Da oggi, 27 luglio, è in vigore il regolamento europeo che modifica l’AI Act — pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio e direttamente applicabile in tutti gli Stati membri, senza bisogno di alcuna legge italiana di recepimento.
Il titolo che gira ovunque è «rinvio», ed è vero. Ma è vero a metà, e la metà che manca è l’unica che chiede qualcosa a un’impresa entro la settimana prossima.
Cosa slitta davvero
Gli obblighi sui sistemi di intelligenza artificiale ad alto rischio, che sarebbero scattati il 2 agosto 2026, si spostano parecchio più in là:
- 2 dicembre 2027 per i sistemi ad alto rischio autonomi
- 2 agosto 2028 per quelli integrati dentro un prodotto
- 2 agosto 2027 per le sandbox normative
Sono sedici mesi buoni di respiro sulla parte più pesante e più costosa della conformità: valutazioni di conformità, documentazione tecnica, sistemi di gestione del rischio. Per chi aveva un progetto in corso e stava rincorrendo agosto, è tempo che si libera.
Il pacchetto introduce anche nuove misure di sostegno per PMI e small mid-cap, e conferma invece una scadenza vicina: la trasparenza sui contenuti generati dall’AI ha solo tre mesi di adeguamento, quindi termine al 2 dicembre 2026. Dal dicembre 2026 scatta inoltre il divieto sugli strumenti di cosiddetta nudificazione.
Rinviato: obblighi sull'alto rischio, dal 2 agosto 2026 al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per quelli dentro un prodotto; sandbox normative al 2 agosto 2027. NON rinviato: l'alfabetizzazione del personale, che resta al 2 agosto 2026. In scadenza a dicembre 2026: la trasparenza sui contenuti generati dall'AI.
L’obbligo che non è stato rinviato
L’articolo 4 dell’AI Act riguarda l’alfabetizzazione in materia di intelligenza artificiale: in sostanza, chi mette strumenti di AI in mano al proprio personale deve occuparsi del fatto che quel personale sappia cosa ha in mano.
Questo obbligo non è slittato. Resta operativo dal 2 agosto 2026, cioè tra sei giorni.
Il Digital Omnibus lo ha attenuato nella formulazione — si passa dal dover «garantire» un livello adeguato di competenza al dover «adottare misure di sostegno» — e non è una differenza da poco: abbassa l’asticella da un risultato da dimostrare a un impegno organizzativo da documentare. Ma abbassare non significa togliere.
Chi riguarda, in concreto
Non serve avere un sistema di AI sofisticato. Se in azienda ci sono persone che usano strumenti di intelligenza artificiale per lavorare — assistenti conversazionali per scrivere testi ed email, strumenti che riassumono riunioni, generatori di immagini per i social, funzioni AI dentro il gestionale o il CRM — il tema esiste.
Vale a maggior ragione se l’AI tocca cose delicate: selezione di curriculum, valutazione di clienti o fornitori, risposte che arrivano direttamente al cliente finale.
Le due cose da mettere per iscritto entro domenica
Nessuna delle due richiede un consulente, e nessuna delle due richiede di comprare niente.
1. Una policy interna, anche di una pagina. Quali strumenti di AI sono ammessi e quali no. Che tipo di dati non ci si mette mai dentro — dati dei clienti, dati personali, informazioni riservate, listini. Quali attività richiedono che una persona controlli e validi l’output prima che esca dall’azienda. Chi è il riferimento a cui chiedere in caso di dubbio.
2. Un registro di quello che è stato fatto. Data, chi ha partecipato, argomenti trattati. Anche se si è trattato di una riunione di un’ora in cui si è spiegato al personale cosa si può fare e cosa no. Il senso della norma, nella versione attenuata, è esattamente questo: dimostrare di essersi posti il problema e di aver preso una misura, non esibire un attestato.
Una pagina di policy: strumenti ammessi, dati che non si inseriscono mai, attività che richiedono validazione umana, persona di riferimento. Un registro: data, partecipanti, argomenti. Nient'altro è prescritto dalla norma. Il criterio non è la quantità di formazione, è la prova di aver adottato una misura.
In breve
Il Regolamento (UE) 2026/1744 è in vigore da oggi ed è direttamente applicabile in Italia. Sposta al 2 dicembre 2027 e al 2 agosto 2028 gli obblighi sui sistemi ad alto rischio, rinvia le sandbox al 2027 e introduce misure di sostegno per le PMI. Fissa al 2 dicembre 2026 la trasparenza sui contenuti generati dall’AI.
L’alfabetizzazione del personale però non è stata rinviata: resta al 2 agosto 2026, con una formulazione più morbida — «adottare misure di sostegno» invece di «garantire» — che abbassa l’asticella senza cancellare l’obbligo. Non ha una sanzione propria, ma pesa come aggravante nel calcolo delle sanzioni per altre violazioni. Entro domenica servono due documenti brevi: una policy interna su cosa è ammesso e con quali limiti, e un registro di quello che è stato spiegato al personale. Il lavoro grosso sulla conformità all’alto rischio, invece, si può ripianificare con oltre un anno di margine in più.