EU AI Act: la corsa alla compliance

I fatti

L'EU AI Act, approvato nel 2024, è il primo quadro normativo completo al mondo per l'intelligenza artificiale. Il 2 agosto 2026 è la data chiave: entrano in vigore gli obblighi per i sistemi AI classificati come "ad alto rischio" — che includono sistemi usati in sanità, finanza, risorse umane, istruzione, infrastrutture critiche e molti altri settori.

Gli obblighi sono sostanziali: documentazione tecnica dettagliata, valutazioni di conformità, sistemi di gestione del rischio, governance dei dati di addestramento, supervisione umana, trasparenza verso gli utenti, logging e tracciabilità. Per molte aziende, questo significa ricostruire interi processi di sviluppo AI da zero.

Le sanzioni sono tra le più severe mai previste per il settore tech: fino a 35 milioni di euro o il 7% del fatturato globale annuo, a seconda di quale cifra sia maggiore. Per le Big Tech, questo può significare miliardi. La portata è extraterritoriale: qualsiasi sistema AI che abbia effetti su residenti dell'UE è soggetto alla normativa, indipendentemente da dove l'azienda abbia sede.

Ma c'era un'incognita cruciale: il pacchetto "Digital Omnibus" proposto dalla Commissione Europea poteva posticipare la scadenza degli obblighi ad alto rischio. La proposta era in discussione tra Parlamento e Consiglio, con diversi stati membri contrari al rinvio.

Aggiornamento luglio 2026

Il 7 maggio 2026 è arrivata la svolta: Consiglio, Parlamento e Commissione hanno raggiunto un accordo politico provvisorio sul Digital Omnibus. Le modifiche principali:

Annex III (sistemi ad alto rischio stand-alone): scadenza rinviata dal 2 agosto 2026 al 2 dicembre 2027 — un rinvio di 16 mesi. Questo copre sistemi usati in sanità, finanza, risorse umane, istruzione e altri settori sensibili.

Annex I (AI integrata in prodotti regolamentati): scadenza rinviata al 2 agosto 2028 — un rinvio di 24 mesi. Questo copre AI embedded in macchinari, dispositivi medici, veicoli e altri prodotti soggetti a certificazione.

Articolo 50 (obblighi di trasparenza): scadenza CONFERMATA al 2 agosto 2026 — nessun rinvio. Questo significa che dal 2 agosto tutte le aziende che usano chatbot, generano contenuti AI (testo, immagini, audio, video) o usano sistemi di riconoscimento biometrico devono rispettare gli obblighi di trasparenza. Le sanzioni per violazioni dell'Art.50 arrivano a 15 milioni di euro o il 3% del fatturato globale.

Nuovi divieti: aggiunta una proibizione esplicita su nudifier AI (immagini intime non consensuali generate con AI) e materiale di abuso sessuale su minori generato con AI nell'Articolo 5.

Periodo transitorio: i sistemi generativi già sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per implementare il requisito di marcatura machine-readable dell'Art.50(2).

L'accordo è politico e provvisorio — deve ancora essere formalmente adottato e pubblicato nella Gazzetta Ufficiale. Ma l'approvazione formale è attesa prima del 2 agosto 2026.

Il dilemma per le aziende si è trasformato. Chi aveva scommesso sul rinvio ha vinto — per i sistemi ad alto rischio. Chi aveva investito in compliance anticipata ha comunque un vantaggio competitivo e organizzativo. Ma tutti devono comunque essere conformi agli obblighi di trasparenza dell'Art.50 entro il 2 agosto.

Analisi DAMM

Delimitazione (7/10): La situazione è ora molto più chiara. Il Digital Omnibus ha creato tre scadenze distinte e ben definite: Art.50 il 2 agosto 2026, Annex III il 2 dicembre 2027, Annex I il 2 agosto 2028. Le aziende possono ora classificare i propri sistemi AI con molta più precisione — sapendo esattamente cosa si applica quando. Il punteggio non è più alto perché la classificazione dei propri sistemi tra le tre categorie resta complessa, e l'adozione formale del Omnibus non è ancora pubblicata.

Asimmetria (6/10): L'asimmetria è migliorata significativamente per i sistemi ad alto rischio — il rinvio di 16 mesi riduce il rischio di sanzioni immediate e dà tempo per una compliance strutturata. Per gli obblighi di trasparenza Art.50, l'asimmetria resta sfavorevole: il costo della compliance è moderato (disclosure, marcatura, etichettatura) ma le sanzioni per non-compliance (15M€ o 3%) sono immediate dal 2 agosto. Il punteggio riflette il mix dei due scenari.

Margine di Manovra (6/10): Il margine è cresciuto enormemente per i sistemi ad alto rischio — 16 mesi aggiuntivi per implementare documentazione, audit e governance. Per gli obblighi Art.50, il margine è stretto ma le azioni richieste sono meno onerose: aggiungere disclosure sui chatbot, implementare marcatura dei contenuti generati, informare gli utenti di sistemi biometrici. Il periodo transitorio fino a dicembre 2026 per la marcatura machine-readable aggiunge ulteriore margine.

Mossa Minima (5/10): La situazione ora favorisce chi ha adottato una strategia modulare. La mossa minima aggiornata è: implementare subito gli obblighi Art.50 (trasparenza su chatbot e contenuti AI), poi usare i 16 mesi per preparare la compliance Annex III in modo strutturato. Chi ha investito in compliance completa anticipata ha un vantaggio ma ha anche speso prematuramente. Chi non ha fatto nulla deve ora correre almeno sull'Art.50.

Scenari DAMM

Il quadro è cambiato radicalmente con l'Omnibus. La domanda non è più "investire o aspettare?" ma "quanto velocemente posso implementare l'Art.50 e quanto strategicamente posso pianificare l'Annex III?"

Chi è conforme all'Art.50 dal 2 agosto ha eliminato il rischio immediato di sanzioni. Ha poi 16 mesi per la compliance Annex III — tempo sufficiente per una pianificazione razionale, non una corsa.

Chi ignora l'Art.50 rischia sanzioni dal 3 agosto 2026. Il rinvio dell'Annex III non copre la trasparenza.

La mossa minima oggi: implementare gli obblighi Art.50 entro il 2 agosto (disclosure chatbot, marcatura contenuti, trasparenza biometrica), poi iniziare un programma strutturato di compliance Annex III con milestone intermedie verso dicembre 2027.