Privacy e diritto digitale · Aggiornato al 3 agosto 2026
Dal 2 agosto 2026 il regolamento europeo sull’intelligenza artificiale entra nella sua fase generale di applicazione. Ma “pienamente applicabile” non significa “tutto in vigore”: il Regolamento (UE) 2026/1744 — l’Omnibus digitale sull’IA, pubblicato in Gazzetta Ufficiale UE il 24 luglio 2026 — ha spostato in avanti il capitolo più oneroso, quello dei sistemi ad alto rischio. Ecco la mappa reale degli obblighi, senza allarmismi e senza scorciatoie.
In sintesi
Nelle ultime settimane la data del 2 agosto 2026 è stata raccontata in due modi opposti, entrambi imprecisi. Da un lato l’annuncio del “grande giorno”, con l’idea che da lunedì ogni impresa che usa un software di intelligenza artificiale debba esibire certificazioni e valutazioni di conformità. Dall’altro la narrazione opposta, secondo cui l’Omnibus digitale avrebbe di fatto svuotato il regolamento, rinviando tutto e lasciando campo libero fino al 2028.
Nessuna delle due letture regge alla prova del testo. Il quadro reale è più articolato: alcune norme sono pienamente esigibili da lunedì, altre lo erano già da un anno e mezzo, altre ancora sono state differite — ma con una tecnica normativa selettiva, che non tocca né i divieti né la trasparenza né l’impianto sanzionatorio.
Questa guida separa, articolo per articolo e data per data, ciò che è vero da ciò che non lo è, con riferimento esclusivo alle fonti primarie: il Regolamento (UE) 2024/1689, il Regolamento (UE) 2026/1744 e la legge 23 settembre 2025, n. 132.
Indice dei contenuti
- Che cosa è successo davvero il 2 agosto 2026
- Cosa è vero: gli obblighi che scattano adesso
- Cosa non è vero: cinque equivoci da smontare
- Il Digital Omnibus: cosa ha cambiato il Reg. (UE) 2026/1744
- La nuova mappa delle scadenze 2025–2028
- Il quadro italiano: ACN, AgID e la legge 132/2025
- Cosa fare adesso: checklist operativa
Che cosa è successo davvero il 2 agosto 2026
Il Regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024 e prevede fin dall’origine un’applicazione scaglionata, scandita dall’art. 113. La data del 2 agosto 2026 è la data generale di applicazione: il momento in cui, salvo eccezioni espresse, il regolamento diventa operativo nella sua interezza.
Il 24 luglio 2026, però, è stato pubblicato nella Gazzetta ufficiale dell’Unione europea il Regolamento (UE) 2026/1744 dell’8 luglio 2026, il cosiddetto Omnibus digitale sull’IA, entrato in vigore il 27 luglio 2026, cioè sei giorni prima della scadenza che avrebbe dovuto governare. L’intervento è chirurgico ma pesante: modifica l’art. 113 dell’AI Act e sposta in avanti l’intero blocco degli obblighi sui sistemi ad alto rischio.
Fonte normativa
Considerando 40, Reg. (UE) 2026/1744 — il ritardo nella disponibilità di norme tecniche armonizzate, specifiche comuni e orientamenti, unito al ritardo nella costituzione delle autorità nazionali competenti, “comportano difficoltà che compromettono l’efficace entrata in applicazione di tali obblighi”. Di qui la nuova data di applicazione del Capo III, sezioni 1, 2 e 3: 2 dicembre 2027 per i sistemi ad alto rischio ex art. 6, par. 2 e Allegato III; 2 agosto 2028 per quelli ex art. 6, par. 1 e Allegato I.
La conseguenza pratica è una asimmetria che va compresa bene: il regolamento è formalmente “pienamente applicabile”, ma il suo nucleo più oneroso — quello che imponeva sistemi di gestione del rischio, data governance, documentazione tecnica, valutazione di conformità e marcatura CE — produrrà effetti solo tra sedici mesi. Tutto il resto, invece, è già esigibile.
Cosa è vero: gli obblighi che scattano adesso
1. La trasparenza dell’art. 50 è pienamente esigibile
È il capitolo che tocca il maggior numero di soggetti, perché prescinde dal livello di rischio del sistema. L’art. 50 dell’AI Act impone quattro obblighi distinti:
- ▸Sistemi che interagiscono con persone fisiche (chatbot, assistenti vocali, agenti conversazionali): devono essere progettati in modo che l’utente sia informato di stare interagendo con un sistema di IA, salvo che ciò sia evidente per una persona ragionevolmente avveduta.
- ▸Contenuti sintetici (testo, immagini, audio, video): i fornitori devono marcarli in un formato leggibile dalla macchina e renderli riconoscibili come generati o manipolati artificialmente, nei limiti della fattibilità tecnica.
- ▸Riconoscimento delle emozioni e categorizzazione biometrica: i deployer devono informare le persone esposte al sistema.
- ▸Deepfake: chi genera o manipola immagini, audio o video che costituiscono un deepfake deve rendere noto che il contenuto è stato prodotto o alterato artificialmente, con adattamenti per le opere manifestamente artistiche o satiriche.
Il dettaglio che pochi hanno riportato
Il considerando 38 del Reg. (UE) 2026/1744 introduce un periodo transitorio di quattro mesi per gli obblighi di marcatura di cui all’art. 50, par. 2, a beneficio dei fornitori di sistemi di IA generativa già immessi sul mercato prima del 2 agosto 2026. Per questi soggetti il termine effettivo è dunque il 2 dicembre 2026. Attenzione: la finestra riguarda solo la marcatura dei contenuti sintetici da parte dei fornitori, non gli altri obblighi dell’art. 50, che restano ancorati al 2 agosto 2026.
2. Le sanzioni della Commissione sui modelli GPAI
Gli obblighi sostanziali per i fornitori di modelli di IA per finalità generali (documentazione tecnica, informazioni ai fornitori a valle, politica di rispetto del diritto d’autore, sintesi dei contenuti di addestramento) sono applicabili dal 2 agosto 2025. Ciò che mancava era il braccio esecutivo: l’art. 101, espressamente escluso dall’anticipazione al 2025 e quindi applicabile dalla data generale.
Dal 2 agosto 2026 la Commissione europea può dunque irrogare direttamente ai fornitori di modelli GPAI sanzioni pecuniarie fino al 3% del fatturato mondiale annuo totale dell’esercizio precedente o 15 milioni di euro, se superiore. È il vero passaggio di fase del 2 agosto: non l’inizio delle sanzioni in generale, ma l’attivazione dell’enforcement centralizzato sui modelli di base.
3. La vigilanza nazionale diventa operativa
Con la data generale di applicazione, il sistema di sorveglianza del mercato disegnato dal Capo IX dell’AI Act è a regime. Le autorità nazionali possono esercitare poteri istruttori, ispettivi e correttivi — richieste di informazioni, accesso a documentazione, misure di ritiro o richiamo dal mercato — sulle disposizioni già applicabili. Va detto con chiarezza: la vigilanza non riguarda oggi i requisiti sull’alto rischio, che non sono ancora esigibili, ma i divieti, la trasparenza e gli obblighi GPAI.
Cosa non è vero: cinque equivoci da smontare
Equivoco n. 1
“Dal 2 agosto 2026 l’AI Act è interamente in vigore”
Il regolamento è in vigore dal 1° agosto 2024: l’entrata in vigore e l’entrata in applicazione sono due cose diverse. E l’applicazione non è integrale: il Capo III, sezioni 1, 2 e 3 — classificazione dei sistemi ad alto rischio, requisiti sostanziali, obblighi di fornitori e deployer, inclusa la valutazione d’impatto sui diritti fondamentali dell’art. 27 — è differito. Restano fuori dal perimetro attuale anche le sandbox normative, il cui termine di istituzione è stato spostato al 2 agosto 2027.
Equivoco n. 2
“Da lunedì scattano le sanzioni”
Il Capo XII dell’AI Act, che disciplina le sanzioni, è applicabile dal 2 agosto 2025, con l’unica eccezione dell’art. 101. Chi ha violato i divieti dell’art. 5 nell’ultimo anno era già esposto al rischio sanzionatorio. Il 2 agosto 2026 non è il “giorno zero” delle sanzioni: è il giorno in cui si aggiunge il potere sanzionatorio diretto della Commissione sui modelli GPAI. Va poi ricordato che l’art. 99 rinvia agli Stati membri la determinazione concreta del regime sanzionatorio nazionale.
Equivoco n. 3
“L’alto rischio è rinviato, quindi non devo fare nulla”
È l’errore più costoso. I divieti dell’art. 5 sono applicabili dal 2 febbraio 2025 e non sono stati toccati: manipolazione subliminale, sfruttamento delle vulnerabilità, punteggio sociale, scraping non mirato di immagini facciali, riconoscimento delle emozioni sul luogo di lavoro e nell’istruzione. L’obbligo di alfabetizzazione in materia di IA (art. 4) grava su fornitori e deployer dalla stessa data. Gli obblighi GPAI decorrono dal 2 agosto 2025. Il differimento riguarda un segmento, non l’impianto.
Equivoco n. 4
“L’Omnibus è una deregolamentazione”
Il Reg. (UE) 2026/1744 semplifica su alcuni fronti e irrigidisce su altri. Introduce due nuovi divieti assoluti all’art. 5: i sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile senza il suo consenso libero, specifico, informato e inequivocabile (lett. b bis), e quelli che generano materiale pedopornografico ai sensi della direttiva 2011/93/UE (lett. b ter). È la messa al bando delle applicazioni di nudificazione. Il considerando 15 impone agli Stati membri di garantire il rispetto del ne bis in idem rispetto alle sanzioni penali già previste.
Equivoco n. 5
“In Italia non c’è ancora nulla di applicabile”
Falso. La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha designato le autorità nazionali e ha già introdotto nell’ordinamento penale l’art. 612-quater c.p., che punisce con la reclusione da uno a cinque anni la diffusione illecita di contenuti generati o alterati con sistemi di IA idonei a indurre in inganno sulla loro genuinità, quando ne derivi un danno ingiusto. Quel reato è procedibile e applicabile oggi, a prescindere dalle scadenze europee.
Il Digital Omnibus: cosa ha cambiato il Reg. (UE) 2026/1744
Al di là delle proroghe, l’Omnibus modifica in profondità alcuni snodi tecnici dell’AI Act. Sono modifiche che incidono direttamente sul perimetro soggettivo e oggettivo degli obblighi.
La nuova mappa delle scadenze 2025–2028
Il quadro italiano: ACN, AgID e la legge 132/2025
L’Italia è stata il primo Stato membro a dotarsi di una legge organica sull’intelligenza artificiale. La legge 23 settembre 2025, n. 132, pubblicata in Gazzetta Ufficiale il 25 settembre 2025 ed entrata in vigore il 10 ottobre 2025, opera su tre piani.
Governance. L’Agenzia per la cybersicurezza nazionale (ACN) è l’autorità di sorveglianza del mercato ai sensi dell’AI Act, con i relativi poteri ispettivi e sanzionatori; l’Agenzia per l’Italia digitale (AgID) è l’autorità di notifica degli organismi di valutazione della conformità. Restano ferme le competenze delle autorità di settore, a partire dal Garante per la protezione dei dati personali per i profili di trattamento.
Diritto penale. Oltre all’art. 612-quater c.p. sulla diffusione illecita di contenuti generati o alterati con l’IA, la legge ha introdotto circostanze aggravanti per una serie di reati commessi mediante sistemi di intelligenza artificiale.
Delega al Governo. La legge delega l’Esecutivo ad adottare, entro dodici mesi dall’entrata in vigore — dunque entro il 10 ottobre 2026 — i decreti legislativi di adeguamento dell’ordinamento nazionale all’AI Act. Gli schemi approvati in esame preliminare dal Consiglio dei ministri il 10 giugno 2026 sono, alla data odierna, ancora al vaglio delle Commissioni parlamentari.
Il punto critico
L’art. 99 dell’AI Act demanda agli Stati membri la definizione del regime sanzionatorio amministrativo, entro i massimali europei (fino a 35 milioni di euro o al 7% del fatturato mondiale per le pratiche vietate; fino a 15 milioni o al 3% per la generalità degli altri obblighi; per PMI e start-up si applica l’importo o la percentuale inferiore). Finché i decreti delegati non saranno approvati in via definitiva, l’architettura sanzionatoria interna resta incompleta. Questo non significa impunità: restano pienamente operativi i poteri correttivi e inibitori dell’autorità di sorveglianza, gli strumenti del Garante privacy e, nei casi previsti, la tutela penale.
Cosa fare adesso: checklist operativa
Il differimento dell’alto rischio non è un condono: è una finestra di sedici mesi per arrivare preparati. Ecco le sei azioni che hanno senso oggi, indipendentemente dal settore.
Sei azioni entro l’autunno 2026
1. Censire i sistemi di IA effettivamente in uso
Non solo quelli acquistati come “IA”, ma anche le funzionalità incorporate in gestionali, CRM, software di selezione del personale e strumenti di produttività. Il registro dei sistemi è il presupposto di ogni valutazione successiva.
2. Qualificare il proprio ruolo
Fornitore, deployer, distributore, importatore o rappresentante autorizzato: gli obblighi cambiano radicalmente. Attenzione all’art. 25: chi appone il proprio marchio su un sistema ad alto rischio o ne modifica la finalità prevista diventa fornitore.
3. Verificare la conformità all’art. 50
È l’adempimento più immediato: disclaimer sui chatbot, marcatura dei contenuti generati, informativa nei processi che impiegano riconoscimento delle emozioni. Va documentato, non solo attuato.
4. Formalizzare l’alfabetizzazione in materia di IA
L’art. 4 riformulato non richiede un livello certificato, ma richiede misure proporzionate al contesto e tracciabili: piani formativi, istruzioni operative, evidenze di erogazione.
5. Riesaminare i contratti con i fornitori
Clausole di conformità all’AI Act, obblighi informativi lungo la catena del valore, allocazione delle responsabilità in caso di riqualificazione del sistema come ad alto rischio nel 2027, coordinamento con il DPA ai sensi del GDPR.
6. Pre-classificare i sistemi potenzialmente ad alto rischio
Selezione del personale, accesso al credito, istruzione, servizi pubblici essenziali, gestione delle infrastrutture critiche. La classificazione fatta oggi consente di distribuire su sedici mesi un lavoro che, concentrato a ridosso del 2 dicembre 2027, diventa insostenibile.
Domande frequenti
Le sette questioni che ricorrono con maggiore frequenza nei quesiti di imprese, professionisti e amministrazioni.
L’AI Act è davvero pienamente applicabile dal 2 agosto 2026?
Il 2 agosto 2026 è la data generale di applicazione fissata dall’art. 113 del Regolamento (UE) 2024/1689, ma non coincide con l’applicazione integrale. Il Regolamento (UE) 2026/1744, pubblicato in Gazzetta Ufficiale UE il 24 luglio 2026, ha differito il Capo III, sezioni 1, 2 e 3 — l’intero pacchetto sui sistemi ad alto rischio — al 2 dicembre 2027 per i sistemi dell’Allegato III e al 2 agosto 2028 per quelli dell’Allegato I. Sono invece pienamente esigibili i divieti, gli obblighi di trasparenza e le regole sui modelli per finalità generali.
Le sanzioni dell’AI Act iniziano il 2 agosto 2026?
No. Il Capo XII del Regolamento (UE) 2024/1689, che disciplina le sanzioni, è applicabile dal 2 agosto 2025, con la sola eccezione dell’art. 101. Dal 2 agosto 2026 si aggiunge quindi il potere della Commissione europea di irrogare direttamente ai fornitori di modelli di IA per finalità generali sanzioni fino al 3% del fatturato mondiale annuo totale o 15 milioni di euro, se superiore. Le sanzioni per le pratiche vietate arrivano a 35 milioni di euro o al 7% del fatturato mondiale.
La mia azienda usa un chatbot: quali obblighi ha dal 2 agosto 2026?
Si applica l’art. 50 dell’AI Act. Il sistema deve essere progettato e utilizzato in modo che l’interlocutore sia informato di stare interagendo con un’intelligenza artificiale, salvo che ciò risulti evidente a una persona ragionevolmente avveduta. Se il chatbot genera testi, immagini o audio destinati alla pubblicazione, si aggiungono gli obblighi di marcatura dei contenuti sintetici in formato leggibile dalla macchina. Nessuna valutazione di conformità o marcatura CE è richiesta per il solo fatto di impiegare un chatbot.
Che cosa ha cambiato il Digital Omnibus oltre alle proroghe?
Il Regolamento (UE) 2026/1744 ha introdotto due nuovi divieti assoluti all’art. 5, relativi ai contenuti intimi non consensuali e al materiale pedopornografico generato con l’IA; ha riformulato l’obbligo di alfabetizzazione dell’art. 4, chiarendo che non impone di garantire un livello specifico; ha inserito l’art. 4 bis sul trattamento eccezionale di categorie particolari di dati per il rilevamento delle distorsioni; ha precisato la nozione di componente di sicurezza; ha previsto documentazione tecnica semplificata per PMI e start-up; ha differito al 2 agosto 2027 il termine per l’istituzione delle sandbox normative.
Chi vigila sull’applicazione dell’AI Act in Italia?
La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, ha designato l’Agenzia per la cybersicurezza nazionale (ACN) quale autorità di sorveglianza del mercato e l’Agenzia per l’Italia digitale (AgID) quale autorità di notifica degli organismi di valutazione della conformità. Restano ferme le competenze delle autorità di settore, incluso il Garante per la protezione dei dati personali per i profili di trattamento dei dati.
Il rinvio dell’alto rischio significa che posso rimandare ogni adempimento?
No. Il differimento riguarda esclusivamente il Capo III, sezioni 1, 2 e 3. Restano applicabili dal 2 febbraio 2025 i divieti dell’art. 5 e l’obbligo di alfabetizzazione dell’art. 4; dal 2 agosto 2025 gli obblighi sui modelli per finalità generali e l’impianto sanzionatorio; dal 2 agosto 2026 la trasparenza dell’art. 50. Il tempo guadagnato va impiegato per censire i sistemi, qualificare il proprio ruolo e pre-classificare le applicazioni potenzialmente ad alto rischio.
Esiste già un reato specifico per i deepfake in Italia?
Sì. La legge n. 132/2025 ha introdotto l’art. 612-quater del codice penale, che punisce con la reclusione da uno a cinque anni chi cagiona un danno ingiusto diffondendo, senza consenso, immagini, video o voci falsificati o alterati mediante sistemi di intelligenza artificiale, purché idonei a indurre in inganno sulla loro genuinità. Il delitto è punibile a querela della persona offesa, salvi i casi di procedibilità d’ufficio previsti dalla norma.
Conclusioni
Il 2 agosto 2026 non è né il giorno in cui “tutto diventa obbligatorio” né quello in cui l’Europa fa marcia indietro. È il momento in cui l’AI Act cambia natura: da regolamento annunciato a regolamento vigilato, con un’architettura di enforcement finalmente completa e un perimetro sostanziale che si costruirà per gradi fino al 2028.
Il Digital Omnibus, letto senza pregiudizi, è un atto di realismo: riconosce che senza norme tecniche armonizzate e senza autorità pienamente operative l’obbligo di conformità sarebbe stato un adempimento formale. Ma non è un cedimento: contestualmente allarga il catalogo dei divieti assoluti e stringe sulle applicazioni più lesive della dignità della persona.
Per imprese, professionisti e pubbliche amministrazioni il messaggio operativo è univoco. Gli adempimenti esigibili oggi sono pochi ma verificabili, e riguardano quasi tutti: trasparenza, alfabetizzazione, rispetto dei divieti. Quelli differiti sono molti e complessi, e richiedono un’istruttoria che non si improvvisa. Sedici mesi sembrano tanti soltanto a chi non ha ancora iniziato a contare i propri sistemi.
Assistenza legale
Una valutazione di conformità su misura per la tua organizzazione
Lo Studio Legale Celotti assiste imprese, professionisti ed enti pubblici nella mappatura dei sistemi di intelligenza artificiale, nella qualificazione dei ruoli lungo la catena del valore, nell’adeguamento agli obblighi di trasparenza e nel coordinamento tra AI Act, GDPR e legge n. 132/2025.
Fonti normative
- Regolamento (UE) 2024/1689 del 13 giugno 2024 (regolamento sull’intelligenza artificiale)
- Regolamento (UE) 2026/1744 dell’8 luglio 2026 (Omnibus digitale sull’IA), in GU UE serie L del 24 luglio 2026, in vigore dal 27 luglio 2026
- Legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025
- Regolamento (UE) 2023/1230 (regolamento macchine) e Regolamento (UE) 2018/1139
Il presente contributo ha finalità informativa e non costituisce parere legale. Le valutazioni riferite allo stato di attuazione della normativa nazionale sono aggiornate al 3 agosto 2026 e possono mutare con l’approvazione definitiva dei decreti legislativi delegati.
Articoli correlati
Altri contributi dello Studio sullo stesso ambito tematico.
Diritto all’oblio e deindicizzazione
Diritto all’oblio e deindicizzazione da Google: art. 17 GDPR, sentenze CGUE e Cassazione, procedura e tutele.
Leggi l'articolo ›Uso dell’IA nei servizi ai clienti degli studi legali: obblighi informativi
Art. 13 L. 132/2025: obblighi informativi degli avvocati sull’uso dell’IA nei rapporti con il cliente. Schema CNF, GDPR, AI Act e prima giurisprudenza.
Leggi l'articolo ›Diritto d’autore e IA generativa
Diritto d’autore e IA generativa: la Risoluzione UE del 10.3.2026 tutela gli autori dall’uso abusivo delle opere da parte dei sistemi IA.
Leggi l'articolo ›Aumento del compenso per atti con tecniche informatiche
Cass. n. 17367/2026: la maggiorazione del 30% del compenso per la redazione di atti con tecniche informatiche non è automatica.
Leggi l'articolo ›
