Il 2 agosto 2026 è una data che circolava da tempo nei radar di chi si occupa di intelligenza artificiale in azienda: quella in cui l'AI Act, il Regolamento UE 2024/1689, entra in una nuova fase di applicazione. Ma la fase che scatta davvero non è quella che molti si aspettavano.

La parte più pesante della normativa — gli obblighi sui sistemi di IA "ad alto rischio", come i software per la selezione del personale o la valutazione del merito creditizio — è stata rinviata dal Digital Omnibus approvato dalle istituzioni europee: al 2 dicembre 2027 per i sistemi autonomi ad alto rischio, al 2 agosto 2028 per quelli incorporati in prodotti soggetti a marcatura CE. Chi si aspettava il giorno del giudizio dovrà aspettare ancora un po'.

Quello che invece diventa applicabile dal 2 agosto 2026, senza rinvii, sono gli obblighi di trasparenza dell'articolo 50: chi mette a disposizione o utilizza chatbot, assistenti virtuali, sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, oppure pubblica contenuti (testi, immagini, audio, video) generati o manipolati con l'intelligenza artificiale, deve informarne chiaramente le persone coinvolte. Dalla stessa data l'Unione Europea, tramite l'AI Office, può sanzionare i fornitori di modelli di IA generativa (GPAI) fino al 3% del fatturato mondiale annuo o 15 milioni di euro, se superiore.

Per la maggior parte delle PMI e degli studi professionali italiani, la notizia riguarda da vicino strumenti già in uso ogni giorno: il chatbot sul sito aziendale, l'abbonamento a Copilot, i colleghi che usano ChatGPT per scrivere email, offerte o comunicazioni ai clienti. Pochi sanno che, usando questi strumenti nella propria attività, si diventa "deployer" secondo la definizione dell'AI Act — un ruolo che comporta responsabilità precise, anche se il sistema è stato sviluppato da qualcun altro.

Il rinvio al 2027-2028 non è un condono. È semplicemente lo spostamento della data del compito in classe: chi non se ne occupa oggi si ritroverà a dover recuperare tutto il programma in un colpo solo, insieme a tutte le altre imprese che avranno fatto lo stesso ragionamento.

Le sanzioni, però, non aspettano il 2027. Quelle collegate ai modelli GPAI sono già operative da subito. E l'obbligo di trasparenza sul chatbot — dire chiaramente a chi scrive che sta parlando con un sistema automatico — vale già dal 2 agosto 2026, senza bisogno di aspettare nessun'altra scadenza.

Per chi gestisce l'IT di una PMI o di uno studio professionale, la mossa concreta prima che la scadenza arrivi è composta da tre passaggi: fare l'elenco di dove viene già usata l'intelligenza artificiale in azienda (chatbot, ChatGPT, Copilot, software per candidature), aggiungere un avviso visibile ovunque un cliente interagisca con un sistema automatico o legga un contenuto generato con l'IA, e mettere per iscritto — anche in poche righe — quali dati non vanno mai inseriti in questi strumenti: contratti, dati di clienti, informazioni riservate.

Una policy interna scritta funziona un po' come conservare gli scontrini per la dichiarazione dei redditi: non serve finché nessuno controlla, ma è l'unica cosa che protegge davvero il giorno in cui qualcuno lo fa.

In 45 anni ho imparato che le normative europee non aspettano che le imprese siano pronte: aspettano solo che arrivi la data. Chi vuole approfondire il tema o ricevere ogni numero di questa rubrica può scrivere direttamente a ml.malerba@mlmictservice.it.