AI Act / obblighi per le imprese dal 02 agosto 2026

AI Act / obblighi per le imprese dal 02 agosto 2026 / Note Rev. 0.0 2026

ID 26488 | 21 Giugno 2026 / Note complete in allegato

Il Regolamento (UE) 2024/1689, prima regolamentazione sistematica in materia di intelligenza artificiale, entrato in vigore il 1° agosto 2024, prevede un'applicazione differita per fasi.

I divieti dell'art. 5 e gli obblighi di alfabetizzazione (AI literacy, art. 4) sono efficaci dal 2 febbraio 2025, le regole di governance e gli obblighi per i modelli per finalità generali (GPAI) dal 2 agosto 2025, mentre, il 2 agosto 2026 è la scadenza che riguarda il maggior numero di imprese, perché diventano applicabili i Capi III-VIII del Regolamento (alto rischio, trasparenza, GPAI, sorveglianza del mercato, governance e sanzioni).

Tabella date applicazioni

Data	Cosa si applica
1° agosto 2024	Entrata in vigore del Regolamento
2 febbraio 2025	Divieto delle pratiche vietate (Art. 5) + obblighi di alfabetizzazione AI (Art. 4)
2 agosto 2025	Obblighi per i modelli GPAI (general-purpose AI), governance UE, designazione autorità nazionali
2 agosto 2026	Sistemi ad alto rischio Allegato III, trasparenza (Art. 50), sorveglianza mercato, sanzioni piene
2 agosto 2027	Sistemi ad alto rischio "Allegato I" (AI integrata in prodotti già regolati: macchinari, dispositivi medici, ecc.)

Nota
Approvato in via definitiva l’“AI Digital Omnibus" che rimodula alcune scadenze, tra cui la data di compliance per i sistemi ad alto rischio dell'Allegato III.

Obblighi al 2 agosto 2026

Obblighi di trasparenza (art. 50)

La decorrenza del 2 agosto 2026 riguarda gli obblighi di trasparenza art. 50, articolati su più piani soggettivi:

- Sistemi conversazionali. I fornitori di sistemi che interagiscono con persone fisiche (chatbot, assistenti) devono rendere riconoscibile l'interazione con una macchina, salvo i casi in cui ciò sia manifesto.
- Contenuti sintetici. I fornitori di sistemi che generano audio, immagini, video o testo devono apporre una marcatura tecnica in formato machine-readable che renda i contenuti rilevabili come artificiali (art. 50, par. 2).
- Riconoscimento emozioni e categorizzazione biometrica. I deployer devono informare le persone esposte prima o al momento della prima esposizione (art. 50, par. 3). Tali sistemi sono di regola classificati ad alto rischio, salvo i casi vietati dall'art. 5, par. 1, lett. f) in ambito lavorativo e scolastico: l'obbligo di trasparenza si cumula quindi con i requisiti propri dell'alto rischio.
- Deepfake. I deployer di sistemi che producono o manipolano deepfake devono dichiarare la natura artificiale del contenuto.

A supporto applicativo, l'AI Office ha predisposto le Linee guida sui sistemi di IA trasparenti (in consultazione dall’8 maggio 2026) e un Codice di condotta sulla trasparenza dei contenuti generati da IA (strumento volontario).

Regolamento (UE) 2024/1689

Articolo 50 Obblighi di trasparenza per i fornitori e i deployers di determinati sistemi di IA

1. I fornitori garantiscono che i sistemi di IA destinati a interagire direttamente con le persone fisiche sono progettati e sviluppati in modo tale che le persone fisiche interessate siano informate del fatto di stare interagendo con un sistema di IA, a meno che ciò non risulti evidente dal punto di vista di una persona fisica ragionevolmente informata, attenta e avveduta, tenendo conto delle circostanze e del contesto di utilizzo. Tale obbligo non si applica ai sistemi di IA autorizzati dalla legge per accertare, prevenire, indagare o perseguire reati, fatte salve le tutele adeguate per i diritti e le libertà dei terzi, a meno che tali sistemi non siano a disposizione del pubblico per segnalare un reato.

2. I fornitori di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici, garantiscono che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente. I fornitori garantiscono che le loro soluzioni tecniche siano efficaci, interoperabili, solide e affidabili nella misura in cui ciò sia tecnicamente possibile, tenendo conto delle specificità e dei limiti dei vari tipi di contenuti, dei costi di attuazione e dello stato dell'arte generalmente riconosciuto, come eventualmente indicato nelle pertinenti norme tecniche. Tale obbligo non si applica se i sistemi di IA svolgono una funzione di assistenza per l'editing standard o non modificano in modo sostanziale i dati di input forniti dal deployer o la rispettiva semantica, o se autorizzati dalla legge ad accertare, prevenire, indagare o perseguire reati.

3. I deployer di un sistema di riconoscimento delle emozioni o di un sistema di categorizzazione biometrica informano le persone fisiche che vi sono esposte in merito al funzionamento del sistema e trattano i dati personali in conformità dei regolamenti (UE) 2016/679 e (UE) 2018/1725 e della direttiva (UE) 2016/680, a seconda dei casi. Tale obbligo non si applica ai sistemi di IA utilizzati per la categorizzazione biometrica e il riconoscimento delle emozioni autorizzati dalla legge per accertare, prevenire o indagare reati, fatte salve le tutele adeguate per i diritti e le libertà dei terzi e conformemente al diritto dell'Unione.

4. I deployer di un sistema di IA che genera o manipola immagini o contenuti audio o video che costituiscono un «deep fake» rendono noto che il contenuto è stato generato o manipolato artificialmente. Tale obbligo non si applica se l'uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati. Qualora il contenuto faccia parte di un'analoga opera o di un programma manifestamente artistici, creativi, satirici o fittizi, gli obblighi di trasparenza di cui al presente paragrafo si limitano all'obbligo di rivelare l'esistenza di tali contenuti generati o manipolati in modo adeguato, senza ostacolare l'esposizione o il godimento dell'opera.

I deployer di un sistema di IA che genera o manipola testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico rendono noto che il testo è stato generato o manipolato artificialmente. Tale obbligo non si applica se l'uso è autorizzato dalla legge per accertare, prevenire, indagare o perseguire reati o se il contenuto generato dall'IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione del contenuto.

5. Le informazioni di cui ai paragrafi da 1 a 4 sono fornite alle persone fisiche interessate in maniera chiara e distinguibile al più tardi al momento della prima interazione o esposizione. Le informazioni devono essere conformi ai requisiti di accessibilità applicabili.

6. I paragrafi da 1 a 4 lasciano impregiudicati i requisiti e gli obblighi di cui al capo III, così come gli altri obblighi di trasparenza stabiliti dal diritto dell'Unione o nazionale per i deployer dei sistemi di IA.

7. L'ufficio per l'IA incoraggia e agevola l'elaborazione di codici di buone pratiche a livello dell'Unione per facilitare l'efficace attuazione degli obblighi relativi alla rilevazione e all'etichettatura dei contenuti generati o manipolati artificialmente. La Commissione può adottare atti di esecuzione per approvare tali codici di buone pratiche secondo la procedura di cui all'articolo 56, paragrafo 6. Se ritiene che il codice non sia adeguato, la Commissione può adottare un atto di esecuzione che specifichi norme comuni per l'attuazione di tali obblighi secondo la procedura d'esame di cui all'articolo 98, paragrafo 2.

Code of Practice on Transparency of AI-Generated Content

Il Code of Practice on Transparency of AI-Generated Content (Codice di condotta sulla trasparenza dei contenuti generati da IA) è il testo ufficiale pubblicato dalla Commissione Europea e dall'Ufficio per l'IA (AI Office) il 10 giugno 2026.

Questo documento è una guida pratica e operativa nata per aiutare le aziende a rispettare gli obblighi di trasparenza previsti dall'Articolo 50 dell'AI Act, che diventeranno vincolanti a partire dal 2 agosto 2026.

Sebbene l'adesione al Codice in sé sia volontaria, rispettare l'Articolo 50 è un obbligo di legge: firmare e seguire il Codice garantisce alle imprese la certezza giuridica di essere in regola (presunzione di conformità).

Il Codice si divide in due sezioni chiave: una per chi i sistemi li crea (i fornitori) e una per chi li usa per pubblicare contenuti (gli utilizzatori).

Sezione 1: I Fornitori (Providers) - Marcatura e Rilevamento

Si rivolge a chi sviluppa sistemi di IA generativa (come OpenAI, Google, Midjourney, ecc.). Il codice stabilisce un approccio tecnico basato su due livelli per far sì che i contenuti generati siano identificabili:

- Metadati sicuri e Watermarking: I fornitori devono inserire nei file (audio, immagini, video, testo) dei marcatori digitali invisibili e resilienti, capaci di resistere a modifiche comuni come la compressione del file o il ritaglio (cropping).

- Tracciabilità e Fingerprinting: Come soluzione di riserva (fallback), si incoraggia l'uso di impronte digitali informatiche per verificare l'origine del file se la marcatura attiva dovesse fallire.

- Strumenti di controllo pubblici: I fornitori devono rendere disponibili (anche tramite API gratuite) dei sistemi di rilevamento che permettano a terzi di verificare, con un tasso di affidabilità percentuale, se un contenuto è stato generato dai loro modelli.

Sezione 2: Gli Utilizzatori (Deployers) - Etichettatura dei Deepfake e Testi Pubblici

Si applica alle aziende o ai professionisti che usano l'IA per creare o modificare contenuti destinati al pubblico. Qui l'obbligo è puramente visivo e comunicativo:

- L'obbligo sui Deepfake: Immagini, video o audio generati da IA che ritraggono persone, luoghi o eventi reali in modo apparentemente autentico devono essere chiaramente etichettati. Per i video live serve un disclaimer iniziale e un indicatore visivo continuo.

- I testi di interesse pubblico: Se l'IA viene usata per generare o modificare significativamente testi scritti con lo scopo di informare il pubblico su temi di interesse generale, scatta l'obbligo di trasparenza.

- Introduzione delle "Icone UE": Il Codice introduce ufficialmente tre varianti di un'icona standard europea (un simbolo grafico comune) da inserire direttamente sopra il contenuto o nell'interfaccia utente per avvisare immediatamente il lettore/spettatore dell'uso dell'IA.

Le icone hanno lo scopo di aiutare le persone fisiche esposte a tali contenuti a riconoscere, in modo chiaro e inequivocabile, che il contenuto è stato generato o manipolato artificialmente. Questo obbligo rafforza la fiducia del pubblico, riduce il rischio di disinformazione e promuove una fruizione e una lettura consapevoli da parte delle persone fisiche di qualsiasi tipo di contenuto.

Non tutti i contenuti generati o manipolati dall'IA devono essere etichettati. L'obbligo di divulgazione previsto dalla legge sull'IA riguarda solo i contenuti generati o manipolati dall'IA. Le icone supportano la conformità all'articolo 50(4) della legge sull'IA, che richiede a chi implementa sistemi di IA di divulgare:

- Deep fake: contenuti di immagini, audio o video generati o manipolati dall'intelligenza artificiale che assomigliano a persone, oggetti, luoghi, entità o eventi esistenti e che potrebbero apparire falsamente autentici o veritieri a una persona.

- Testo generato o manipolato dall'intelligenza artificiale, pubblicato per informare il pubblico su questioni di interesse pubblico, che non è stato sottoposto a revisione umana o controllo editoriale e la cui responsabilità editoriale non è stata assunta da alcuna persona fisica o giuridica.

Limitazioni ed eccezioni

Evidentemente opere artistiche, creative, satiriche, di finzione e analoghe

Quando i contenuti deepfake fanno parte di un'opera o di un programma evidentemente artistico, creativo, satirico, di finzione o analogo, gli obblighi di trasparenza si limitano alla divulgazione in modo appropriato, tale da non ostacolare la fruizione o l'esposizione dell'opera.

Autorizzato dalla legge

L'obbligo di divulgazione non si applica quando l'uso di deepfake o di testi pubblicati su argomenti di interesse pubblico è autorizzato dalla legge per individuare, prevenire, indagare o perseguire reati penali.

Revisione umana o controllo editoriale del testo

L'obbligo di divulgazione non si applica qualora il testo generato dall'IA sia stato sottoposto a un processo di revisione umana o di controllo editoriale e qualora una persona fisica o giuridica sia responsabile della pubblicazione del contenuto.

Le icone dell'UE

Le icone sono disponibili in 4 varianti: nero, bianco, nero con trasparenza al 50% e bianco con trasparenza al 50%.

Le icone sono state sottoposte a test con gli utenti e i risultati hanno influenzato la loro progettazione. In particolare, le prestazioni sono migliorate in tutti i parametri quando l'icona di base era accompagnata da un'etichetta di testo (ad esempio, modificata).

Icona	Quando utilizzare	Esempi di casi d'uso
Icona base	Quando l'IA è coinvolta nella creazione di contenuti deepfake (immagini, audio, video) o di testi pubblicati o quando viene implementata un'etichetta di testo personalizzata o un secondo livello interattivo	Video deepfake con l'etichetta di testo "voci generate con" seguita dall'icona base
Interamente generato dall'IA	Quando l'intero contenuto deepfake (immagine, audio, video) o il testo è generato interamente dall'IA senza elementi creati dall'uomo o controllo editoriale umano (a parte le indicazioni)	Video deepfake interamente generati dall'intelligenza artificiale con protagonisti politici o eventi fittizi. Musica o arte interamente composte dall'intelligenza artificiale* Riassunti di notizie generati dall'intelligenza artificiale
Parzialmente modificato dall'IA	Quando contenuti preesistenti creati dall'uomo venivano parzialmente modificati con l'IA trasformandoli in deepfake o in testi su argomenti di interesse pubblico	Il volto di una fotografia autentica viene sostituito con il volto di un politico utilizzando l'intelligenza artificiale. Vengono fornite fotografie autentiche di un appartamento vuoto utilizzando l'intelligenza artificiale.

*Potrebbero essere previsti requisiti di divulgazione limitati per opere artistiche, creative, di finzione o satiriche.

L'utilizzo di queste icone UE è facoltativo, ma i requisiti di etichettatura previsti dall'articolo 50 della legge sull'IA non lo sono. L'utilizzo di queste icone non garantisce di per sé la conformità legale. Chi implementa i contenuti rimane responsabile di garantire che qualsiasi divulgazione soddisfi i requisiti dell'articolo 50 della legge sull'IA. I firmatari del Codice di condotta sulla marcatura e l'etichettatura dei contenuti generati dall'IA devono debitamente attuare le misure in esso contenute.

Governance nazionale e apparato sanzionatorio

Al 2 agosto 2026 entra in piena operatività dell'impianto sanzionatorio (art. 99 e ss.) e della governance nazionale: gli Stati membri devono aver designato le autorità competenti di notifica e di vigilanza del mercato. È la data in cui il regolamento acquisisce, sul piano dell'enforcement, la sua piena cogenza per le fattispecie già applicabili.

Tabella Tipo di violazione / sanzione massima

Tipo di violazione	Sanzione massima
Pratiche vietate (Art. 5)	35 mln € o 7% del fatturato mondiale annuo
Violazione obblighi alto rischio / trasparenza	15 mln € o 3% del fatturato
Informazioni false/incomplete alle autorità	7,5 mln € o 1% del fatturato

[...]

Applicazione Generale e Sistemi ad Alto Rischio: Articolo 6, Paragrafo 2 e Allegato III

Il 2 agosto 2026 segna la scadenza per l'entrata in vigore dei severi obblighi di conformità per i sistemi di Intelligenza Artificiale classificati come ad alto rischio ai sensi dell'Articolo 6, paragrafo 2.

L'elenco dettagliato di questi sistemi è contenuto nell'Allegato III del regolamento, che copre settori critici quali:

- Biometria (sistemi di identificazione remota non vietati).
- Infrastrutture critiche (es. gestione del traffico stradale, forniture idriche o elettriche).
- Istruzione e formazione professionale (es. sistemi per valutare gli studenti o determinare l'accesso agli istituti).
- Occupazione e gestione dei lavoratori (es. software per il recruitment, lo screening dei CV o la promozione/valutazione del personale).
- Accesso e fruizione di servizi privati essenziali e servizi pubblici (es. sistemi di credit scoring per la concessione di prestiti, o software usati dalle assicurazioni).
- Forze dell'ordine, gestione della migrazione, asilo e controllo delle frontiere.
- Amministrazione della giustizia e processi democratici.

I fornitori e i deployer di questi specifici sistemi devono, a partire da questa data, rispettare i requisiti di governance dei dati, documentazione tecnica (Allegato IV), registro degli eventi (logging), supervisione umana e sicurezza informatica.

Per immettere legalmente sul mercato un sistema ad alto rischio il fornitore di un sistema ad alto rischio, deve avere predisposto, prima della messa in servizio:

- Sistema di gestione dei rischi continuo lungo tutto il ciclo di vita.
- Governance dei dati - dataset di addestramento/test pertinenti, rappresentativi, con gestione dei bias.
- Documentazione tecnica completa, da tenere aggiornata.
- Registrazione automatica degli eventi (logging) per la tracciabilità.
- Trasparenza e istruzioni d'uso chiare per i deployer.
- Sorveglianza umana progettata "by design".
- Accuratezza, robustezza e cybersicurezza adeguate.
- Sistema di qualità (QMS).
- Valutazione di conformità, marcatura CE e dichiarazione UE di conformità.
- Registrazione nella banca dati UE dei sistemi ad alto rischio.

Esempio
Una software house che vende uno strumento di screening automatico dei CV (Allegato III) e che, al 1° agosto 2026, non ha completato la valutazione di conformità, la registrazione nella banca dati UE e i meccanismi di sorveglianza umana, è in violazione dal primo giorno di applicazione (2 agosto 2026).

Il deployer di un sistema ad alto rischio ha obblighi:

- Usarlo secondo le istruzioni del fornitore;
- Garantire la sorveglianza umana affidandola a persone competenti;
- Monitorare il funzionamento e sospendere/segnalare in caso di rischi o incidenti gravi;
- Conservare i log generati dal sistema;
- Informare i lavoratori e i loro rappresentanti quando il sistema è usato sul posto di lavoro;
- Informare le persone fisiche soggette a decisioni basate sul sistema;

In alcuni casi (enti pubblici, servizi essenziali) condurre una valutazione d'impatto sui diritti fondamentali (FRIA).

[...]

Scadenze rinviate per effetto del Digital Omnibus

Il 16 giugno 2026, il Parlamento europeo ha approvato in via definitiva una modifica di alcune norme della legge UE sull’intelligenza artificiale nell’ambito della proposta omnibus digitale. Il Digital AI Omnibus (chiamato anche Digital Omnibus on AI) è un importantissimo pacchetto di emendamenti e semplificazioni normative dell'Unione Europea.

La modifica più sostanziale riguarda il calendario dei sistemi ad alto rischio dell'Allegato III (art. 6, par. 2) biometria, infrastrutture critiche, istruzione, occupazione, accesso a servizi essenziali, law enforcement, migrazione, asilo e controllo frontiere, amministrazione della giustizia - la cui efficacia è posticipata di circa sedici mesi al 2 dicembre 2027. Per i sistemi integrati in prodotti già regolati da altre normative UE (macchine, ascensori, giocattoli) il termine è il 2 agosto 2028. Il rinvio è motivato dall'esigenza di rendere disponibili standard tecnici armonizzati e strumenti di supporto prima dell'efficacia degli obblighi.

Incide sull'art. 50 anche una modifica all'art. 111, par. 4: i fornitori - inclusi i GPAI - di sistemi che generano contenuti sintetici immessi sul mercato prima del 2 agosto 2026 dispongono di un periodo di adeguamento alla marcatura tecnica ridotto da sei a tre mesi, con termine al 2 dicembre 2026. Si tratta di previsione non ancora in vigore.

Nuove scadenze

Viene rinviata l’applicazione di alcune parti della legge sull’IA (AI Act Regolamento (UE) 2024/1689) per garantire che siano prima predisposti gli standard e le misure di sostegno necessari. Gli obblighi per i sistemi di IA ad alto rischio si applicheranno:

- dal 2 dicembre 2027 per i sistemi di IA indipendenti ad alto rischio;
- dal 2 agosto 2028 per i sistemi di IA integrati come componenti di sicurezza e disciplinati dalla normativa settoriale UE sulla sicurezza e sulla vigilanza del mercato.

Inoltre al 2 dicembre 2026 è previsto il rinvio dell’applicazione degli obblighi di marcatura dei contenuti generati dall’IA. Entro tale data, i contenuti generati dall’IA dovranno essere etichettati in modo leggibile per aumentare la trasparenza.

Divieto delle app “nudifier”

La legge vieta i sistemi di IA che generano materiale di abuso sessuale su minori o creano immagini, video e audio che raffigurano le parti intime di una persona identificabile o attività sessualmente esplicite senza il suo consenso. I fornitori non potranno immettere tali sistemi sul mercato dell’UE, salvo che siano dotati di adeguate salvaguardie tecniche per impedire la creazione di tale materiale. Il divieto si applica anche agli utilizzatori che impiegano questi sistemi a tale scopo. Le imprese avranno tempo fino al 2 dicembre 2026 per adeguare i propri sistemi.

[...] Segue in allegato

Collegati

Regolamento (UE) 2024/1689
Omnibus digitale sull'IA
Code of Practice on Transparency of AI-Generated Content
Signing the Code of Practice on transparency of AI-generated content / Signatory Form and instructions - FAQ

Allegati (Riservati) Abbonati Full Plus

Allegati
	Descrizione	Lingua	Dimensioni	Downloads
	AI Act / obblighi per le imprese dal 02 agosto 2026 / Note Certifico Srl - Rev. 0.0 Giugno 2026 Abbonati Full Plus	IT	247 kB	0

AI Act / obblighi per le imprese dal 02 agosto 2026

AI Act / obblighi per le imprese dal 02 agosto 2026 / Note Rev. 0.0 2026

Sicurezza L.

Ambiente

Normazione

Marcat. CE

P. Incendi

Chemicals

Impianti

Macchine

Merci P.

Costruzioni

Trasporti

HACCP

Certifico s.r.l.

Info

Marketing

Utilities

Policies

Store

Social

Media