Il 2 agosto 2026 era la data attesa da mesi: quella in cui l'AI Act sarebbe diventato pienamente operativo per chi usa l'intelligenza artificiale in azienda. A fine luglio l'Unione ha cambiato le carte in tavola. Un regolamento correttivo ha spostato in avanti gli obblighi sui sistemi ad alto rischio, ma ne ha lasciati in vigore altri che toccano quasi ogni impresa, anche la più piccola. Il rischio, adesso, è leggere solo il titolo (rinvio) e chiudere il fascicolo.

2 August 2026 was the long-awaited date: the day the AI Act was to become fully operational for anyone using artificial intelligence in business. In late July the EU changed the picture. A corrective regulation pushed back the obligations on high-risk systems, but left in force others that touch almost every company, even the smallest. The risk now is to read only the headline (postponed) and close the file.

Cosa è slittato, e a quando

What was postponed, and until when

Il 24 luglio 2026 è stato pubblicato nella Gazzetta Ufficiale dell'Unione il cosiddetto AI Omnibus (Regolamento (UE) 2026/1744), entrato in vigore il 27 luglio 2026, che modifica il Regolamento (UE) 2024/1689, l'AI Act. La modifica più pesante riguarda i sistemi ad alto rischio. Per quelli cosiddetti autonomi (l'elenco dell'Allegato III: selezione del personale, accesso a servizi essenziali, valutazione del merito creditizio e simili) l'applicazione degli obblighi slitta dal 2 agosto 2026 al 2 dicembre 2027. Per i sistemi ad alto rischio incorporati come componenti di sicurezza in prodotti già regolati (Allegato I) si arriva al 2 agosto 2028.

On 24 July 2026 the so-called AI Omnibus (Regulation (EU) 2026/1744) was published in the Official Journal, entering into force on 27 July 2026 and amending Regulation (EU) 2024/1689, the AI Act. The heaviest change concerns high-risk systems. For standalone ones (the Annex III list: recruitment, access to essential services, creditworthiness assessment and the like) the obligations move from 2 August 2026 to 2 December 2027. For high-risk systems embedded as safety components in already-regulated products (Annex I) the date is 2 August 2028.

Nello stesso pacchetto sono arrivati interventi di semplificazione, anche a favore delle PMI e delle imprese di dimensioni ridotte, e modifiche ai criteri e agli adempimenti applicabili ai sistemi ad alto rischio. L'Omnibus ha inoltre rafforzato alcuni profili di governance e vigilanza sui modelli di AI per finalità generali e ha introdotto nuove pratiche vietate, la cui applicazione decorre, per le nuove fattispecie espressamente indicate dal regolamento correttivo, dal 2 dicembre 2026.

The same package introduced simplification measures, including for SMEs and smaller undertakings, and changes to the criteria and requirements applicable to high-risk systems. The Omnibus also strengthened certain governance and supervision aspects for general-purpose AI models and introduced new prohibited practices which, for the new cases expressly set out in the corrective regulation, apply from 2 December 2026.

Cosa resta in vigore dal 2 agosto 2026

What stays in force from 2 August 2026

Gli obblighi di trasparenza dell'art. 50 si applicano, in via generale, dal 2 agosto 2026, ma occorre distinguere tra obblighi dei provider e obblighi dei deployer. I provider di sistemi destinati a interagire direttamente con persone devono progettare il sistema in modo che l'utente sia informato di stare interagendo con un'AI, salvo che ciò risulti evidente. I provider di sistemi che generano contenuti sintetici devono inoltre rendere gli output rilevabili come artificiali o manipolati in un formato leggibile dalla macchina. Sul versante di chi utilizza il sistema, i deepfake devono essere dichiarati come artificiali o manipolati e specifici obblighi di disclosure valgono anche per determinati testi generati o manipolati dall'AI pubblicati per informare il pubblico su questioni di interesse pubblico. Chi utilizza sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone esposte, fermo restando il GDPR. Per i sistemi di generazione di contenuti già immessi sul mercato prima del 2 agosto 2026, l'Omnibus consente ai provider di adeguarsi all'obbligo tecnico dell'art. 50, par. 2, entro il 2 dicembre 2026.

The transparency duties in Article 50 generally apply from 2 August 2026, but provider and deployer obligations must be kept distinct. Providers of systems intended to interact directly with individuals must ensure that people are informed that they are interacting with AI, unless this is obvious. Providers of systems generating synthetic content must also make the relevant outputs detectable as artificially generated or manipulated in machine-readable form. Deployers are subject to separate disclosure duties, notably for deepfakes and certain AI-generated or manipulated text published to inform the public on matters of public interest. Deployers of emotion-recognition or biometric-categorisation systems must inform exposed persons, without prejudice to the GDPR. Providers of content-generation systems placed on the market before 2 August 2026 have until 2 December 2026 to comply with the technical marking duty in Article 50(2).

Ancora prima, dal 2 febbraio 2025, sono già applicabili le principali pratiche vietate dall'art. 5: tra queste il social scoring nei casi previsti dalla norma, determinate forme di categorizzazione biometrica basate su caratteristiche particolarmente sensibili, la creazione o l'ampliamento di banche dati di riconoscimento facciale mediante scraping indiscriminato di immagini e il riconoscimento delle emozioni sul luogo di lavoro e negli istituti di istruzione, salvo le eccezioni mediche o di sicurezza. L'Omnibus ha aggiunto ulteriori divieti, per i quali ha previsto una decorrenza specifica dal 2 dicembre 2026. Sempre dal 2 febbraio 2025 vale l'obbligo di alfabetizzazione (art. 4): chi fornisce o utilizza sistemi di AI deve assicurare un livello adeguato di competenza del personale che li adopera. Non serve un sistema ad alto rischio: basta usare strumenti di AI in azienda.

Even earlier, from 2 February 2025, the main prohibited practices under Article 5 already apply: among them social scoring in the cases set out by the provision, certain forms of biometric categorisation based on particularly sensitive characteristics, the creation or expansion of facial-recognition databases through the indiscriminate scraping of images, and emotion recognition in the workplace and in educational institutions, save for medical or safety exceptions. The Omnibus added further prohibitions, for which it set a specific start date of 2 December 2026. Also from 2 February 2025 the AI-literacy duty applies (Article 4): providers and deployers must ensure an adequate level of competence among the staff who use these systems. You do not need a high-risk system: using AI tools in the company is enough.

Dal 2 agosto 2026 entra a regime anche l'architettura di vigilanza: gli Stati devono aver designato le autorità nazionali competenti e i regimi sanzionatori, e parte l'attività di controllo su modelli generici, divieti e trasparenza. In Italia la Legge 23 settembre 2025, n. 132 (in vigore dal 10 ottobre 2025) ha individuato l'AgID e l'Agenzia per la Cybersicurezza Nazionale tra le autorità nazionali competenti, ha dettato regole specifiche per il lavoro, le professioni intellettuali e la pubblica amministrazione e ha introdotto anche disposizioni penali collegate all'impiego illecito dell'AI. In materia di lavoro, l'art. 11 richiama espressamente gli obblighi informativi previsti dall'art. 1-bis del d.lgs. 152/1997 quando ricorrono i relativi presupposti; per le professioni intellettuali, l'art. 13 impone di comunicare al cliente, in modo chiaro, semplice ed esaustivo, le informazioni sui sistemi di AI utilizzati.

From 2 August 2026 the supervisory architecture also goes live: Member States must have designated the national competent authorities and penalty regimes, and oversight of general-purpose models, prohibitions and transparency begins. In Italy Law No. 132 of 23 September 2025 (in force since 10 October 2025) identified AgID and the National Cybersecurity Agency among the national competent authorities, laid down specific rules for employment, the intellectual professions and public administration, and also introduced criminal provisions linked to the unlawful use of AI. In employment, Article 11 expressly refers to the information duties under Article 1-bis of Legislative Decree No. 152/1997 where their conditions are met; for the intellectual professions, Article 13 requires informing the client, clearly, simply and exhaustively, about the AI systems used.

L'angolo che di solito sfugge

The angle that usually gets missed

La lettura naturale del rinvio è rassicurante: se l'alto rischio arriva nel 2027, c'è tempo. Il punto è che le parti dell'AI Act che con più probabilità toccano un'impresa ordinaria non sono quelle rinviate. Un negozio, uno studio, una PMI difficilmente immettono sul mercato un sistema ad alto rischio dell'Allegato III; molto più spesso usano un chatbot, generano contenuti, adottano un software di selezione o un assistente. Sono proprio gli obblighi di trasparenza (art. 50), i divieti (art. 5) e l'alfabetizzazione (art. 4) a mordere per primi, e non sono stati spostati. A questo si aggiunge che il GDPR e la legge italiana 132/2025 si applicano comunque, a prescindere dal calendario dell'AI Act. Chi legge solo la parola rinvio rischia di scoprire troppo tardi che gli obblighi che lo riguardano erano già scattati.

The natural reading of the delay is reassuring: if high-risk arrives in 2027, there is time. The point is that the parts of the AI Act most likely to touch an ordinary business are not the postponed ones. A shop, a firm, an SME rarely place an Annex III high-risk system on the market; far more often they use a chatbot, generate content, adopt a screening tool or an assistant. It is transparency (Article 50), prohibitions (Article 5) and literacy (Article 4) that bite first, and these were not moved. On top of that, the GDPR and Italian Law 132/2025 apply regardless of the AI Act calendar. Whoever reads only the word postponed risks discovering too late that the duties concerning them had already started.

Tre approfondimenti per andare a fondo su ciascun fronte: gli obblighi già operativi per un'impresa che usa l'AI, le regole per il retail e i centri commerciali, e l'AI nei rapporti di lavoro.

Three deep-dives, one per front: the duties already in force for a business using AI, the rules for retail and shopping centres, and AI in the workplace.