"L'AI Act entra in vigore nel 2026."

Questa frase circola ovunque: su LinkedIn, nelle newsletter, nei webinar. ​ Ed è fuorviante.

L'AI Act non ha una singola data di entrata in vigore. Ha un'applicazione graduale con scadenze diverse per categorie diverse di obblighi. Chi si è informato sei mesi fa sta lavorando con un calendario già superato: il Digital Omnibus, approvato definitivamente il 29 giugno 2026, ha spostato alcune scadenze in avanti e ne ha aggiunte di nuove.

Conoscere le date giuste significa poter pianificare in modo intelligente: sapere dove sei già in ritardo, dove hai ancora margine, e cosa fare nei prossimi 30 giorni.

Per il quadro normativo completo in cui si inseriscono queste scadenze, leggi la guida completa all'AI Act per le aziende.

Il calendario aggiornato: una mappa prima dei dettagli

2 febbraio 2025: ciò che è già obbligatorio (e che molti non sanno)

Questa data è già passata da oltre un anno. Due obblighi distinti sono esigibili da allora.

Le pratiche AI inaccettabili sono vietate (Art. 5). ​

Sistemi che manipolano il comportamento umano in modo subliminale causando danni, social scoring basato sul comportamento generale delle persone, riconoscimento biometrico in tempo reale in spazi pubblici (con limitate eccezioni per le forze dell'ordine). Per la maggior parte delle PMI italiane queste pratiche non sono rilevanti, ma vale verificarlo, soprattutto per chi usa sistemi di analisi comportamentale dei clienti, strumenti di scoring in HR o retail.

L'obbligo di alfabetizzazione AI è attivo (Art. 4). ​

Chi usa sistemi AI in azienda come deployer deve garantire un livello sufficiente di formazione AI al personale. Non è una raccomandazione futura: è un obbligo in vigore. Chi non ha ancora formato i dipendenti è inadempiente da oltre un anno.

Il perimetro dell'Art. 4 è più ampio di quanto si pensi: include dipendenti, consulenti esterni, fornitori e appaltatori che usano AI per conto dell'organizzazione. E le sanzioni per inadempimento arrivano fino a 15 milioni di euro o il 3% del fatturato mondiale annuo.

Approfondisci leggendo Formare i dipendenti sull'AI: obbligo Art. 4 e come adempierlo

2 agosto 2026: la scadenza più rilevante per la maggior parte delle PMI

Questa è la data che conta di più per chi fa marketing, gestisce un sito, usa AI nella comunicazione o ha un chatbot.

Gli obblighi di trasparenza dell'Art. 50 diventano esigibili. Dal 2 agosto 2026:

• ​ Chi ha un chatbot o assistente virtuale sul sito deve informare gli utenti che stanno interagendo con un sistema AI in modo chiaro, nella prima interazione.
• Chi pubblica contenuti audio, video o immagini generati con AI che assomigliano a persone o situazioni reali (deepfake) deve dichiararli esplicitamente.
• Chi pubblica testi generati con AI su questioni di interesse pubblico deve dichiararli,salvo revisione umana sostanziale con assunzione di responsabilità editoriale.

Cosa non è rinviato: questa scadenza non è stata toccata dal Digital Omnibus. Chi aspettava un rinvio è rimasto deluso. Il 2 agosto è confermato.

Le autorità nazionali di vigilanza iniziano l'enforcement dell'Art. 4. In Italia ACN e AgID, designate dalla Legge 132 del 23 settembre 2025, possono da questa data avviare formalmente procedimenti per inadempimento dell'obbligo di formazione AI.

Approfondisci leggendo Dichiarare l'AI nel marketing: guida pratica all'Art. 50

Il Digital Omnibus: cosa ha cambiato (e cosa non ha cambiato)

Questa è la parte del calendario dove più aziende stanno lavorando con informazioni sbagliate.

Digital Omnibus​

L'accordo politico è stato raggiunto il 7 maggio 2026, il Parlamento europeo lo ha approvato il 16 giugno 2026 con 423 voti favorevoli, il Consiglio UE lo ha adottato definitivamente il 29 giugno 2026. Il Digital Omnibus modifica il calendario originario dell'AI Act su un punto specifico: gli obblighi per i sistemi ad alto rischio.

Cosa è stato rinviato:

• ​ Sistemi AI ad alto rischio autonomi (Allegato III - recruiting AI, scoring creditizio, valutazione delle performance, sistemi in sanità, istruzione, giustizia): dal 2 agosto 2026 al 2 dicembre 2027.
• Sistemi AI ad alto rischio integrati in prodotti come componenti di sicurezza: al 2 agosto 2028.

Cosa non è stato rinviato:

• ​ Gli obblighi di trasparenza dell'Art. 50 restano al 2 agosto 2026.
• L'obbligo di formazione (Art. 4) resta esigibile dal febbraio 2025 con enforcement dal 2 agosto 2026.
• I divieti dell'Art. 5 già in vigore restano invariati.

Cosa è stato anticipato: novità del Digital Omnibus: Il regolamento introduce due nuovi divieti che si applicano dal 2 dicembre 2026:

• ​ Sistemi AI che generano o manipolano materiale intimo non consensuale (app di nudificazione) - Divieto per provider e deployer.
• Sistemi che generano materiale di abuso sessuale su minori, anche interamente sintetico.

Sempre dal 2 dicembre 2026: i fornitori di sistemi AI generativi devono marcare gli output in formato machine-readable (watermarking) per segnalarne l'origine artificiale.

La lettura corretta del Digital Omnibus per una PMI non è "abbiamo guadagnato tempo per adeguarci". È: gli obblighi che riguardano la maggior parte delle aziende italiane (trasparenza, formazione, disclosure) restano al 2 agosto 2026. Il rinvio riguarda chi usa sistemi AI per decisioni su persone in ambiti ad alto rischio.

2 dicembre 2026: le scadenze di fine anno

Tre cose diventano obbligatorie il 2 dicembre 2026.

Watermarking machine-readable dei contenuti AI. I fornitori di sistemi AI generativi (chi produce ChatGPT, Midjourney, Sora e simili) devono garantire che i loro output siano marcati in formato leggibile dalle macchine. Per le PMI l'impatto è indiretto: i provider a cui ti affidi devono adeguarsi — verifica che lo facciano, soprattutto se usi sistemi AI integrati in prodotti o servizi che distribuisci a clienti.

Divieto dei sistemi di nudificazione non consensuale. Vietato sviluppare, distribuire o usare professionalmente sistemi AI che generano immagini intime di persone reali senza consenso. Per le aziende del settore creativo, fashion, advertising: verificare che nessuno strumento AI in uso abbia queste funzionalità.

Scadenza di riferimento per il grandfathering dei sistemi ad alto rischio. I sistemi ad alto rischio già in produzione prima della data di riferimento beneficiano di un regime transitorio fino al 2027-2028. I nuovi sistemi adottati dopo devono essere conformi fin dall'adozione. Se stai valutando di implementare sistemi AI per HR, scoring, valutazione dei dipendenti: farlo adesso con consapevolezza del profilo di compliance è molto più gestibile che farlo tra un anno in emergenza.

2027 e 2028: i sistemi ad alto rischio

Queste scadenze riguardano le aziende che usano (o stanno valutando di usare) sistemi AI per decisioni che impattano sulle persone in modo significativo.

Dal 2 dicembre 2027

Sistemi AI ad alto rischio autonomi (Allegato III del Regolamento): software di recruiting che filtra automaticamente i CV, sistemi di scoring creditizio, strumenti di valutazione delle performance dei dipendenti basati su AI, sistemi in ambito sanitario, educativo, giudiziario. Questi sistemi richiedono documentazione tecnica specifica, supervisione umana documentata, registrazione nella banca dati UE, valutazione della conformità.

Dal 2 agosto 2028

Sistemi AI ad alto rischio integrati in prodotti come componenti di sicurezza (macchinari, dispositivi medici, veicoli). Per le PMI manifatturiere che usano AI embedded nei propri prodotti.

Il rinvio non è un'autorizzazione a non fare nulla. Le aziende che hanno sistemi ad alto rischio già in uso devono comunque mappare la propria situazione, verificare se il sistema rientra nella categoria e prepararsi per tempo. Costruire la conformità in 18 mesi è diverso da costruirla in 3.

In sintesi

• ​ Il Digital Omnibus è stato approvato definitivamente il 29 giugno 2026. Ha rinviato gli obblighi per i sistemi ad alto rischio — non quelli di trasparenza e formazione.
• 2 febbraio 2025 - già passata: pratiche vietate esigibili, obbligo formazione AI (Art. 4) attivo. Chi non ha formato il personale è già inadempiente.
• 2 agosto 2026 - tra 23 giorni: obblighi di trasparenza Art. 50 (chatbot, contenuti AI, deepfake) ed enforcement Art. 4. Questa scadenza non è stata rinviata.
• 2 dicembre 2026 - 5 mesi: watermarking machine-readable, nuovi divieti Art. 5, scadenza di riferimento per il grandfathering dei sistemi ad alto rischio.
• 2 dicembre 2027 e 2 agosto 2028 - sistemi AI ad alto rischio: rinviati dal Digital Omnibus ma non cancellati.
• La formazione è l'unico intervento che si può completare in 2-3 ore con effetto immediato sulla compliance. È anche quello con il rapporto rischio/sforzo più favorevole.

FAQ

Il Digital Omnibus ha rinviato il 2 agosto 2026?

No. Ha rinviato gli obblighi per i sistemi ad alto rischio al 2027-2028. Gli obblighi di trasparenza dell'Art. 50 (chatbot, contenuti AI-generated, deepfake) restano al 2 agosto 2026. Anche l'enforcement dell'Art. 4 (formazione) parte dal 2 agosto 2026. Chi aspettava un rinvio generale è rimasto deluso.

Quando è stato approvato esattamente il Digital Omnibus?

L'accordo politico di trilogo è stato raggiunto il 7 maggio 2026. Il Parlamento europeo lo ha approvato il 16 giugno 2026 (423 voti favorevoli, 57 contrari, 174 astenuti). Il Consiglio UE lo ha adottato definitivamente il 29 giugno 2026. L'entrata in vigore formale segue la pubblicazione in Gazzetta Ufficiale UE, avvenuta nei giorni successivi.

Cosa cambia per una PMI che usa ChatGPT, Copilot o Gemini?

Le scadenze rilevanti sono due: febbraio 2025 (formazione dipendenti - già passata) e 2 agosto 2026 (disclosure per chatbot e contenuti AI). Il rinvio al 2027-2028 riguarda i sistemi ad alto rischio. Se usi ChatGPT per scrivere testi o Copilot per la produttività, non sei in quella categoria. Se usi AI per filtrare candidati o valutare dipendenti, sì.

Cosa significa "grandfathering" dei sistemi ad alto rischio?

I sistemi ad alto rischio già operativi prima della data di riferimento beneficiano di un regime transitorio: hanno più tempo per adeguarsi rispetto ai sistemi nuovi adottati dopo. I nuovi sistemi devono essere conformi fin dall'adozione. Se stai valutando di implementare un sistema AI per HR o scoring, farlo adesso - prima delle scadenze 2027 - con consapevolezza del profilo di compliance è molto più gestibile.

Entro quando devo adeguarmi all'AI Act?

Dipende dall'obbligo. Formazione dei dipendenti: già obbligatoria da febbraio 2025. Disclosure per chatbot e contenuti AI: 2 agosto 2026. Sistemi ad alto rischio: 2027 o 2028 a seconda della categoria. Un percorso di adeguamento strutturato inizia dalla mappatura di tutti i sistemi AI in uso, per capire in quale scadenza rientra ciascuno.

Se mi adeguo adesso, dovrò rifarlo ogni anno?

No, ma un buon adeguamento non è un evento una tantum. È un framework che include policy aggiornabili, registro dei sistemi AI, processo di revisione dei contenuti, piano di formazione con refresher annuali. La norma evolve (il Digital Omnibus ne è la prova), ma i fondamentali - mappatura, formazione, policy, disclosure - restano stabili e non si ricostruiscono da zero.