AI Act, non è solo una “questione di trasparenza”: i nuovi obblighi in vigore dal 2 agosto e le nuove scadenze

Il 2 agosto 2026 rappresenta la data di piena entrata in vigore del Regolamento (UE) 2024/1689 sull’intelligenza artificiale (AI Act), ai sensi del suo art. 113, comma 2. Il 2 agosto non segna, tuttavia, la sola entrata in applicazione delle norme sulla trasparenza, ma un momento più ampio di operatività del quasi intero impianto normativo. Fanno eccezione le regole sui sistemi di IA ad alto rischio di cui all’art. 6, paragrafo 2, e all’Allegato III, rinviate al 2 dicembre 2027, e quelle relative ai sistemi ad alto rischio incorporati nei prodotti dell’Allegato I, rinviate al 2 agosto 2028, per effetto del Regolamento (UE) 2026/1744 (c.d. Digital Omnibus). Quest’ultimo ha inoltre introdotto ulteriori interventi di semplificazione e alcune modifiche sostanziali alla disciplina. Il presente contributo ricostruisce l’articolazione temporale delle scadenze, individua le disposizioni divenute applicabili il 2 agosto 2026 e quelle oggetto di rinvio, con attenzione al quadro italiano di attuazione e coordinamento nazionale.

L’entrata in vigore dell’AI Act – Una partenza “graduale”

Il 2 agosto 2026 rappresenta una data cruciale, sul piano normativo, per tutti i sistemi di Intelligenza artificiale: l’articolo 113, comma 2, dell’AI Act, infatti, aveva individuato tale data come il dies a quo di piena applicabilità nell’Unione europea.

In estrema sintesi, il 2 agosto 2026 costituisce la data di applicazione generale dell’AI Act e non può essere ridotto alla sola operatività degli obblighi di trasparenza. Da tale data, infatti, divengono applicabili le disposizioni residue del Regolamento non già operative e non interessate dai regimi transitori, mentre prende avvio l’enforcement delle norme applicabili da parte dell’AI Office e delle autorità nazionali.

In particolare, sul punto si ricorda che l’articolo 113 ha previsto un regime di applicazione graduale delle norme regolamentari. Più precisamente, ai sensi dell’articolo 113, comma 3:

AI Act, gli obblighi di trasparenza e i differimenti operati dal Digital Omnibus

Com’è noto, l’AI Act pone una serie di obblighi connessi all’utilizzo di sistemi di Intelligenza artificiale, graduati in relazione al livello di rischio. Per tali ragioni, il Regolamento profonde rilevante attenzione ai cd. sistemi ad “alto rischio“, prescrivendo obblighi precipui per evitare ingiustificate compromissioni dei diritti fondamentali degli individui.

Al contempo, nell’alveo degli obblighi previsti per i sistemi di IA, certamente l’articolo 50 assume rilievo centrale: la norma, infatti, è pienamente applicabile dal 2 agosto 2026, prescrivendo obblighi di trasparenza per i fornitori e i deployers di determinati sistemi di IA

L’art. 50 AI Act impone obblighi di trasparenza su quattro categorie di sistemi:

• i sistemi destinati a interagire direttamente con persone fisiche;
• i sistemi che generano contenuti sintetici, per i quali è richiesta la marcatura machine-readable;
• i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica;
• i deepfake e i testi generati o manipolati dall’IA pubblicati per informare il pubblico su questioni di interesse pubblico.

Peraltro, si rammenta che il Regolamento (UE) 2026/1744, c.d. AI Omnibus o Digital Omnibus on AI, adottato nell’ambito del più ampio pacchetto europeo di semplificazione della legislazione digitale, ha modificato l’AI Act, intervenendo, tra l’altro, sul calendario di applicazione di alcune sue disposizioni. Ad esempio, il Digital Omnibus ha previsto il differimento temporale dell’obbligo di marcatura e rilevabilità machine-readable di cui all’art. 50, paragrafo 2, per i sistemi di IA generativa già immessi sul mercato prima del 2 agosto 2026. Per tali sistemi, i fornitori dispongono di un periodo transitorio di quattro mesi per integrare retroattivamente le soluzioni tecniche necessarie; il termine è dunque il 2 dicembre 2026.

Gli altri obblighi dell’art. 50 non sono interessati da tale periodo transitorio, ferme restando le specifiche eccezioni previste dallo stesso articolo — tra cui, in particolare, quelle relative ai casi in cui l’interazione con il sistema di IA sia evidente, ad alcuni impieghi autorizzati dalla legge, alle funzioni di editing standard, alle opere a carattere artistico, satirico o di finzione, e ai testi sottoposti a controllo umano con assunzione editoriale di responsabilità.

Gli altri obblighi in vigore dal 2 agosto 2026

Dal 2 agosto risultano operative altre disposizioni normative.

In particolare:

• Le misure a sostegno dell’innovazione (Capo VI): l’art. 57 impone che ciascuno Stato membro istituisca almeno uno spazio di sperimentazione normativa (regulatory sandbox) a livello nazionale, anche congiuntamente ad altri Stati membri. Dal 2 agosto 2026 tale istituzione non costituisce più una mera facoltà programmatica degli Stati, ma un obbligo organizzativo. Ciò non attribuisce, tuttavia, un diritto automatico all’ammissione, che resta subordinata alle condizioni, ai criteri di ammissibilità e alle procedure applicabili in ciascuno spazio di sperimentazione.
• L’enforcement. Poteri sanzionatori nazionali e dell’AI Office: il 2 agosto 2026 segna l’avvio dell’enforcement generale da parte delle autorità nazionali e dell’AI Office. Occorre tuttavia distinguere con precisione i diversi piani. Il quadro nazionale delle sanzioni di cui all’art. 99 era già applicabile dal 2 agosto 2025, contestualmente all’entrata in applicazione del Capo XII. Da quella data, le autorità nazionali competenti designate dagli Stati erano dunque già investite dei corrispondenti poteri sanzionatori. Ciò che diviene operativo il 2 agosto 2026 è, invece, l’art. 101, che attribuisce alla Commissione — attraverso l’AI Office — i poteri sanzionatori nei confronti dei fornitori di modelli GPAI. Si completa altresì l’enforcement con riguardo alle disposizioni che entrano in applicazione in questa stessa data, tra cui gli obblighi di trasparenza di cui all’art. 50.

Digital Omnibus, i differimenti operati per i sistemi “ad alto rischio”

Il Regolamento (UE) 2026/1744 ha ridefinito il calendario applicativo per i sistemi ad alto rischio, fissando nuove date certe:

• 2 dicembre 2027: Termine di applicazione per le regole relative ai sistemi di IA ad alto rischio di cui all’art. 6, par. 2 e Allegato III (impiegati in settori quali occupazione, istruzione, applicazione della legge, giustizia, ecc.) e per i corrispondenti obblighi ad essi collegati.
• 2 agosto 2028: Termine di applicazione per i sistemi ad alto rischio ex art. 6, par. 1, integrati in prodotti soggetti alla normativa di armonizzazione di cui all’Allegato I (dispositivi medici, veicoli, ascensori, ecc.).

La ratio del rinvio risiede nella necessità di garantire la previa adozione degli standard armonizzati (CEN-CENELEC) e delle linee guida di conformità. Oltre alla ridefinizione del calendario, il Regolamento (UE) 2026/1744 ha introdotto importanti modifiche sostanziali, tra cui la semplificazione dell’alfabetizzazione (art. 4), l’estensione delle agevolazioni per le small mid-cap, l’istituzione di una sandbox europea e una nuova pratica vietata in materia di creazione di contenuti sessualmente espliciti non consensuali e materiale pedopornografico (CSAM).

Nel complesso, si può affermare che il Digital Omnibus ha operato tre rinvii di scadenze già previste dall’AI Act, ai quali si aggiunge un limitato periodo transitorio relativo all’art. 50.

La disciplina del Capo III, sezioni 1, 2 e 3, originariamente applicabile dal 2 agosto 2026, è rinviata al 2 dicembre 2027, per i sistemi classificati ad alto rischio ai sensi dell’art. 6, par. 2, e dell’Allegato III.
Il rinvio è quindi di sedici mesi e riguarda, tra l’altro:

• classificazione dei sistemi ad alto rischio;
• gestione del rischio;
• qualità e governance dei dati;
• documentazione tecnica;
• logging;
• trasparenza verso i deployer;
• sorveglianza umana;
• accuratezza, robustezza e cybersicurezza;
• obblighi di fornitori, importatori, distributori e deployer;
• valutazione d’impatto sui diritti fondamentali dell’art. 27.

Sono interessati i sistemi utilizzati, ad esempio, in biometria, infrastrutture critiche, istruzione, occupazione, accesso a servizi essenziali, attività di polizia, migrazione e giustizia. Il testo fa salva l’applicazione dell’art. 6, par. 5.

Per i sistemi classificati ad alto rischio ai sensi dell’art. 6, par. 1, perché incorporati in prodotti disciplinati dalla normativa europea di armonizzazione, la scadenza passa al 2 agosto 2028. Il rinvio è quindi di dodici mesi. Rientrano, a seconda della normativa settoriale applicabile, sistemi incorporati in prodotti come macchinari, giocattoli, ascensori e altri prodotti regolamentati. Anche in questo caso il differimento riguarda il Capo III, sezioni 1, 2 e 3.

Infine, per quanto concerne le regulatory sandbox, l’art. 57 originario imponeva agli Stati membri di rendere operativo almeno uno spazio nazionale di sperimentazione normativa per l’IA entro il 2 agosto 2026. Il Digital Omnibus ha spostato il termine all’anno successivo.

Non si tratta propriamente del rinvio generale dell’art. 50, ma di una disciplina transitoria circoscritta.

I fornitori di sistemi, compresi i sistemi di IA per finalità generali, che:

• generano contenuti sintetici audio, immagini, video o testi;
• sono stati immessi sul mercato prima del 2 agosto 2026,

hanno tempo fino al 2 dicembre 2026 per adeguarsi all’obbligo dell’art. 50, par. 2, relativo alla marcatura machine-readable e alla rilevabilità automatizzata degli output sintetici. Questo differimento non riguarda gli altri obblighi dell’art. 50, che restano applicabili dal 2 agosto 2026: informazione sull’interazione con un chatbot, disclosure dei deepfake, informativa sul riconoscimento delle emozioni o sulla categorizzazione biometrica ed etichettatura dei testi generati dall’IA su questioni di interesse pubblico.

Occorre precisare, inoltre, che il Digital Omnibus abbia introdotto nuovi divieti ed obblighi. In particolare:

• Dal 2 dicembre 2026 divengono applicabili anche le nuove pratiche vietate relative alla generazione o manipolazione di contenuti sessualmente espliciti o intimi non consensuali e di materiale di abuso sessuale sui minori.

Conclusioni

Il 2 agosto 2026 costituisce la data di applicazione generale dell’AI Act e non può essere ridotto alla sola operatività degli obblighi di trasparenza. Da tale data divengono applicabili le disposizioni residue del Regolamento non già operative e non interessate dai regimi transitori, mentre prende avvio l’enforcement generale da parte dell’AI Office e dell’ACN sul territorio nazionale. Restano rinviate al 2 dicembre 2027 le regole relative ai sistemi ad alto rischio dell’Allegato III e al 2 agosto 2028 quelle riguardanti i sistemi di IA incorporati nei prodotti di cui all’Allegato I. Il Regolamento (UE) 2026/1744 non si è limitato a modificare il calendario, ma ha introdotto interventi di semplificazione e modifiche sostanziali alla disciplina generale.

Di Alessia Palladino
Assegnista di ricerca e Cultore della Materia in «Informatica giuridica» e «Computer Law»  presso l’Università degli Studi di Cagliari