AI Act: dal 2 agosto 2026 l'Europa può multare i grandi modelli. Chi ha deciso, chi beneficia, chi paga.

Il 2 agosto 2026 l'AI Act europeo è entrato nella sua era di enforcement. Non si tratta di una novità normativa: le obbligazioni sui modelli di intelligenza artificiale general purpose (GPAI) erano già in vigore dal 2 agosto 2025. Quello che è cambiato è la presenza dei denti. Da quella data la Commissione non poteva emettere sanzioni. Da questa, può farlo retroattivamente.

Chi ha deciso. La struttura decisionale è pubblica e stratificata. L'AI Act (Regolamento UE 2024/1689) è entrato in vigore il 1° agosto 2024, con obbligazioni graduate nel tempo. Il 2 agosto 2025 sono scattati gli obblighi per i fornitori GPAI, con un anno di grazia per operazionalizzare il sistema di supervisione. Parallelamente, il 19 novembre 2025 la Commissione ha proposto l'AI Omnibus, un pacchetto di semplificazione che rinviava le scadenze per i sistemi ad alto rischio: il Parlamento europeo lo ha approvato il 16 giugno 2026 con 423 voti favorevoli, 57 contrari e 174 astensioni; il Consiglio UE ha dato l'approvazione finale il 29 giugno 2026. Il regolamento (UE) 2026/1744, Digital Omnibus on AI, è stato pubblicato in Gazzetta Ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026, sei giorni prima della scadenza originale per l'alto rischio.

Chi beneficia del rinvio. L'Omnibus sposta la scadenza per i sistemi ad alto rischio standalone (Allegato III: recruitment, credit scoring, biometria, controllo delle frontiere, istruzione, infrastrutture critiche) dal 2 agosto 2026 al 2 dicembre 2027, 16 mesi di proroga. Per i sistemi incorporati in prodotti soggetti a certificazione UE (dispositivi medici, macchinari, ascensori, veicoli) la scadenza passa al 2 agosto 2028. I beneficiari diretti sono le grandi aziende tech e i loro clienti industriali che utilizzano strumenti di selezione del personale, scoring creditizio o sistemi di sorveglianza: avevano 16 mesi in meno di obblighi documentali e di conformità. Chi ha spinto per il rinvio è parzialmente documentabile: la pressione dell'industria tecnologica è citata in fonti legali come fattore esplicito, così come l'opposizione dell'amministrazione Trump, che ha fatto del dossier regolatorio europeo sull'IA un punto di attrito nelle relazioni transatlantiche.

Chi paga: i fornitori GPAI, adesso. Il rinvio sull'alto rischio non ha toccato le obbligazioni GPAI. L'AI Office può ora richiedere documentazione tecnica ai fornitori di modelli GPAI (Articolo 91), condurre valutazioni tecniche dirette (Articolo 92), ordinare misure correttive (Articolo 93), restringere o ritirare un modello dal mercato europeo e comminare sanzioni fino a 15 milioni di euro o al 3% del fatturato annuo mondiale, la cifra più alta tra le due (Articolo 101). Rifiutare o ritardare la risposta alle richieste dell'AI Office è essa stessa un'infrazione sanzionabile. Le obbligazioni non si limitano ai costruttori: ogni azienda che integra, distribuisce o fa fine-tuning di un modello GPAI e raggiunge utenti nell'UE è coinvolta nella catena di conformità.

Chi è in perimetro. Secondo il rapporto di Epoch AI dell'aprile 2026, 12 modelli notevoli hanno già superato la soglia dei 10^25 FLOP di calcolo di addestramento, quella oltre la quale l'AI Act presume automaticamente il rischio sistemico ai sensi dell'Articolo 51. I laboratori rappresentati includono OpenAI, Google, Anthropic, Meta e Mistral. Tra i modelli specificamente citati nella documentazione pubblica disponibile figurano modelli della classe GPT-4, Gemini Ultra, Claude 3 Opus e successori, e Meta Llama 3 405B (soggetto a revisione della Commissione). I firmatari del GPAI Code of Practice, finalizzato il 10 luglio 2025 e che conta 28 aderenti tra cui Amazon, Anthropic, Google, IBM, Microsoft, Mistral e OpenAI, ottengono una valutazione di buona fede in sede di calcolo delle sanzioni. L'AI Office ha tuttavia chiarito che la firma del Codice non sospende l'enforcement.

Cosa non è documentabile con fonti pubbliche. Non è possibile stabilire, sulla base di atti pubblici disponibili al 15 agosto 2026, quale sia il primo caso formale di procedimento avviato dall'AI Office dopo il 2 agosto. L'AI Office ha dichiarato di preferire come primo strumento i technical compliance dialogues, conversazioni strutturate con i fornitori prima di avviare procedimenti formali: l'elenco dei soggetti coinvolti in tali dialoghi non è pubblico. Non è documentabile nemmeno l'entità degli investimenti interni dei singoli laboratori per adeguarsi alle obbligazioni GPAI nel corso dell'anno di grazia. L'assenza di queste informazioni è essa stessa una struttura: l'opacità del processo pre-sanzionatorio è una scelta architettonica dell'AI Office, non un vuoto accidentale.

La geometria dell'evento è questa: la Commissione ha mantenuto ferme le scadenze GPAI, che colpiscono i laboratori americani con modelli di frontiera, mentre ha rinviato quelle per l'alto rischio, che avrebbero pesato soprattutto sulle aziende europee e sui clienti industriali dell'AI. Il rinvio è stato negoziato e votato, non imposto: la struttura del voto parlamentare (423 favorevoli, 57 contrari) indica una maggioranza larga, ma non unanime. Chi si è opposto non ha lasciato traccia documentale pubblica delle proprie motivazioni specifiche. L'AI Act rimane il primo sistema regolatorio che può ritirare un modello dal mercato e sanzionare chi lo distribuisce: una competenza che nessuna giurisdizione aveva mai formalizzato prima.