Il 2 agosto 2026 è una data spartiacque per chiunque sviluppi o usi intelligenza artificiale in Europa. Da domenica le violazioni degli obblighi previsti dall'AI Act per i modelli generalisti — i cosiddetti GPAI, come ChatGPT, Gemini o DeepSeek — diventano sanzionabili, con ammende che possono arrivare al 3% del fatturato mondiale annuo o a 15 milioni di euro, a seconda di quale importo sia più alto. Nello stesso giorno entrano in vigore anche i doveri di trasparenza su chatbot, deepfake e sistemi di riconoscimento delle emozioni.
Cosa diventa sanzionabile e chi vigila
Gli obblighi sostanziali per i modelli GPAI — documentazione tecnica, rispetto del diritto d'autore, pubblicazione di una sintesi dei contenuti usati per l'addestramento — erano già formalmente in vigore dal 2 agosto 2025. La differenza è che da quest'anno arriva il «dente» della norma: la Commissione europea, attraverso l'AI Office, acquisisce il potere di vigilare e di irrogare sanzioni. Rientrano nella categoria i sistemi generalisti di grandi dimensioni, definiti dalla soglia tecnica di addestramento superiore a 10^23 FLOP: di fatto tutti i principali modelli di frontiera oggi sul mercato.
Gli obblighi di trasparenza dell'articolo 50
La parte che tocca più da vicino le aziende e gli utenti comuni è l'articolo 50 del Regolamento (UE) 2024/1689. Da domenica chi mette a disposizione un chatbot deve rendere evidente all'utente che sta parlando con una macchina; chi genera immagini, audio o video artificiali — i deepfake — deve etichettarli come tali in modo riconoscibile e leggibile dalle macchine; i contenuti di testo pubblicati per informare il pubblico su temi di interesse generale, se generati dall'IA, vanno dichiarati. Sono obblighi che riguardano moltissime imprese, non solo i grandi laboratori: qualunque azienda che pubblichi un assistente virtuale o produca contenuti sintetici deve adeguarsi.
I rinvii del Digital Omnibus sui sistemi ad alto rischio
Non tutto scatta il 2 agosto, però. Il pacchetto Digital Omnibus ha spostato più avanti gli obblighi più onerosi, quelli sui sistemi ad alto rischio: le regole per i sistemi autonomi elencati nell'Allegato III slittano al 2 dicembre 2027, mentre quelle per i sistemi integrati nei prodotti (Allegato I) arrivano al 2 agosto 2028. È un rinvio che dà respiro a interi comparti — dispositivi medici, macchinari, selezione del personale — ma che apre anche un dibattito sul rischio di svuotare, di proroga in proroga, la parte più incisiva del regolamento.
Cosa devono fare adesso le imprese italiane
Per le aziende italiane la scadenza non è teorica. In Italia la governance dell'AI Act poggia sul coordinamento tra AgID (Agenzia per l'Italia Digitale) e l'ACN (Agenzia per la Cybersicurezza Nazionale), dopo l'approvazione della legge nazionale sull'IA e dei relativi decreti attuativi. Le prime mosse concrete sono semplici ma non banali: verificare se e dove nei propri processi si usano chatbot o contenuti generati dall'IA, aggiungere le informative di trasparenza richieste, e — per chi integra modelli GPAI di terze parti — pretendere dai fornitori la documentazione che l'AI Act ora impone. I modelli open source godono di alcune esenzioni, perché pubblicano per definizione i propri parametri, ma restano soggetti agli obblighi sul diritto d'autore. Il tempo delle circolari interpretative è finito: dal 2 agosto la norma ha i denti. Il quadro normativo è ricostruito a partire dal testo del Regolamento e dalle analisi del Sole 24 Ore e di PMI.it.
