati nel mercato dell'UE, indipendentemente da dove si trovi la sede principale dell'organizzazione. Le aziende colpite più nell'immediato sono quelle che distribuiscono agenti IA rivolti ai clienti nei mercati UE (i requisiti di trasparenza dell'Articolo 50 si attiveranno il 2 agosto 2026), quelle che forniscono o distribuiscono modelli GPAI (l'applicazione delle sanzioni decorre dal 2 agosto 2026) e quelle i cui sistemi di IA rientrano nelle categorie ad alto rischio dell'Allegato III, comprese le decisioni sulle risorse umane, la valutazione del credito e l'accesso ai servizi essenziali.
Cosa dovresti fare in questo momento come leader aziendale per prepararti?
Tre azioni sono praticabili fin da subito. Primo: completa un inventario sistematico dei sistemi di intelligenza artificiale, documentando ogni sistema IA in produzione che coinvolga utenti dell'UE o operi nei mercati dell'UE. Senza questo inventario, la classificazione dei rischi è impossibile. Secondo: classifica ogni sistema in base ai livelli di rischio definiti dall'Act per identificare quali richiedono valutazioni di conformità (Allegato III), quali richiedono solo obblighi di trasparenza (rischio limitato) e quali non hanno obblighi vincolanti (rischio minimo). Terzo: implementa l'obbligo di trasparenza dell'Articolo 50 per qualsiasi IA rivolta ai clienti che interagisce con utenti dell'UE entro il 2 agosto 2026; questo non richiede alcuna valutazione di conformità, ma solo una notifica all'inizio di ogni interazione che informi l'utente che sta interagendo con un'IA.
Resta aggiornato su ciò che stiamo imparando, costruendo e osservando mentre i team enterprise distribuiscono e misurano gli agenti AI in produzione.