Il 2 agosto 2026 il Regolamento europeo sull’intelligenza artificiale è entrato in applicazione generale in tutta la UE, anche se già nelle settimane immediatamente precedenti il quadro normativo era cambiato: il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, pubblicato in Gazzetta ufficiale dell’Unione europea il 24 luglio, ha rinviato di oltre un anno la parte più onerosa della disciplina. Ne risulta un quadro a due velocità, che si presta a due errori speculari: credere che sia tutto rinviato e non fare nulla, oppure avviare oggi un progetto di conformità dimensionato su obblighi che scadranno fra due anni.
Che cosa è già pienamente applicabile
Dal 2 agosto le autorità nazionali di vigilanza dispongono di pieni poteri ispettivi e sanzionatori, e sono esigibili gli obblighi di trasparenza dell’articolo 50 del Regolamento. Riguardano il numero più ampio di imprese, comprese quelle che non sviluppano nulla e si limitano a usare strumenti acquistati: chi mette un assistente conversazionale sul sito deve rendere chiaro che è un’intelligenza artificiale, chi pubblica contenuti generati o manipolati deve dichiararlo, chi impiega sistemi di riconoscimento delle emozioni deve informare le persone esposte.
Restano ferme anche le pratiche vietate in assoluto dall’articolo 5, applicabili sin dal febbraio 2025. Due riguardano da vicino le imprese ordinarie e spesso vengono sottovalutate: il riconoscimento delle emozioni dei dipendenti sul luogo di lavoro e la categorizzazione biometrica che deduce convinzioni politiche o religiose, orientamento sessuale, appartenenza sindacale. Sono vietate a prescindere dal consenso dell’interessato.
Che cosa è slittato, e perché non è un “liberi tutti”
Il Digital Omnibus ha spostato in avanti l’intero pacchetto sui sistemi ad alto rischio: 2 dicembre 2027 per quelli dell’Allegato III, cioè selezione del personale, merito creditizio, istruzione, biometria e servizi essenziali, e 2 agosto 2028 per l’intelligenza artificiale incorporata in prodotti già regolati come dispositivi medici, macchine e giocattoli.
Il rinvio nasce da una ragione pratica riconosciuta apertamente: le norme tecniche armonizzate che dovevano rendere concreti quei requisiti non erano pronte. Rinviare a propria volta è però imprudente, perché i tempi tecnici di adeguamento sono di dodici-diciotto mesi fra sistema di gestione del rischio, governance dei dati di addestramento e documentazione tecnica; dicembre 2027 va affrontato entro la fine del 2026.
Nel frattempo, nei contratti B2B e nelle gare pubbliche le dichiarazioni di conformità sono già oggi requisito di partecipazione.
Il punto che tocca chiunque comunichi online
È la parte che nei nostri progetti genera il maggior numero di domande, e merita qualche precisazione perché l’equivoco più diffuso va nella direzione di dichiarare troppo.
Non tutto va dichiarato. L’obbligo riguarda i deepfake, definiti come i contenuti che assomigliano a persone, oggetti o luoghi esistenti e apparirebbero falsamente autentici, e i testi pubblicati per informare il pubblico su questioni di interesse pubblico.
Una fotografia di prodotto ritoccata, un’illustrazione dichiaratamente stilizzata o un copy scritto con l’assistenza dell’IA e riletto nel merito (da parte di una persona competente sulla materia) restano fuori.
Il flag della piattaforma non trasferisce la responsabilità. L’obbligo grava su chi utilizza il sistema sotto la propria autorità, e gli orientamenti della Commissione del 20 luglio 2026 indicano le impostazioni di interfaccia fra i mezzi con cui il deployer adempie, non fra gli adempimenti che qualcun altro compie al suo posto. Sui contenuti organici, dove quel flag spesso non esiste, la dichiarazione va scritta in apertura e deve restare visibile anche se il contenuto viene ricondiviso.
Le diciture europee sono due. Il Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA, del 10 giugno 2026, mette a disposizione icone gratuite con le sole scritte AI GENERATED, per i contenuti creati da zero, e AI MODIFIED, per quelli reali ritoccati. L’uso è facoltativo, l’obbligo no.
Le conseguenze, che non sono solo le sanzioni
I massimali dell’AI Act arrivano a 35 milioni di euro o al 7% del fatturato mondiale annuo totale per le pratiche vietate e a 15 milioni o al 3% per la violazione degli altri obblighi, compresa la trasparenza. Il canale sanzionatorio finora realmente attivo, però, è stato un altro: il Garante privacy ha già adottato provvedimenti in materia di intelligenza artificiale, e ciò che viene contestato è quasi sempre la mancanza di documentazione e di procedure più che la tecnologia.
C’è poi una scadenza che passa sotto silenzio ma è tra le più vicine. Dal 9 dicembre 2026 la nuova disciplina europea della responsabilità da prodotto difettoso considera prodotti anche il software e i sistemi di intelligenza artificiale: chi li sviluppa o li incorpora risponde del danno verso chiunque, non solo verso il proprio cliente, con un onere della prova alleggerito per chi agisce in giudizio.
Da dove cominciare
Le prime attività non richiedono investimenti, richiedono ore uomo. L’inventario dei sistemi realmente in uso, compresi quelli adottati dalle singole funzioni senza passare dall’IT; la qualificazione del ruolo per ciascun sistema, perché chi personalizza o rimarchia uno strumento di terzi può assumere gli obblighi del fornitore; la verifica di non impiegare pratiche vietate; l’audit della trasparenza su ogni punto di contatto con il pubblico.
La guida completa
Abbiamo raccolto tutto questo in una guida che copre l’intero quadro, dalle fonti europee alla legge italiana 132/2025 e ai suoi decreti attuativi, con il calendario delle scadenze fino al 2030 e gli obblighi distinti per tipo di impresa.
Due cose la rendono diversa da una sintesi. La prima è un capitolo dedicato a FAQ sui casi concreti, nato dalle domande che ci vengono poste sul lavoro: che cosa fare dei contenuti già online, se il flag della piattaforma basta, con quali parole si dichiara, chi risponde quando il lavoro passa fra agenzia e cliente, se una policy interna ha valore in caso di controllo. Ogni risposta dichiara su che cosa poggia: sul testo di un articolo, su un orientamento della Commissione oppure su una lettura che nessuna fonte ha ancora confermato, perché su questa materia il confine fra ciò che è scritto e ciò che è opinabile passa spesso dentro la stessa domanda.
La seconda è la documentazione delle fonti. Ogni affermazione è verificabile: l’elenco finale raccoglie atti europei, norme nazionali, provvedimenti delle autorità e fonti secondarie in ordine gerarchico, con i riferimenti puntuali e i collegamenti per esteso.
Clicca qui per accedere alla guida oppure contattaci.
Impostazioni dei cookie