AI Act: a che punto siamo con la normativa europea sull’intelligenza artificiale

A che punto siamo con la normativa europea sull’intelligenza artificiale? È una domanda apparentemente tecnica, che in realtà riguarda chiunque comunichi, venda, assuma o decida con l’aiuto di un algoritmo. L’AI Act, il regolamento che doveva dare all’Europa un vantaggio da first mover, nell’estate del 2026 ha cambiato passo, e il modo in cui lo ha fatto dice molto su come il continente intende governare la tecnologia.

Cinque anni per costruire una regola

Il percorso è cominciato nel 2021, quando la Commissione europea ha presentato la proposta: il primo tentativo al mondo di regolare l’IA in modo orizzontale e per livelli di rischio. A dicembre 2023 è arrivato l’accordo politico, dopo lunghi e combattuti negoziati tra Commissione, Parlamento e Consiglio (i cosiddetti triloghi). Ad agosto 2024 il regolamento è entrato in vigore, con un calendario di applicazione scaglionato fino al 2028, salvo eccezioni specifiche previste per alcuni sistemi già immessi sul mercato.

Il meccanismo è graduale per scelta. A febbraio 2025 sono scattati i divieti sulle pratiche inaccettabili, dal social scoring allo scraping facciale non mirato, insieme agli obblighi di alfabetizzazione all’IA. Ad agosto 2025 è stata la volta dei modelli general-purpose, della governance e delle autorità nazionali. Il grosso degli obblighi sui sistemi ad alto rischio era fissato per il 2 agosto 2026, ed è proprio intorno a quella data che si è concentrata la discussione degli ultimi mesi.

Il rinvio del 2026

Arrivata la scadenza, gli standard tecnici armonizzati che avrebbero reso più agevole l’applicazione delle regole non erano ancora pronti, e la Commissione ha scelto la strada della semplificazione. Il risultato è il Regolamento (UE) 2026/1744, il “Digital Omnibus on AI”, in vigore dal 27 luglio 2026 dopo l’accordo politico di maggio e l’approvazione definitiva di Parlamento e Consiglio.

Il rinvio è sostanziale. Gli obblighi per i sistemi ad alto rischio “standalone” dell’Allegato III, quelli che pesano su selezione del personale, accesso al credito, istruzione e servizi essenziali, sono slittati al 2 dicembre 2027. I sistemi integrati in prodotti già regolamentati, come macchinari e giocattoli dell’Allegato I, sono stati spostati al 2 agosto 2028.

L’alfabetizzazione all’IA resta un obbligo per fornitori e utilizzatori di sistemi di IA. A cambiare è la modalità: non viene più richiesto un livello “sufficiente” uniforme per ogni persona, mentre l’AI Board (il comitato che riunisce le autorità nazionali) è chiamato ad adottare raccomandazioni di supporto. Alcune semplificazioni previste per le PMI si estendono anche alle imprese di media dimensione.

Cosa resta in piedi

Il rinvio ha un perimetro preciso, e diverse tutele restano pienamente operative. Vale la pena ricordarlo, perché si è già diffusa l’idea che lo slittamento delle scadenze equivalga a un via libera generale, convinzione che non corrisponde alla realtà.

La trasparenza sui contenuti generati dall’IA, prevista dall’articolo 50, si applica dal 2 agosto 2026: i fornitori di sistemi che generano contenuti sintetici devono garantire che audio, immagini, video e testi deepfake siano riconoscibili come generati o manipolati artificialmente. Per i sistemi immessi sul mercato prima del 2 agosto 2026 l’obbligo di marcatura decorre dal 2 dicembre 2026, mentre per i contenuti testuali la segnalazione è richiesta quando vengono pubblicati per informare il pubblico su questioni di interesse generale.

Restano in vigore anche i divieti introdotti nel 2025 e le regole sui modelli general-purpose. La direzione di fondo rimane quella tracciata nel 2024, e a cambiare è soprattutto il ritmo con cui le regole diventano operative.

La vera posta è la fiducia

Da qui nasce la questione più rilevante per chi si occupa di comunicazione: una regola che slitta prima ancora di applicarsi mette in gioco la propria credibilità. L’Europa aveva costruito un capitale reputazionale enorme sull’idea di essere il primo regolatore serio dell’IA, e rinviare per mancanza di standard apre una domanda legittima sulla tenuta di quel racconto.

Il dibattito è aperto e netto. La Commissione difende la scelta in nome della competitività: secondo le sue stime, la semplificazione farà risparmiare alle imprese almeno 5 miliardi di euro di costi burocratici entro il 2029. Sul fronte opposto, i garanti della privacy hanno espresso cautela. Il Comitato europeo per la protezione dei dati (EDPB) e il Garante europeo della protezione dei dati (EDPS) hanno riconosciuto il valore della semplificazione amministrativa, ma hanno avvertito che alcune scelte rischiano di indebolire la tutela dei diritti, in particolare sulla registrazione dei sistemi ad alto rischio, sull’uso dei dati sensibili e sul ruolo delle autorità di controllo. Anche la società civile ha fatto sentire la propria voce: EDRi, la principale rete europea di associazioni per i diritti digitali, contesta un processo percepito come troppo sbilanciato verso l’ascolto dell’industria. Nel frattempo il pacchetto gemello che riguarda dati e GDPR resta ancora in fase di negoziato.

L’Italia, intanto, ha completato un passaggio concreto. La Legge 132/2025, in vigore dal 10 ottobre 2025, aveva fissato i principi nazionali, introdotto un reato specifico per i deepfake dannosi e delegato al Governo i decreti di attuazione. Quella delega è stata esercitata: il decreto legislativo 7 ottobre 2026, n. 179, pubblicato in Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, è in vigore dal 23 ottobre 2026. Il decreto affida all’Agenzia per l’Italia Digitale (AgID) il ruolo di autorità di notifica e all’Agenzia per la Cybersicurezza Nazionale (ACN) la vigilanza di mercato, mentre Banca d’Italia, Consob e IVASS mantengono la supervisione sui sistemi ad alto rischio nei rispettivi settori. Insieme al regime sanzionatorio, il testo istituisce lo spazio di sperimentazione normativa per imprese e startup e rafforza il presidio umano sulle decisioni che riguardano il lavoro. Il quadro nazionale prende così forma mentre quello europeo si riassesta.

Cosa portiamo a casa

A che punto siamo, allora? L’AI Act esiste, è operativo e continua ad applicarsi per fasi. Gli obblighi più impegnativi, quelli sui sistemi ad alto rischio, diventeranno operativi tra il 2027 e il 2028. Per le aziende la conseguenza è concreta: il tempo guadagnato va usato per costruire conformità, mappare i sistemi utilizzati e preparare fin d’ora la marcatura dei contenuti sintetici, tenendo conto delle scadenze differenziate tra sistemi nuovi e sistemi già sul mercato. La scadenza si è spostata, ma la responsabilità di adeguarsi rimane intatta.

Per chi comunica, la lezione è più ampia. La vera posta è la fiducia tra istituzioni, imprese e persone, più di qualsiasi scadenza sul calendario. Le regole sull’IA valgono quanto la coerenza con cui vengono applicate.