AI Act: è suonata l’ora dell’applicazione — che cosa cambia concretamente dal 2 agosto

Dal 2 agosto 2026 l’AI Act non è più un orizzonte: l’Ufficio europeo per l’IA e le autorità nazionali competenti hanno cominciato a far applicare il regolamento, con nel mirino gli obblighi che gravano sui sistemi ad alto rischio. Il testo applicato non è però esattamente quello adottato nel 2024: il regolamento « omnibus IA », proposto a novembre 2025 nell’ambito del pacchetto di semplificazione digitale, è stato adottato a giugno 2026 ed è entrato in vigore il 27 luglio — cinque giorni prima della scadenza. Chiarimenti di perimetro, alleggerimenti documentali, tempistiche riviste per alcune categorie: la Commissione ha manifestato la propria volontà di un’attuazione leggibile e favorevole all’innovazione, accompagnata da una serie di linee guida.

Ciò che è realmente esigibile oggi

Concretamente, tre blocchi di obblighi strutturano il periodo. Le pratiche vietate, anzitutto, applicabili da tempo. Gli obblighi dei fornitori di modelli per finalità generali, poi: documentazione tecnica, politica di rispetto del diritto d’autore, sintesi dei dati di addestramento — con un regime rafforzato per i modelli che presentano un rischio sistemico. I sistemi ad alto rischio, infine, il cui regime completo (gestione dei rischi, governance dei dati, supervisione umana, robustezza, registrazione) entra nella sua fase di applicazione effettiva. Per un vendor B2B, la domanda pratica è quasi sempre la stessa: il mio componente IA rende il mio prodotto « ad alto rischio » ai sensi dell’allegato III — e in caso contrario, quali obblighi di trasparenza mi restano?

Il vero tema: la stratificazione di NIS2, CRA, GDPR, AI Act

Presi singolarmente, ogni quadro normativo è gestibile. Il problema dei vendor europei è la stratificazione. Uno stesso prodotto software può ricadere sotto NIS2 (perché il suo cliente è un’entità essenziale), sotto il Cyber Resilience Act (perché è un prodotto con elementi digitali, con requisiti di sicurezza fin dalla progettazione e di gestione delle vulnerabilità), sotto il GDPR (perché tratta dati personali) e sotto l’AI Act (perché integra un componente di apprendimento). Quattro logiche di documentazione, tre regimi di notifica degli incidenti, autorità distinte. L’unica strategia sostenibile è la fabbrica della conformità unificata: un’unica base di gestione dei rischi, di SBOM, di logging e di trattamento delle vulnerabilità, declinata poi verso ciascun quadro — anziché quattro cantieri paralleli che sfinirebbero qualsiasi team.

Un vincolo che può diventare un argomento

C’è tuttavia una lettura offensiva. I clienti — operatori regolati, settore pubblico, industriali — trasferiranno i propri obblighi sui loro fornitori, per contratto. Il vendor in grado di fornire la documentazione AI Act, la SBOM richiesta dal CRA, le garanzie GDPR e gli impegni NIS2 nel dossier di gara trasformerà un costo normativo in vantaggio competitivo rispetto agli attori extra-europei che scopriranno questi requisiti nelle domande degli acquirenti. La conformità europea, se industrializzata per tempo, è una barriera all’ingresso che protegge chi l’ha superata.

L’AI Act entra nell’età della giurisprudenza: i prossimi mesi diranno se l’applicazione è pragmatica quanto promesso. Ma aspettare per mettersi al lavoro sarebbe un controsenso — il vantaggio andrà a chi avrà trasformato la stratificazione normativa in processo, mentre i concorrenti la vivono come una valanga.