AI Act: cosa è già in vigore e cosa è slittato

Il 24 luglio 2026 l'Unione europea ha pubblicato una modifica all'AI Act, il regolamento sull'intelligenza artificiale. La modifica ha rivisto alcune scadenze, semplificato alcuni obblighi e introdotto divieti specifici sui contenuti intimi non consensuali e sul materiale di abuso sessuale su minori. Molti articoli online parlano ancora delle date vecchie: questo paper riparte dal testo ufficiale.

Come ragiona l'AI Act

L'AI Act non regola "l'IA" in generale: regola gli usi, in base al rischio che comportano. Il regolamento originale è il 2024/1689 ed è in vigore dal 1° agosto 2024. Adotta un approccio basato sul rischio: prevede pratiche vietate, requisiti specifici per i sistemi ad alto rischio e obblighi di trasparenza per determinati sistemi e contenuti. In generale, più elevato è il rischio, più stringenti sono i requisiti.

Due ruoli ricorrono spesso: il fornitore, che sviluppa il sistema o lo immette sul mercato, e il deployer, il soggetto che usa il sistema nella propria attività (non l'utente finale). Hanno obblighi diversi. Nel 2026 il regolamento 2026/1744, detto "Omnibus digitale sull'IA", ha modificato l'AI Act: è entrato in vigore il 27 luglio 2026, tre giorni dopo la pubblicazione.

Cosa è già in vigore

Sono già operativi i divieti storici, gli obblighi di trasparenza e un obbligo di formazione alleggerito.

• Divieti storici (articolo 5): si applicano dal 2 febbraio 2025.
• Trasparenza (articolo 50): si applica dal 2 agosto 2026. Le persone devono essere informate quando interagiscono direttamente con determinati sistemi di IA; i fornitori devono assicurare che gli output sintetici siano marcati in un formato leggibile automaticamente; i deployer hanno obblighi propri in casi specifici, ad esempio per i deepfake e per certi testi di interesse pubblico.
• Periodo di grazia in corso: per i sistemi già immessi sul mercato prima del 2 agosto 2026, il termine transitorio per la marcatura tecnica (articolo 50, paragrafo 2) scade il 2 dicembre 2026. Non è una proroga di tutti gli obblighi di trasparenza.
• Alfabetizzazione sull'IA: fornitori e deployer devono adottare misure per sostenere lo sviluppo dell'alfabetizzazione sull'IA del personale, senza dover garantire uno specifico livello di competenza a ogni singolo individuo.

Cosa è slittato

Le regole più pesanti, quelle sui sistemi ad alto rischio, sono state spostate di oltre un anno: al 2 dicembre 2027 per i sistemi dell'Allegato III (esempi: selezione del personale, valutazione del credito) e al 2 agosto 2028 per i sistemi legati ai prodotti già regolati dalla normativa UE dell'Allegato I, come macchinari o dispositivi medici.

Il legislatore motiva il rinvio con i ritardi nella disponibilità di norme armonizzate, specifiche comuni e orientamenti utili all'attuazione, oltre che con i ritardi nella predisposizione delle autorità nazionali e dei meccanismi di valutazione della conformità. Slittano anche i requisiti di cybersicurezza di questi sistemi, che seguono lo stesso calendario.

Le due novità: immagini intime non consensuali e abusi su minori

L'AI Act introduce divieti specifici per i sistemi di IA che generano o manipolano materiale intimo non consensuale e materiale di abuso sessuale su minori (CSAM). Il nuovo articolo 5 riguarda, tra l'altro, le cosiddette app di "nudificazione" e vieta due categorie di sistemi.

• Quelli che generano o manipolano rappresentazioni realistiche delle parti intime di una persona riconoscibile, o di atti sessualmente espliciti che la riguardano, senza il suo consenso libero, specifico, informato e inequivocabile.
• Quelli che generano o manipolano materiale di abuso sessuale su minori, anche in parte sintetico.

Per il fornitore, il divieto riguarda i sistemi destinati a generare o manipolare questi contenuti, e anche quelli per cui tale risultato sia ragionevolmente prevedibile e riproducibile senza misure tecniche di sicurezza adeguate, come l'addestramento al rifiuto, i filtri sui contenuti e i sistemi di rilevamento degli abusi. Per chi utilizza il sistema, il divieto riguarda l'uso finalizzato a generare o manipolare quel materiale.

Il divieto non blocca la tecnologia in sé: i fornitori possono continuare a sviluppare sistemi che generano immagini, video e audio. Non sostituisce nemmeno il diritto penale né i rimedi già a disposizione della persona colpita. I nuovi divieti si applicano dal 2 dicembre 2026.

E la cybersicurezza?

Il rischio di attacchi è nel testo, ma i requisiti formali arrivano con l'alto rischio. Il regolamento riconosce che l'IA ha rischi propri, tra cui la vulnerabilità agli attacchi di terzi. I sistemi ad alto rischio che rientrano nell'ambito del Cyber Resilience Act (regolamento 2024/2847) sono considerati conformi ai requisiti di cybersicurezza dell'articolo 15 dell'AI Act quando sono soddisfatte le condizioni di quel regolamento. Anche questi obblighi arrivano solo con le date del 2027-2028.

Cosa cambia per te

• Quando interagisci con determinati sistemi di IA, come un assistente online, hai in molti casi diritto a saperlo. Il quadro è applicabile dal 2 agosto 2026.
• La marcatura tecnica dei contenuti sintetici è pensata per essere letta da software e non coincide per forza con un'etichetta visibile. Per i deepfake, chi li pubblica ha obblighi di trasparenza specifici.
• Se sei vittima di un deepfake intimo, il divieto UE non sostituisce le tutele che hai già: restano valide anche quelle penali e civili.

Calendario aggiornato

• 2 febbraio 2025 — Divieti storici (articolo 5).
• 27 luglio 2026 — Entra in vigore l'Omnibus digitale sull'IA.
• 2 agosto 2026 — Applicazione generale; trasparenza (articolo 50).
• 2 dicembre 2026 — Nuovi divieti; fine del termine transitorio sulla marcatura per i sistemi già sul mercato.
• 2 dicembre 2027 — Alto rischio, Allegato III.
• 2 agosto 2028 — Alto rischio, Allegato I.

Note e riferimenti

• Il regolamento 2024/1689 è del 13 giugno 2024 ed è in vigore dal 1° agosto 2024.
• Il regolamento 2026/1744 è dell'8 luglio 2026 e modifica il 2024/1689.
• Il termine transitorio del 2 dicembre 2026 riguarda solo l'obbligo di marcatura dell'articolo 50, paragrafo 2, e solo i sistemi già immessi sul mercato prima del 2 agosto 2026.
• «Fornitore» e «deployer» sono i termini usati dal regolamento; il deployer non coincide con l'utente finale.
• Fonti: Regolamento (UE) 2024/1689 (AI Act), GU L del 12.7.2024; Regolamento (UE) 2026/1744 (Omnibus digitale sull'IA), GU L del 24.7.2026; articolo 113 nel testo consolidato.

Avvertenza: il paper è divulgativo e non costituisce consulenza legale.