Aggiornamento dal libro
Lo stato della regolamentazione
AI Act, legge italiana, quadro statunitense: cosa è già applicabile, cosa arriva quando, e cosa cambia per chi usa l'IA nel lavoro.
Il libro spiega la logica a livelli di rischio e il criterio per capire se una regola ti riguarda: quella parte non invecchia. Questa pagina tiene i numeri di articolo, le date e lo stato di applicabilità, cioè la parte che si muove per proroghe, atti delegati e decreti.
Il calendario dell'AI Act
Il regolamento è uno solo, ma non entra tutto insieme. Ogni blocco ha la sua data: finché quella data non arriva, quell'obbligo non è esigibile.
| Data | Che cosa comincia ad applicarsi | Al 3 ott. 2026 |
|---|---|---|
| 1 agosto 2024 | Entrata in vigore del regolamento (UE) 2024/1689 | in vigore |
| 2 febbraio 2025 | Definizioni, obbligo di alfabetizzazione (art. 4) e divieti (art. 5) | applicabile |
| 2 agosto 2025 | Obblighi per i modelli per finalità generali. Governance europea, designazione delle autorità nazionali, regimi sanzionatori nazionali | applicabile |
| 2 agosto 2026 | Il grosso del regolamento: obblighi di trasparenza (art. 50) e misure a sostegno dell'innovazione. Comincia l'applicazione, nazionale ed europea, su modelli per finalità generali, divieti, trasparenza e alfabetizzazione | applicabile |
| 2 dicembre 2026 | Divieto dei sistemi che generano contenuti sessuali intimi non consensuali e materiale pedopornografico. Scade il termine transitorio dell'art. 50, par. 2, per i sistemi che generano contenuti sintetici già immessi sul mercato prima del 2 agosto 2026 | non ancora |
| 2 agosto 2027 | Ogni Stato membro deve avere almeno uno spazio di sperimentazione normativa operativo | non ancora |
| 2 dicembre 2027 | Sistemi ad alto rischio dell'allegato III: biometria, infrastrutture critiche, istruzione, lavoro, servizi essenziali, migrazione, asilo, frontiere, giustizia. Era il 2 agosto 2026, l'Omnibus lo ha spostato | non ancora |
| 2 agosto 2028 | Alto rischio incorporato nei prodotti regolati dall'allegato I: macchine, ascensori, giocattoli. Era il 2 agosto 2027 | non ancora |
Il calendario tiene conto delle modifiche introdotte dall'Omnibus digitale sull'IA, cioè il regolamento (UE) 2026/1744 dell'8 luglio 2026, pubblicato in Gazzetta il 24 luglio ed entrato in vigore il 27.
In vigore, applicabile, applicato: sono tre cose diverse, e confonderle è il modo più rapido per leggere male una scadenza.
In vigore vuol dire che il testo esiste ed è diritto dell'Unione: l'AI Act lo è dal 1° agosto 2024. Applicabile vuol dire che da quel giorno un obbligo si può pretendere da te. Applicato vuol dire che esiste un'autorità con i poteri per verificarlo e sanzionarlo.
Per due anni le tre cose sono state sfasate, ed è per questo che si sentiva dire allo stesso tempo che l'AI Act era in vigore e che non riguardava ancora nessuno. Dal 2 agosto 2026 coincidono su divieti, trasparenza, modelli per finalità generali e alfabetizzazione.
L'articolo 4, quello che ti riguarda
È l'articolo sull'alfabetizzazione all'IA, applicabile dal 2 febbraio 2025, e ricade su chi fornisce o usa sistemi di IA nell'esercizio di un'attività professionale. L'Omnibus lo ha riscritto, e la nuova formulazione vale dal 27 luglio 2026.
| Periodo | Che cosa chiede la norma |
|---|---|
| 2 feb. 2025 - 26 lug. 2026 | Garantire un livello sufficiente di alfabetizzazione in materia di IA del proprio personale |
| Dal 27 luglio 2026 | Adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione del personale. Il testo aggiunge che l'obbligo "non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona" |
L'obbligo resta, e resta sul datore di lavoro. A cambiare è che cosa devi poter mostrare se qualcuno te lo chiede: prima un livello raggiunto, adesso le misure che hai preso perché quel livello cresca. Questa è una lettura pratica, non una frase del regolamento, e vale la pena tenerla separata dal testo.
Insieme all'alleggerimento, l'Omnibus assegna alla Commissione e agli Stati membri un ruolo più forte nel promuovere l'alfabetizzazione: una parte del peso si sposta dall'impresa all'istituzione pubblica.
Le sanzioni: due tetti diversi
La cifra che circola sempre da sola è quella più alta, e per questo finisce spesso appesa alla norma sbagliata. L'articolo 99 ne prevede due.
| Che cosa viene violato | Norma | Tetto |
|---|---|---|
| Le pratiche vietate dell'art. 5 | art. 99, par. 3 | 35 milioni di euro o 7% del fatturato mondiale annuo |
| Gli obblighi dei fornitori (art. 16), quelli dei deployer (art. 26), la trasparenza (art. 50) | art. 99, par. 4 | 15 milioni di euro o 3% del fatturato mondiale annuo |
In entrambi i casi, se chi viola è un'impresa si applica il maggiore fra la cifra fissa e la percentuale. Fanno eccezione le PMI e le startup, per le quali vale il minore dei due (art. 99, par. 6). Dal 27 luglio 2026, per effetto dell'Omnibus, il minore vale anche per le piccole imprese a media capitalizzazione, limitatamente ai tetti dei paragrafi 4 e 5 (art. 99, par. 6 bis). Quando trovi i 35 milioni citati a proposito di obblighi sull'alto rischio o di trasparenza, il numero è vero e l'articolo è un altro.
Italia
La legge nazionale è la legge 23 settembre 2025, n. 132. Affida la governance a due agenzie che esistevano già: l'Agenzia per l'Italia Digitale come autorità di notifica, l'Agenzia per la Cybersicurezza Nazionale come autorità di vigilanza.
La parte che conta per chi deve applicarla sono i decreti, e dei due approvati dal Consiglio dei ministri il 4 agosto 2026 ne è uscito uno.
Il decreto legislativo 9 settembre 2026, n. 160 è stato pubblicato nella Gazzetta Ufficiale, Serie Generale n. 214, del 15 settembre 2026, ed è in vigore dal 30 settembre 2026. Riguarda l'uso dell'IA nelle attività di polizia e il riconoscimento biometrico, la responsabilità civile e quella penale: introduce l'articolo 437-bis del codice penale sull'omessa adozione di misure di sicurezza, estende ai reati legati all'IA la responsabilità amministrativa degli enti del decreto legislativo 231/2001, e sul versante civile presume il nesso causale quando sono stati violati gli obblighi dell'AI Act, con azione diretta verso l'assicurazione.
Il secondo decreto è quello che tocca la maggior parte di chi legge questa pagina: governance nazionale, sanzioni amministrative, spazi di sperimentazione normativa con corsia preferenziale per PMI e startup. Al 2 ottobre non risulta pubblicato: ho scorso uno per uno i sommari della Gazzetta Ufficiale, Serie Generale, dal 16 settembre al 2 ottobre, e nessun atto riguarda l'IA. È un'assenza misurata su quel perimetro. La delega dell'articolo 24 della legge scade il 10 ottobre 2026.
Approvazione in esame definitivo e pubblicazione in Gazzetta restano due passaggi distinti, ed è la ragione per cui il 14 agosto questa pagina non scriveva una data di entrata in vigore. Per il n. 160 fra i due passaggi sono passate sei settimane, dal 4 agosto al 15 settembre. Per l'altro decreto, al 2 ottobre, ne sono passate più di otto.
Che cosa è cambiato
3 ottobre 2026 · revisione
Il decreto legislativo n. 160 è in vigore dal 30 settembre. Il secondo decreto, quello con governance, sanzioni e sandbox, al 2 ottobre non è ancora in Gazzetta: ho scorso i sommari della Serie Generale dal 16 settembre al 2 ottobre e non c'è. La delega scade il 10 ottobre 2026.
Il calendario dell'AI Act non si è mosso. La prossima scadenza resta il 2 dicembre 2026. Nella tabella cambia solo la data dell'ultima colonna.
Sulle sanzioni mancava un'eccezione. Per PMI e startup vale il minore fra cifra fissa e percentuale, e dal 27 luglio 2026, con l'Omnibus, lo stesso vale per le piccole imprese a media capitalizzazione sui tetti dei paragrafi 4 e 5 dell'articolo 99. Ho corretto anche un conto: per il n. 160 fra approvazione e Gazzetta sono passate sei settimane, e la pagina ne scriveva cinque.
18 settembre 2026 · revisione
Il primo decreto attuativo italiano è uscito, ed entra in vigore il 30 settembre. Il 14 agosto questa pagina scriveva che la data di entrata in vigore non c'era perché il testo non era stato pubblicato. Adesso c'è: decreto legislativo 9 settembre 2026, n. 160, in Gazzetta il 15 settembre. Copre polizia e biometria, responsabilità civile e penale. Il secondo decreto, quello con governance, sanzioni e sandbox, non è ancora uscito, e la delega scade il 10 ottobre.
Il calendario dell'AI Act non si è mosso. Fra il 14 agosto e oggi non cade nessuna scadenza: la prossima è il 2 dicembre 2026, con il divieto sulle immagini sessuali non consensuali e la fine del transitorio dell'articolo 50. Le righe della tabella sono le stesse, cambia solo il giorno in cui le ho guardate.
14 agosto 2026 · prima pubblicazione
Dal 2 agosto la trasparenza è esigibile. Chi mette un assistente automatico davanti a un cliente, e chi pubblica testo, immagini o audio generati, da quel giorno ha un obbligo di informare il destinatario con una sanzione dietro. La Commissione ha annunciato il 31 luglio che dal 2 agosto comincia ad applicare le regole. Per i sistemi che generavano contenuti sintetici ed erano già sul mercato prima di quella data, il termine per mettersi in regola è il 2 dicembre 2026.
L'alto rischio è slittato di sedici mesi. I sistemi dell'allegato III - selezione del personale, valutazione scolastica, accesso a servizi essenziali, biometria - dovevano rientrare negli obblighi il 2 agosto 2026 e ci rientrano il 2 dicembre 2027. Gli obblighi sono gli stessi: qualità dei dati, tracciabilità, documentazione, sorveglianza umana. Se hai un progetto di questo tipo hai più tempo per prepararlo, e nessuna ragione per aspettare, perché gli standard tecnici armonizzati arrivano lentamente e la conformità si costruisce prima.
I divieti passano da otto a nove. L'Omnibus ne ha aggiunto uno che colpisce la generazione di immagini sessuali di persone che non hanno acconsentito e il materiale pedopornografico, comprese le applicazioni che spogliano qualcuno in una fotografia. Gli altri otto valgono dal febbraio 2025, questo dal 2 dicembre 2026.
Calendario ufficiale della Commissione →
Che cosa manca ancora qui. Il trattato del Consiglio d'Europa non è su questa pagina, e non lo è nemmeno altrove. Stati Uniti, Cina e Regno Unito invece sono: gli atti in vigore, con le date, stanno nella tabella "Gli atti in forza, paese per paese" di librovivoia.it/r/paesi, insieme ai programmi di investimento.
Tenerli su una pagina sola è una scelta: un ordine esecutivo americano può essere firmato e revocato fra due aggiornamenti, e due pagine che raccontano lo stesso quadro divergono alla prima revisione che ne tocca una e non l'altra.
Fonti
- Regolamento (UE) 2024/1689 del 13 giugno 2024 (AI Act), articoli 4, 5, 16, 26, 50, 99 e 113.
- Regolamento (UE) 2026/1744 dell'8 luglio 2026, Omnibus digitale sull'IA. EUR-Lex, scheda dell'atto consultata il 14 agosto 2026: pubblicazione in Gazzetta il 24 luglio 2026, entrata in vigore il 27 luglio 2026. Testo riletto il 3 ottobre 2026 (art. 1, punti 22, 38, 39 e 40).
- Commissione europea, "Legge sull'IA", pagina di politica, ultimo aggiornamento 3 agosto 2026, consultata il 14 agosto 2026 e riletta il 3 ottobre 2026: ultimo aggiornamento invariato.
- Commissione europea, "AI Omnibus enters into force", 27 luglio 2026, consultato il 14 agosto 2026.
- Commissione europea, AI Act Service Desk, calendario di attuazione dell'AI Act, consultato il 14 agosto 2026 e riconsultato il 3 ottobre 2026: invariato.
- Commissione europea, comunicato del 31 luglio 2026 sull'avvio dell'applicazione e sui nuovi requisiti di trasparenza.
- Legge 23 settembre 2025, n. 132.
- Presidenza del Consiglio dei ministri, comunicato stampa n. 185 del 4 agosto 2026, approvazione in esame definitivo dei primi due decreti legislativi di adeguamento.
- Decreto legislativo 9 settembre 2026, n. 160, Gazzetta Ufficiale della Repubblica Italiana, Serie Generale n. 214 del 15 settembre 2026, codice redazionale 26G00179. Scheda dell'atto riletta il 3 ottobre 2026: in vigore dal 30 settembre 2026.
- Gazzetta Ufficiale della Repubblica Italiana, Serie Generale, sommari dal n. 215 del 16 settembre al n. 229 del 2 ottobre 2026, consultati il 3 ottobre 2026.