Manca un mese esatto. Il 2 agosto 2026 è la data cardine dell'AI Act, il momento in cui il regolamento europeo sull'intelligenza artificiale passa dalla fase preparatoria alla piena operatività. E le imprese italiane ci arrivano in una condizione paradossale: più regolate di chiunque altro, e più incerte che mai.
Vale la pena mettere in fila cosa scatta davvero, cosa è in bilico e dove si trova l'Italia, perché su questo tema circola più confusione che informazione.
Cosa scatta il 2 agosto
Dal 2 agosto diventano pienamente applicabili gli obblighi di trasparenza dell'articolo 50: chi usa sistemi di intelligenza artificiale che interagiscono con le persone deve dichiararlo, e i contenuti sintetici vanno resi riconoscibili, con l'obbligo di marcatura leggibile dalle macchine in arrivo dal 2 dicembre. Scatta anche il regime di applicazione per i modelli di uso generale, quelli alla base dei grandi chatbot.
Le sanzioni sono da regolamento bancario: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, 15 milioni o il 3% per le violazioni sugli obblighi principali, 7,5 milioni per le informazioni false alle autorità.
Il limbo del Digital Omnibus
Qui sta il punto che quasi nessuno spiega con precisione. Il pacchetto Digital Omnibus, proposto a novembre e su cui il 7 maggio è stato raggiunto l'accordo politico, rinvierebbe gli obblighi sui sistemi ad alto rischio al 2 dicembre 2027 per ambiti come biometria, infrastrutture critiche, istruzione e lavoro, e al 2 agosto 2028 per i sistemi integrati nei prodotti.
Ma a oggi il testo non è stato pubblicato in Gazzetta Ufficiale europea. Tradotto: finché non lo sarà, le scadenze originarie del 2 agosto restano formalmente valide. Il consiglio condiviso dagli osservatori giuridici è di prepararsi come se la data di agosto fosse confermata, trattando l'eventuale rinvio come tempo guadagnato e non come un condono anticipato.
L'Italia, prima della classe con i compiti a metà
L'Italia è il primo Paese UE con un quadro nazionale pienamente allineato all'AI Act: la Legge 132/2025, in vigore dal 10 ottobre, che ha introdotto anche il reato di diffusione di deepfake. Il 10 giugno il Consiglio dei Ministri ha approvato in esame preliminare i decreti attuativi, attesi in versione definitiva entro ottobre: divieto di decisioni esclusivamente automatizzate su assunzioni e licenziamenti, formazione obbligatoria per sanità e professioni, limiti all'uso in giustizia e polizia.
La governance è definita: l'Agenzia per la Cybersicurezza Nazionale vigila sul mercato, AgID gestisce le notifiche, e per il comparto finanziario la sorveglianza spetta a Banca d'Italia, Consob e Ivass. Per chi opera nelle crypto il parallelo è immediato: sono le stesse autorità della MiCA, e la logica è identica, regole prima, mercato poi, con la conformità che diventa vantaggio competitivo.
Il miliardo che tocca anche il Web3
C'è anche la parte di sviluppo, spesso ignorata. L'articolo 23 della legge attiva fino a un miliardo di euro tramite CDP Venture Capital per startup e PMI, di cui oltre 300 milioni già allocati su più di 150 realtà. I settori ammessi, nero su bianco, includono AI, cybersicurezza, quantum, edge computing e web3: un canale di capitale pubblico che le startup italiane della convergenza AI-blockchain, come quelle che raccontiamo nel filone degli agenti AI e dei token di intelligenza artificiale, farebbero bene a conoscere.
L'adozione corre più delle competenze
Imprese italiane con almeno 10 addetti che usano almeno una tecnologia di IA. Fonte: ISTAT, dicembre 2025
Il problema vero non è la norma
I dati ISTAT dicono che l'adozione è raddoppiata in un anno, dal 8,2% al 16,4% delle imprese. Ma dicono anche il resto: quasi il 60% delle aziende che ha valutato investimenti in IA vi ha rinunciato per mancanza di competenze, e oltre una PMI su quattro tra quelle che la usano non sa indicare un ambito aziendale specifico di utilizzo.
È il vero rischio italiano: un Paese che legifera in modo avanzato e applica in modo arretrato, dove la compliance diventa un esercizio cartaceo per i consulenti invece che governance reale. Chi usa l'IA in azienda dovrebbe arrivare al 2 agosto avendo fatto tre cose semplici: mappare quali sistemi sono già in uso, anche quelli entrati "di nascosto" nei software dei fornitori, classificarli per livello di rischio, e documentare chi decide cosa. Il quadro ufficiale resta consultabile sul portale della Commissione europea e sul sito del Dipartimento per la trasformazione digitale.
