Le scadenze dell’AI Act. Metà di quelle che trovate scritte in giro sono superate da luglio.

Il 24 luglio 2026 il calendario dell’AI Act è stato riscritto, e le date dell’alto rischio sono slittate di oltre un anno. Il rinvio riguarda però proprio la parte che una piccola impresa non usa, mentre quella che la riguarda è già scaduta.

Questo pezzo sta dentro la guida agli obblighi dell’AI Act per le aziende e le PMI e ne tiene aggiornato il calendario. È scritto per chi dirige un’impresa, e finisce dove comincia il lavoro di un avvocato.

Quello che è già scattato

L’AI Act è entrato in vigore il 1° agosto 2024 e si applica a scaglioni. L’articolo 113 fissa la data generale al 2 agosto 2026 e prevede le eccezioni, che nel luglio 2026 sono state riscritte.

Data	Cosa scatta	Stato
2 febbraio 2025Capi I e II	Disposizioni generali, definizioni, l’alfabetizzazione del personale dell’articolo 4 e i divieti dell’articolo 5.	In vigore
2 agosto 2025governance e modelli	Capo III sezione 4, Capo V sui modelli per finalità generali, Capo VII sulla governance, Capo XII e articolo 78, con l’eccezione dell’articolo 101.	In vigore
27 luglio 2026articoli da 102 a 110	Le modifiche ad altri atti dell’Unione, anticipate dall’omnibus con una lettera nuova dell’articolo 113.	In vigore
2 agosto 2026data generale	Il regolamento si applica, e con esso gli obblighi di trasparenza dell’articolo 50: dire che c’è un’IA, dichiarare i contenuti sintetici.	In vigore

Quello che deve ancora arrivare

Dopo il rinvio restano quattro date davanti, e la prima cade fra pochi mesi. Le due centrali riguardano i sistemi ad alto rischio, quindi una minoranza di imprese; l’ultima riguarda il settore pubblico.

Data	Cosa scatta	Chi riguarda
2 dicembre 2026due scadenze	Le due nuove pratiche vietate dell’articolo 5, e il termine per la marcatura dei contenuti sintetici dei sistemi immessi prima del 2 agosto 2026.	Chiunque generi contenuti sintetici. La prossima in ordine di tempo.
2 dicembre 2027alto rischio, allegato III	Capo III, sezioni 1, 2 e 3, per i sistemi ad alto rischio dell’articolo 6, paragrafo 2. Rinviata dal 2 agosto 2026.	Chi usa sistemi dei casi d’uso dell’allegato III, per esempio nella selezione del personale.
2 agosto 2028alto rischio, allegato I	Stesse sezioni, per i sistemi ad alto rischio dell’articolo 6, paragrafo 1, cioè quelli legati ai prodotti. Rinviata dal 2 agosto 2026.	Chi fabbrica prodotti con dentro una componente intelligente.
2 agosto 2030sistemi della PA	Fornitori e deployer di sistemi ad alto rischio destinati alle autorità pubbliche adottano le misure per conformarsi, secondo l’articolo 111.	Settore pubblico e chi lo fornisce.

Cosa è stato rinviato, e cosa no

Il Regolamento (UE) 2026/1744, pubblicato in Gazzetta ufficiale dell’Unione europea il 24 luglio 2026, ha riscritto la lettera c) del terzo comma dell’articolo 113. Il Capo III, sezioni 1, 2 e 3, con l’eccezione dell’articolo 6, paragrafo 5, si applica adesso dal 2 dicembre 2027 per l’allegato III e dal 2 agosto 2028 per l’allegato I.

«Il capo III, sezioni 1, 2 e 3, ad eccezione dell’articolo 6, paragrafo 5, si applica a decorrere dal: 2 dicembre 2027 per quanto riguarda i sistemi di IA classificati come ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III.»
Regolamento (UE) 2024/1689, articolo 113, nel testo sostituito dal Regolamento (UE) 2026/1744

La ragione è scritta nei considerando e non è politica. Il ritardo nella disponibilità di norme armonizzate, specifiche comuni e orientamenti rendeva l’applicazione difficile e i costi di attuazione sproporzionati, al punto da non giustificare il mantenimento della data iniziale.

Il punto che quasi nessun articolo mette in evidenza è il perimetro del rinvio. Restano alle loro date i divieti dell’articolo 5, l’alfabetizzazione dell’articolo 4, gli obblighi di trasparenza dell’articolo 50, la governance e le regole sui modelli per finalità generali. Un’impresa ordinaria non ha guadagnato un solo giorno su quello che la riguarda.

La prossima data vera: 2 dicembre 2026

È l’unica scadenza ancora davanti che tocca soggetti privati, e porta due cose diverse. La prima sono le due nuove pratiche vietate inserite nell’articolo 5 dall’omnibus: le lettere b bis) e b ter) del paragrafo 1, con i paragrafi 1 bis e 1 ter, sulla generazione o manipolazione non consensuale di materiale sessualmente esplicito e sul materiale della direttiva 2011/93/UE.

La seconda è un termine di allineamento per i fornitori. Chi ha immesso sul mercato prima del 2 agosto 2026 sistemi che generano contenuti sintetici audio, immagine, video o testuali, compresi i sistemi per finalità generali, deve adottare le misure per conformarsi all’articolo 50, paragrafo 2, cioè alla marcatura leggibile dalle macchine, entro quella data.

Per un’impresa che compra strumenti, la seconda scadenza si traduce in una domanda da fare al fornitore: i contenuti che il vostro sistema genera saranno marcati entro il 2 dicembre 2026? La risposta conviene averla per iscritto.

I sistemi già in uso, e il diritto acquisito che non c’è

Le disposizioni transitorie stanno nell’articolo 111, anch’esso modificato nel 2026. Per i sistemi ad alto rischio immessi sul mercato o messi in servizio prima della data di applicazione del Capo III, il regolamento si applica solo se, da quella data, sono soggetti a modifiche significative della progettazione.

L’eccezione riguarda il settore pubblico. Fornitori e deployer di sistemi ad alto rischio destinati a essere utilizzati dalle autorità pubbliche devono in ogni caso adottare le misure per conformarsi entro il 2 agosto 2030.

Per gli obblighi di trasparenza il discorso è opposto, e conviene dirlo chiaro perché è la fonte di equivoci più comune. L’articolo 50 non prevede nessun diritto acquisito: si applica ai sistemi in perimetro a prescindere dalla data in cui sono stati immessi sul mercato. Un assistente installato sul sito nel 2024 doveva essere dichiarato dal 2 agosto 2026.

La scadenza italiana che nessuno guarda

Accanto al calendario europeo ne corre uno nazionale. L’articolo 24 della legge 132/2025 delega il Governo ad adottare uno o più decreti legislativi per adeguare la normativa nazionale al regolamento, entro dodici mesi dall’entrata in vigore della legge, cioè entro il 10 ottobre 2026.

Quei decreti devono attribuire ad AgID e ACN, designate autorità nazionali dall’articolo 20, tutti i poteri di vigilanza, ispettivi e sanzionatori previsti dal regolamento. Finché non arrivano, l’impianto sanzionatorio italiano dell’AI Act resta incompleto mentre gli obblighi europei sono pieni.

Le sanzioni del regolamento, intanto, restano quelle dell’articolo 99: fino a 35 milioni di euro o il 7% del fatturato mondiale totale annuo per le pratiche vietate, e fino a 15 milioni o il 3% per la fascia che comprende gli obblighi di trasparenza, con l’importo inferiore fra i due parametri quando si tratta di PMI.

La lettura pratica per un’impresa è che il calendario da guardare è doppio, e che le due scadenze più vicine, il 10 ottobre e il 2 dicembre 2026, cadono entrambe nei prossimi mesi.

Perché le date che leggete in giro sono spesso vecchie

Il rinvio è di luglio 2026, quindi ogni pagina scritta prima riporta il 2 agosto 2026 come data dell’alto rischio. Quelle pagine non sono state aggiornate quasi mai, e continuano a comparire fra i primi risultati perché hanno anni di storia alle spalle.

Il modo per non sbagliare è sempre lo stesso e non richiede un abbonamento: guardare la versione consolidata del regolamento su EUR-Lex invece di un articolo di commento. La versione consolidata incorpora le modifiche, un articolo di commento incorpora la data in cui è stato scritto.

Vale anche al contrario. Se qualcuno vi dice che l’AI Act è stato rinviato e che quindi non dovete fare niente, sta usando il rinvio dell’alto rischio per coprire obblighi che sono in vigore da diciotto mesi.

Le tre date che valgono per voi, e cosa fare adesso

Tolto tutto il resto, per un’impresa che usa strumenti di terzi il calendario si riduce a tre righe, e due sono già passate.

2 febbraio 2025. L’obbligo di occuparsi delle competenze di chi usa i sistemi, e i divieti. Se non avete mai fatto una sessione interna sugli strumenti in uso, quella è la prima cosa, ed è lavoro di una mattinata.

2 agosto 2026. Le dichiarazioni: una riga sotto ogni punto di contatto automatico, e una nota sui contenuti generati dove serve. 2 dicembre 2026. La marcatura dei contenuti sintetici per i sistemi preesistenti, che è una domanda da girare al fornitore.

Nei sistemi che costruiamo queste cose stanno dentro il progetto invece che in una rincorsa: ogni messaggio che impegna l’azienda, cioè offerte, preventivi, prezzi e conferme, parte solo dopo che una persona lo ha letto e approvato. Le risposte su informazioni già approvate dal titolare possono partire da sole, il titolare accende e spegne canale per canale, e la risposta dichiara di essere un sistema come chiede l’articolo 50. Il perimetro esteso sta nei principi AI, i sistemi che usiamo davvero nella pagina di trasparenza AI.

Domande e risposte

Questo articolo è una ricognizione operativa, non un parere legale. Sull’applicazione di una scadenza a un sistema specifico, la risposta la dà un professionista che guarda la vostra azienda.