AI Act in vigore dal 2 agosto: la governance scatta, gli obblighi pesanti slittano al 2027

Il 2 agosto 2026 è la data che per due anni ha segnato sul calendario il momento in cui l'Unione Europea avrebbe attivato l'intero impianto dell'AI Act, il Regolamento (UE) 2024/1689 sulla governance dell'intelligenza artificiale. La Commissione europea ha avviato in quella data l'applicazione delle nuove regole di trasparenza: i sistemi conversazionali devono dichiarare di essere IA, i deepfake devono essere etichettati, i contenuti generati automaticamente devono portare marcature machine-readable. Queste disposizioni si applicano a tutti i soggetti che operano nel mercato europeo, sviluppatori e distributori inclusi. Ma quello che è entrato in vigore il 2 agosto rappresenta solo una parte dell'architettura originaria.

La decisione più rilevante è quella che non ha fatto: gli obblighi sui sistemi classificati ad alto rischio, quelli usati in biometria, selezione del personale, valutazione del merito creditizio, istruzione, forze dell'ordine e infrastrutture critiche, non sono scattati. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull'IA, pubblicato in Gazzetta Ufficiale il 24 luglio e in vigore dal 27, ha spostato quelle scadenze: i sistemi autonomi dell'Allegato III slittano al 2 dicembre 2027, quelli integrati in prodotti già soggetti a normative di sicurezza al 2 agosto 2028. L'accordo politico provvisorio tra Consiglio UE e Parlamento europeo era stato raggiunto alle 4:30 del mattino del 7 maggio 2026, dopo una notte di negoziati, e ratificato poi con voto del Parlamento europeo del 26 marzo (569 favorevoli, 45 contrari, 23 astenuti).

Chi ha deciso. La Commissione europea, sotto la guida della Vicepresidente esecutiva Henna Virkkunen, ha proposto e difeso il rinvio presentandolo come un aggiustamento tecnico, non come una ritirata regolatoria. La Commissione ha presentato il rinvio come una misura per facilitare l'innovazione senza abbassare il livello di sicurezza. La motivazione tecnica ufficiale è documentabile: gli standard armonizzati che le imprese avrebbero dovuto usare per dimostrare la conformità non erano pronti, e imporre obblighi senza gli strumenti per rispettarli avrebbe prodotto incertezza più che tutela. Il legislatore europeo ha esplicitamente riconosciuto che i ritardi nella predisposizione di norme tecniche e quadri di governance nazionali avrebbero reso insostenibile il rispetto della data originaria.

Chi beneficia. Il quadro della pressione esercitata prima del rinvio è documentato da fonti pubbliche. Le pressioni del governo statunitense e delle Big Tech hanno raggiunto livelli inediti, con investimenti in attività di lobbying a Bruxelles che hanno toccato i 151 milioni di dollari nel 2025. Oltre 50 gruppi industriali europei avevano chiesto alla Commissione di fermare l'applicazione della legge, evidenziando come l'assenza di un quadro operativo definito potesse compromettere la competitività europea. Le Big Tech statunitensi ottengono due anni in più per consolidare la propria posizione di mercato in Europa prima che gli obblighi sull'alto rischio entrino in vigore. Sul fronte istituzionale, il Digital Omnibus rafforza anche il ruolo dell'AI Office della Commissione, accentrando la supervisione dei modelli di IA per finalità generali, i cosiddetti GPAI.

Chi paga. La risposta pubblica più netta viene da chi era atteso come beneficiario diretto delle norme rinviate. Le organizzazioni a difesa dei diritti digitali hanno parlato di un grave arretramento sulla privacy concepito non nell'interesse dell'UE ma delle Big Tech. Il relatore dell'AI Act al Parlamento europeo Brando Benifei ha evocato il rischio che alcune delle modifiche finiscano per essere un grande favore alle Big Tech. Chi paga in termini concreti è chiunque sia oggi soggetto a un sistema di IA ad alto rischio, in ambiti di selezione del lavoro, valutazione creditizia, riconoscimento biometrico, senza le protezioni formali che l'AI Act aveva previsto per quella data. Il costo non è monetario ma di esposizione: le tutele attese non ci sono ancora.

In parallelo, sul piano italiano, il Consiglio dei Ministri ha approvato in via definitiva il 5 agosto 2026 i due decreti legislativi attuativi dell'AI Act. Lo schema AG 421 è l'atto con cui l'Italia adegua la normativa nazionale al Regolamento (UE) 2024/1689, per la parte che riguarda i poteri delle autorità nazionali e l'uso dell'IA nella formazione. La governance strategica è affidata ad AgID come autorità di notifica, mentre l'ACN ha il ruolo di autorità di vigilanza del mercato e punto di contatto unico con l'Unione Europea. Gli articoli 4-12 del decreto distribuiscono le competenze fra sei soggetti: AgID, ACN, Banca d'Italia, CONSOB, IVASS e il Garante per la protezione dei dati personali. Il Garante per la protezione dei dati personali ha espresso parere favorevole, ma condizionato a una serie di integrazioni, segnalando la necessità di rafforzare le garanzie sui dati personali, soprattutto nei settori più sensibili come la sicurezza pubblica e il lavoro. Il decreto non prevede una competenza regolatoria espressamente dedicata ai fenomeni emergenti di influenza algoritmica dell'informazione, della comunicazione pubblica e della formazione dell'opinione: questa lacuna è stata segnalata nelle audizioni parlamentari del luglio 2026 e resta, per ora, senza risposta documentata.