AI Act 2026: scadenze, obblighi e chi rischia sanzioni oggi

Un calendario a tappe: cosa è già in vigore e cosa arriva ad agosto

Il Regolamento (UE) 2024/1689, noto come AI Act, rappresenta il primo quadro normativo organico al mondo dedicato all'intelligenza artificiale. La sua struttura non è entrata in vigore tutta in una volta, ma segue un calendario progressivo che molte aziende continuano a sottovalutare. Le prime scadenze operative sono scattate il 2 febbraio 2025, con il divieto dei sistemi AI classificati come a rischio inaccettabile. Il 2 febbraio 2026 è diventato operativo l'obbligo di competenza in materia di IA per il personale coinvolto, previsto dall'articolo 4. Questo significa che oggi — giugno 2026 — chi non ha ancora avviato programmi di formazione interna sull'intelligenza artificiale non è in una zona grigia: è già fuori conformità.

Chi rischia sanzioni adesso: i divieti già attivi

Non bisogna aspettare agosto per essere sanzionabili. Dal 2 febbraio 2025 sono in vigore i divieti dell'articolo 5: scoring sociale, manipolazione subliminale, riconoscimento delle emozioni in contesti lavorativi o educativi, polizia predittiva basata su profilazione. Si tratta di pratiche vietate in modo assoluto, indipendentemente dalla dimensione dell'azienda che le adotti. In base all'art. 99 del Regolamento, le ammende possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo in caso di violazioni delle pratiche a rischio inaccettabile. A queste si aggiungono eventuali sanzioni cumulative con il GDPR: in scenari peggiori, una violazione congiunta AI Act e GDPR può superare i 50 milioni di euro complessivi per le grandi imprese.

Agosto 2026 e il Digital Omnibus: cosa cambia davvero

Il 2 agosto 2026 era originariamente la scadenza per i sistemi ad alto rischio, ma il quadro si è complicato. L'accordo provvisorio sul pacchetto Omnibus per l'AI Act è arrivato il 7 maggio 2026, dopo una notte di negoziati tra Consiglio UE e Parlamento europeo: gli obblighi per i sistemi ad alto rischio dell'Allegato III slittano al 2 dicembre 2027, quelli per l'AI integrata nei prodotti regolati dell'Allegato I al 2 agosto 2028. L'unica scadenza prossima che rimane confermata riguarda i contenuti sintetici: il 2 dicembre 2026 scatterà l'obbligo di watermarking — marcatura leggibile da macchina — per i contenuti generati dall'AI, inclusi audio, immagini, video e testi sintetici. Tuttavia, il testo del Digital Omnibus non è ancora legge definitiva: fino a un accordo formale, le scadenze originali dell'AI Act rimangono tecnicamente in vigore.

Il caso italiano: prima legge nazionale in Europa, vigilanza ancora in costruzione

L'Italia non si è limitata ad attendere il regolamento europeo, ma ha scelto di accompagnarlo con una normativa propria. Con la Legge 132/2025 l'Italia è diventata il primo Paese dell'Unione a tradurre l'AI Act in legge nazionale, entrata in vigore il 10 ottobre 2025. La vigilanza è affidata a due agenzie con ruoli distinti: AgID si occupa di promozione e accreditamento, definendo le procedure per la valutazione e il monitoraggio dei soggetti che certificano la conformità dei sistemi AI, mentre ACN ha i poteri più incisivi, essendo responsabile delle attività ispettive e sanzionatorie, comprese ispezioni anche senza preavviso e controlli sui sistemi ad alto rischio — fermo restando il ruolo di vigilanza di mercato già attribuito a Banca d'Italia, CONSOB e IVASS. Si tratta però di un'architettura ancora in gran parte sulla carta: la legge è dichiaratamente una legge "quadro", che rimanda a decreti attuativi — attesi entro il 10 ottobre 2026 — la definizione di dettagli cruciali come le procedure sanzionatorie e la ripartizione precisa dei compiti tra le due agenzie, una scelta peraltro criticata in Parlamento per il rischio di sovrapposizione di competenze.

Il rinvio non è un'amnistia: cosa fare subito

Il messaggio per le aziende italiane è uno solo: il rinvio non equivale a un'esenzione. Se i prodotti rientrano tra i sistemi ad alto rischio — scoring creditizio, decisioni HR, diagnostica assistita — documentazione tecnica, gestione del rischio e valutazione d'impatto richiedono comunque mesi di lavoro. Il Digital Omnibus, peraltro, introduce anche nuovi divieti immediati, come quello sulle undressing app basate sull'AI. Il calendario cambia, ma gli obblighi sostanziali restano: la compliance all'AI Act è un percorso, non una data sul calendario.