Dal 2 agosto 2026 l’AI Act non è più soltanto un calendario da monitorare: entra in una fase di enforcement più concreta. La Commissione europea ha comunicato che, da questa data, l’AI Office e le autorità nazionali iniziano ad applicare e far rispettare il regolamento, mentre diventano operative anche nuove regole di trasparenza per determinati sistemi di intelligenza artificiale.
Per molte imprese italiane il punto non è stabilire in astratto se “si usa l’AI”, perché la risposta è ormai spesso sì: chatbot nel customer care, strumenti generativi per marketing e documentazione, assistenti interni, traduzione automatica, analisi di ticket, motori di ricerca aziendale, soluzioni integrate negli ERP o nei CRM. Il punto è capire chi fa cosa, quale informazione viene data agli utenti, quali evidenze si conservano e come vengono governati i fornitori.
La novità pratica è questa: la trasparenza non può restare una nota legale generica. Deve diventare un controllo operativo.
Cosa cambia davvero dal 2 agosto 2026
La pagina ufficiale della Commissione sull’AI Act chiarisce che il regolamento segue un’applicazione graduale. Le pratiche vietate e gli obblighi di alfabetizzazione AI sono già entrati in applicazione dal 2 febbraio 2025; gli obblighi per i fornitori di modelli di AI per finalità generali, i cosiddetti GPAI, sono diventati applicabili dal 2 agosto 2025; dal 2 agosto 2026 l’AI Office e le autorità degli Stati membri sono responsabili dell’implementazione, supervisione ed enforcement dell’AI Act.
Nella comunicazione del 31 luglio 2026, la Commissione ha collegato l’avvio dell’enforcement alle nuove regole di trasparenza: alcuni sistemi dovranno informare gli utenti quando stanno interagendo con un’AI, i deepfake dovranno essere etichettati e i contenuti generati o modificati dall’AI dovranno prevedere marcature machine-readable quando richiesto.
Questo non significa che ogni uso aziendale di AI sia vietato o automaticamente ad alto rischio. Significa, però, che le organizzazioni devono smettere di trattare chatbot, generatori di testo, immagini sintetiche e assistenti automatici come semplici funzioni software senza responsabilità di processo.
La trasparenza non riguarda solo il testo piccolo in fondo alla pagina
Le linee guida della Commissione sulle obbligazioni di trasparenza dell’articolo 50 spiegano che gli obblighi interessano provider e deployer di determinati sistemi AI. In termini semplici: non conta solo chi sviluppa il modello, ma anche chi lo usa verso clienti, cittadini, lavoratori o pubblico.
Per un’impresa, questo apre quattro domande operative:
- l’utente capisce chiaramente quando sta interagendo con un sistema AI e non con una persona?
- se un contenuto è generato o alterato dall’AI, esiste una modalità coerente per segnalarlo?
- se vengono pubblicati testi su temi di interesse pubblico, esiste revisione umana o controllo editoriale?
- se si usano sistemi di riconoscimento emotivo, categorizzazione biometrica, deepfake o strumenti simili, è stato valutato il perimetro normativo prima dell’uso?
La risposta non dovrebbe vivere solo in un documento compliance. Dovrebbe essere visibile nei requisiti di prodotto, nei flussi approvativi, nei contratti con i fornitori, nelle checklist di pubblicazione e nelle procedure di audit.
Il caso dei chatbot: informare prima che il rischio emerga
Il caso più immediato è il chatbot. Se un cliente apre una chat sul sito, riceve informazioni su prodotti, contratti, garanzie o reclami e pensa di parlare con un operatore umano, il problema non è soltanto reputazionale.
Una buona governance dovrebbe prevedere almeno tre livelli.
Il primo è l’informazione all’utente: chi interagisce deve sapere, in modo esplicito e comprensibile, che sta parlando con un sistema AI. Il secondo è il perimetro funzionale: il chatbot deve sapere quando non rispondere, quando chiedere conferma e quando trasferire il caso a un operatore umano. Il terzo è la tracciabilità: l’azienda deve poter ricostruire quali versioni del sistema, quali fonti e quali regole erano attive in un determinato periodo.
Contenuti generativi: etichette, revisione e responsabilità editoriale
Un secondo fronte riguarda marketing, comunicazione e contenuti. Le linee guida della Commissione citano contenuti sintetici, deepfake e testi su materie di interesse pubblico. Per le aziende significa distinguere tra usi a basso impatto, come una bozza interna di email, e usi pubblici o sensibili, come immagini alterate, video promozionali, articoli informativi, comunicazioni istituzionali o contenuti che possono influenzare decisioni economiche e sociali.
La domanda pratica è: l’azienda sa quali contenuti sono stati generati o modificati con AI? Se la risposta è no, mancano basi minime per decidere se etichettare, revisionare, archiviare o bloccare la pubblicazione.
Serve quindi un registro leggero ma serio: strumento usato, finalità, responsabile, revisione umana, eventuale etichetta, data di pubblicazione, fonte dei dati e canale.
GPAI e fornitori: il contratto non basta
Il tema dei modelli di AI per finalità generali è ancora più delicato. La Commissione ha pubblicato linee guida sui provider GPAI e un Code of Practice volontario che copre trasparenza, copyright, sicurezza e mitigazione dei rischi sistemici per i modelli più avanzati. Il codice non sostituisce la legge, ma può essere usato dai provider come strumento per dimostrare conformità.
Per chi acquista o integra soluzioni AI, questo si traduce in due verifiche molto concrete.
La prima riguarda la documentazione che il fornitore rende disponibile: limiti del modello, capacità, condizioni d’uso, dati di addestramento quando pertinente, misure di sicurezza, policy sul copyright, gestione degli incidenti e aggiornamenti. La seconda riguarda l’impatto a valle: l’impresa che integra un modello in un proprio processo deve capire se sta semplicemente usando uno strumento o se sta offrendo a terzi un sistema AI con obblighi propri.
La contrattualistica deve quindi includere clausole su audit, modifica del modello, subfornitori, incident reporting, conservazione dei log, uso dei dati aziendali e diritto di sospendere funzionalità non conformi. Un DPA privacy o un allegato tecnico generico non bastano più.
Una checklist minima per le imprese
Per trasformare la scadenza in lavoro gestibile, una PMI o una società di servizi può partire da una checklist essenziale:
- mappare tutti gli strumenti AI usati in azienda, compresi quelli integrati in software già esistenti;
- distinguere tra uso interno, uso verso clienti, uso editoriale e uso in processi decisionali;
- verificare quali sistemi interagiscono direttamente con persone;
- definire quando e come informare l’utente della presenza di AI;
- stabilire regole per contenuti generati, alterati o pubblicati con supporto AI;
- aggiornare contratti e allegati tecnici con i fornitori AI;
- conservare evidenze su versioni, prompt rilevanti, fonti, output e revisioni umane;
- formare responsabili marketing, IT, HR, legale e customer care sulle regole operative;
- prevedere escalation quando l’AI produce contenuti errati, discriminatori, ingannevoli o non verificabili.
La checklist deve essere breve, ma non simbolica. Se non produce decisioni, ruoli e prove, non è governance.
Non confondere enforcement e divieto generalizzato
Un errore frequente è leggere ogni scadenza dell’AI Act come un blocco dell’innovazione. Il regolamento è costruito su un approccio basato sul rischio: molti sistemi restano a rischio minimo o limitato, mentre le regole più severe riguardano usi specifici, sistemi ad alto rischio, pratiche vietate e modelli con impatti più ampi.
Allo stesso tempo, sarebbe ingenuo pensare che basti aspettare gli standard tecnici o la prossima circolare. L’enforcement rende più importante avere evidenze: chi ha deciso l’uso di un sistema, su quali basi, con quali controlli, con quale informazione agli utenti e con quale supervisione umana.
Per questo l’AI Act va letto insieme a sicurezza informatica, privacy, gestione documentale e governance dei fornitori. Un sistema AI non conforme raramente nasce solo da un errore legale: spesso nasce da dati non governati, responsabilità confuse, procurement frettoloso e assenza di monitoraggio dopo il go-live.
Conclusione
Dal 2 agosto 2026 la domanda per le imprese non è più “quando arriverà l’AI Act?”, ma “quali evidenze abbiamo già pronte?”. Trasparenza, etichettatura, controllo dei contenuti, documentazione dei fornitori e supervisione umana non sono dettagli amministrativi: sono condizioni per usare l’intelligenza artificiale in modo affidabile.
Chi affronta la scadenza come un progetto puramente legale rischia di produrre policy eleganti ma inutili. Chi la trasforma in governance operativa, invece, può ottenere un vantaggio concreto: processi più chiari, fornitori più controllabili e un uso dell’AI più sostenibile nel tempo.
Fonti principali: Commissione europea, comunicazione del 31 luglio 2026 sull’enforcement AI Act; Linee guida Commissione sugli obblighi di trasparenza dell’articolo 50; Pagina Commissione sull’AI Act; General-Purpose AI Code of Practice; Regolamento (UE) 2024/1689 su EUR-Lex.