Il regolamento europeo sull'intelligenza artificiale si applica a tappe; il "Digital Omnibus" (Reg. UE 2026/1744, in vigore dal 27/07/2026) ha spostato le scadenze per i sistemi ad alto rischio. Per la maggior parte delle aziende che usano agenti AI contano oggi tre cose: formazione del personale, trasparenza verso chi interagisce con l'AI, capire se un caso d'uso è ad alto rischio. Gli obblighi più pesanti ricadono su chi sviluppa i sistemi; chi li usa ha obblighi propri, più contenuti ma concreti.
Risposta breve
Le scadenze dell’AI Act per le aziende che usano agenti AI sono già in parte operative: divieti e alfabetizzazione dal 2 febbraio 2025, trasparenza dal 2 agosto 2026. Con il Digital Omnibus (Reg. UE 2026/1744) gli obblighi per i sistemi ad alto rischio dell’Allegato III slittano al 2 dicembre 2027 e quelli dell’Allegato I al 2 agosto 2028. Chi usa agenti AI acquistati da terzi è di norma deployer.
AI Act, le scadenze dopo il Digital Omnibus
L’AI Act (Regolamento UE 2024/1689) è entrato in vigore il 1° agosto 2024. Non si applica tutto insieme: ogni gruppo di norme ha una propria data.
Il calendario originario è stato modificato dal Regolamento (UE) 2026/1744, noto come “Digital Omnibus sull’AI” (fonte): datato 8 luglio 2026, pubblicato nella Gazzetta ufficiale dell’UE il 24 luglio 2026, in vigore dal 27 luglio 2026. Le date qui sotto sono state riscontrate su EUR-Lex, sulla pagina della Commissione europea e su analisi di FPF, Cooley, Cuatrecasas e Gibson Dunn, aggiornate a ottobre 2026.
| Data | Cosa si applica | Cosa significa per chi usa agenti AI nei processi |
|---|---|---|
| 01/08/2024 | Entrata in vigore dell’AI Act | Nessun obbligo immediato; inizia il periodo di adeguamento |
| 02/02/2025 | Divieti (art. 5) e alfabetizzazione (art. 4) | Verificare di non usare pratiche vietate, come il riconoscimento delle emozioni sul luogo di lavoro (salvo motivi medici o di sicurezza); avviare la formazione del personale |
| 02/08/2025 | Obblighi per i modelli di AI per finalità generali (GPAI), governance, regime delle sanzioni | Obblighi in capo ai fornitori dei modelli; per l’azienda utente conta poter ottenere dal fornitore la documentazione utile |
| 27/07/2026 | Entrata in vigore del Digital Omnibus | Nuovo calendario per l’alto rischio; obbligo di alfabetizzazione riformulato |
| 02/08/2026 | Applicazione generale, inclusi gli obblighi di trasparenza dell’art. 50 | Chatbot, assistenti vocali e agenti che dialogano con persone devono rendere chiaro che si tratta di AI; regole su deepfake e testi pubblicati |
| 02/12/2026 | Fine del periodo transitorio per la marcatura dei contenuti sintetici (art. 50, par. 2) per i sistemi generativi già sul mercato prima del 02/08/2026; nuovi divieti su immagini intime non consensuali e materiale pedopornografico generati dall’AI | Chi fornisce strumenti generativi deve marcare i contenuti in modo leggibile da macchina; l’azienda utente verifica che i propri strumenti siano conformi |
| 02/08/2027 | Adeguamento dei modelli GPAI immessi sul mercato prima del 02/08/2025; almeno uno spazio di sperimentazione normativa (sandbox) operativo in ogni Stato membro | Possibilità di provare casi d’uso innovativi sotto la supervisione delle autorità nazionali |
| 02/12/2027 | Obblighi per i sistemi ad alto rischio dell’Allegato III (prima: 02/08/2026) | Se un agente AI rientra in un caso ad alto rischio (personale, credito, servizi essenziali), scattano gli obblighi del deployer (art. 26) |
| 02/08/2028 | Obblighi per i sistemi ad alto rischio integrati in prodotti regolati (Allegato I; prima: 02/08/2027) | Rilevante soprattutto per chi produce macchinari, dispositivi medici e prodotti simili con componenti di AI |
Due avvertenze. La data del 02/12/2026 per i nuovi divieti è riportata dalla Commissione europea come “dicembre 2026” e dallo studio Cooley come 2 dicembre 2026; nel testo dell’Omnibus consultato non siamo riusciti a individuare l’articolo che la fissa, quindi va riscontrata. Inoltre le scadenze precedenti all’Omnibus restano quelle del testo originario, non modificate.
Sul piano nazionale, in Italia è in vigore dal 10 ottobre 2025 la legge 132/2025 (Gazzetta Ufficiale; Edotto). Tra l’altro, obbliga il datore di lavoro a informare i lavoratori quando usa sistemi decisionali o di monitoraggio integralmente automatizzati (art. 11).
Fornitore o deployer: quale ruolo ha l’azienda
L’AI Act assegna obblighi diversi a seconda del ruolo.
- Fornitore (provider): chi sviluppa un sistema di AI, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.
- Deployer: chi usa un sistema di AI sotto la propria autorità nell’ambito di un’attività professionale. Il termine viene spesso tradotto con “utilizzatore”.
Un’azienda che adotta agenti AI acquistati da terzi per gestire posta, pratiche o help desk è di norma un deployer. La situazione cambia in alcuni casi previsti dall’art. 25. L’azienda diventa fornitore se mette il proprio marchio su un sistema ad alto rischio, se lo modifica in modo sostanziale o se ne cambia la finalità facendolo diventare ad alto rischio. Un esempio: un agente nato per smistare email, riconfigurato internamente per selezionare i candidati.
Il ruolo va documentato per ogni caso d’uso: da esso dipende quasi tutto il resto.
Alfabetizzazione: l’obbligo già in vigore
L’art. 4 si applica dal 2 febbraio 2025 a fornitori e deployer, indipendentemente dal livello di rischio. Il Digital Omnibus ne ha cambiato la formulazione. Il testo ora chiede di adottare misure per sostenere lo sviluppo dell’alfabetizzazione in materia di AI del personale. Precisa inoltre che non è richiesto di garantire un livello specifico per ciascuna persona.
L’obbligo resta, ma come dovere di attivarsi. In pratica:
- formazione differenziata per ruolo: chi supervisiona gli agenti AI, chi ne usa gli output, chi decide;
- istruzioni operative su limiti noti, errori tipici, quando passare la pratica a una persona;
- traccia documentale di cosa è stato fatto e quando.
Trasparenza: chatbot, voce e contenuti sintetici
L’art. 50 si applica dal 2 agosto 2026 e riguarda anche sistemi non ad alto rischio: tocca quindi molte aziende.
Interazione con persone (par. 1). I sistemi destinati a interagire direttamente con le persone vanno progettati in modo che queste sappiano di parlare con un’AI, salvo che sia evidente dal contesto. L’obbligo è formalmente del fornitore. Il deployer deve però configurare il servizio in modo da non vanificarlo: un centralino virtuale che si presenta con un nome di persona, senza altre indicazioni, è un rischio. Il tema è approfondito in Centralino virtuale con l’AI.
Contenuti sintetici (par. 2). Testi, immagini, audio e video generati dall’AI devono essere marcati dai fornitori in un formato leggibile da macchina. Per i sistemi generativi già sul mercato prima del 2 agosto 2026 il termine è il 2 dicembre 2026.
Obblighi del deployer (par. 3 e 4). Chi usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone esposte. Chi pubblica deepfake deve dichiararlo. Chi pubblica testi generati dall’AI per informare il pubblico su questioni di interesse pubblico deve indicarlo, salvo revisione umana con responsabilità editoriale.
A luglio 2026 la Commissione ha pubblicato linee guida sugli obblighi di trasparenza (Commissione europea), affiancate da un codice di buone pratiche volontario sulla marcatura e l’etichettatura dei contenuti generati.
Quando un caso d’uso diventa ad alto rischio
L’alto rischio non dipende dalla tecnologia ma dall’uso. Tra gli ambiti elencati nell’Allegato III, per le imprese i più rilevanti sono tre.
| Ambito (Allegato III) | Esempi di uso ad alto rischio | Esempi di uso che di norma non lo è |
|---|---|---|
| Occupazione e gestione dei lavoratori (punto 4) | Selezione e valutazione dei candidati; decisioni su promozioni o licenziamenti; assegnazione dei compiti in base a comportamenti o tratti personali; monitoraggio delle prestazioni | Smistamento della posta dell’ufficio personale; risposta a domande su ferie e procedure |
| Accesso a servizi privati essenziali (punto 5) | Valutazione del merito creditizio delle persone fisiche; valutazione del rischio e prezzi nelle assicurazioni vita e malattia | Rilevamento delle frodi finanziarie (escluso espressamente); solleciti di pagamento standard |
| Servizi e prestazioni pubbliche essenziali (punto 5) | Valutazione dell’idoneità a prestazioni di assistenza pubblica; smistamento delle chiamate di emergenza | Prenotazione di appuntamenti presso uno sportello |
L’art. 6, par. 3, prevede una deroga. Un sistema elencato nell’Allegato III non è ad alto rischio se non presenta un rischio significativo, per esempio quando svolge un compito procedurale limitato o un’attività preparatoria a una valutazione umana. La deroga non vale mai se il sistema effettua profilazione di persone fisiche. Il fornitore che se ne avvale deve documentarlo e, secondo l’Omnibus, registrarsi con una procedura semplificata.
Cosa deve fare il deployer di un sistema ad alto rischio
Dal 2 dicembre 2027 l’art. 26 chiede al deployer di:
- usare il sistema secondo le istruzioni del fornitore;
- affidare la sorveglianza umana a persone con competenza, formazione e autorità adeguate;
- garantire, per la parte che controlla, dati di input pertinenti e sufficientemente rappresentativi;
- monitorare il funzionamento e informare fornitore e autorità in caso di rischi o incidenti gravi;
- conservare i log generati automaticamente per almeno sei mesi, salvo norme diverse;
- informare i rappresentanti dei lavoratori e i lavoratori interessati prima di usare il sistema sul luogo di lavoro;
- informare le persone soggette a decisioni prese o assistite dal sistema;
- usare le informazioni del fornitore per la DPIA (Data Protection Impact Assessment) prevista dal GDPR (General Data Protection Regulation).
Per alcuni deployer, tra cui enti pubblici, soggetti privati che erogano servizi pubblici e chi valuta merito creditizio o rischi assicurativi, l’art. 27 aggiunge una valutazione d’impatto sui diritti fondamentali. Dalle fonti consultate non risultano modifiche dell’Omnibus agli artt. 26 e 27, oltre allo spostamento della data.
Per questi sistemi controllo umano e tracciabilità sono requisiti di legge. Approfondimenti: Human in the loop, Un registro di audit per l’AI e, per la protezione dei dati, Pseudonimizzazione e modelli linguistici e la pagina Privacy by design.
Modelli per finalità generali: obblighi che riguardano i fornitori
I modelli GPAI sono i grandi modelli linguistici e multimodali su cui si costruiscono gli agenti AI. Dal 2 agosto 2025 i loro fornitori devono, tra l’altro:
- redigere e aggiornare la documentazione tecnica del modello;
- fornire informazioni a chi integra il modello nei propri sistemi;
- adottare una politica di rispetto del diritto d’autore;
- pubblicare una sintesi dei contenuti usati per l’addestramento.
Per i modelli con rischio sistemico si aggiungono valutazioni, gestione dei rischi, segnalazione degli incidenti e sicurezza informatica. L’Omnibus ha rafforzato i poteri di vigilanza dell’Ufficio europeo per l’AI su questi modelli e sui sistemi costruiti sopra di essi dallo stesso fornitore.
Un’azienda che usa un modello tramite API (Application Programming Interface), cioè l’interfaccia di programmazione messa a disposizione dal fornitore, non è fornitore di GPAI. Le conviene però chiedere la documentazione prevista: serve per la DPIA (la valutazione d’impatto prevista dal GDPR), per la valutazione dei rischi e per scegliere il modello. Un metodo per impostare questo lavoro è descritto nella pagina Metodo.
Da ricordare
- Il Digital Omnibus (Reg. UE 2026/1744) è in vigore dal 27/07/2026 e sposta l’alto rischio dell’Allegato III al 02/12/2027 e quello dell’Allegato I al 02/08/2028.
- Alfabetizzazione (dal 02/02/2025) e trasparenza (dal 02/08/2026) valgono già, a prescindere dal livello di rischio.
- Un’azienda che usa agenti AI è di norma deployer, ma può diventare fornitore se cambia la finalità di un sistema o lo rimarchia.
- L’alto rischio dipende dall’uso: selezione del personale, merito creditizio e servizi essenziali sono gli ambiti da presidiare.
- Gli obblighi GPAI riguardano i fornitori dei modelli; l’azienda utente deve ottenere da loro la documentazione.
- Conviene mappare ora i casi d’uso, assegnare il ruolo a ciascuno e preparare log e sorveglianza umana prima del 2027.
Domande frequenti
Da quando l’AI Act si applica alle aziende che usano l’intelligenza artificiale?
L’AI Act è entrato in vigore il 1° agosto 2024 ma si applica a tappe. Dal 2 febbraio 2025 valgono i divieti e l’obbligo di alfabetizzazione del personale; dal 2 agosto 2026 si applicano in generale le regole, inclusi gli obblighi di trasparenza dell’art. 50. Gli obblighi per i sistemi ad alto rischio dell’Allegato III partono dal 2 dicembre 2027 e quelli dell’Allegato I dal 2 agosto 2028.
Cosa cambia con il Digital Omnibus sull’AI?
Il Digital Omnibus è il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell’UE il 24 luglio 2026 e in vigore dal 27 luglio 2026. Ha spostato gli obblighi per i sistemi ad alto rischio dell’Allegato III dal 2 agosto 2026 al 2 dicembre 2027 e quelli dell’Allegato I dal 2 agosto 2027 al 2 agosto 2028. Ha inoltre riformulato l’obbligo di alfabetizzazione e rafforzato la vigilanza dell’Ufficio europeo per l’AI sui modelli per finalità generali.
L’AI Act obbliga le aziende a formare i dipendenti sull’intelligenza artificiale?
Sì. L’art. 4 si applica dal 2 febbraio 2025 a fornitori e deployer, a prescindere dal livello di rischio. Dopo il Digital Omnibus chiede di adottare misure per sostenere l’alfabetizzazione in materia di AI del personale, senza imporre un livello specifico per ciascuna persona. In pratica servono formazione differenziata per ruolo, istruzioni su limiti ed errori tipici degli strumenti e una traccia documentale di quanto è stato fatto e quando.
Un chatbot o un centralino con AI deve dichiarare di essere un’intelligenza artificiale?
Sì, dal 2 agosto 2026 l’art. 50 dell’AI Act chiede che i sistemi destinati a interagire direttamente con le persone siano progettati in modo che queste sappiano di parlare con un’AI, salvo che sia evidente dal contesto. L’obbligo è formalmente del fornitore, ma l’azienda che usa il servizio deve configurarlo senza vanificarlo: un assistente vocale che si presenta con un nome di persona, senza altre indicazioni, è un rischio.
Quando un’azienda che usa agenti AI diventa fornitore ai sensi dell’AI Act?
Di norma chi usa agenti AI acquistati da terzi è un deployer. Secondo l’art. 25 diventa fornitore se mette il proprio nome o marchio su un sistema ad alto rischio, se lo modifica in modo sostanziale o se ne cambia la finalità facendolo diventare ad alto rischio. Un esempio è un agente nato per smistare email e riconfigurato internamente per selezionare i candidati. Il ruolo va documentato per ogni caso d’uso.
Quali obblighi ha il deployer di un sistema di AI ad alto rischio dal 2027?
Dal 2 dicembre 2027 l’art. 26 chiede al deployer di usare il sistema secondo le istruzioni del fornitore, affidare la sorveglianza umana a persone competenti, curare la pertinenza dei dati di input che controlla, monitorare il funzionamento e segnalare rischi e incidenti gravi, conservare i log per almeno sei mesi, informare lavoratori e persone interessate e usare le informazioni del fornitore per la DPIA. Alcuni deployer devono anche valutare l’impatto sui diritti fondamentali.
Chi usa un modello di AI tramite API ha gli obblighi dei fornitori di modelli GPAI?
No. Gli obblighi sui modelli di AI per finalità generali, in vigore dal 2 agosto 2025, riguardano i fornitori dei modelli: documentazione tecnica, informazioni a chi li integra, politica sul diritto d’autore e sintesi dei contenuti di addestramento. Un’azienda che usa un modello tramite API non è fornitore di GPAI, ma le conviene chiedere al fornitore la documentazione prevista, utile per la DPIA, la valutazione dei rischi e la scelta del modello.
Bibliografia e fonti
- Parlamento europeo e Consiglio dell’Unione europea, Regolamento (UE) 2024/1689 che stabilisce regole armonizzate sull’intelligenza artificiale (AI Act), EUR-Lex, Gazzetta ufficiale dell’Unione europea, 13/06/2024 (pubblicato il 12/07/2024). https://eur-lex.europa.eu/eli/reg/2024/1689/oj, consultato il 10/10/2026.
- Parlamento europeo e Consiglio dell’Unione europea, Regolamento (UE) 2026/1744 (Digital Omnibus sull’AI), in vigore dal 27/07/2026, EUR-Lex, Gazzetta ufficiale dell’Unione europea, 08/07/2026 (pubblicato il 24/07/2026). https://eur-lex.europa.eu/eli/reg/2026/1744/oj, consultato il 10/10/2026.
- Commissione europea, AI Act, Regulatory framework on AI, Shaping Europe’s digital future (digital-strategy.ec.europa.eu), pagina aggiornata il 03/08/2026. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai, consultato il 10/10/2026.
- Future of Privacy Forum (A. Șerban, B.-I. Marcu), The AI Act Implementation Timeline: What Changes Under the AI Omnibus?, fpf.org, 28/07/2026, aggiornato il 05/08/2026. https://fpf.org/blog/the-ai-act-implementation-timeline-what-changes-under-the-ai-omnibus, consultato il 10/10/2026.
- Cooley (P. Van Eecke, B. Regenhardt), Digital AI Omnibus Delays Key Deadlines, Introduces New Rules, cdp.cooley.com, 03/08/2026. https://cdp.cooley.com/digital-ai-omnibus-delays-key-deadlines-introduces-new-rules/, consultato il 10/10/2026.
- Cuatrecasas (A. Agustinoy, M. Sala), Digital Omnibus on AI has been published, cuatrecasas.com, 24/07/2026. https://www.cuatrecasas.com/en/spain/intellectual-property/art/digital-omnibus-ai-has-been-published, consultato il 10/10/2026.
- Gibson Dunn, EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes, gibsondunn.com, 27/05/2026. https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/, consultato il 10/10/2026.
- Repubblica italiana, Legge 23 settembre 2025, n. 132, Disposizioni e deleghe al Governo in materia di intelligenza artificiale, Gazzetta Ufficiale, Serie Generale n. 223, 25/09/2025. https://www.gazzettaufficiale.it/eli/gu/2025/09/25/223/sg/pdf, consultato il 10/10/2026.
- Annarita Scarcella, Intelligenza artificiale: nuovi obblighi in vigore per aziende e professionisti, Edotto, 10/10/2025. https://edotto.com/articolo/intelligenza-artificiale-nuovi-obblighi-per-datori-di-lavoro-e-professionisti, consultato il 10/10/2026.
Approfondisci
- Pseudonimizzazione e modelli linguistici: usare l’AI senza esporre dati personali: come ridurre l’esposizione dei dati personali quando un agente AI usa un modello esterno.
- Un registro di audit per l’AI: perché la tracciabilità è un requisito di prodotto: cosa registrare per rendere tracciabile il lavoro di un agente AI, anche ai fini dell’AI Act.
- Human in the loop: quanta autonomia dare a un agente AI, e quando: come impostare la sorveglianza umana e i livelli di autonomia.
- Privacy by design negli agenti AI: l’approccio alla protezione dei dati fin dalla progettazione.
- Il metodo per mappare i casi d’uso degli agenti AI: dal processo all’indicatore, con il controllo umano.
Questo articolo ha finalità informative e non costituisce consulenza legale. Le date sono aggiornate a ottobre 2026.