AI Act:
cosa è cambiato dal 2 agosto 2026 e cosa devono sapere le aziende

Chatbot, assistenti virtuali, deepfake, contenuti generati dall’intelligenza artificiale, formazione e controlli: dal 2 agosto 2026 l’AI Act ha compiuto un nuovo passo decisivo. Per le aziende la priorità è ora capire dove viene utilizzata l’AI, quali obblighi si applicano e come costruire una governance capace di coniugare innovazione, sicurezza e conformità.

L’intelligenza artificiale è già dentro le aziende. A volte in maniera evidente, altre molto meno.

È nei chatbot utilizzati per il customer service, negli strumenti di produttività, nelle piattaforme di marketing, nei software HR, nelle applicazioni per analizzare documenti e dati, negli assistenti integrati nelle suite collaborative e, sempre più spesso, negli agenti AI capaci di eseguire autonomamente attività e interagire con sistemi aziendali.

La vera domanda, quindi, non è più se un’organizzazione utilizzi l’intelligenza artificiale, ma dove la utilizzi, con quali dati, per quali processi e sotto quale controllo.

Dal 2 agosto 2026 questa domanda è diventata ancora più importante. L’AI Act, il Regolamento europeo sull’intelligenza artificiale, ha infatti raggiunto una nuova tappa del proprio percorso di applicazione e alcuni obblighi sono diventati concretamente operativi.

Non significa che tutte le disposizioni previste dall’AI Act siano entrate contemporaneamente in vigore. Il regolamento segue un calendario progressivo e alcune delle prescrizioni più complesse, in particolare quelle relative a determinati sistemi ad alto rischio, hanno scadenze successive.

Dal 2 agosto, però, sono diventati applicabili gli obblighi di trasparenza previsti dall’articolo 50. È inoltre entrata in una fase molto più concreta l’attività di vigilanza e controllo.

Per le imprese è quindi arrivato il momento di passare dalla conoscenza della normativa alla sua applicazione.

AI Act: cosa è cambiato dal 2 agosto 2026

Il 2 agosto non rappresenta l’inizio dell’AI Act. Il regolamento europeo è entrato in vigore già nel 2024 e la sua applicazione è stata programmata attraverso diverse scadenze.

Dal febbraio 2025 sono operative, ad esempio, le disposizioni relative ad alcune pratiche di AI vietate e gli obblighi legati all’AI literacy, mentre dall’agosto 2025 sono diventate applicabili importanti disposizioni riguardanti i modelli di intelligenza artificiale per finalità generali, i cosiddetti General-Purpose AI Models (GPAI).

La data del 2 agosto 2026 segna però un passaggio particolarmente importante per le imprese perché rende applicabili gli obblighi di trasparenza previsti dall’articolo 50.

Il principio di fondo è facilmente comprensibile: quando una persona interagisce con un’intelligenza artificiale o viene esposta a determinati contenuti creati o manipolati attraverso l’AI, deve poterlo sapere.

Dietro un principio apparentemente semplice si nasconde però un cambiamento significativo nel modo in cui le aziende devono progettare, utilizzare e governare queste tecnologie.

AI Act e trasparenza: quando bisogna dichiarare l’utilizzo dell’intelligenza artificiale

Pensiamo a una situazione ormai comune: un cliente entra nel sito Web di un’azienda, apre una finestra di assistenza e inizia una conversazione.

Dall’altra parte potrebbe esserci una persona oppure un sistema di intelligenza artificiale.

Dal 2 agosto, quando la natura artificiale dell’interazione non è già evidente dal contesto, l’utente deve essere informato del fatto che sta interagendo con un sistema AI.

L’indicazione deve essere fornita in maniera chiara e comprensibile al più tardi al momento della prima interazione.

La questione interessa direttamente chatbot, assistenti virtuali, sistemi conversazionali e tutte quelle applicazioni attraverso le quali l’AI entra in relazione diretta con clienti, utenti, dipendenti o cittadini.

Non è quindi sufficiente pensare alla compliance come a una semplice informativa da aggiungere a una pagina Web.

La trasparenza deve essere considerata già nella progettazione dell’esperienza: nome dell’assistente, interfaccia, linguaggio utilizzato e modalità attraverso le quali viene presentato all’utente possono contribuire a rendere chiaro – oppure ambiguo – il fatto che si stia interagendo con una macchina.

Deepfake e contenuti generati dall’AI: cosa prevede l’AI Act

La trasparenza riguarda anche uno dei fenomeni che stanno crescendo più rapidamente insieme all’AI generativa: la possibilità di creare immagini, audio e video estremamente realistici.

L’AI Act introduce obblighi specifici per i deepfake, vale a dire contenuti visivi, audio o video generati o manipolati dall’intelligenza artificiale in modo tale da assomigliare a persone, oggetti, luoghi o avvenimenti reali e poter apparire autentici.

Chi utilizza un sistema AI per creare o manipolare questo tipo di contenuti e successivamente li diffonde deve rendere riconoscibile la loro natura artificiale.

La questione assume una rilevanza evidente pensando alle possibili conseguenze della diffusione di video o registrazioni audio apparentemente autentiche: dalla disinformazione alle frodi, fino agli attacchi di social engineering sempre più sofisticati.

Ma il tema non riguarda soltanto scenari estremi. Marketing, comunicazione, formazione e produzione di contenuti aziendali utilizzano sempre più frequentemente strumenti di generative AI.

Per questo la capacità di sapere come un contenuto è stato prodotto, con quale tecnologia e sotto quale responsabilità sta diventando parte integrante della governance dell’intelligenza artificiale.

AI Act e testi generati dall’intelligenza artificiale: quando serve la trasparenza

Un discorso specifico riguarda i testi.

L’AI Act non stabilisce che qualsiasi testo realizzato con il supporto dell’intelligenza artificiale debba essere automaticamente accompagnato da un’etichetta.

La normativa guarda in particolare ai testi generati o manipolati artificialmente pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico.

In questi casi deve essere resa nota la natura artificiale del contenuto.

Esiste però un elemento determinante: il controllo umano.

Quando il contenuto generato dall’AI è sottoposto a un processo di revisione umana o a un controllo editoriale e una persona fisica o giuridica assume la responsabilità editoriale della pubblicazione, l’obbligo previsto per il deployer non si applica.

È una distinzione importante anche per le aziende.

Utilizzare l’AI per supportare la produzione di un contenuto è molto diverso dall’affidare interamente a un sistema automatico la creazione e pubblicazione delle informazioni.

Ancora una volta, quindi, il tema centrale diventa la governance: chi controlla l’output dell’AI? Chi lo approva? Chi se ne assume la responsabilità?

Emotion recognition e biometria: nuovi obblighi di informazione

La trasparenza prevista dall’articolo 50 interessa anche tecnologie più specifiche.

Le persone sottoposte a sistemi di riconoscimento delle emozioni o categorizzazione biometrica devono essere informate del funzionamento di questi strumenti nei casi in cui il loro utilizzo sia consentito dalla normativa.

Si tratta di un ambito particolarmente delicato perché coinvolge direttamente dati personali e caratteristiche delle persone e si intreccia con altre normative europee, a partire dal GDPR.

L’AI Act non deve infatti essere considerato come una normativa isolata.

La gestione dell’intelligenza artificiale si inserisce in un ecosistema regolatorio più ampio nel quale protezione dei dati, cybersecurity, responsabilità, gestione del rischio e continuità operativa sono sempre più interconnesse.

AI Literacy: conoscere l’intelligenza artificiale diventa parte della compliance

Uno degli aspetti più interessanti dell’AI Act riguarda le persone.

Gli obblighi relativi all’AI Literacy sono applicabili già dal 2 febbraio 2025 e richiedono a provider e deployer di adottare misure affinché il personale e gli altri soggetti che utilizzano sistemi di AI per loro conto dispongano di un livello adeguato di conoscenze e competenze.

Con la nuova fase applicativa dell’AI Act, però, la formazione assume un peso ancora maggiore all’interno della strategia di conformità.

Non significa necessariamente trasformare ogni dipendente in un esperto di machine learning.

Significa fare in modo che chi utilizza strumenti di AI sia consapevole delle loro caratteristiche, dei limiti, dei possibili rischi e delle responsabilità associate al loro impiego.

Un dipendente che carica informazioni riservate all’interno di un servizio AI pubblico, un ufficio marketing che pubblica automaticamente contenuti generati da un modello o un reparto che introduce autonomamente un nuovo tool possono creare rischi che non dipendono dalla qualità della tecnologia, ma dalla mancanza di regole, consapevolezza e controllo.

La formazione diventa così uno degli elementi fondamentali dell’AI governance.

AI Act e sistemi ad alto rischio: cosa succede dopo il 2 agosto

Uno degli aspetti che può generare maggiore confusione riguarda i sistemi AI classificati come high-risk.

Il calendario originario dell’AI Act prevedeva l’applicazione dal 2 agosto 2026 di una parte rilevante degli obblighi relativi ai sistemi ad alto rischio.

Le successive modifiche al calendario europeo hanno però spostato più avanti alcune delle scadenze più impegnative.

Questo riguarda sistemi utilizzati in contesti particolarmente sensibili, nei quali una decisione automatizzata può produrre conseguenze rilevanti sulle persone o sulla sicurezza: dall’occupazione e selezione del personale all’istruzione, dal credito a determinati utilizzi biometrici.

Per questi sistemi la normativa prevede requisiti molto più stringenti in materia di risk management, qualità dei dati, documentazione tecnica, logging, supervisione umana, accuratezza, robustezza e cybersecurity.

Il rinvio di alcuni obblighi non deve però essere interpretato dalle aziende come un invito ad aspettare.

Costruire processi, competenze, inventari e sistemi di governance richiede tempo. Per le organizzazioni che utilizzano AI nei processi critici, prepararsi prima significa evitare di dover affrontare la conformità quando la scadenza è ormai imminente.

AI Act, controlli e sanzioni: perché la compliance diventa concreta

La nuova fase dell’AI Act porta con sé anche un altro cambiamento: il passaggio dalla preparazione alla vigilanza effettiva.

Per la violazione degli obblighi previsti dal regolamento possono essere applicate sanzioni significative.

Per le violazioni di diverse disposizioni dell’AI Act, comprese quelle relative agli obblighi di trasparenza, le ammende possono arrivare fino a 15 milioni di euro oppure, nel caso di un’impresa, fino al 3% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.

Il regolamento prevede criteri di proporzionalità e tiene conto anche delle caratteristiche delle PMI, ma il dato economico rende evidente un punto: l’AI governance non può più essere considerata esclusivamente un tema di innovazione tecnologica.

È diventata anche una questione di risk management e compliance aziendale.

Il primo passo per adeguarsi all’AI Act? Sapere dove si trova l’AI

C’è però una difficoltà che viene ancora prima dell’interpretazione delle singole norme.

Per governare l’intelligenza artificiale bisogna innanzitutto sapere dove viene utilizzata.

Ed è probabilmente questo uno dei problemi più sottovalutati dalle organizzazioni.

L’AI non entra più in azienda soltanto attraverso grandi progetti approvati dall’IT. Può essere integrata in applicazioni SaaS già utilizzate, strumenti di produttività, CRM, piattaforme HR, software di collaboration, servizi cloud, applicazioni di marketing e cybersecurity.

A questi si aggiungono i servizi di AI generativa utilizzati direttamente dai dipendenti e il fenomeno della Shadow AI, cioè l’impiego di strumenti non censiti o non autorizzati dall’organizzazione.

Con l’evoluzione verso l’Agentic AI, la questione diventa ancora più delicata: un sistema può non limitarsi a generare una risposta, ma eseguire operazioni, interrogare database, utilizzare applicazioni e accedere a informazioni aziendali.

Ecco perché uno dei primi passi verso la conformità dovrebbe essere la costruzione di un vero e proprio inventario dell’AI aziendale.

Non soltanto un elenco di software, ma una mappa che permetta di capire quali sistemi vengono utilizzati, da quali persone e funzioni, per quali finalità, con quali dati, quali livelli di autonomia e quali possibili impatti.

Dalla compliance all’AI governance: una sfida che coinvolge tutta l’azienda

L’AI Act rende evidente un cambiamento più ampio.

La gestione dell’intelligenza artificiale non può essere delegata esclusivamente al reparto IT e nemmeno affrontata come un progetto puramente legale.

Tecnologia, cybersecurity, privacy, compliance, HR e business devono iniziare a lavorare su un modello comune.

Significa definire responsabilità, classificare i sistemi in funzione del rischio, stabilire policy per l’utilizzo dell’AI generativa, controllare l’accesso ai dati, gestire le identità, formare le persone, monitorare gli strumenti introdotti nell’organizzazione e documentare le decisioni.

L’obiettivo non dovrebbe essere semplicemente “essere conformi all’AI Act”.

La vera sfida è costruire un modello che permetta di utilizzare l’intelligenza artificiale in maniera sicura, controllata e sostenibile senza rallentare l’innovazione.

AI Act e aziende: perché serve un partner capace di unire tecnologia, sicurezza e governance

Il 2 agosto 2026 non rappresenta quindi un punto di arrivo. È piuttosto il momento in cui molte aziende devono iniziare a trasformare principi e obblighi normativi in processi concreti.

Da dove partire? Dal comprendere quali strumenti di intelligenza artificiale sono già presenti nell’organizzazione, quali dati utilizzano, chi può accedervi, quali rischi introducono e quali obblighi normativi possono derivarne.

È un percorso che richiede competenze diverse e che mette in relazione AI, infrastruttura IT, cybersecurity, gestione delle identità, protezione dei dati, cloud, processi e persone.

In questo scenario, IFIConsulting affianca le organizzazioni nella costruzione di ambienti digitali sicuri e governabili, aiutandole a trasformare la complessità tecnologica e normativa in un percorso strutturato.

Perché adottare l’intelligenza artificiale non significa semplicemente scegliere nuovi strumenti. Significa creare le condizioni affinché possano essere utilizzati con consapevolezza, proteggendo dati e infrastrutture e mantenendo il controllo sui processi.

Ed è proprio qui che la compliance può cambiare prospettiva: da obbligo da rispettare a occasione per costruire un modello di AI governance più sicuro, trasparente e affidabile.

Vuoi sapere come gestire l’ingresso dell’Ai nella tua azienda senza farti travolgere e senza correre rischi? Vuoi essere sicuro della protezione tuoi dati e del tuo lavoro?

Contatta il team di talenti di IFIConsulting e accelera la tua corsa, sicura e senza rischi, verso i vantaggi straordinari che l’artificial intelligence può offrirti oggi.

FAQ sull’AI Act: Le domande più frequenti per le aziende