AI Act: quando entra in vigore e cosa cambia

L'AI Act, cioè il Regolamento (UE) 2024/1689, è in vigore dal 1° agosto 2024, ma i suoi obblighi si applicano a scaglioni fissati dall'art. 113: divieti e alfabetizzazione dal 2 febbraio 2025, modelli per finalità generali e sanzioni dal 2 agosto 2025, trasparenza e quasi tutto il resto dal 2 agosto 2026.

L'8 luglio 2026 è arrivato l'Omnibus digitale sull'IA, il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Ha spostato gli obblighi per i sistemi ad alto rischio al 2 dicembre 2027 (allegato III) e al 2 agosto 2028 (allegato I), e ha riscritto l'obbligo di alfabetizzazione. Molte guide in rete riportano ancora le date di prima.

Per un'azienda italiana la domanda pratica è «quale di queste date riguarda me?». Qui trovi il calendario completo con l'articolo che fissa ogni data, cosa è cambiato con l'Omnibus e cosa aggiunge la legge italiana 132/2025.

Il calendario dell'AI Act, data per data

Ogni riga rimanda all'articolo che fissa la data. Le date originali sono nell'art. 113 dell'AI Act; dove il testo è stato modificato, la fonte è l'Omnibus digitale sull'IA.

Per la maggior parte delle PMI contano tre righe: l'alfabetizzazione dal 2 febbraio 2025, la trasparenza dal 2 agosto 2026 (art. 113 dell'AI Act) e, per chi usa l'AI nella selezione del personale o nella valutazione di persone, il 2 dicembre 2027 fissato dall'Omnibus. Le altre riguardano soprattutto chi sviluppa modelli o fabbrica prodotti regolati.

Cosa ha cambiato l'Omnibus digitale sull'IA, e da quando

L'Omnibus è il Regolamento (UE) 2026/1744 dell'8 luglio 2026, pubblicato in Gazzetta ufficiale UE il 24 luglio ed entrato in vigore il 27 luglio 2026 (art. 4 dell'Omnibus). Non sostituisce l'AI Act: ne modifica punti precisi. Il motivo del rinvio è scritto nel considerando 40: norme tecniche, linee guida e autorità nazionali non erano pronte, e mantenere il 2 agosto 2026 per l'alto rischio avrebbe potuto far crescere in modo significativo i costi di attuazione.

Sull'alfabetizzazione il cambio è sostanziale. Dal 2 febbraio 2025 l'art. 4 chiedeva di garantire un livello «sufficiente» di competenze a chi usa l'AI per conto dell'azienda. Dal 27 luglio 2026 il testo sostituito dall'Omnibus chiede misure che sostengano lo sviluppo di quelle competenze, tenendo conto di esperienza, formazione e contesto d'uso, e precisa che non va garantito un livello specifico per nessuna persona. Commissione e Stati membri devono sostenere lo sforzo, in particolare delle PMI, e la Commissione pubblica esempi pratici di come adempiere.

Per chi produce macchine c'è un cambio meno visibile. L'Omnibus ha tolto la vecchia direttiva macchine dalla sezione A dell'allegato I e ha inserito il regolamento macchine (UE) 2023/1230 nella sezione B: i requisiti per l'AI nelle macchine arriveranno con atti delegati del regolamento macchine, che si applicano entro il 2 agosto 2028 (art. 1 e art. 3 del Regolamento (UE) 2026/1744).

Il resto non si è mosso: i divieti in vigore dal 2 febbraio 2025, gli obblighi dei modelli per finalità generali dal 2 agosto 2025 e la trasparenza verso chi parla con un chatbot, che resta al 2 agosto 2026 (art. 113 dell'AI Act). Il rinvio riguarda l'alto rischio.

Cosa aggiunge la legge italiana 132/2025

La legge 23 settembre 2025, n. 132, pubblicata in Gazzetta Ufficiale il 25 settembre 2025, è in vigore dal 10 ottobre 2025. Dice espressamente che non produce nuovi obblighi per sistemi e modelli rispetto a quelli dell'AI Act (art. 3, comma 5). Aggiunge però regole nazionali che toccano da vicino le aziende:

• Autorità. AgID è l'autorità di notifica, ACN l'autorità di vigilanza del mercato e il punto di contatto unico con l'UE; Banca d'Italia, CONSOB e IVASS vigilano sul settore finanziario, e il Garante privacy mantiene i suoi poteri (art. 20).
• Lavoro. Il datore di lavoro informa il lavoratore dell'uso dell'AI nei casi e con le modalità dell'art. 1-bis del d.lgs. 152/1997 (art. 11).
• Professioni intellettuali. L'AI serve solo per attività strumentali e di supporto, e il professionista informa il cliente sui sistemi che usa con linguaggio chiaro (art. 13).
• Deep fake. Nasce il reato di illecita diffusione di contenuti generati o alterati con l'AI (art. 612-quater del codice penale), punito con la reclusione da uno a cinque anni (art. 26).
• Sanzioni. Il Governo è delegato ad adottare entro dodici mesi dall'entrata in vigore della legge i decreti che danno alle autorità dell'art. 20 il potere di applicare le sanzioni dell'art. 99 dell'AI Act (art. 24). Lo stato dei decreti va controllato su Normattiva.

Cosa deve fare un'azienda italiana, e da quando

Il percorso dipende dalla fascia in cui ricadono i tuoi sistemi, tema di i quattro livelli di rischio. Il discrimine pratico è l'allegato III: se un tuo uso rientra lì, gli obblighi partono dal 2 dicembre 2027 (art. 113 modificato dall'Omnibus); altrimenti restano l'alfabetizzazione e, se l'AI parla con qualcuno, la trasparenza dal 2 agosto 2026 (art. 50 dell'AI Act).

Nella colonna di destra finisce la maggior parte delle PMI italiane. Non significa «non fare niente»: significa che il lavoro è leggero e che le date da ricordare sono al massimo due. C'è poi un caso che il calendario non dice: chi partecipa a gare o forniture verso clienti strutturati si vede chiedere la conformità in contratto, spesso prima che la norma la imponga.

Tre esempi con le date giuste

Studio professionale che usa assistenti AI per bozze e riassunti. Dall'AI Act arriva l'art. 4: misure di alfabetizzazione per chi usa gli strumenti, nella versione più leggera in vigore dal 27 luglio 2026 (Omnibus). La legge 132/2025, art. 13 aggiunge l'obbligo di dire al cliente quali sistemi AI usi, con parole chiare. Il tema pesante resta il GDPR, cioè quali documenti finiscono in strumenti esterni: vedi GDPR e AI in azienda.

E-commerce con assistente clienti attivo da un anno. Dal 2 agosto 2026 chi chatta deve sapere che parla con un'AI, al più tardi alla prima interazione e salvo che sia evidente (art. 50, par. 1 e 5). Se l'assistente è un prodotto di terzi, l'obbligo di progettarlo così è del fornitore, e tu controlli che il messaggio sia visibile. Se l'hai fatto sviluppare e lo metti in servizio col tuo marchio, il fornitore sei tu.

Software house che vende un modulo di scoring dei candidati. Qui le date contano sul serio. La selezione del personale è nell'allegato III, quindi gli obblighi da fornitore partono dal 2 dicembre 2027 (art. 113 modificato). L'art. 111 esclude i sistemi già sul mercato prima di quella data finché la progettazione non cambia in modo significativo, ma per un prodotto con rilasci frequenti è una finestra su cui non conviene costruire un piano.

Cosa conviene fare adesso, a prescindere dalle date

C'è una parte di lavoro che ha senso a prescindere dal calendario, perché serve all'azienda prima che al legislatore. È anche la parte che, se fatta ora, rende irrilevante qualunque revisione delle scadenze: l'Omnibus lo ha appena dimostrato.

1. Censire gli strumenti realmente in uso, compresi quelli che nessuno ha autorizzato. È il passaggio che rivela la situazione vera.
2. Verificare i piani attivi dei servizi usati: le condizioni sui dati cambiano molto tra versione gratuita e business.
3. Sistemare la trasparenza dove l'AI parla con clienti o candidati: è un obbligo dal 2 agosto 2026 (art. 50 dell'AI Act).
4. Formare chi usa l'AI: è il modo più diretto di rispettare l'art. 4. Vedi come formare il team sull'AI.
5. Scrivere due pagine di policy interna con le regole essenziali, seguendo come scrivere una policy aziendale sull'AI.
6. Annotare chi controlla cosa nei processi dove l'AI supporta decisioni.

Due di questi punti, trasparenza e formazione, sono obblighi con una data; gli altri no. Tutti riducono il rischio reale, che per una PMI si manifesta più spesso come contratto perso che come multa, come spiegato in sanzioni dell'AI Act.

Come riconoscere una guida con le date superate

L'Omnibus è recente e in rete circolano ancora schemi scritti prima. Tre segnali aiutano a riconoscerli:

• Indicano il 2 agosto 2026 come data degli obblighi per l'alto rischio: per l'allegato III oggi è il 2 dicembre 2027 (Reg. (UE) 2026/1744).
• Parlano di un obbligo di garantire un livello sufficiente di alfabetizzazione: il nuovo art. 4 chiede misure di sostegno, senza un livello da garantire.
• Non citano il Regolamento (UE) 2026/1744, che ha modificato l'AI Act.

Gli errori più comuni con le scadenze dell'AI Act

• Leggere il rinvio come un «liberi tutti». L'Omnibus ha spostato l'alto rischio, non i divieti né la trasparenza dell'art. 50, che resta al 2 agosto 2026 (art. 113 dell'AI Act).
• Pensare che gli obblighi sui modelli per finalità generali riguardino chi li usa. Riguardano chi li sviluppa e li immette sul mercato.
• Aspettare la scadenza per fare l'inventario. L'inventario costa poche ore e nella maggior parte dei casi chiude la questione con esito tranquillizzante.
• Comprare pacchetti di conformità senza aver classificato. È il modo più efficace per pagare adempimenti che non ti competono.
• Contare sull'esenzione dei sistemi già in uso. Per l'alto rischio vale solo finché la progettazione non cambia in modo significativo (art. 111, par. 2, modificato): con un software che si aggiorna spesso serve un parere specifico.

Tre passaggi per capire quali date ti riguardano

1. Inventario dei sistemi AI realmente usati, comprese le abitudini informali dei collaboratori.
2. Classificazione di ciascuno per fascia di rischio. Se escono tutti «minimo», ti riguardano l'art. 4 e, per i chatbot, l'art. 50.
3. Calendario solo per i sistemi ad alto rischio, con il 2 dicembre 2027 o il 2 agosto 2028 come riferimento (art. 113 modificato dall'Omnibus) e un piano vero dietro ogni data.

Il passaggio 2 è quello che risolve. La sensazione diffusa di «dover fare qualcosa entro una data» quasi sempre si dissolve appena si guarda cosa si usa davvero: chi non sviluppa sistemi e non usa l'AI in aree ad alto rischio non ha bisogno di un calendario, ha bisogno di sapere cosa usa. Il metodo è in AI Act: la guida per le aziende e in come valutare i rischi di un sistema AI, il quadro generale in AI per aziende: guida completa.

La data da segnare dipende da cosa fai con l'AI

L'AI Act arriva per gradi, e l'Omnibus ha allungato proprio i gradi più pesanti: gli obblighi per l'alto rischio partono dal 2 dicembre 2027 e dal 2 agosto 2028 (Regolamento (UE) 2026/1744). Per tutti gli altri contano l'alfabetizzazione e, se un assistente parla con i clienti, la trasparenza.

La regola pratica resta questa: prima classifica, poi guarda le date. Farlo al contrario produce solo ansia e preventivi inutili.

Se vuoi mettere in fila gli strumenti AI che usi e capire quale di queste date ti riguarda, partiamo dall'inventario in una consulenza AI per PMI; per i pareri legali il riferimento resta il tuo consulente.