Il calendario che è cambiato
Per mesi la data del 2 agosto 2026 è stata il punto di riferimento di ogni piano di compliance sull'AI Act. Su quella scadenza gravava il grosso degli obblighi per i sistemi ad alto rischio elencati nell'Allegato III. Poi è arrivato il pacchetto Digital Omnibus, proposto dalla Commissione il 19 novembre 2025 proprio per alleggerire e scaglionare il quadro.
Il percorso legislativo si è chiuso in fretta. Il Parlamento europeo ha dato il via libera agli emendamenti il 16 giugno 2026; il Consiglio ha approvato in via definitiva il pacchetto di semplificazione il 29 giugno 2026. Con la pubblicazione in Gazzetta Ufficiale dell'Unione, la modifica entra in vigore il terzo giorno successivo.
Il risultato è uno slittamento netto delle scadenze più pesanti. Gli obblighi per i sistemi ad alto rischio "stand-alone" dell'Allegato III si spostano al 2 dicembre 2027. Quelli per l'AI incorporata nei prodotti già regolati dall'Allegato I arrivano fino al 2 agosto 2028. Per chi stava correndo verso agosto con una classificazione ad alto rischio in mano, il respiro è di oltre un anno.
Cosa resta fermo al 2 agosto
Qui sta il punto che molti piani rischiano di leggere male: lo slittamento riguarda i sistemi ad alto rischio, mentre altre due famiglie di obblighi restano ancorate al 2 agosto 2026.
La prima è la trasparenza dell'Articolo 50. Le regole su chi interagisce con un chatbot, sulla marcatura dei contenuti generati o manipolati dall'AI e sull'etichettatura dei deepfake conservano la data originale. Chiunque metta un assistente conversazionale davanti a un utente, o pubblichi immagini e testi prodotti da un modello, deve renderlo riconoscibile all'utente finale.
La seconda riguarda i modelli di uso generale (GPAI). I poteri di enforcement della Commissione sui fornitori di modelli generici si attivano lo stesso giorno. Le imprese che integrano un modello di frontiera nella propria catena del valore entrano quindi in un regime dove il fornitore risponde a obblighi documentali e di sicurezza precisi, e dove chi costruisce sopra quel modello eredita parte di quella responsabilità.
Il messaggio operativo è chiaro: il 2 agosto 2026 resta una data che conta. Cambia il perimetro, si sposta l'accento dai controlli sull'alto rischio verso trasparenza e accountability della catena dei modelli, e restano fermi i termini per queste due aree.
Cosa cambia per le imprese italiane
Il quadro italiano arriva a questa scadenza con un divario di preparazione ancora largo. Lo studio SAP–Oxford Economics di luglio segnala che otto imprese italiane su dieci dubitano che i propri programmi di aggiornamento professionale tengano il passo con l'evoluzione degli strumenti AI, e che soltanto un'impresa su dieci si dice pienamente pronta a governare l'AI in modo efficace. Il rinvio degli obblighi ad alto rischio offre una finestra di lavoro, e la finestra vale finché resta un tempo di preparazione attiva.
La direzione è coerente con l'approccio della AI Methodology di Synthos Logic, che tratta la governance dei dati e delle persone sullo stesso piano dell'architettura tecnologica. La trasparenza verso l'utente e la tracciabilità del modello sono, a conti fatti, requisiti di metodo prima ancora che adempimenti formali.
Per un CIO o un CTO italiano il calcolo si semplifica: le risorse liberate dallo slittamento sull'alto rischio si spostano oggi sui due fronti che restano in calendario. La trasparenza dell'Articolo 50 tocca il front-end, dove il cliente vede il prodotto; la partita GPAI tocca la catena di fornitura, dove il rischio è più difficile da vedere e più costoso da recuperare a valle.
Tre mosse a costo basso
Ecco tre azioni concrete, applicabili a prescindere dal fornitore scelto, per arrivare al 2 agosto con il perimetro coperto:
- Inventario e classificazione. Mappare ogni sistema AI in uso, con il ruolo (fornitore, deployer, integratore) e una prima stima di rischio per caso d'uso. È il presupposto di ogni altro adempimento e regge anche quando gli obblighi ad alto rischio torneranno pieni nel 2027.
- Mappa dei punti di trasparenza. Individuare tutti i punti di contatto Articolo 50: chatbot rivolti agli utenti, contenuti generati o manipolati dall'AI, materiale che ricade nella marcatura dei deepfake. Per ciascuno, attivare la comunicazione all'utente e la marcatura tecnica del contenuto.
- Due diligence sui fornitori GPAI. Chiedere ai fornitori di modelli generici la documentazione tecnica, le model card e la postura di conformità. Chi integra un modello di frontiera ha diritto a sapere su cosa poggia, e con l'enforcement attivo dal 2 agosto quella documentazione diventa la prima linea di difesa.
Il pacchetto di semplificazione ha comprato tempo sull'alto rischio. Sulla trasparenza e sui modelli generici il tempo, invece, scade puntuale. La domanda che resta aperta per il mercato italiano è quanto in fretta le imprese sapranno convertire il respiro concesso in governance stabile, prima che la finestra del dicembre 2027 torni a stringersi.
Autore
Pablo Liuzzi
Founder, Synthos Logic
Fonti
- "Artificial Intelligence: Council gives final green light to simplify and streamline rules" — Consiglio dell'Unione Europea, 29 giugno 2026
- "AI Act Update: EU Resolves to Change Rules and Extend Deadlines" — Latham & Watkins, 2026
- "EU AI Act Omnibus Agreement — Postponed High-Risk Deadlines and Other Key Changes" — Gibson Dunn, 2026
- "The EU AI Act: What Actually Applies From August 2026" — Digital Applied, 2026
- "Regulatory framework on Artificial Intelligence" — Commissione europea, Shaping Europe's digital future
- "Le imprese italiane investiranno in AI 18,4 milioni di dollari nel 2026, +45% nei prossimi 2 anni" — Adnkronos, 19 luglio 2026