Per mesi il 2 agosto 2026 è stato indicato come la data in cui sarebbero scattati gli obblighi più pesanti dell’EU AI Act (Regolamento UE 2024/1689): quelli sui sistemi di AI ad alto rischio. Poi il quadro è cambiato. Con il pacchetto di semplificazione noto come Digital Omnibus, l’Unione europea ha rinviato proprio quegli obblighi. Vediamo, senza allarmismi e senza false rassicurazioni, cosa scatta davvero il 2 agosto 2026 per una PMI italiana che usa AI — anche solo Microsoft 365 Copilot o ChatGPT.
ℹ️ Aggiornato a luglio 2026. Questo articolo riflette il Digital Omnibus on AI, adottato in via definitiva dai co-legislatori UE (Parlamento europeo il 16 giugno 2026, Consiglio UE il 29 giugno 2026). Al momento della scrittura resta da completare la pubblicazione in Gazzetta Ufficiale dell’Unione europea, attesa prima del 2 agosto 2026. Aggiorneremo l’articolo alla pubblicazione del testo definitivo. Non è consulenza legale: gli obblighi vanno verificati sul Reg. UE 2024/1689 e sul regolamento modificativo.
Cosa è successo: il Digital Omnibus
Nel novembre 2025 la Commissione europea ha proposto un pacchetto di semplificazione delle regole digitali. La parte che tocca l’AI Act — il Digital Omnibus on AI — ha seguito una corsia rapida ed è stata approvata in via definitiva da Parlamento e Consiglio a giugno 2026. La modifica più rilevante è il differimento delle scadenze sull’alto rischio, con date fisse (non più condizionate alla disponibilità di standard tecnici, come prevedeva la prima bozza).
Attenzione a non confonderlo con l’altro “Digital Omnibus” più ampio (su GDPR, ePrivacy, Data Act, cybersecurity): è un binario separato, ancora in discussione. Qui parliamo solo dell’atto specifico sull’AI Act.
Cosa NON scatta più il 2 agosto 2026: l’alto rischio
Questa è la notizia principale. Gli obblighi sui sistemi di AI ad alto rischio sono stati rinviati:
| Categoria | Cosa comprende | Data originaria | Nuova data |
|---|---|---|---|
| Allegato III (sistemi “standalone”) | AI per selezione del personale (HR), merito creditizio, biometria, istruzione, infrastrutture critiche, giustizia | 2 agosto 2026 | 2 dicembre 2027 |
| Allegato I (AI dentro prodotti regolati) | Dispositivi medici, macchine, giocattoli e altri prodotti con valutazione di conformità | 2 agosto 2027 | 2 agosto 2028 |
Per la stragrande maggioranza delle PMI italiane, però, cambia poco in pratica: chi usa strumenti di AI general-purpose “pronti all’uso” (Copilot, ChatGPT, Gemini) di norma non è né fornitore né utilizzatore di un sistema standalone ad alto rischio. Il rinvio la tocca solo indirettamente. Diventa rilevante se — e solo se — la tua azienda usa l’AI per decidere su assunzioni, credito o accesso a servizi essenziali: in quel caso hai più tempo (fino a fine 2027), non un’esenzione.
Cosa scatta DAVVERO il 2 agosto 2026
Il 2 agosto 2026 non è una data svuotata. Restano pienamente in calendario, perché il Digital Omnibus non li ha rinviati:
1. Gli obblighi di trasparenza (art. 50)
L’AI Act impone che le persone sappiano quando hanno a che fare con l’AI. Ma è importante capire su chi ricade ciascun obbligo:
- Dichiarare l’interazione con un’AI (art. 50, par. 1) — es. un chatbot deve rendere evidente di essere un assistente automatico. È un obbligo di progettazione a carico del fornitore del sistema (Microsoft, OpenAI), non della PMI che lo usa. Se però metti un bot sul tuo sito, assicurati che la dichiarazione ci sia.
- Marcare i contenuti generati dall’AI in modo leggibile dalle macchine (art. 50, par. 2) — anche questo è un obbligo del fornitore, e per i sistemi già sul mercato le analisi legali indicano una finestra di adeguamento fino a dicembre 2026.
- Dichiarare i deepfake e i testi AI pubblicati su temi di interesse pubblico (art. 50, par. 4) — questo è invece l’obbligo diretto della PMI quando pubblica contenuti: immagini/video sintetici e articoli generati dall’AI vanno dichiarati (per i testi, salvo revisione editoriale umana).
In sintesi: per una PMI che usa Copilot per lavoro interno, l’onere reale è modesto e coincide con il buon senso — essere trasparenti quando un contenuto AI esce verso l’esterno.
2. Le sanzioni
Dal 2 agosto 2026 le violazioni degli obblighi di trasparenza sono sanzionabili (art. 99): fino a 15 milioni di euro o il 3% del fatturato mondiale. Per PMI e startup il regolamento prevede che si applichi il valore più basso tra i due (art. 99, par. 6). Diventa inoltre pienamente operativo il regime sanzionatorio verso i fornitori di modelli GPAI (art. 101).
3. La governance nazionale
Gli Stati membri devono avere designato le autorità competenti. In Italia questo è già avvenuto: ne parliamo sotto.
Il quadro già in vigore (dal 2025)
Utile ricordare cosa è già legge — così non lo si scambia per una novità del 2026:
- Dal 2 febbraio 2025: i divieti dell’art. 5 (social scoring, manipolazione, certi usi biometrici, riconoscimento delle emozioni sul luogo di lavoro) e l’obbligo di alfabetizzazione AI (art. 4). Sì: la formazione del personale che usa l’AI è un obbligo dal 2025, non una scadenza futura. Ne parliamo nella guida AI literacy: l’obbligo dell’art. 4 per le PMI.
- Dal 2 agosto 2025: gli obblighi per i fornitori di modelli GPAI (OpenAI, Microsoft, Google, Anthropic, Mistral), la governance (AI Office) e l’impianto sanzionatorio generale.
Un punto che genera confusione: usare ChatGPT o Copilot non fa scattare alcun obbligo “GPAI” a carico della PMI. Gli obblighi sui modelli gravano su chi li produce, non su chi li utilizza.
Italia: chi vigila
L’Italia si è mossa in anticipo con la Legge 132/2025 (in vigore dal 10 ottobre 2025), che designa AgID e ACN come autorità nazionali per l’AI, mentre il Garante per la protezione dei dati personali resta competente sui profili privacy. I decreti attuativi (procedure e dettaglio sanzioni) sono attesi entro ottobre 2026.
Sul fronte enforcement, un segnale concreto arriva dal Garante, che con provvedimento del 14 maggio 2026 è intervenuto contro uno strumento di emotion analysis applicato ai dipendenti, richiamando proprio il divieto dell’art. 5 dell’AI Act. Il messaggio per le PMI: le pratiche vietate (già in vigore dal 2025) sono la vera linea rossa, molto più del rinvio dell’alto rischio.
Cosa fare adesso (in pratica)
Il rinvio dell’alto rischio regala tempo, non un condono. E diverse cose restano dovute o semplicemente convengono:
- Fai l’inventario dei sistemi di AI che usi (incluse le funzioni AI dentro software che già hai) e classificali per rischio. Per la maggior parte delle PMI l’esito è “rischio limitato/minimo”.
- Forma il team (AI literacy): è obbligo dal 2025. Bastano poche ore documentate su limiti, bias e uso responsabile.
- Scrivi una policy AI aziendale di 2-4 pagine: cosa è autorizzato, cosa è vietato, cosa non inserire nei prompt. Puoi partire dal nostro template di policy sull’uso dell’AI in azienda.
- Trasparenza esterna: se pubblichi contenuti generati dall’AI o usi un chatbot verso i clienti, dichiaralo.
- Se hai usi ad alto rischio (HR automatizzato, credit scoring): hai tempo fino a fine 2027, ma inizia prima la valutazione — sono i casi più onerosi.
Per un quadro d’insieme di tutte le scadenze si veda la guida AI Act per PMI: scadenze e obblighi; per coordinare AI Act, NIS2, DORA e GDPR in un unico framework, l’hub compliance IT 2026.
In sintesi
- Il 2 agosto 2026 l’alto rischio non scatta più: rinviato al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I).
- Restano invece trasparenza (art. 50) e sanzioni: cominciano il 2 agosto 2026.
- Divieti e AI literacy sono legge dal 2025 — quella è la priorità.
- Per una PMI che usa Copilot in modo consapevole, buona parte degli adempimenti è già coperta.
Per un assessment del tuo stack AI e una roadmap di conformità AI Act + GDPR su misura, parla con un nostro consulente: valutazione iniziale gratuita.
Nota: articolo informativo aggiornato a luglio 2026, non costituisce consulenza legale. La classificazione di rischio, le scadenze e gli obblighi vanno verificati sul testo del Reg. UE 2024/1689 e sul regolamento modificativo (Digital Omnibus) una volta pubblicato in Gazzetta Ufficiale UE.