AI Act, cosa cambia dal 2 agosto 2026: l'obbligo non è sul tuo sito, è sull'AI che ci metti dentro

Il 2 agosto 2026 si applicano gli obblighi di trasparenza dell’AI Act europeo: le regole che toccano chiunque usi l’intelligenza artificiale per interagire col pubblico o generare contenuti. In queste settimane mi arriva sempre la stessa domanda, formulata più o meno così: “il mio sito è a norma con l’AI Act?”. È la domanda sbagliata. Ma prima di spiegare perché, mettiamo in fila i fatti, perché sulle scadenze si è fatta parecchia confusione.

Il calendario vero dell’AI Act

Partiamo dai fatti. Il Regolamento (UE) 2024/1689, cioè l’AI Act, è entrato in vigore il 1° agosto 2024. La regola generale prevede l’applicazione dal 2 agosto 2026, ma con alcune tappe già partite.

Dal 2 febbraio 2025 si applicano le norme iniziali e i divieti sulle pratiche considerate a rischio inaccettabile. Parliamo, tra le altre, di manipolazione comportamentale dannosa, alcune forme di social scoring e usi particolarmente invasivi dell’identificazione biometrica. Non è un tema del futuro: è già realtà.

Dal 2 agosto 2025 sono operative anche diverse disposizioni sui modelli di intelligenza artificiale di uso generale, i cosiddetti general-purpose AI models. Dal 2 agosto 2026 arriverà poi la grande soglia di applicazione per la maggior parte delle disposizioni, comprese molte regole di trasparenza.

Su questo calendario si è inserito il pacchetto di semplificazione digitale, il cosiddetto Digital Omnibus on AI. Qui bisogna essere precisi: il Parlamento europeo ha approvato il testo il 16 giugno 2026 e i documenti del Consiglio indicano l’adozione dell’atto legislativo nella seduta del 29 giugno. Il cuore della modifica è il rinvio di alcuni obblighi per i sistemi di AI ad alto rischio: 2 dicembre 2027 per i sistemi autonomi ad alto rischio, 2 agosto 2028 per quelli integrati come componenti di sicurezza in prodotti regolati da normativa settoriale europea.

Significa che possiamo aspettare? No. Significa una cosa diversa: alcune imprese avranno più tempo per adeguarsi su specifiche categorie di sistemi ad alto rischio, ma l’AI Act non è stato sospeso. Le pratiche vietate sono già rilevanti. L’alfabetizzazione AI è già un tema aziendale. Le regole di trasparenza restano vicine e la responsabilità organizzativa non si improvvisa a ridosso della scadenza.

L’AI Act non regola i siti. Regola l’AI che ci metti dentro

Torniamo alla domanda sbagliata. L’AI Act non è una normativa sui siti web, come lo erano la Cookie Law o le regole sul consenso privacy. Non impone requisiti al tuo dominio in quanto tale. Regola i sistemi di intelligenza artificiale e, soprattutto, distingue due ruoli: il provider (chi sviluppa o immette sul mercato un sistema di AI) e il deployer (chi quel sistema lo usa nella propria attività).

Questa distinzione cambia tutto. Se sul tuo sito integri un modello di terze parti via API, o generi testi con uno strumento che non hai costruito tu, nella quasi totalità dei casi sei un deployer, non un provider. Diversi obblighi tecnici pesanti, per esempio marcare in modo leggibile dalle macchine l’output generato, restano in capo a chi il modello lo costruisce, non a te.

Tradotto: un sito vetrina, un blog, un e-commerce che non fanno girare funzioni di AI verso l’utente non hanno, di per sé, nuovi adempimenti il 2 agosto. L’impatto nasce solo dalle specifiche funzioni AI che attivi. Quindi la domanda giusta non è “il mio sito è conforme”, ma “quali funzioni AI ho attivo, in che ruolo, e quali obblighi scattano per ciascuna”.

Cosa scatta davvero: la trasparenza (Articolo 50)

Il cuore di ciò che tocca aziende ed editori è l’Articolo 50, gli obblighi di trasparenza. Tre situazioni concrete.

Chatbot e assistenti conversazionali. Se sul sito hai un assistente AI con cui l’utente dialoga, devi informarlo che sta interagendo con un sistema di intelligenza artificiale, a meno che non sia già evidente dal contesto. In pratica: una riga, un badge, un messaggio d’apertura. Costa nulla, ma va fatto.

Contenuti testuali generati dall’AI. Qui la regola è più sottile di come viene raccontata in giro. L’obbligo di dichiarare che un testo è generato dall’AI scatta quando il contenuto è pubblicato per informare il pubblico su questioni di interesse pubblico (cronaca, politica, salute e simili). E c’è un’esenzione decisiva: se il contenuto passa da una revisione umana, con una persona che se ne assume la responsabilità editoriale, l’obbligo di disclosure decade. Per gran parte dei blog aziendali e dei contenuti commerciali questo perimetro non si applica in senso stretto. Per un editore che pubblica notizie in automatico, invece, sì: e l’esenzione da revisione editoriale diventa il punto su cui costruire il processo.

Deepfake: immagini, audio, video. Se generi o manipoli con l’AI contenuti che assomigliano a persone, luoghi o eventi reali facendoli sembrare autentici, devi dichiararlo. Attenzione: un’illustrazione AI dichiaratamente di fantasia non è un deepfake e non ricade qui. Conta la verosimiglianza col reale.

Un’ultima precisazione sulle date, perché il Digital Omnibus ha creato rumore anche qui: l’unico slittamento che riguarda l’Articolo 50 è tecnico e non ti tocca. La marcatura leggibile dalle macchine degli output (il watermarking), che è un obbligo del fornitore del modello e non tuo, ha una proroga al 2 dicembre 2026 per i sistemi generativi già sul mercato. Per te che l’AI la usi, il riferimento resta il 2 agosto.

Guarda: l’AI Act oltre il sito web

Quello che dovevi già fare da febbraio: l’AI literacy

C’è un obbligo che molti scoprono in ritardo, perché non scatta ad agosto: è già in vigore dal 2 febbraio 2025. È l’Articolo 4, l’alfabetizzazione all’intelligenza artificiale. Chi usa sistemi di AI deve garantire che le persone che li impiegano abbiano una competenza adeguata. Non serve un master: serve una formazione documentata, proporzionata a come usi questi strumenti. Per la maggior parte delle aziende è mezza giornata messa a verbale, ma è un adempimento reale e spesso ignorato.

Cosa NON ti riguarda (per sgombrare il campo)

Vale la pena dire anche cosa lasciare fuori, perché intorno all’AI Act si è creato più allarme che sostanza.

I sistemi ad alto rischio dell’Allegato III (selezione del personale, credito, biometria, infrastrutture critiche e simili) hanno obblighi pesanti, ma non riguardano l’uso tipico dell’AI in marketing, editoria o customer care, e il Digital Omnibus ne ha comunque spostato le scadenze al 2027-2028. E gli obblighi da provider di modelli di uso generale non ti toccano se non addestri modelli tuoi: usare l’API di un modello altrui non ti rende suo provider.

Le sanzioni, con misura

Le violazioni degli obblighi di trasparenza rientrano nella fascia fino a 15 milioni di euro o al 3% del fatturato mondiale annuo (Articolo 99). Il tetto più alto di cui si legge spesso, 35 milioni o il 7%, riguarda le pratiche vietate, non la trasparenza: confonderli è un errore comune. Sono numeri che danno il peso della norma, non che devono spaventare: per una disclosure mancante il rischio concreto è remoto, ed è proprio il motivo per cui conviene sistemare subito adempimenti che costano pochissimo.

Cosa fare ora: la checklist

1. Mappa le tue funzioni AI, una per una: chatbot, generazione di testi, immagini o video, personalizzazione. Per ciascuna stabilisci se sei provider o deployer.
2. Metti una nota di trasparenza dove l’utente interagisce con un’AI o legge contenuti generati senza supervisione.
3. Se pubblichi contenuti con l’AI, formalizza la revisione umana: chi è il responsabile editoriale. È ciò che ti fa rientrare nell’esenzione.
4. Documenta una formazione minima di AI literacy per il team.
5. Non sovradimensionare: se non hai funzioni AI verso l’utente, non hai nuovi obblighi il 2 agosto.

La trasparenza non è solo un obbligo: è reputazione

Chiudo con la parte che mi interessa di più. Trattare l’AI Act come un fastidio da minimo sindacale è un errore di prospettiva. Dichiarare con chiarezza dove e come usi l’intelligenza artificiale è un segnale di affidabilità, verso gli utenti e verso gli stessi sistemi che oggi decidono chi citare quando generano una risposta. È la stessa logica che ripeto da tempo, e che ho raccontato in “Da Brand a Fonte”: nell’era delle risposte generate non vince chi si nasconde, vince chi diventa una fonte riconoscibile e verificabile. La conformità, fatta bene, lavora nella stessa direzione della visibilità.

Se vuoi capire quali dei tuoi strumenti ricadono negli obblighi di trasparenza e come sistemarli senza rallentare il business, è esattamente il tipo di lavoro che facciamo ogni giorno.

Fonti

• Commissione europea, Un approccio europeo all’intelligenza artificiale (calendario di applicazione)
• Regolamento (UE) 2024/1689 (AI Act), testo ufficiale su EUR-Lex
• AI Act, Articolo 50, Obblighi di trasparenza
• Commissione europea, Codice di buone pratiche sulla trasparenza dei contenuti generati dall’IA