AI Act: cosa è stato rinviato, cosa no, e perché il 2 agosto resta una data che conta

Il 24 luglio il Digital Omnibus sull’IA (Regolamento (UE) 2026/1744) è stato pubblicato in Gazzetta Ufficiale ed è entrato in vigore il 27 luglio, con procedura d’urgenza, proprio perché il 2 agosto era troppo vicino. I titoli hanno detto tutti la stessa cosa: l’AI Act è stato rinviato. È vero solo in parte, ed è una lettura pericolosa. Quello che è stato rinviato sono gli obblighi sui sistemi ad alto rischio: dicembre 2027 per i sistemi autonomi dell’Allegato III, agosto 2028 per l’IA incorporata nei prodotti dell’Allegato I. Quello che non è stato rinviato è l’articolo 50, gli obblighi di trasparenza, che si applicano dal 2 agosto 2026 e valgono indipendentemente dalla classe di rischio. Un chatbot di assistenza clienti rientra nel perimetro anche se nulla di ciò che gestite è classificato ad alto rischio. Come team legale di iubenda, osserviamo da vicino l’evoluzione normativa e intendiamo lanciare un messaggio chiaro alle imprese: la logica della compliance “a silos” non regge più. Il crollo dei silos normativi Fino ad oggi, troppe aziende hanno trattato la protezione dei dati come compartimenti stagni: i cookie e i pixel di tracciamento da una parte (ePrivacy), i moduli di consenso e le informative dall’altra (GDPR), e l’adozione di software basati su intelligenza artificiale gestita dai team IT, spesso all’insaputa del dipartimento legale (Shadow AI). L’AI Act frantuma queste barriere. Non esiste AI senza dati, e non esiste governance dei dati che possa prescindere dall’uso che gli algoritmi ne fanno. Pensare di mappare i sistemi di tracciamento web ignorando come quei dati alimentino modelli predittivi o di profilazione automatizzata significa esporsi a sanzioni senza precedenti: dal 2 agosto l’AI Office e le autorità nazionali acquisiscono il potere di sanzionare. La compliance deve diventare un ecosistema fluido. Un solo dato, due regimi Lo stesso dato oggi risponde a due domande diverse. L’AI Act chiede cosa fa il vostro sistema: se interagisce con le persone o genera contenuti, dovete dirlo. Il GDPR chiede cosa fate voi con quei dati: se un consenso raccolto per un tracciamento lineare finisce ad alimentare profilazione predittiva, la finalità originaria non copre più il trattamento. Sono due regimi distinti, e non si soddisfano con lo stesso adempimento. Le aziende dovranno essere in grado di spiegare non solo quali dati raccolgono, ma anche quando un sistema di intelligenza artificiale è coinvolto e con quali logiche elabora quei dati. L’approccio corretto non deve cedere al panico da sanzione. La via d’uscita risiede nella continuous readiness (la prontezza continua), una filosofia di gestione del rischio che si articola in tre pilastri fondamentali: 1. Mappatura olistica degli strumenti: il primo passo non è tecnologico, ma analitico. È necessario censire ogni singolo strumento di tracciamento e incrociarlo con i software di AI in uso (anche i più comuni tool di produttività o i chatbot di assistenza clienti). Sapere dove risiedono i dati e come si muovono è l’unica vera difesa. 2. AI Governance dinamica:la compliance non è una foto statica scattata una volta all’anno. I modelli di AI si evolvono, auto-apprendono e cambiano il modo in cui gestiscono i dati. Serve un framework di governance dinamico, capace di aggiornare le informative e i registri delle attività di trattamento in tempo reale. 3. Tracciamento trasparente e privacy-by-design: integrare i requisiti dell’AI Act con le attuali regole del GDPR significa progettare ogni touchpoint digitale mettendo la trasparenza al centro. Se l’utente percepisce il controllo sui propri dati, il valore del consenso aumenta, azzerando il rischio di dark pattern e contestazioni. Guardare al futuro con pragmatismo Il rinvio degli obblighi sull’alto rischio dà respiro su ciò che è più oneroso da implementare, ma non sposta la scadenza che riguarda la maggior parte delle aziende. Il conto alla rovescia verso il 2 agosto non deve spaventare. Le regole europee non nascono per soffocare l’innovazione, ma per renderla sostenibile e scalabile nel tempo. Abbandonare la logica dei silos per abbracciare una compliance integrata e continua è la chiave per costruire una fiducia digitale autentica con i propri utenti. E nel mercato di oggi, la fiducia è il vantaggio competitivo più grande che un’azienda possa desiderare.