Il 2 agosto 2026 è una data chiave nel calendario di applicazione del Regolamento europeo sull’intelligenza artificiale (Regolamento UE 2024/1689, l’“AI Act”).

Non si tratta della sua approvazione — arrivata già nel 2024, con l’entrata in vigore il 1° agosto di quell’anno,  ma di una nuova tappa del percorso graduale con cui le sue regole diventano pienamente operative.

È una tappa importante, ma va inquadrata correttamente: non tutto ciò che si legge in giro è esatto, e alcune delle norme più impegnative sono state nel frattempo rinviate.

Le principali novità in vigore dal 2 agosto 2026

Da questa data sono pienamente applicabili alcune delle disposizioni più visibili del Regolamento, in particolare gli obblighi di trasparenza previsti dall’articolo 50:

• chatbot e assistenti vocali devono dichiarare in modo chiaro di essere sistemi automatizzati, a meno che ciò non risulti già evidente dal contesto;
• i contenuti generati o manipolati dall’IA (testo, immagini, audio, video) devono essere marcati in modo riconoscibile, anche in formato leggibile da macchina;
• i deepfake devono riportare l’indicazione esplicita della loro origine artificiale, salvo le eccezioni per opere satiriche o artistiche chiaramente identificabili come tali;
• chi diffonde testi generati dall’IA su temi di interesse pubblico deve segnalarne la natura artificiale, a meno che il contenuto non sia passato da una revisione editoriale umana con responsabilità identificata;
• le persone esposte a sistemi di riconoscimento delle emozioni o categorizzazione biometrica (sul lavoro, nei negozi, a scuola) devono esserne informate.

Da questa data diventa inoltre pienamente operativo il sistema di vigilanza: le autorità nazionali competenti, in Italia l’Agenzia per la Cybersicurezza Nazionale (ACN), con poteri ispettivi e sanzionatori, e l’Agenzia per l’Italia Digitale (AgID), con funzioni di supporto, notifica e promozione di casi d’uso sicuri, possono esercitare pienamente i loro poteri di controllo, in coordinamento con l’Ufficio europeo per l’IA a livello centrale per i modelli di IA per finalità generali.

Una precisazione importante: contrariamente a quanto si legge, il 2 agosto 2026 non segna l’entrata in vigore piena degli obblighi più onerosi per i sistemi ad “alto rischio” (gestione del rischio, valutazione di conformità, marcatura CE, sorveglianza umana strutturata).

Il pacchetto di semplificazione noto come Digital Omnibus, approvato dal Parlamento europeo nel marzo 2026, ha infatti rinviato queste scadenze: al 2 dicembre 2027 per i sistemi elencati nell’Allegato III (tra cui istruzione, lavoro, accesso a servizi essenziali, giustizia, infrastrutture critiche e biometria) e al 2 agosto 2028 per i sistemi di IA incorporati in prodotti già soggetti a normative settoriali di sicurezza (dispositivi medici, macchinari, ecc.).

Lo stesso pacchetto ha spostato al 2 novembre 2026 l’obbligo di apposizione della filigrana (watermarking) sui contenuti generati dall’IA e ha introdotto un nuovo divieto specifico per i sistemi che producono immagini sessualmente esplicite di persone identificabili senza consenso (“nudificazione”).

Restano invece pienamente vigenti, perché già applicabili da febbraio e agosto 2025, i divieti assoluti su pratiche di IA a rischio inaccettabile, gli obblighi di alfabetizzazione in materia di IA per il personale, e le regole sui modelli di IA per finalità generali (cosiddetto GPAI).

L’impatto sulla Pubblica Amministrazione

Per gli enti pubblici italiani, la scadenza del 2 agosto 2026 comporta anzitutto gli obblighi di trasparenza appena descritti, che riguardano da vicino la PA ovunque utilizzi chatbot, assistenti virtuali o strumenti generativi nella comunicazione con i cittadini.

Il rinvio al 2 dicembre 2027 degli obblighi sostanziali per i sistemi ad alto rischio non toglie però urgenza al tema per le Amministrazioni: l’Allegato III del Regolamento classifica come “alto rischio” molti utilizzi tipici della PA, tra cui la gestione di graduatorie (asili nido, borse di studio, edilizia popolare), l’assegnazione di benefici e sussidi sociali, l’accesso a servizi pubblici essenziali, la selezione del personale e la valutazione dell’affidabilità creditizia quando l’Ente agisce da erogatore.

Per questi sistemi, quando le regole diventeranno pienamente esigibili, saranno richiesti:

• una valutazione d’impatto (che si affianca alla DPIA prevista dal GDPR, la cosiddetta FRIA sui diritti fondamentali);
• documentazione tecnica costantemente aggiornata;
• un sistema strutturato di gestione del rischio;
• registrazione e conservazione dei log operativi;
• informative chiare verso i cittadini;
• supervisione umana effettiva e non meramente formale;
• garanzie sulla qualità e rappresentatività dei dati utilizzati.

A livello nazionale, la Legge 132/2025, approvata in via definitiva a settembre 2025, ha già delineato la cornice italiana di attuazione: un approccio “antropocentrico, trasparente e sicuro” all’IA, con responsabilità delle decisioni finali sempre affidata a persone fisiche, una Strategia nazionale aggiornata ogni due anni dal Dipartimento per la trasformazione digitale, un monitoraggio annuale al Parlamento e interventi settoriali che toccano esplicitamente, oltre alla PA, sanità, lavoro, giustizia, istruzione e sport.

Per la PA, il periodo che porta al dicembre 2027 è quindi il tempo utile, non un momento di pausa, per censire i sistemi di IA già in uso, verificarne la classificazione di rischio e avviare gli adeguamenti necessari.

Il sistema sanzionatorio

La Legge 132/2025 e i relativi decreti attuativi (i cui schemi sono stati approvati in via preliminare dal Consiglio dei Ministri a metà 2026, ma non sono ancora un testo definitivo) non individuano sanzioni pecuniarie dedicate e specifiche per la Pubblica Amministrazione: il regime sanzionatorio economico sembra pensato principalmente per imprese, professionisti e fornitori privati.

Per gli enti pubblici, i decreti puntano piuttosto su obblighi di conformità, formazione del personale (in coordinamento con la Scuola Nazionale dell’Amministrazione), supervisione umana sulle decisioni che incidono sui diritti dei cittadini, governance interna, più che su un apparato multe.

Questo non significa però che un Ente locale sia “al riparo”. Il rischio concreto per Comuni, Province e Regioni si gioca piuttosto su altri tre fronti:

• Responsabilità erariale/contabile

È probabilmente il rischio più immediato per dirigenti e funzionari.

Se un Ente usa l’IA in modo negligente, ad esempio per redigere atti o istruire pratiche senza adeguata verifica umana, e questo genera danni economici all’Ente (atti annullati dal giudice, contenziosi, risarcimenti a terzi), la Corte dei Conti può contestare la “gestione negligente” delle risorse e chiamare i responsabili a risponderne personalmente.

• Responsabilità civile verso cittadini e imprese

Se una decisione basata su un sistema di IA (una graduatoria, un’esclusione da un bando, una valutazione automatizzata) causa un danno ingiusto a un cittadino o a un’impresa l’Ente pubblico può essere chiamato a rispondere ai sensi dell’articolo 2043 del Codice Civile, con la possibilità, se l’attività viene qualificata come “pericolosa”, di un’inversione dell’onere della prova a suo sfavore (artt. 2050-2051 c.c.).

• Responsabilità penale, ma con un perimetro ristretto

I decreti attuativi hanno introdotto un nuovo reato (art. 437-bis c.p.) per l’omessa adozione di misure di sicurezza sui sistemi di IA ad alto rischio quando ne derivi un pericolo concreto, ma la norma sembra applicarsi a privati ed enti pubblici economici, non alla PA “in senso stretto”, resta però da vedere come verrà interpretata, ed è comunque un’area su cui i singoli dirigenti restano esposti per altri reati tipici (abuso d’ufficio, falso in atto pubblico) se l’uso dell’IA è negligente.

In sintesi

Il 2 agosto 2026 segna un passo avanti reale nell’applicazione dell’AI Act, ma parziale: trasparenza, vigilanza e sanzioni per gli obblighi già in vigore sono pienamente operativi, mentre il capitolo più impegnativo è stato spostato al 2 dicembre 2027 (e al 2 agosto 2028 per i prodotti regolamentati).

Per le Amministrazioni Pubbliche, la priorità nei prossimi mesi resta la stessa: mappare i propri sistemi di IA, capirne la classificazione di rischio e prepararsi per tempo, senza interpretare il rinvio come un motivo per rinviare anche le attività di preparazione e adeguamento.