Il 2 agosto l'AI Act diventa applicabile: la parte che ti riguarda non è quella che fa paura

Nelle ultime settimane mi è arrivata la stessa domanda da tre persone diverse, tutte con la stessa faccia preoccupata: "dal 2 agosto rischio 35 milioni di multa se uso ChatGPT in azienda?". La domanda nasce da titoli che mettono insieme la data giusta e la sanzione sbagliata, e il risultato è che chi lavora sta guardando il pericolo dalla parte opposta rispetto a dove si trova davvero.

Il 2 agosto 2026 l'AI Act diventa pienamente applicabile. È una data vera, non un allarme. Ma la maggior parte di quello che spaventa una PMI o un professionista quel giorno non lo riguarda, e il pezzo che lo riguarda per davvero è quello di cui quasi nessuno parla. Questo articolo mette in fila le due cose: cosa scatta, e cosa è stato spostato in avanti.

Cosa succede davvero il 2 agosto 2026

Il regolamento europeo sull'intelligenza artificiale è entrato in vigore il 1 agosto 2024 e si applica per fasi. Il 2 agosto 2026 è la data della piena applicabilità: da quel giorno l'impianto è operativo, la governance è in piedi, le autorità nazionali possono vigilare e il regime sanzionatorio funziona. La pagina ufficiale della Commissione sull'AI Act riporta la timeline completa, ed è la fonte da tenere aperta quando leggi un titolo che sembra allarmante.

Le tappe già passate contano più di quanto si creda:

• 2 febbraio 2025: divieti sulle pratiche vietate e obbligo di alfabetizzazione AI (Art. 4). Sono in vigore da un pezzo. Se usi l'AI per lavoro, questo ti riguarda già oggi.
• 2 agosto 2025: regole di governance e obblighi per i modelli di uso generale, quelli che stanno sotto ChatGPT, Claude, Gemini. Riguardano chi i modelli li produce, non chi li usa.
• 2 agosto 2026: piena applicabilità, e soprattutto obblighi di trasparenza dell'Art. 50 per chi fornisce e per chi utilizza sistemi di AI in quattro situazioni precise.

Il punto è questo: la novità del 2 agosto, per un'azienda normale, si chiama trasparenza. Non conformità tecnica, non certificazioni, non marcatura CE. Trasparenza.

Cosa NON succede il 2 agosto: l'alto rischio è stato rinviato

La parte pesante dell'AI Act, quella con valutazioni di conformità, documentazione tecnica, sistemi di gestione del rischio, riguarda i sistemi ad alto rischio dell'Allegato III. Nel calendario originale sarebbe scattata proprio il 2 agosto 2026. Non scatta più quel giorno.

Con il pacchetto di semplificazione noto come AI Omnibus, su cui l'accordo politico è arrivato il 7 maggio 2026 e che ha ricevuto il via libera del Parlamento a giugno e poi del Consiglio, le regole sull'alto rischio hanno un calendario nuovo:

1. Sistemi ad alto rischio autonomi, nelle aree elencate dall'Allegato III come biometria, infrastrutture critiche, istruzione, lavoro, migrazione e giustizia: si applicano dal 2 dicembre 2027.
2. Sistemi ad alto rischio integrati in prodotti già regolati da normative di settore, come ascensori o giocattoli: si applicano dal 2 agosto 2028.

Se selezioni curriculum con uno strumento di AI, o valuti l'accesso a un servizio essenziale, sei in una di quelle aree e hai davanti un orizzonte più lungo di quello che pensavi. Non è un condono, è tempo per prepararsi. Il pacchetto porta anche altre modifiche, tra cui il divieto esplicito dei sistemi che generano immagini intime non consensuali e requisiti documentali semplificati per le PMI.

Segnalo un limite di questo articolo, perché è esattamente il tipo di cosa su cui vale la pena essere onesti: la pubblicazione del testo finale in Gazzetta Ufficiale dell'Unione era attesa a ridosso della scadenza. Le date che leggi qui sopra sono quelle comunicate dalle istituzioni europee e le ho verificate sulle loro pagine. Prima di metterle in un documento che firmi, controlla la versione pubblicata in Gazzetta, non fidarti di me e nemmeno di un articolo di giornale.

La domanda che cambia tutto: sei provider o deployer?

L'AI Act distingue due ruoli, e quasi tutta la confusione nasce dal fatto che i titoli li mescolano.

Il provider è chi sviluppa un sistema di AI e lo mette sul mercato con il proprio nome. Il deployer, in italiano utilizzatore, è chi usa un sistema di AI sotto la propria responsabilità nella propria attività professionale. Se apri Claude o ChatGPT e ci scrivi una mail per un cliente, sei un deployer. Se prendi un modello e ci costruisci sopra un assistente che offri ai tuoi clienti con il tuo marchio, in molti casi stai entrando nel ruolo di provider, e gli obblighi cambiano.

La quasi totalità delle PMI e dei professionisti italiani è nel primo gruppo. Gli obblighi tecnici più duri, come la marcatura leggibile a macchina dei contenuti generati, ricadono sui fornitori dei modelli, non su di te. È il motivo per cui il panico da "35 milioni" è mal riposto: quelle cifre vivono in un mondo che, nella maggior parte dei casi, non è il tuo.

Cosa ti riguarda per davvero se usi l'AI per lavoro

Restringiamo il campo a chi usa strumenti di AI generativa nel proprio lavoro, che è la situazione di quasi tutti quelli che mi scrivono. Le cose che ti riguardano il 2 agosto sono tre, e nessuna richiede un consulente esterno per essere capita.

L'alfabetizzazione (Art. 4), che è già in vigore

Chi usa l'AI professionalmente deve avere un livello sufficiente di competenza su ciò che usa: capirne il funzionamento, i limiti, i rischi. Vale per te e per chi lavora con te, collaboratori esterni inclusi. Non è arrivato il 2 agosto 2026: è in vigore dal 2 febbraio 2025, e la vigilanza delle autorità nazionali entra a regime adesso. Ne ho scritto in modo esteso in cosa significa davvero l'obbligo di alfabetizzazione AI. Non serve un corso certificato. Serve che le persone sappiano quello che fanno, e che tu possa dimostrarlo.

La trasparenza verso chi ti legge o ti parla (Art. 50)

È la novità operativa del 2 agosto. L'Articolo 50 introduce obblighi di informazione in quattro situazioni: quando un sistema di AI interagisce direttamente con le persone, quando genera contenuti sintetici, quando riconosce emozioni o classifica biometricamente, e quando produce deepfake o testi pubblicati per informare il pubblico su temi di interesse pubblico. Non riguarda solo i sistemi ad alto rischio: riguarda qualunque sistema usato in quelle quattro situazioni.

Tradotto per una PMI o uno studio:

• Se hai un chatbot sul sito, chi ci scrive deve capire che sta parlando con una macchina. Deve essere chiaro all'inizio della conversazione, non nascosto nei termini d'uso.
• Se pubblichi immagini, audio o video generati con AI che sembrano autentici, devi dichiararlo. Il contenuto dichiaratamente creativo o satirico ha un obbligo più leggero, ma non zero.
• Se pubblichi testi generati dall'AI allo scopo di informare il pubblico su questioni di interesse pubblico, devi dirlo. C'è una via d'uscita importante: se il testo passa da una revisione umana sostanziale e qualcuno se ne assume la responsabilità editoriale, l'obbligo non si applica. Superficiale non basta.
• Se usi sistemi che riconoscono emozioni o categorizzano persone su base biometrica, devi informare chi ci finisce dentro. Prima ancora, verifica di non ricadere in una pratica vietata: nei luoghi di lavoro e a scuola il riconoscimento delle emozioni è già proibito dal 2025.

Come si dichiara in pratica, senza sembrare un avvocato e senza rovinare il testo, l'ho spiegato in come dichiarare l'uso dell'AI ai clienti. Questo sito, per esempio, marca gli articoli assistiti dall'AI: la trasparenza è una riga, non un progetto.

La marcatura tecnica dei contenuti: guarda chi la deve fare

L'obbligo di rendere i contenuti generati riconoscibili in formato leggibile da una macchina, il cosiddetto watermark, sta in capo ai fornitori dei sistemi generativi. Per i sistemi già sul mercato prima del 2 agosto 2026 c'è una finestra fino al 2 dicembre 2026 per adeguarsi. Se sei un utilizzatore, questa parte la stanno risolvendo i tuoi fornitori, e la Commissione ha pubblicato a giugno 2026 un codice di condotta volontario su marcatura ed etichettatura. La tua responsabilità è un'altra: sapere quale strumento usi e cosa dichiara.

Le sanzioni, senza il teatro

Le cifre grosse che circolano esistono, ma sono agganciate a violazioni specifiche. Gli ordini di grandezza previsti dal regolamento vanno dalla fascia più alta, riservata alle pratiche vietate, a fasce inferiori per gli altri obblighi e per le informazioni ingannevoli fornite alle autorità. Per le PMI, quando il regolamento prevede una percentuale del fatturato oppure una cifra fissa, si applica l'importo minore tra i due, non il maggiore.

Prima di citare un numero preciso in una presentazione o in un contratto, aprilo sul testo del regolamento. È lo stesso principio che vale per ogni dato che ti passa davanti: se non l'hai verificato alla fonte, non è un dato, è una voce. Su come e perché l'AI ti serve numeri sbagliati con tono sicurissimo ho scritto un pezzo intero, e vale anche per i titoli di giornale: perché l'AI inventa e come riconoscerlo.

In Italia va letta insieme alla legge nazionale sull'intelligenza artificiale, che si innesta sul regolamento europeo e tocca ambiti come la responsabilità professionale e l'informativa al cliente. Il quadro generale per chi lavora da solo o in una PMI l'ho messo in ordine nella guida alla compliance AI Act per freelancer e PMI.

Perché è un tema di alfabetizzazione, non di paura

Guarda cosa è successo in questa storia. Una scadenza vera è diventata un allarme sbagliato perché in mezzo mancava una competenza: leggere una norma sapendo distinguere chi obbliga chi, e quando. È esattamente il discernimento che serve a valutare un output dell'AI, applicato a un testo giuridico invece che a un prompt.

Il framework AI Fluency, i quattro D, mette il discernimento accanto alla diligenza: valutare quello che leggi e prenderti la responsabilità di quello che fai. La cornice è di Rick Dakan e Joseph Feller con Anthropic, quello che scrivo qui sopra è mio. La conclusione operativa non cambia: chi ha capito come funziona lo strumento e chi lo governa non ha bisogno di farsi spaventare da un titolo, e arriva al 2 agosto avendo già fatto le due cose che contano.

Quelle due cose sono scrivere nero su bianco come si usa l'AI nel tuo lavoro e dichiararlo a chi ne è toccato. La prima è una policy d'uso dell'AI, che non è un documento da scaricare ma il modo in cui smetti di usare gli strumenti a caso. La seconda è la trasparenza, che costa una riga.

Domande frequenti

Se uso ChatGPT o Claude per lavoro devo fare qualcosa entro il 2 agosto 2026?

Sì, ma non quello che temi. Devi garantire un livello sufficiente di alfabetizzazione a chi usa l'AI, obbligo già in vigore dal 2 febbraio 2025, e dichiarare l'uso dell'AI nelle situazioni previste dall'Art. 50, come un chatbot che parla con i clienti o un contenuto sintetico pubblicato. Non devi fare valutazioni di conformità: quelle riguardano i sistemi ad alto rischio, rinviati al 2 dicembre 2027.

Le regole sull'alto rischio sono state cancellate?

No, sono state spostate. Con il pacchetto di semplificazione i sistemi ad alto rischio autonomi si applicano dal 2 dicembre 2027 e quelli integrati in prodotti regolati dal 2 agosto 2028. Chi seleziona personale con l'AI o gestisce accessi a servizi essenziali ha più tempo, non un'esenzione.

Devo mettere un watermark sui contenuti che genero con l'AI?

La marcatura tecnica leggibile da una macchina è un obbligo dei fornitori dei sistemi generativi, con una finestra fino al 2 dicembre 2026 per i sistemi già sul mercato. Sull'utilizzatore ricade la dichiarazione: dire che un deepfake o un contenuto pubblicato è generato dall'AI, in modo chiaro e visibile.

Cinque mosse da fare prima del 2 agosto

1. Fai l'inventario: elenca ogni strumento di AI che usi tu o chi lavora con te, e per cosa lo usi. Senza questo elenco non puoi sapere cosa ti si applica.
2. Segna quali di quegli usi rientrano nelle quattro situazioni dell'Art. 50. Nella maggior parte dei casi sarà una sola: il contenuto pubblicato.
3. Metti la dichiarazione dove serve: all'inizio della conversazione con un chatbot, sul contenuto generato, in modo visibile. Non nel footer in corpo 8.
4. Scrivi una pagina di regole d'uso interne e falle leggere a chi lavora con te. È la prova di alfabetizzazione che l'Art. 4 ti chiede, ed è anche il modo per smettere di improvvisare.
5. Verifica le date alla fonte prima di ripeterle. Compresa questa pagina: il testo del pacchetto di semplificazione va letto nella versione pubblicata in Gazzetta europea.

Se vuoi capire in dieci minuti dove sei a posto e dove hai un buco, ho messo online un self-check gratuito sull'AI Act pensato per chi lavora, non per giuristi. Nessun tecnicismo, nessuna scadenza da temere. Solo la fotografia di cosa ti si applica davvero, che è sempre meno di quello che ti fa paura e sempre più di quello che stai facendo adesso.