GUIDA OPERATIVA

Cosa cambia davvero il 2 agosto 2026, quali obblighi restano, quali slittano e come un’impresa italiana si prepara senza allarmismi e senza rinvii ingiustificati.

In sintesi. Il Digital Omnibus ha riscritto il calendario dell’AI Act. La data del 2 agosto 2026 non è stata cancellata, ma svuotata della sua parte più onerosa: gli obblighi sui sistemi ad alto rischio dell’Allegato III slittano al 2 dicembre 2027. Restano invece pienamente operativi, o già in vigore da prima, tre fronti che riguardano ogni PMI: l’alfabetizzazione del personale (AI literacy), gli obblighi di trasparenza dell’articolo 50 e la mappatura dei sistemi in uso. È esattamente su questi tre fronti che si concentra il lavoro di preparazione — e l’offerta di Kahuna.

1. Il quadro normativo: un regolamento che si applica a tappe

L’AI Act (Regolamento UE 2024/1689) è entrato in vigore il 1º agosto 2024, ma non si applica tutto insieme. Il legislatore europeo ha scelto un’applicazione scaglionata, calibrata sul livello di rischio dei sistemi e sul ruolo dei diversi operatori nella catena del valore (provider, deployer, importatore, distributore). Questa gradualità è la ragione per cui esistono più “date spartiacque”, spesso confuse tra loro nel dibattito pubblico.

Il regolamento adotta un approccio risk-based articolato in quattro categorie: pratiche a rischio inaccettabile (vietate), sistemi ad alto rischio (soggetti agli obblighi più stringenti dei Capi III), sistemi a rischio limitato (soggetti a obblighi di trasparenza) e sistemi a rischio minimo (liberi). A questa tassonomia si affianca la disciplina specifica dei GPAI — i General Purpose AI models, ovvero i grandi modelli generativi come quelli alla base di assistenti conversazionali e strumenti di generazione di testo, immagini, audio e codice.

1.1 Le scadenze già maturate

• 2 febbraio 2025 — divieti dell’articolo 5 sulle pratiche a rischio inaccettabile (social scoring, manipolazione subliminale, categorizzazione biometrica vietata) e obbligo di AI literacy ex articolo 4.
• 2 agosto 2025 — obblighi per i provider di modelli GPAI (documentazione tecnica, policy sul rispetto del diritto d’autore, summary dei dati di addestramento) e architettura di governance con l’AI Office e le autorità nazionali competenti.

1.2 L’intervento del Digital Omnibus

Il Digital Omnibus sull’IA — proposto dalla Commissione il 19 novembre 2025 (COM/2025/836), approvato dal Parlamento europeo il 16 giugno 2026 e adottato in via definitiva dal Consiglio UE a fine giugno 2026 — nasce da due problemi concreti: il ritardo nella finalizzazione delle norme tecniche armonizzate da parte del CEN-CENELEC JTC21 (lo standard sui sistemi di gestione della qualità ha chiuso la consultazione solo a gennaio 2026) e la mancata designazione, in diversi Stati membri, delle autorità nazionali di vigilanza.

La modifica più rilevante riguarda il differimento degli obblighi sui sistemi ad alto rischio dell’Allegato III (art. 6, par. 2): dal 2 agosto 2026 al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per quelli integrati come componenti di sicurezza in prodotti già regolati da normativa settoriale (Allegato I). Un rinvio di circa sedici mesi, pensato per dare a imprese e autorità il tempo di arrivare preparate agli standard tecnici.

Punto critico da non fraintendere Il Digital Omnibus non sospende gli obblighi sull’alto rischio: ne posticipa la decorrenza. La sostanza — valutazione di conformità, documentazione tecnica, sistema di gestione del rischio, sorveglianza umana, registrazione nella banca dati UE — resta identica. Chi legge il rinvio come “possiamo aspettare” costruisce il proprio ritardo. Gli standard armonizzati non sono ancora pronti e la mappatura richiede mesi.

2. Cosa cambia (e cosa no) il 2 agosto 2026

Contrariamente alla narrazione dominante, il 2 agosto 2026 non è più il “giorno zero” degli obblighi pesanti. Ma non è nemmeno una data svuotata: rimane la data di applicazione generale del regolamento per tutte le disposizioni non toccate dall’Omnibus.

2.1 Cosa resta fermo al 2 agosto 2026

• Applicazione generale del regolamento per tutte le parti non differite dall’Omnibus.
• Obblighi di trasparenza (art. 50): i sistemi conversazionali devono rendere riconoscibile l’interazione con una macchina; i contenuti generati o manipolati (testo, immagini, audio, video) devono poter essere identificati come artificiali.
• Impianto sanzionatorio e poteri di vigilanza: le autorità competenti dispongono degli strumenti di enforcement, con sanzioni fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le violazioni più gravi.
• Struttura risk-based: le quattro categorie di rischio e la logica di proporzionalità restano il cuore del sistema.

2.2 Cosa slitta

Data	Cosa diventa operativo	Stato dopo il Digital Omnibus
2 feb 2025	Divieti art. 5 + obbligo AI literacy (art. 4)	Invariato — già in vigore
2 ago 2025	Obblighi GPAI + governance	Invariato — già in vigore
2 ago 2026	Applicazione generale + trasparenza art. 50	Confermato
2 dic 2026	Watermarking contenuti sintetici + divieti nudifier/CSAM	Nuova scadenza introdotta
2 dic 2027	Sistemi ad alto rischio autonomi (Allegato III)	Slittato dal 2 ago 2026
2 ago 2028	Sistemi ad alto rischio integrati (Allegato I)	Slittato dal 2 ago 2026

 

Da segnalare un nuovo divieto a decorrenza ravvicinata (2 dicembre 2026): la modifica dell’articolo 5 vieta i sistemi che generano materiale intimo non consensuale (le cosiddette app nudifier) e il materiale di abuso sessuale su minori, anche interamente sintetico. Il divieto vale sia per i provider sia per i deployer, con eccezioni circoscritte (usi medici, consenso esplicito, contrasto penale).

3. I tre fronti che riguardano ogni PMI adesso

Al netto dei tecnicismi, per un’impresa italiana che utilizza AI — anche solo un assistente conversazionale generico nei processi di ufficio — i fronti realmente attivi e improrogabili sono tre. Non richiedono un ufficio legale interno: richiedono metodo, documentazione e formazione.

3.1 AI literacy (art. 4) — già obbligatoria dal febbraio 2025

È l’obbligo più sottovalutato e, paradossalmente, quello con la decorrenza più vecchia. L’articolo 4 impone a provider e deployer di garantire un livello sufficiente di alfabetizzazione in materia di IA del personale che si occupa del funzionamento e dell’uso dei sistemi. Non si tratta di un corso generico sull’uso di uno strumento: la norma richiede consapevolezza critica — capacità di interpretare gli output, riconoscere i limiti e i rischi (bias, allucinazioni, automation bias), comprendere il contesto d’uso e le implicazioni per le persone interessate.

In caso di verifica, l’impresa deve poter dimostrare l’adempimento: contenuti erogati, elenco dei partecipanti, evidenza dell’apprendimento, aggiornamento periodico. Un obbligo di risultato documentabile, non una formalità.

3.2 Trasparenza (art. 50) — operativa dal 2 agosto 2026

L’articolo 50 introduce obblighi informativi su più piani. I sistemi che interagiscono con persone fisiche (chatbot, assistenti virtuali) devono rendere manifesta l’interazione con una macchina, salvo quando ciò sia già evidente. I sistemi che generano o manipolano contenuti sintetici devono progettare l’output in modo che sia riconoscibile come artificiale, con marcature tecniche machine-readable. L’obbligo di watermarking tecnico dei contenuti, per effetto dell’Omnibus, decorre dal 2 dicembre 2026 sia per i sistemi già sul mercato sia per quelli di nuova immissione.

3.3 Mappatura e governance interna — da avviare adesso

Anche se gli obblighi sull’alto rischio slittano al 2027, la mappatura dei sistemi AI è il prerequisito logico di ogni adempimento successivo e va avviata subito. Il punto tecnico più insidioso è l’AI embedded: funzioni di intelligenza artificiale incorporate in software di terzi — piattaforme HR, CRM, gestionali, strumenti di analytics — che l’azienda utilizza senza esserne pienamente consapevole. Molte PMI non sanno quanti sistemi AI stanno già impiegando, né in quale categoria di rischio ricadono.

La governance interna si costruisce su un registro dei sistemi (inventario con finalità, categoria di rischio, fornitore, responsabile interno), una policy d’uso (dati ammessi nei prompt, obblighi di supervisione umana, gestione degli output sensibili) e procedure di human oversight effettiva sulle decisioni che incidono sui diritti delle persone.

4. Il perimetro dei sistemi ad alto rischio (Allegato III)

Pur con decorrenza posticipata, è essenziale sapere se la propria azienda tratta sistemi che ricadranno negli obblighi più stringenti, perché la preparazione richiede tempo. Rientrano nell’Allegato III, tra gli altri:

• Occupazione e gestione dei lavoratori: software di recruitment, screening dei CV, sistemi di valutazione delle performance, decisioni su promozioni o cessazioni.
• Accesso a servizi essenziali: sistemi di credit scoring per la concessione di credito, valutazione del rischio assicurativo.
• Istruzione e formazione: sistemi per valutare gli studenti o determinare l’accesso agli istituti.
• Biometria, infrastrutture critiche, giustizia, migrazione: ambiti a impatto elevato sui diritti fondamentali.

Per questi sistemi gli obblighi comprendono: sistema di gestione del rischio, data governance e qualità dei dataset, documentazione tecnica, record-keeping e logging, trasparenza verso i deployer, sorveglianza umana, robustezza, accuratezza e cybersecurity, oltre alla registrazione nella banca dati UE.

5. Cosa fa Kahuna

Un confine chiaro. Una parte dell’adeguamento all’AI Act è strettamente giuridica — valutazione del rischio legale, qualificazione dei sistemi, conformità formale della documentazione tecnica, rapporti con le autorità: per questa serve un legale o un consulente specializzato. Kahuna non sostituisce questa funzione. Kahuna copre la dimensione dove le PMI falliscono più spesso e dove nessun avvocato entra: la parte umana e organizzativa, che è anche quella con le scadenze più immediate.

5.1 Formazione AI literacy documentata

Kahuna progetta ed eroga percorsi formativi conformi al requisito dell’articolo 4: non addestramento su uno strumento, ma alfabetizzazione critica — comprensione dei modelli, gestione dei rischi, riconoscimento di bias e allucinazioni, uso responsabile. La formazione è accompagnata dalla documentazione probatoria richiesta: materiali, registro dei partecipanti, test di apprendimento, attestati, piano di aggiornamento periodico. È l’adempimento già obbligatorio dal febbraio 2025 e mai differito.

5.2 Registro dei sistemi AI e mappatura dell’embedded

Kahuna affianca l’azienda nella costruzione dell’inventario dei sistemi AI in uso, inclusa l’AI embedded nei software di terzi. Per ciascun sistema si documentano finalità, categoria di rischio, fornitore, base contrattuale del trattamento dati e responsabile interno. È il primo documento su cui poggia ogni adempimento successivo.

5.3 Policy d’uso e human oversight

Kahuna traduce gli obblighi in comportamenti concreti: quali dati si possono inserire nei prompt (con attenzione a dati personali e segreti aziendali), dove è obbligatoria la supervisione umana, come gestire e verificare gli output sensibili, come segnalare gli incidenti. Non un documento che nessuno legge, ma regole vissute — l’essenza del change management applicato all’AI.

5.4 Supporto agli obblighi di trasparenza

Kahuna aiuta a individuare dove l’articolo 50 tocca concretamente l’azienda: quali strumenti generano contenuti da etichettare, come informare clienti e utenti dell’interazione con un sistema AI, come predisporre le prassi in vista del watermarking obbligatorio dal 2 dicembre 2026.

Il posizionamento in una frase Mentre molti hanno letto la proroga come un via libera al rinvio, la parte che Kahuna copre — la formazione documentata del personale — non è mai stata prorogata ed è obbligatoria già oggi. Kahuna mette l’impresa in condizione di usare l’AI in modo consapevole, tracciabile e conforme, sulla dimensione umana e organizzativa che nessun avvocato tocca.

6. Checklist operativa per la PMI

• Censire tutti i sistemi AI in uso, embedded compresi, e classificarli per categoria di rischio.
• Erogare e documentare la formazione AI literacy al personale coinvolto (obbligo già attivo).
• Verificare gli obblighi di trasparenza ex art. 50 su chatbot e contenuti generati.
• Adottare una policy d’uso interna e procedure di sorveglianza umana.
• Predisporre la roadmap verso gli obblighi sull’alto rischio (dic 2027), senza attendere la scadenza.
• Monitorare la pubblicazione in Gazzetta ufficiale UE del testo definitivo dell’Omnibus per i termini formali.

Kahuna – Formazione e trasformazione AI per le PMI italiane. Per capire da dove iniziare, contattaci.