AI Act 2 agosto 2026: cosa cambia davvero per aziende, professionisti e PMI italiane

Il 2 agosto 2026 è una data che molte aziende italiane stanno iniziando a sentire nominare, spesso in modo confuso, tra chi parla di obblighi improvvisi, chi pensa a un rinvio generale e chi, più semplicemente, continua a usare ChatGPT, Copilot, Gemini, Claude o altri strumenti di Intelligenza Artificiale come se fossero programmi qualsiasi, utili per scrivere, riassumere, analizzare, correggere, creare contenuti, preparare documenti, rispondere ai clienti, organizzare processi.

Il punto vero, oggi, è questo: l’AI Act non arriva dentro le aziende il 2 agosto 2026 come un fulmine a ciel sereno, perché alcune parti del regolamento sono già applicabili da tempo, però da quella data il quadro diventa molto più concreto, più controllabile, più operativo, e chi usa l’Intelligenza Artificiale nel lavoro quotidiano deve iniziare a sapere dove la usa, con quali dati, con quali persone, con quali controlli e con quale responsabilità.

Per questo è importante ragionare con calma, senza allarmismo e senza superficialità, perché l’AI Act non riguarda soltanto le grandi aziende tecnologiche che sviluppano sistemi complessi, riguarda anche chi usa strumenti di IA dentro un processo aziendale, dentro uno studio professionale, dentro una scuola, dentro un ufficio marketing, dentro un reparto amministrativo, dentro un’attività commerciale.

In altre parole, riguarda anche molte PMI italiane che oggi si stanno facendo una domanda semplice: cosa devo fare per essere in regola con l’AI Act dal 2 agosto 2026?

Cosa succede il 2 agosto 2026 con l’AI Act

Secondo la pagina ufficiale della Commissione Europea dedicata all’AI Act, il regolamento europeo sull’Intelligenza Artificiale è entrato in vigore il 1 agosto 2024 e diventa pienamente applicabile due anni dopo, quindi dal 2 agosto 2026, con alcune eccezioni già previste dal calendario di applicazione.

Le pratiche di IA vietate e gli obblighi di AI literacy sono già applicabili dal 2 febbraio 2025. Le regole di governance e gli obblighi per i modelli di IA per finalità generali sono applicabili dal 2 agosto 2025. Dal 2 agosto 2026, invece, entra in una fase più ampia l’applicazione del regolamento, compresi gli obblighi di trasparenza previsti dall’articolo 50, mentre per molti sistemi ad alto rischio la Commissione Europea ha indicato nuove scadenze collegate all’accordo politico sull’AI Omnibus.

Questo passaggio va spiegato bene, perché è qui che nasce molta confusione. Una parte degli obblighi è già attiva. Una parte diventa centrale dal 2 agosto 2026. Una parte dei sistemi ad alto rischio avrà più tempo, con scadenze indicate dalla Commissione Europea al 2 dicembre 2027 per diversi sistemi autonomi ad alto rischio e al 2 agosto 2028 per sistemi di IA integrati in prodotti regolamentati, come riportato anche dalla pagina ufficiale sulla standardizzazione dell’AI Act e dalla consultazione europea sulle linee guida per la classificazione dei sistemi ad alto rischio.

Per una PMI, per un professionista, per uno studio o per un’organizzazione italiana, questo significa una cosa molto concreta: il rinvio di alcuni obblighi tecnici non autorizza a restare fermi, perché mappare gli strumenti, formare le persone, definire regole interne, capire se si stanno usando sistemi a rischio limitato o alto rischio, documentare le scelte e governare i dati sono attività che richiedono tempo, metodo e consapevolezza.

Cosa è già obbligatorio prima del 2 agosto 2026

Uno degli errori più frequenti è pensare che tutto inizi ad agosto 2026. In realtà, l’articolo 4 dell’AI Act, quello sull’AI literacy, è già applicabile dal 2 febbraio 2025. La Commissione Europea, nelle sue domande e risposte ufficiali sull’AI literacy, chiarisce che provider e deployer, cioè chi fornisce e chi utilizza sistemi di IA, devono adottare misure per garantire un livello sufficiente di competenza alle persone che operano con questi sistemi per conto dell’organizzazione.

Questo non significa trasformare ogni dipendente in un tecnico informatico. Significa fare in modo che chi usa l’IA sappia almeno che cosa sta usando, quali limiti ha lo strumento, quali rischi può generare, quali dati può inserire, quali risultati deve verificare, quando deve fermarsi e quando deve chiedere un controllo umano.

Su questo tema ho già scritto un approfondimento dedicato all’AI literacy per aziende e obbligo formativo AI Act, perché la formazione non può essere trattata come una formalità da archiviare in un pomeriggio, soprattutto quando le persone stanno già usando strumenti di Intelligenza Artificiale per scrivere email, creare documenti, gestire informazioni interne, rispondere a clienti o prendere decisioni operative.

La stessa Commissione Europea spiega che, per l’AI literacy, può essere utile conservare una traccia interna delle attività formative o delle iniziative di guida, senza imporre necessariamente una certificazione specifica. Questo dettaglio è importante, perché sposta l’attenzione dal “pezzo di carta” alla capacità reale dell’azienda di dimostrare che ha iniziato a governare l’uso dell’IA.

Trasparenza: la parola che molte aziende dovranno imparare a usare bene

Dal 2 agosto 2026 diventano particolarmente rilevanti gli obblighi di trasparenza dell’articolo 50 dell’AI Act. L’AI Act Service Desk della Commissione Europea riporta il testo dell’articolo 50, che riguarda, tra le altre cose, i sistemi destinati a interagire direttamente con le persone, i contenuti generati o manipolati con IA, i deepfake, i sistemi di riconoscimento emotivo e di categorizzazione biometrica nei casi previsti.

Tradotto nel lavoro quotidiano, significa che un’azienda deve iniziare a chiedersi se il cliente sta parlando con una persona o con un chatbot, se un contenuto audio, video o immagine generato artificialmente può essere scambiato per reale, se una pubblicazione informativa creata con IA su temi di interesse pubblico richiede una dichiarazione chiara, se un sistema automatico entra in relazione con persone che hanno diritto a sapere che cosa sta accadendo.

La Commissione Europea, nella pagina dedicata al Codice di buone pratiche sulla marcatura e l’etichettatura dei contenuti generati con IA, collega questi obblighi ai rischi di inganno, manipolazione e alterazione dell’ecosistema informativo. È un passaggio molto pratico, perché oggi tante aziende usano immagini generate con IA, testi prodotti con strumenti generativi, assistenti virtuali e automazioni, spesso senza una vera policy interna.

Qui non si tratta di mortificare l’uso dell’IA. Si tratta di evitare che l’IA venga usata in modo opaco, soprattutto quando può influenzare la percezione delle persone. La trasparenza, se fatta bene, non indebolisce la comunicazione di un’azienda. La rende più credibile.

Il tema dei sistemi ad alto rischio: più tempo, stesso bisogno di metodo

Un’altra domanda che molte aziende inizieranno a fare è questa: il nostro sistema di IA è ad alto rischio?

È una domanda seria, perché l’AI Act non guarda soltanto allo strumento in sé, guarda anche al contesto in cui viene usato. Un sistema che aiuta a scrivere una bozza di email ha un impatto diverso da un sistema che seleziona candidati, valuta studenti, supporta decisioni sul credito, analizza comportamenti dei lavoratori o contribuisce a decisioni che incidono su diritti, opportunità, salute, sicurezza e accesso a servizi.

Nel mio articolo sulla classificazione del rischio nell’AI Act per aziende italiane ho spiegato proprio questo passaggio: prima di parlare di adempimenti, occorre capire in quale categoria rientrano gli strumenti usati, perché un’azienda può essere coinvolta come deployer anche se non ha sviluppato internamente nessun algoritmo.

La Commissione Europea ha aperto una consultazione sulle linee guida per aiutare provider, deployer e autorità competenti a classificare correttamente i sistemi di IA ad alto rischio. La consultazione è stata prorogata al 23 luglio 2026 e le linee guida finali sono attese entro la fine del 2026, come indicato nella pagina ufficiale della Commissione sulle draft guidelines per i sistemi di IA ad alto rischio.

Questo conferma una cosa: anche le istituzioni europee stanno lavorando per rendere il quadro più chiaro e più utilizzabile. Le aziende, però, possono già iniziare dal lavoro più semplice e più importante: capire quali strumenti di Intelligenza Artificiale stanno usando davvero, anche quelli entrati in azienda senza una decisione formale.

Cosa devono fare oggi aziende e professionisti italiani

Una persona che oggi cerca su Google “AI Act 2 agosto 2026 cosa fare” probabilmente non vuole leggere solo la storia del regolamento. Vuole sapere da dove iniziare. La risposta, per una PMI italiana, può essere molto concreta.

Il primo passo è mappare gli strumenti di IA già in uso. ChatGPT, Copilot, Gemini, Claude, Perplexity, strumenti integrati nei CRM, software HR, piattaforme di marketing, sistemi di analisi, chatbot, tool per immagini, video, audio, traduzioni, sintesi di documenti. Spesso l’azienda crede di usare due strumenti, poi scopre che ogni reparto ha già trovato scorciatoie autonome.

Il secondo passo è capire per quali attività vengono usati. Scrivere un post social, riassumere una riunione, analizzare un contratto, generare una risposta a un cliente, valutare un candidato, trattare dati sanitari, creare contenuti informativi o supportare una decisione interna sono attività molto diverse tra loro.

Il terzo passo è guardare i dati. Quali informazioni vengono inserite negli strumenti di IA? Dati personali, dati di clienti, dati di dipendenti, informazioni riservate, documenti aziendali, dati contabili, contenuti protetti da segreto professionale? La Legge italiana 23 settembre 2025, n. 132, pubblicata in Gazzetta Ufficiale, richiama principi come uso corretto, trasparente e responsabile dell’Intelligenza Artificiale, protezione dei dati personali, riservatezza, sicurezza, accuratezza e centralità della persona.

Il quarto passo è formare le persone, partendo dal loro lavoro reale. Un reparto amministrativo ha bisogno di esempi diversi da un ufficio marketing. Uno studio professionale ha problemi diversi da una scuola. Un team che lavora con dati sensibili deve avere cautele diverse da chi usa l’IA per creare una prima bozza di comunicazione.

Il quinto passo è costruire una policy interna, anche semplice, che dica cosa si può fare, cosa va verificato, quali dati non vanno inseriti, chi controlla gli output, quando bisogna dichiarare l’uso dell’IA, quali strumenti sono autorizzati, come si conserva traccia delle attività più delicate.

Il sesto passo è iniziare a usare un registro interno dell’IA, soprattutto nei contesti in cui l’IA entra nei processi aziendali in modo ricorrente. Ne ho parlato nell’articolo dedicato al Registro IA spiegato con il Metodo Sinibaldi: il registro non va presentato come una bacchetta magica normativa, però può diventare uno strumento molto utile per annotare strumenti, finalità, dati inseriti, controlli effettuati, responsabili e verifiche umane.

AI Act in Italia: perché il tema riguarda anche la competitività

In Italia, il tema dell’Intelligenza Artificiale non si muove soltanto sul piano europeo. La Strategia italiana per l’Intelligenza Artificiale 2024-2026, pubblicata dal Dipartimento per la trasformazione digitale, individua quattro macroaree: ricerca, Pubblica Amministrazione, imprese e formazione.

Questo significa che il rapporto tra aziende italiane e IA non può essere letto solo come un problema di conformità. C’è anche un tema di competitività, perché le imprese che imparano a usare l’IA con metodo potranno migliorare processi, comunicazione, analisi, organizzazione e qualità del lavoro, mentre quelle che la useranno senza regole rischieranno errori, dati esposti, contenuti sbagliati, decisioni fragili e responsabilità difficili da ricostruire.

Il punto, quindi, non è scegliere tra innovazione e regole. Il punto è costruire un modo di lavorare in cui l’innovazione abbia una forma, una guida, una responsabilità riconoscibile.

Il rischio più grande per una PMI: usare l’IA senza sapere di usarla

Molte aziende italiane non hanno ancora un problema di IA “avanzata”. Hanno un problema molto più semplice e molto più diffuso: usano l’IA senza averla mappata.

Un dipendente usa ChatGPT con un account personale per sistemare una relazione. Un collaboratore carica un documento cliente su uno strumento esterno per farlo riassumere. Un reparto marketing genera immagini senza sapere se debba indicarne l’origine artificiale. Un ufficio HR usa un software che filtra curriculum con funzioni automatiche. Un consulente prepara bozze con dati reali, poi cancella la chat pensando che il problema sia risolto.

Queste situazioni non nascono da cattiva fede. Nascono da mancanza di metodo.

Per questo la formazione in Intelligenza Artificiale, se fatta bene, deve entrare nel lavoro reale delle persone. Deve partire dai documenti che usano, dalle email che scrivono, dai dati che gestiscono, dai clienti a cui rispondono, dai rischi che incontrano ogni giorno. Nel mio percorso di formazione IA per aziende e professionisti lavoro proprio su questo: non sulla promessa generica dell’Intelligenza Artificiale, ma sull’uso concreto, verificabile, responsabile, dentro processi che esistono già.

Una prima checklist per prepararsi al 2 agosto 2026

Per iniziare, un’azienda italiana può farsi alcune domande molto semplici, che aiutano subito a capire il livello di maturità interna:

Quali strumenti di Intelligenza Artificiale vengono usati oggi in azienda?
Chi li usa e per quali attività?
Ci sono strumenti usati con account personali per attività aziendali?
Vengono inseriti dati personali, riservati o sensibili?
Gli output dell’IA vengono sempre verificati da una persona competente?
Esiste una policy interna sull’uso dell’IA?
Le persone hanno ricevuto formazione adeguata rispetto al loro ruolo?
I clienti vengono informati quando interagiscono con un sistema automatico?
I contenuti generati o manipolati con IA vengono dichiarati quando serve?
L’azienda conserva una traccia delle attività formative e degli usi più rilevanti?

Queste domande non sostituiscono una consulenza legale o una valutazione tecnica. Servono, però, a far emergere la realtà. Spesso il primo problema, nelle aziende, è proprio questo: nessuno ha mai messo sul tavolo una fotografia sincera di come l’IA venga già usata.

Domande frequenti sull’AI Act dal 2 agosto 2026

L’AI Act riguarda anche le piccole aziende?

Sì, può riguardarle. Dipende dagli strumenti usati, dal ruolo dell’azienda, dal contesto e dall’impatto sulle persone. Una PMI che utilizza sistemi di IA nei propri processi può avere obblighi come deployer, anche se non sviluppa direttamente nessun sistema.

Dal 2 agosto 2026 tutte le aziende devono avere un Registro IA?

L’AI Act non impone a ogni azienda un documento chiamato “Registro IA” in modo generalizzato. Un registro interno, però, può essere una misura organizzativa utile per documentare strumenti, finalità, controlli, persone coinvolte, dati trattati e verifiche effettuate, soprattutto quando l’IA viene usata in processi ricorrenti o delicati.

La formazione IA è obbligatoria?

L’articolo 4 dell’AI Act richiede che provider e deployer adottino misure per garantire un livello sufficiente di AI literacy alle persone che utilizzano sistemi di IA per conto dell’organizzazione. La Commissione Europea chiarisce che non esiste un formato unico valido per tutti, perché la formazione deve dipendere dal ruolo, dal contesto, dal livello di rischio e dagli strumenti usati.

Bisogna dichiarare sempre che un contenuto è stato creato con IA?

Gli obblighi di trasparenza dell’articolo 50 riguardano casi specifici, come interazione diretta con sistemi di IA, contenuti artificiali o manipolati, deepfake, pubblicazioni generate o manipolate con IA su temi di interesse pubblico e altri casi previsti dalla norma. La cosa più seria da fare è analizzare il contesto, perché non tutte le bozze interne generate con IA hanno lo stesso peso di un contenuto pubblicato verso l’esterno.

Le regole sui sistemi ad alto rischio sono state rinviate?

La Commissione Europea, dopo l’accordo politico sull’AI Omnibus, ha indicato uno slittamento per diversi sistemi ad alto rischio: 2 dicembre 2027 per sistemi autonomi in aree come biometria, infrastrutture critiche, istruzione, occupazione, migrazione, asilo e controllo delle frontiere, e 2 agosto 2028 per sistemi integrati in prodotti regolamentati. Questo tempo va usato per prepararsi, non per rimandare ogni analisi.

Conclusione: agosto 2026 non è una scadenza da subire, è un’occasione per mettere ordine

Il 2 agosto 2026 non deve essere vissuto come una data da temere, perché l’AI Act, letto bene, chiede alle aziende una cosa molto concreta: sapere come stanno usando l’Intelligenza Artificiale, formare le persone, riconoscere i rischi, essere trasparenti quando serve, mantenere un controllo umano reale, proteggere i dati e documentare le scelte importanti.

Per molte aziende italiane questo può diventare un passaggio utile, persino liberatorio, perché costringe a uscire dall’improvvisazione. L’IA è già entrata nel lavoro quotidiano. Ora bisogna darle una forma, una regola, un linguaggio comune, una responsabilità.

Chi vuole prepararsi seriamente può iniziare da un percorso di formazione IA per aziende e professionisti, approfondire il tema dell’AI literacy, valutare la classificazione del rischio, costruire un Registro IA interno e, se serve, confrontarsi su un percorso personalizzato attraverso la pagina contatti.

Perché il tema, alla fine, è tutto qui: usare l’Intelligenza Artificiale senza subirla, portarla dentro il lavoro senza perdere controllo, identità e responsabilità, e arrivare alle scadenze dell’AI Act con una consapevolezza vera, non con una cartella preparata all’ultimo momento.

Fonti ufficiali e approfondimenti

Antonio Sinibaldi è formatore e docente di intelligenza artificiale, specializzato nell’uso consapevole dell’IA, nel ragionamento umano e nella responsabilità professionale. Formatore in Intelligenza Artificiale per aziende e professionisti. Docente del corso IA per l’Istituto Nazionale Tributaristi. Autore della collana IA PRATICA