Per mesi il 2 agosto 2026 è stato indicato come la data in cui sarebbero scattati gli obblighi più pesanti dell’EU AI Act (Regolamento UE 2024/1689): quelli sui sistemi di AI ad alto rischio. Poi il quadro è cambiato. Con il pacchetto di semplificazione noto come Digital Omnibus, l’Unione europea ha rinviato proprio quegli obblighi. Vediamo, senza allarmismi e senza false rassicurazioni, cosa scatta davvero il 2 agosto 2026 per una PMI italiana che usa AI — anche solo Microsoft 365 Copilot o ChatGPT.
ℹ️ Aggiornato al 27 luglio 2026. Il Digital Omnibus on AI è stato pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio 2026 come Regolamento (UE) 2026/1744 ed è in vigore dal 27 luglio 2026. Attenzione a una distinzione che genera equivoci: entrata in vigore non significa che tutto si applichi da subito — diverse disposizioni hanno date differite (2 dicembre 2026, 2 dicembre 2027, 2 agosto 2028). Non è consulenza legale: gli obblighi vanno verificati sul testo del Reg. UE 2024/1689 e del Reg. UE 2026/1744.
Cosa è successo: il Digital Omnibus
Nel novembre 2025 la Commissione europea ha proposto un pacchetto di semplificazione delle regole digitali. La parte che tocca l’AI Act — il Digital Omnibus on AI — ha seguito una corsia rapida: approvazione del Parlamento europeo il 16 giugno 2026, adozione del Consiglio il 29 giugno, pubblicazione in Gazzetta Ufficiale UE il 24 luglio 2026 come Regolamento (UE) 2026/1744, in vigore dal 27 luglio. La modifica più rilevante è il differimento delle scadenze sull’alto rischio, con date fisse (non più condizionate alla disponibilità di standard tecnici, come prevedeva la prima bozza).
Attenzione a non confonderlo con l’altro “Digital Omnibus” più ampio (su GDPR, ePrivacy, Data Act, cybersecurity): è un binario separato, che non va confuso con il Reg. (UE) 2026/1744: quest’ultimo modifica soltanto l’AI Act. Qui parliamo solo dell’atto specifico sull’AI.
Cosa NON scatta più il 2 agosto 2026: l’alto rischio
Questa è la notizia principale. Gli obblighi sui sistemi di AI ad alto rischio sono stati rinviati:
| Categoria | Cosa comprende | Data originaria | Nuova data |
|---|---|---|---|
| Allegato III (sistemi “standalone”) | AI per selezione del personale (HR), merito creditizio, biometria, istruzione, infrastrutture critiche, giustizia | 2 agosto 2026 | 2 dicembre 2027 |
| Allegato I (AI dentro prodotti regolati) | Dispositivi medici, macchine, giocattoli e altri prodotti con valutazione di conformità | 2 agosto 2027 | 2 agosto 2028 |
Per la stragrande maggioranza delle PMI italiane, però, cambia poco in pratica: se destini uno di questi strumenti generalisti a un caso d’uso dell’allegato III (per esempio a filtrare le candidature) l’art. 25, par. 1, lett. c) non ti lascia deployer: ti riqualifica come fornitore. Detto questo, chi usa strumenti di AI general-purpose “pronti all’uso” (Copilot, ChatGPT, Gemini) di norma non è né fornitore né utilizzatore di un sistema standalone ad alto rischio. Il rinvio la tocca solo indirettamente. Diventa rilevante non solo se l’AI decide, ma già se filtra o valuta le candidature, pubblica annunci di lavoro mirati, monitora e valuta le prestazioni dei dipendenti (Allegato III, punto 4) o valuta il merito di credito (punto 5, lett. b): il testo dice «valutare», non «decidere». E un sistema dell’Allegato III che effettua profilazione di persone fisiche è sempre ad alto rischio, senza deroghe (art. 6, par. 3, terzo comma). In quei casi hai più tempo (fino a fine 2027), non un’esenzione.: in quel caso hai più tempo (fino a fine 2027), non un’esenzione.
Cosa scatta DAVVERO il 2 agosto 2026
Il 2 agosto 2026 non è una data svuotata. Restano pienamente in calendario, perché il Digital Omnibus non li ha rinviati:
1. Gli obblighi di trasparenza (art. 50)
L’AI Act impone che le persone sappiano quando hanno a che fare con l’AI. Ma è importante capire su chi ricade ciascun obbligo:
- Dichiarare l’interazione con un’AI (art. 50, par. 1) — es. un chatbot deve rendere evidente di essere un assistente automatico. È un obbligo di progettazione a carico del fornitore del sistema (Microsoft, OpenAI), non della PMI che lo usa. Se però metti un bot sul tuo sito, assicurati che la dichiarazione ci sia.
- Marcare i contenuti generati dall’AI in modo leggibile dalle macchine (art. 50, par. 2) — anche questo è un obbligo del fornitore, e — anche questo è un obbligo del fornitore; per i sistemi immessi sul mercato prima del 2 agosto 2026 il termine transitorio di conformità all’art. 50, par. 2 è il 2 dicembre 2026 (lo ha introdotto il Digital Omnibus: nel testo del 2024 non c’è, in nessuna forma)..
- Dichiarare i deepfake e i testi AI pubblicati su temi di interesse pubblico (art. 50, par. 4) — questo è invece l’obbligo diretto della PMI quando pubblica contenuti: immagini, audio o video che raffigurano persone, luoghi, oggetti o eventi esistenti in modo da apparire autentici — i «deep fake» dell’art. 3, punto 60: un’illustrazione generata o il volto di una persona che non esiste non ci rientrano — e articoli generati dall’AI vanno dichiarati. L’esenzione, per i testi, richiede due cose insieme: un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica che detenga la responsabilità editoriale della pubblicazione. Far rileggere il pezzo a qualcuno, senza che nessuno se ne assuma la responsabilità, non basta.
In sintesi: per una PMI che usa Copilot per lavoro interno, l’onere reale è modesto e coincide con il buon senso — essere trasparenti quando un contenuto AI esce verso l’esterno.
2. Le sanzioni
Dal 2 agosto 2026 le violazioni degli obblighi di trasparenza sono sanzionabili (art. 99): fino a 15 milioni di euro o il 3% del fatturato mondiale. Per PMI e startup il regolamento prevede che si applichi il valore più basso tra i due (art. 99, par. 6). Diventa inoltre pienamente operativo il regime sanzionatorio verso i fornitori di modelli GPAI (art. 101).
3. La governance nazionale
Gli Stati membri devono avere designato le autorità competenti. In Italia questo è già avvenuto: ne parliamo sotto.
Il quadro già in vigore (dal 2025)
Utile ricordare cosa è già legge — così non lo si scambia per una novità del 2026:
- Dal 2 febbraio 2025: i divieti dell’art. 5 (social scoring, manipolazione, certi usi biometrici, riconoscimento delle emozioni sul luogo di lavoro) e l’obbligo di alfabetizzazione AI (art. 4). Sì: la formazione del personale che usa l’AI è un obbligo dal 2025, non una scadenza futura. Ne parliamo nella guida AI literacy: l’obbligo dell’art. 4 per le PMI.
- Dal 2 agosto 2025: gli obblighi per i fornitori di modelli GPAI (OpenAI, Microsoft, Google, Anthropic, Mistral), la governance (AI Office) e l’impianto sanzionatorio generale.
Un punto che genera confusione: usare ChatGPT o Copilot non fa scattare alcun obbligo “GPAI” a carico della PMI. Gli obblighi sui modelli gravano su chi li produce, non su chi li utilizza.
Italia: chi vigila
L’Italia si è mossa in anticipo con la Legge 132/2025 (in vigore dal 10 ottobre 2025), che designa AgID e ACN come autorità nazionali per l’AI, mentre il Garante per la protezione dei dati personali resta competente sui profili privacy. Il 4 agosto 2026 il Consiglio dei Ministri ha approvato in esame definitivo i due decreti legislativi di adeguamento: AgID è l’autorità di notifica, ACN l’autorità di vigilanza del mercato. Tre cose che interessano una PMI. Il quadro sanzionatorio è «graduato e proporzionato», con massimali inferiori a quelli del regolamento europeo e la possibilità di misure non pecuniarie per le violazioni di scarsa offensività. Gli spazi di sperimentazione normativa prevedono un trattamento preferenziale per le piccole e medie imprese e per le imprese in fase di avvio. E le decisioni che riguardano costituzione, modifica o risoluzione del rapporto di lavoro non possono essere adottate unicamente sulla base di un trattamento automatizzato, con nullità del licenziamento adottato in violazione: è la disposizione che tocca direttamente chi valuta strumenti di AI per la selezione del personale. È stato inoltre introdotto l’art. 437-bis del codice penale, che punisce l’omessa adozione di misure di sicurezza nei sistemi di IA ad alto rischio e la loro alterazione illecita.
Sul fronte enforcement, un segnale concreto arriva dal Garante, che con provvedimento del 14 maggio 2026 è intervenuto contro uno strumento di emotion analysis applicato ai dipendenti, richiamando proprio il divieto dell’art. 5 dell’AI Act. Il messaggio per le PMI: le pratiche vietate (già in vigore dal 2025) sono la vera linea rossa, molto più del rinvio dell’alto rischio. Quel divieto specifico lo abbiamo sciolto in una guida a parte: riconoscimento delle emozioni al lavoro, cosa vieta davvero l’art. 5.
Cosa fare adesso (in pratica)
Il rinvio dell’alto rischio regala tempo, non un condono. E diverse cose restano dovute o semplicemente convengono:
- Fai l’inventario dei sistemi di AI che usi (incluse le funzioni AI dentro software che già hai) e classificali per rischio. Per la maggior parte delle PMI l’esito è “rischio limitato/minimo”. È il passo che richiede meno tempo di quanto sembri: il template Excel del registro dei sistemi AI ha già le colonne di classificazione e la logica di rischio precompilata. La domanda a monte — quali strumenti contano come sistema di IA e quali no — ha una risposta strutturata nei sette elementi della definizione.
-
- Forma il team (AI literacy): è obbligo dal 2025. L’art. 4 chiede un livello «sufficiente» nella misura del possibile, proporzionato a competenze, ruolo e contesto d’uso: per l’uso da ufficio poche ore su limiti, bias e uso responsabile bastano, per chi usa l’AI su altre persone no. Tenerne traccia serve a dimostrarlo, non perché l’articolo lo imponga.
- Scrivi una policy AI aziendale di 2-4 pagine: cosa è autorizzato, cosa è vietato, cosa non inserire nei prompt. Puoi partire dal nostro template di policy sull’uso dell’AI in azienda.
- Trasparenza esterna: se pubblichi contenuti generati dall’AI o usi un chatbot verso i clienti, dichiaralo. È l’obbligo che si applica dal 2 agosto 2026, e la domanda che blocca non è “va dichiarato” ma “cosa scrivo esattamente”: i testi pronti per ogni punto di contatto sono nel fascicolo delle informative di trasparenza AI.
- Se hai usi ad alto rischio (HR automatizzato, credit scoring): hai tempo fino a fine 2027, ma inizia prima la valutazione — sono i casi più onerosi.
Per un quadro d’insieme di tutte le scadenze si veda la guida AI Act per PMI: scadenze e obblighi; per coordinare AI Act, NIS2, DORA e GDPR in un unico framework, l’hub compliance IT 2026.
In sintesi
- Il 2 agosto 2026 l’alto rischio non scatta più: rinviato al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I).
- Restano invece trasparenza (art. 50) e sanzioni: cominciano il 2 agosto 2026.
- Divieti e AI literacy sono legge dal 2025 — quella è la priorità.
- Per una PMI che usa Copilot in modo consapevole, buona parte degli adempimenti è già coperta.
Per un assessment del tuo stack AI e una roadmap di conformità AI Act + GDPR su misura, parla con un nostro consulente: valutazione iniziale gratuita.
Nota: articolo informativo aggiornato al 19 agosto 2026, non costituisce consulenza legale. La classificazione di rischio, le scadenze e gli obblighi vanno verificati sul testo del Reg. (UE) 2024/1689 e del regolamento che lo modifica, il Reg. (UE) 2026/1744 dell’8 luglio 2026, pubblicato in Gazzetta Ufficiale dell’Unione europea il 24 luglio 2026 e in vigore dal 27 luglio.