AI Act: enforcement attivo, alto rischio rinviato. Chi ha deciso, chi beneficia, chi paga

Il 2 agosto 2026 non è la data in cui l'AI Act europeo è entrato in vigore, perché l'AI Act è in vigore dal 1° agosto 2024. È la data in cui l'AI Office della Commissione e le autorità nazionali degli Stati membri hanno acquisito i poteri operativi di enforcement: possono richiedere documentazione tecnica ai fornitori, valutare i modelli, imporre misure correttive, emettere sanzioni. Per i modelli di uso generale con rischio sistemico, le multe arrivano fino a 35 milioni di euro o al 7% del fatturato globale annuo per pratiche vietate, e fino a 15 milioni o al 3% per violazioni GPAI.

Chi ha deciso: la struttura della decisione ha tre livelli sovrapposti. Il Regolamento (UE) 2024/1689, adottato nel giugno 2024, ha fissato il calendario originario. Il 19 novembre 2025 la Commissione von der Leyen ha proposto il Digital Omnibus on AI per alleggerire le scadenze. Il 7 maggio 2026 Parlamento europeo e Consiglio dell'UE hanno raggiunto l'accordo politico provvisorio. Il Regolamento (UE) 2026/1744, nome ufficiale del Digital Omnibus, è stato pubblicato in Gazzetta Ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio, sei giorni prima della scadenza originale per i sistemi ad alto rischio. Il Parlamento lo ha adottato il 16 giugno, il Consiglio ha dato il via libera definitivo il 29 giugno, la firma finale è avvenuta l'8 luglio.

L'effetto concreto è una biforcazione del calendario. Le obbligazioni di trasparenza dell'Articolo 50 sono operative da agosto 2026 per tutti i sistemi in uso nel mercato UE, indipendentemente da dove ha sede il fornitore: i chatbot devono dichiarare la propria natura artificiale, i contenuti sintetici devono portare etichette leggibili dalle macchine. Le obbligazioni sui sistemi ad alto rischio dell'Allegato III, quelli usati in occupazione, istruzione, credito, forze dell'ordine e infrastrutture critiche, sono invece spostate al 2 dicembre 2027 per i sistemi stand-alone e al 2 agosto 2028 per i sistemi embedded in prodotti regolati dall'Allegato I. Secondo Epoch AI, ad aprile 2026 almeno 12 modelli hanno superato la soglia computazionale di 10^25 FLOP che determina la presunzione di rischio sistemico, e i laboratori rappresentati includono OpenAI, Google, Anthropic, Meta e Mistral.

Chi beneficia: il rinvio delle norme ad alto rischio ha beneficiari identificabili a due livelli. Al livello dei grandi fornitori di infrastruttura, le imprese che hanno firmato il Codice di Condotta GPAI, tra cui Amazon, Anthropic, Google, IBM, Microsoft, OpenAI, Mistral e Aleph Alpha, ottengono una presunzione di conformità e continuano ad operare attraverso dialoghi tecnici con l'AI Office piuttosto che sotto enforcement immediato. Al livello dei deployer europei nei settori sensibili, il rinvio di 16 mesi libera aziende di medie dimensioni, ora esentate fino a 500 dipendenti in alcune categorie, dall'obbligo di valutazione di conformità che era atteso per agosto 2026. La pressione per il rinvio è documentata: i registri di lobbying citati dal Jacques Delors Centre mostrano rappresentanti di Meta incontrati 38 volte con gruppi parlamentari al gennaio 2026. Chi osserva la struttura, non le intenzioni, nota che i beneficiari principali del rinvio non sono le PMI europee che non avrebbero comunque potuto conformarsi, ma i grandi incumbent che possono assorbire i costi regolativi in ogni scenario e che hanno lobbied con più intensità.

Chi paga: chi paga è documentabile in parte. Sul piano diretto, i fornitori GPAI con rischio sistemico sono ora esposti a sanzioni reali: la Commissione può emettere multe retroattivamente a partire da agosto 2026 per violazioni commesse nell'anno precedente, quando le obbligazioni erano già in vigore ma l'enforcement era sospeso. Sul piano strutturale, chi paga il rinvio delle norme ad alto rischio sono i soggetti che quei sistemi li subiscono: lavoratori valutati da strumenti di selezione automatizzata, richiedenti credito, utenti di sistemi di gestione dell'accesso a servizi pubblici. La Confederazione europea dei sindacati e industriAll Europe hanno denunciato l'indebolimento dell'obbligo di alfabetizzazione sull'AI per i fornitori e i datori di lavoro, con il testo che passa dall'obbligo di «garantire un livello sufficiente» alla formula più vaga di «supportare». Sul piano istituzionale, l'infrastruttura di enforcement è ancora incompiuta: solo 8 Stati membri su 27 avevano designato la propria autorità nazionale competente entro marzo 2026. Il costo di questa lacuna ricade sui cittadini degli Stati inadempienti, che non dispongono di un'autorità a cui rivolgersi. L'assenza di un elenco pubblico ufficiale dei modelli classificati a rischio sistemico dall'AI Office è informazione: rende opaca la mappa di chi è già sotto il perimetro regolatorio e chi no.