AI Act: dal 2 agosto l'AI Office può multare. Ma gli obblighi che contavano sono slittati al 2027

Il 2 agosto 2026 è la data che per due anni ha strutturato i piani di compliance di ogni azienda che opera con l'intelligenza artificiale in Europa. Quella data è arrivata, ma il suo contenuto è radicalmente diverso da quello annunciato. Ci sono due movimenti simultanei, e tenerli separati è il lavoro minimo dell'analisi strutturale.

Il primo movimento va nella direzione della stretta. Dal 2 agosto 2026 l'AI Office della Commissione europea ha acquisito il potere legale di sanzionare i fornitori di modelli di intelligenza artificiale per uso generale, i cosiddetti modelli GPAI. La Commissione può ora imporre una sanzione fino al 3% del fatturato mondiale annuo o 15 milioni di euro, la cifra più alta tra le due, in base all'articolo 101 del regolamento. Le obbligazioni sui modelli GPAI erano già attive dal 2 agosto 2025: documentazione tecnica, politica sul diritto d'autore, sommario pubblico dei dati di addestramento, misure di mitigazione del rischio sistemico. Quello che mancava fino ad ora era l'enforcement: i poteri di supervisione e sanzione della Commissione erano stati deliberatamente sospesi per un anno per consentire ai fornitori e al nascente AI Office di operazionalizzare il regime prima che qualcuno affrontasse una multa. Quel periodo di grazia è terminato.

Il secondo movimento va nella direzione opposta, ed è il più rilevante strutturalmente. Gli obblighi più pesanti, quelli sui sistemi ad alto rischio, sono stati rinviati dal pacchetto Digital Omnibus al 2 dicembre 2027 e al 2 agosto 2028. Con l'approvazione definitiva dell'AI Omnibus da parte del Consiglio dell'Unione europea il 29 giugno 2026, Bruxelles ha spostato l'applicazione degli obblighi per i sistemi classificati come ad alto rischio ai sensi dell'Allegato III. Si tratta dei sistemi impiegati in biometria, infrastrutture critiche, istruzione, selezione del personale, accesso ai servizi essenziali, migrazione, giustizia. L'accordo provvisorio sul pacchetto Omnibus è arrivato alle 4:30 del mattino del 7 maggio 2026, dopo una notte di negoziati tra Consiglio UE e Parlamento europeo.

Chi ha deciso. La decisione ha tre livelli formali. Il Parlamento europeo ha votato la proroga il 26 marzo 2026 con 569 voti favorevoli e 45 contrari. Il Consiglio dell'Unione europea l'ha approvata definitivamente il 29 giugno 2026. Il regolamento è entrato in vigore il 27 luglio 2026. Sul piano delle pressioni che hanno prodotto la decisione, il quadro è documentato. Le pressioni del governo statunitense e delle Big Tech hanno raggiunto livelli inediti, con un investimento in attività di lobbying a Bruxelles che ha toccato i 151 milioni di dollari nel 2025. Il segretario di Stato americano Marco Rubio ha invitato i diplomatici a indebolire il Digital Services Act dell'UE, e colossi come Meta hanno fatto pressione per ottenere modifiche sostanziali al regolamento. La Commissione e il Consiglio hanno giustificato il rinvio anche con ragioni tecniche: il differimento è stato introdotto anche alla luce della necessità di completare gli standard tecnici e gli strumenti di supporto indispensabili per consentire agli operatori di adempiere in modo efficace agli obblighi.

Chi beneficia. I fornitori di sistemi ad alto rischio, che siano aziende americane o europee, hanno guadagnato fino a sedici mesi di tempo aggiuntivo. Il primo semestre del 2026 ha portato un ambiente più permissivo per le fusioni e acquisizioni tecnologiche negli Stati Uniti e una fase più assertiva dell'enforcement digitale in Europa. Il beneficio per i grandi fornitori GPAI, quelli già presenti sul mercato prima del 2 agosto 2025, è duplice: sul fronte GPAI, i fornitori di modelli GPAI immessi sul mercato prima del 2 agosto 2025 devono essere conformi entro il 2 agosto 2027. Sul fronte dell'alto rischio, hanno fino al 2027 o al 2028. Le aziende che hanno firmato il Codice di condotta GPAI, il framework di compliance volontario finalizzato nel luglio 2025, vedono i propri impegni pesati nel calcolo delle eventuali sanzioni.

Chi paga. La risposta parzialmente documentabile riguarda i cittadini europei che interagiscono con sistemi di valutazione del credito, selezione del personale, accesso a servizi essenziali: sono i soggetti per cui l'AI Act ad alto rischio era stato concepito. Avranno protezioni formali non prima del dicembre 2027. Le organizzazioni per i diritti digitali leggono l'operazione come un arretramento: il gruppo Liberties ha descritto il rinvio come un ritardo nella protezione dei diritti fondamentali attesa per agosto 2026. Sul fronte delle aziende che si erano già preparate, il costo è quello di un bersaglio mobile: chi ha investito per essere compliant entro agosto 2026 non ha né rimborsi né vantaggi normativi rispetto a chi ha atteso.

Resta operativo, senza slittamenti, un blocco preciso di obblighi. Gli obblighi di trasparenza previsti dall'articolo 50 continuano ad applicarsi dal 2 agosto 2026: chatbot e sistemi di interazione con gli utenti devono informare chiaramente quando una persona sta dialogando con un sistema di intelligenza artificiale. I fornitori avranno soltanto tre mesi, e non più sei, per adeguarsi all'obbligo di etichettatura dei contenuti generati artificialmente, con la nuova scadenza fissata al 2 dicembre 2026. La struttura che emerge è questa: ciò che è visibile all'utente finale viene esigito subito; ciò che incide sulle decisioni che lo riguardano profondamente è rinviato. L'asimmetria non è accidentale.