AI Act, conto alla rovescia al 2 agosto 2026: cosa devono fare le imprese

Aggiornato a luglio 2026.

Ogni giorno un'azienda pubblica un'immagine generata con l'intelligenza artificiale, fa parlare i clienti con un chatbot, monta uno spot con una voce sintetica. Fino a ieri erano scelte creative. Dal 2 agosto 2026 diventano anche adempimenti normativi. È la data in cui l'AI Act, il Regolamento (UE) 2024/1689, rende applicabili gli obblighi di trasparenza dell'articolo 50 e attiva il regime sanzionatorio: chi produce o diffonde contenuti prodotti dall'IA deve renderli riconoscibili, e chi non lo fa rischia multe fino al 3% del fatturato mondiale.

Nei mesi scorsi si è parlato molto del cosiddetto AI/Digital Omnibus, che ha rinviato alcune scadenze. Attenzione però: quel rinvio riguarda i sistemi ad alto rischio, non la trasparenza. La scadenza del 2 agosto 2026 resta ferma. Questo articolo è la lista di controllo operativa sull'AI Act 2 agosto 2026: quali sono gli obblighi AI Act per le imprese, chi deve fare cosa, quali contenuti etichettare e quali adempimenti completare prima che il termine scada.

La risposta breve, se avete poco tempo per arrivare pronti all'AI Act 2 agosto 2026: mappate i sistemi di IA che usate, stabilite chi è fornitore e chi utilizzatore, rendete riconoscibili i contenuti sintetici che diffondete, conservate le informazioni su cosa avete generato e come, e informate gli utenti quando interagiscono con una macchina. Sotto, il dettaglio.

Cosa cambia il 2 agosto 2026: obblighi GPAI e articolo 50 in sintesi

Il 2 agosto 2026 diventano applicabili gli obblighi di trasparenza dell'articolo 50 dell'AI Act e scatta il regime sanzionatorio previsto dagli articoli 99 e 101. Da quella data, le autorità nazionali possono contestare le violazioni e irrogare le multe.

L'articolo 50 del Regolamento (UE) 2024/1689 impone due categorie di trasparenza. La prima riguarda l'interazione: chi mette a disposizione un sistema di IA che dialoga con le persone, come un chatbot, deve fare in modo che l'utente sappia di parlare con una macchina, salvo che sia già evidente. La seconda riguarda i contenuti: immagini, audio, video e testi generati o manipolati dall'IA vanno marcati in un formato leggibile dalle macchine e riconoscibile come artificiale. La marcatura può assumere forme diverse, dai metadati alle filigrane fino agli identificativi crittografici, purché sia efficace, interoperabile e robusta per quanto tecnicamente possibile. Per i deepfake e per i testi pubblicati allo scopo di informare il pubblico su questioni di interesse generale, l'obbligo di dichiarare la natura artificiale è esplicito. Gli obblighi di trasparenza si applicano indipendentemente dal livello di rischio del sistema: valgono anche per usi che l'AI Act non classifica come ad alto rischio.

La stessa data segna un altro passaggio: la piena applicazione degli obblighi per i modelli GPAI, i modelli di IA per finalità generali, entrati in applicazione il 2 agosto 2025. I fornitori di questi modelli devono predisporre documentazione tecnica, rispettare il diritto d'autore e pubblicare una sintesi dei contenuti usati per l'addestramento. Chi ha immesso un modello GPAI sul mercato prima del 2 agosto 2025 ha una finestra transitoria per adeguarsi: la conformità va raggiunta entro il 2 agosto 2027. Per il funzionamento di dettaglio degli obblighi di etichettatura dell'articolo 50 rimandiamo all'approfondimento dedicato.

Fornitori e utilizzatori (deployer): chi deve fare cosa

Gli obblighi si distribuiscono su due ruoli, e la stessa azienda può ricoprirli entrambi. Il fornitore è chi sviluppa un sistema di IA o lo immette sul mercato con il proprio nome. Il deployer, cioè l'utilizzatore, è chi impiega quel sistema nella propria attività professionale. Non conta essere un colosso tecnologico: un'impresa che usa uno strumento di generazione immagini per il marketing è un utilizzatore, con obblighi propri.

Nell'AI Act la distinzione tra fornitore e deployer determina chi risponde di cosa. Il fornitore deve progettare il sistema perché marchi in automatico i contenuti generati con un segnale leggibile dalle macchine, secondo l'articolo 50, paragrafo 2. Il deployer, disciplinato anche dall'articolo 26 per i sistemi ad alto rischio, ha obblighi di trasparenza verso i propri utenti: deve dichiarare quando un contenuto è un deepfake e, nel caso di testi di interesse pubblico, che sono stati generati artificialmente. In pratica il fornitore mette la marcatura tecnica alla radice, l'utilizzatore garantisce la comunicazione visibile a valle. Attenzione però: se un utilizzatore modifica in modo sostanziale un sistema o lo immette sul mercato con il proprio marchio, può assumere a sua volta il ruolo di fornitore, con gli obblighi che ne derivano. La responsabilità non è alternativa: entrambi rispondono, ciascuno per la propria parte, e la stessa organizzazione è spesso deployer di strumenti di terzi e fornitore dei contenuti che pubblica.

Quali contenuti vanno etichettati

L'etichettatura riguarda i contenuti che sono stati generati o modificati in modo sostanziale da un sistema di IA. Rientrano nell'obbligo: le immagini prodotte da generatori testo-immagine, i video e gli audio sintetici, le voci clonate, i deepfake che ritraggono persone reali in situazioni mai avvenute, e i testi pubblicati per informare il pubblico su temi di interesse generale. Restano fuori gli usi puramente assistivi o di editing standard che non alterano in modo rilevante il contenuto, e gli usi autorizzati per legge, ad esempio in ambito penale. Per orientarsi su cosa ricade in ciascuna categoria di rischio, è utile la mappa delle categorie di rischio dell'AI Act.

Gli adempimenti entro la scadenza

Ecco cosa fare, in ordine, prima del 2 agosto 2026. La logica è semplice: prima si capisce cosa si usa, poi lo si classifica, infine si mettono a terra trasparenza e conservazione.

La preparazione all'AI Act si articola in sei adempimenti operativi. Primo: la mappatura, cioè un inventario di tutti i sistemi di IA in uso in azienda, interni e di terzi, con l'indicazione della finalità. Secondo: la classificazione del rischio di ciascun sistema secondo le categorie del Regolamento (UE) 2024/1689, per sapere quali obblighi si applicano. Terzo: l'etichettatura riconoscibile dei contenuti sintetici prodotti o diffusi, in formato leggibile sia dalle persone sia dalle macchine. Quarto: la conservazione delle informazioni su cosa è stato generato, da quale sistema e quando. Quinto: l'informativa agli utenti quando interagiscono con un chatbot o ricevono contenuti generati dall'IA. Sesto: la governance interna, con ruoli, responsabilità e formazione del personale. Questi sei passaggi non sono un esercizio una tantum: vanno documentati e aggiornati nel tempo, perché l'inventario dei sistemi e i rischi associati cambiano a ogni nuovo strumento adottato in azienda.

Vale la pena aprire tre di questi punti.

L'inventario è il fondamento di tutto: senza sapere quali strumenti girano nel marketing, nelle risorse umane, nell'assistenza clienti e nell'ufficio legale, ogni valutazione di conformità è cieca. Molte imprese scoprono in questa fase un uso di IA più diffuso di quanto immaginassero.

La conservazione delle informazioni non è un obbligo formale fine a sé stesso. In caso di contestazione o disputa, poter dimostrare quale sistema ha generato un contenuto, con quali dati e in quale momento, è ciò che rende difendibile la posizione dell'azienda. Su questo tema abbiamo dedicato un approfondimento agli obblighi di conservazione delle informazioni.

C'è poi un adempimento con una scadenza già passata ma spesso trascurato: l'AI literacy (alfabetizzazione in materia di IA). L'articolo 4 impone dal 2 febbraio 2025 di garantire un livello adeguato di competenza sull'IA a chi la utilizza per conto dell'organizzazione. È un tassello della governance che, se manca, va colmato subito.

Sanzioni e tempistiche

Le sanzioni dell'AI Act sono calibrate sulla gravità della violazione e, come il GDPR, hanno un tetto espresso in percentuale del fatturato mondiale. Il regime diventa operativo il 2 agosto 2026 per gli obblighi di trasparenza.

L'articolo 99 del Regolamento (UE) 2024/1689 gradua le sanzioni su tre livelli. Le pratiche di IA vietate sono punite con multe fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore. La violazione degli altri obblighi, compresi quelli di trasparenza dell'articolo 50, arriva fino a 15 milioni di euro o al 3% del fatturato. Fornire informazioni inesatte o fuorvianti alle autorità costa fino a 7,5 milioni di euro o all'1% del fatturato. Per ciascuna fascia si applica l'importo più alto tra la cifra fissa e la percentuale del fatturato, e sono le autorità nazionali di vigilanza a irrogare le sanzioni. Per i fornitori di modelli GPAI, l'articolo 101 prevede sanzioni fino al 3% del fatturato mondiale o 15 milioni di euro. Il Regolamento impone di tenere conto della proporzionalità e, in particolare, degli interessi delle PMI e delle start-up nel definire l'importo.

In Italia il quadro è completato dalla Legge 132/2025, che individua le autorità competenti e adegua l'ordinamento nazionale. La vigilanza coinvolge realtà come l'ACN e AgID, mentre a livello europeo opera l'Ufficio europeo per l'IA.

Timeline delle scadenze

Matrice delle sanzioni

Perché l'etichettatura dei contenuti sintetici non basta?

L'etichettatura risponde a metà del problema. Dichiara che un contenuto è artificiale, ma non prova che un altro contenuto sia autentico. E l'etichetta stessa è un'informazione fragile: un metadato o una filigrana possono essere rimossi con una compressione, uno screenshot, un ritaglio. Chi vuole ingannare toglie l'etichetta; chi rispetta le regole resta senza prova quando deve dimostrare che il proprio materiale è genuino. C'è poi l'altra metà dei contenuti che un'azienda pubblica ogni giorno: le foto reali di un prodotto, un video girato in cantiere, uno screenshot di una conversazione. Proprio questi materiali, quando diventano prova in una controversia, hanno bisogno di garanzie di origine e integrità che l'etichettatura del sintetico non offre. La trasparenza sul sintetico va quindi completata con la prova dell'autentico, cioè con una certificazione che nasca alla fonte e resti difendibile nel tempo.

Qui si colloca TrueScreen. TrueScreen è la piattaforma che acquisisce e certifica con valore legale foto, video, audio, screenshot e documenti applicando una metodologia forense di certificazione del dato: la prova dell'origine e dell'integrità del contenuto viene fissata nel momento stesso dell'acquisizione, non ricostruita a posteriori. Al processo di certificazione TrueScreen integra il sigillo elettronico e la marca temporale qualificata erogati da QTSP qualificati terzi, così che il contenuto certificato abbia una data certa e un'integrità verificabile. Mentre l'etichettatura dell'articolo 50 segnala ciò che è generato dall'IA, la certificazione alla fonte garantisce ciò che è reale, chiudendo l'altra metà del problema di trasparenza.

Un esempio concreto. L'ufficio marketing di un'azienda realizza una campagna che mescola scatti reali di prodotto e immagini generate con l'IA. Sui secondi applica l'etichetta di contenuto sintetico, come chiede l'AI Act. Sui primi, le foto autentiche del prodotto e dello stabilimento, usa una certificazione forense che ne fissa origine, data e integrità: se domani un concorrente contesta l'autenticità di quelle immagini, o se un contenuto viene ripubblicato manipolato, l'azienda ha una prova difendibile di ciò che ha effettivamente prodotto. Etichetta sul falso, certificazione sul vero. Per capire come funziona l'acquisizione certificata si può partire dal browser forense o dalla panoramica delle soluzioni TrueScreen.