L’AI Act 2 agosto 2026 non è una data lontana: è dopodomani. Da quel giorno scattano gli obblighi di trasparenza dell’articolo 50 e l’impianto sanzionatorio diventa pienamente operativo. Se usi un chatbot sul sito, generi immagini o testi con l’intelligenza artificiale, o hai persone che lavorano ogni giorno con questi strumenti, sei dentro il perimetro. In questo articolo trovi solo le tre cose concrete che devi avere pronte — inventario, disclosure, AI literacy — e cosa succede davvero se non fai nulla.
Cosa cambia davvero con l’AI Act 2 agosto 2026
Il 2 agosto 2026 è la data in cui diventa applicabile il grosso dell’AI Act: obblighi di trasparenza verso gli utenti e regime sanzionatorio pienamente in funzione. Non riguarda solo i colossi che sviluppano modelli, ma anche le PMI che li usano.
Facciamo chiarezza sul calendario, perché intorno a questa scadenza gira parecchia confusione.
L’AI Act si applica per fasi. L’AI Act è entrato in vigore il 1° agosto 2024 e diventa pienamente applicabile due anni dopo, il 2 agosto 2026, con alcune eccezioni: le pratiche vietate e gli obblighi di AI literacy si applicano dal 2 febbraio 2025, mentre le regole di governance e gli obblighi per i modelli GPAI sono applicabili dal 2 agosto 2025.
Il punto è che il 2 agosto 2026 è la scadenza che riguarda il maggior numero di imprese, perché diventano applicabili i Capi III-VIII del Regolamento (alto rischio, trasparenza, GPAI, sorveglianza del mercato, governance e sanzioni). Attenzione però a un rinvio importante: il Digital Omnibus rinvia al 2027 e 2028 gli obblighi sui sistemi ad alto rischio. Nel dettaglio, le nuove date fissate per i sistemi ad alto rischio sono il 2 dicembre 2027 per i sistemi autonomi (Allegato III) e il 2 agosto 2028 per i sistemi integrati nei prodotti già regolati da normativa settoriale (Allegato I).
Tradotto per la tua PMI: la parte più pesante (alto rischio) slitta, ma per le imprese scattano comunque due novità sostanziali: gli obblighi di trasparenza verso gli utenti e le nuove sanzioni. Ed è esattamente su questo che devi essere pronto dopodomani. Se vuoi il quadro completo delle modifiche introdotte dal rinvio, ne abbiamo parlato nell’articolo dedicato al Digital Omnibus e al Regolamento UE 2026/1744.
Cosa 1: l’inventario degli strumenti AI che usi
L’inventario è la mappa scritta di ogni strumento di intelligenza artificiale che la tua azienda usa: quale, chi lo usa, per cosa e con quali dati. Senza questa mappa non puoi dimostrare nulla, e le altre due cose non stanno in piedi.
Non è burocrazia fine a sé stessa. È il presidio minimo che la normativa richiede: la scadenza del 2 agosto 2026 amplia il perimetro delle regole applicabili e rende più concreta la necessità di un presidio interno sugli strumenti di Intelligenza Artificiale utilizzati in azienda. Prima ancora di preoccuparti delle sanzioni, gli esperti sono chiari sul metodo: le aziende devono partire da inventario, classificazione dei sistemi, formazione e definizione delle responsabilità.
Un inventario minimo utile contiene, per ogni strumento:
- Il nome dello strumento (ChatGPT, Gemini, Midjourney, il chatbot del sito, l’assistente del customer care).
- Chi lo usa e per quale processo aziendale.
- Se tratta dati personali di clienti, candidati o dipendenti (qui entra anche il GDPR).
- Se genera contenuti pubblicati verso l’esterno (testi, immagini, audio, video).
- Se interagisce direttamente con le persone.
Perché contano le ultime due voci? Perché sono quelle che fanno scattare gli obblighi di trasparenza. E ricorda un punto spesso sottovalutato: la responsabilità non è solo di chi sviluppa. Un’azienda che usa un generatore di immagini o un chatbot ricade tra gli utilizzatori e ha obblighi di trasparenza verso i propri utenti, indipendentemente dal settore. Non serve un software gestionale: un foglio di calcolo tenuto aggiornato è già un ottimo punto di partenza.
Cosa 2: la disclosure su chatbot e contenuti generati
La disclosure è l’obbligo di dire chiaramente all’utente quando sta parlando con un’AI o guardando un contenuto generato dall’AI. È il cuore dell’articolo 50 e diventa efficace proprio con l’AI Act 2 agosto 2026.
Nel concreto, se usano un sistema che interagisce direttamente con persone fisiche, per esempio un chatbot sul sito, un assistente virtuale nel customer care o un agente AI rivolto a clienti, candidati o utenti, le aziende devono assicurarsi che l’interlocutore sappia di avere davanti un sistema di intelligenza artificiale, salvo i casi in cui ciò risulti evidente. Una frase all’apertura della chat — “Stai parlando con un assistente virtuale” — di norma basta.
Sui contenuti la regola è la stessa: se pubblicano deepfake o contenuti audio, video o immagini generati o manipolati con AI, le aziende devono renderne chiara la natura artificiale. Vale anche per certi testi: se diffondono testi generati o manipolati con AI per informare il pubblico su questioni di interesse pubblico, devono segnalarlo quando manca una revisione umana effettiva o una responsabilità editoriale sul contenuto.
Attenzione a non confondere due cose diverse. La disclosure verso le persone (il cartello leggibile da un umano) parte il 2 agosto. La marcatura tecnica leggibile dalle macchine — il watermarking — ha una finestra in più. Come chiariscono gli analisti: in pratica, il tuo chatbot ha bisogno della sua disclosure adesso; la tua pipeline di contenuti ha bisogno del watermarking entro dicembre. Infatti al 2 dicembre 2026 è previsto il rinvio dell’applicazione degli obblighi di marcatura dei contenuti generati dall’IA. Su questo abbiamo un approfondimento dedicato: cosa deve etichettare la tua PMI con il watermarking dal 2 dicembre 2026.
Cosa 3: l’AI literacy delle tue persone
L’AI literacy è l’obbligo di garantire che chi in azienda usa strumenti di intelligenza artificiale abbia un livello adeguato di competenza per farlo in modo consapevole. Non è un consiglio: è già legge dal 2 febbraio 2025.
Molte PMI credono che l’AI literacy scatti con l’AI Act 2 agosto 2026. Sbagliato — ed è un errore che costa: i divieti e l’obbligo di AI literacy valgono dal 2 febbraio 2025, gli obblighi GPAI dal 2 agosto 2025, la trasparenza dell’articolo 50 e le sanzioni dal 2 agosto 2026. In altre parole, l’obbligo formativo è in vigore da oltre un anno, ma dal 2 agosto 2026 le violazioni degli obblighi correlati diventano concretamente sanzionabili. Se non hai ancora formato le persone, sei in ritardo.
Cosa serve davvero? Non un master. Serve un percorso interno documentato che spieghi a chi usa questi strumenti: quali dati non inserire mai, come riconoscere un output sbagliato, quando serve la revisione umana e quali sono le regole aziendali. La cosa importante è che sia tracciabile. Abbiamo costruito una guida operativa su misura per le piccole imprese: cosa cambia con l’obbligo dell’articolo 4 e come costruire il percorso interno.
Cosa rischi con l’AI Act 2 agosto 2026 se non fai nulla
Se non fai nulla, dal 2 agosto 2026 diventi sanzionabile e, soprattutto, sei senza prove della tua diligenza al primo controllo, reclamo o contenzioso. Le multe sono calibrate come nel GDPR: percentuale del fatturato o cifra fissa, si applica la più alta.
Vediamo i numeri. La violazione degli altri obblighi, compresi quelli di trasparenza dell’articolo 50, arriva fino a 15 milioni di euro o al 3% del fatturato. È lo stesso tetto previsto per i fornitori di modelli GPAI. Le pratiche vietate, che sono un’altra categoria, arrivano più in alto: le pratiche di IA vietate sono punite con multe fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore.
Numeri da grande multinazionale? Non farti ingannare. Per una PMI c’è un correttivo di proporzionalità: il Regolamento introduce una regola specifica per PMI e startup: la sanzione sarà la più bassa tra gli importi applicabili, cioè tra la percentuale del fatturato e il massimo fisso previsto per la fascia. Ma resta un’attenuazione, non un’esenzione. E in Italia c’è già chi vigila: la vigilanza è affidata all’Agenzia per la Cybersicurezza Nazionale, con AgID come autorità di notifica (legge 132/2025).
Il vero rischio, però, non è il massimale teorico. È un altro, e va colto bene: dal 2 agosto un’ispezione, un contenzioso con un dipendente o un reclamo di un cliente possono chiedere la stessa cosa: le prove della vostra diligenza. Se non hai inventario, disclosure e formazione documentati, non hai niente da mostrare. Va aggiunto che l’enforcement partirà a velocità diverse: diversi Stati membri non hanno ancora attivato le loro autorità di sorveglianza del mercato, quindi la capacità di controllo sarà a macchia di leopardo nel 2026. Non è una buona ragione per aspettare: le tre cose di questo articolo si preparano in pochi giorni, non in mesi.
Un ultimo avvertimento pratico: dove ci sono dati personali, AI Act e GDPR si sommano. AI compliance e GDPR vanno gestiti insieme, soprattutto in presenza di dati personali. Un chatbot che raccoglie dati dei clienti tocca entrambe le normative.
Se ti stai chiedendo come ci siamo arrivati preparati noi, la nostra impostazione di lavoro è descritta nella pagina Zero Limiti Studio.
Domande frequenti sull’AI Act 2 agosto 2026
La mia PMI è davvero soggetta all’AI Act se usa solo ChatGPT e un chatbot?
Sì. Devono rispettare l’AI Act i fornitori che sviluppano o immettono sul mercato sistemi di IA e i deployer, cioè gli utilizzatori professionali di quei sistemi, anche PMI. Usare un chatbot o un generatore di contenuti ti rende un utilizzatore con obblighi di trasparenza, a prescindere dal settore.
Cosa scatta esattamente il 2 agosto 2026?
Dalla data diventano applicabili gli obblighi di trasparenza dell’articolo 50 e le sanzioni. Dal 2 agosto 2026 entrano in gioco trasparenza, presidi interni e piena applicazione delle sanzioni. Gli obblighi più pesanti sui sistemi ad alto rischio sono invece rinviati al 2027 e 2028.
Basta scrivere “assistente virtuale” per essere in regola con la disclosure?
Per il chatbot, indicare chiaramente che l’utente sta parlando con un sistema di IA è la sostanza dell’obbligo, salvo i casi in cui sia già evidente. Per i contenuti generati (immagini, video, audio) devi rendere chiara la loro natura artificiale. La marcatura tecnica leggibile dalle macchine è invece rinviata al 2 dicembre 2026.
L’AI literacy è un obbligo nuovo del 2026?
No, è in vigore dal 2 febbraio 2025. Se non hai ancora formato chi usa l’AI in azienda, sei già in ritardo rispetto all’articolo 4. Con l’AI Act 2 agosto 2026 diventa più concreto il rischio sanzionatorio, quindi è il momento di mettere per iscritto un percorso formativo interno.
Quanto rischia concretamente una piccola impresa?
Il tetto per la violazione degli obblighi di trasparenza è fino a 15 milioni di euro o il 3% del fatturato, ma per PMI e startup si applica il minore tra i due importi. Il rischio più realistico non è la multa massima: è non avere prove di diligenza al primo controllo, reclamo o contenzioso.
Il rinvio del Digital Omnibus mi fa guadagnare tempo?
Solo sui sistemi ad alto rischio, ora spostati al 2027-2028. Trasparenza, inventario, formazione e sanzioni sui restanti obblighi restano fissati al 2 agosto 2026. Le tre cose di questo articolo vanno preparate comunque, e ora.
Non arrivare impreparato all’AI Act 2 agosto 2026
Inventario, disclosure e AI literacy non richiedono un ufficio legale interno: richiedono metodo e un po’ di ordine. In Zero Limiti aiutiamo le PMI a usare l’intelligenza artificiale nella comunicazione in modo consapevole e conforme — dalla mappatura degli strumenti alla formazione delle persone. Scopri come lavoriamo sulla pagina della nostra agenzia di comunicazione AI.
Vuoi mettere in regola la tua PMI prima della scadenza senza perderci le notti? Scrivici dalla pagina contatti: partiamo dall’inventario e ti mettiamo pronto per il 2 agosto.
La pagina di riferimento: i servizi dello studio.