Il 2 agosto l'AI Act riguarda anche te (e non devi comprare niente)

"Dobbiamo dotarci di qualcosa entro il 2 agosto?"

È la domanda che si stanno facendo fanno imprese, colleghi di studio, amministratori e responsabili tecnici che hanno letto tre righe su una newsletter o hanno visto un video e hanno capito che a inizio agosto scade qualcosa. Quasi sempre la domanda arriva già con una risposta implicita: comprare un software, attivare un servizio, firmare un contratto di consulenza.

La risposta è no. E il motivo per cui è no dice qualcosa di preciso su come reagiamo, nel nostro settore, ai cambi di norma: è lo stesso errore che vediamo fare sugli immobili da vent'anni.

Cosa scade davvero il 2 agosto 2026

Il Regolamento (UE) 2024/1689, quello che tutti chiamano AI Act, arriva alla sua data di applicazione generale. Non è la data in cui nasce, non è la data in cui entra in vigore: è la data in cui il presidio si estende all'intero corpo del regolamento e le autorità possono vigilare su tutto.

Vale la pena mettere in fila le tappe, perché la confusione nasce quasi sempre da qui.

• 2 febbraio 2025: sono già operativi i divieti sulle pratiche a rischio inaccettabile (articolo 5) e l'obbligo di alfabetizzazione in materia di IA (articolo 4).
• 2 agosto 2025: governance, modelli per finalità generale e apparato sanzionatorio.
• 2 agosto 2026: applicazione generale, compresi gli obblighi di trasparenza dell'articolo 50.
• 2 dicembre 2026: scade il periodo transitorio per la marcatura dei contenuti generati dai sistemi già in commercio, ed entrano in vigore alcuni divieti.
• 2 dicembre 2027 e 2 agosto 2028: gli obblighi sui sistemi ad alto rischio, slittati rispetto alle scadenze originarie.

Quest'ultima riga è la novità più fresca. Lo slittamento arriva dal pacchetto di semplificazione noto come Digital Omnibus, diventato Regolamento (UE) 2026/1744, pubblicato in Gazzetta ufficiale dell'Unione europea il 24 luglio 2026 ed entrato in vigore il 27 luglio. Motivo dichiarato del rinvio: le norme tecniche armonizzate necessarie ad applicare davvero gli obblighi sull'alto rischio non erano pronte.

Detto in modo brutale: il 2 agosto non aggiunge quasi nulla al tuo elenco di cose da fare. Rende esigibile quello che c'era già. È una differenza sottile e cambia completamente la reazione giusta. Se fosse un adempimento nuovo, avrebbe senso correre a comprare una soluzione; siccome è vigilanza piena su obblighi in gran parte esistenti, ha senso invece capire in che stato sei.

La parola che ti riguarda si chiama deployer

Nel regolamento, chi utilizza professionalmente un sistema di IA sotto la propria autorità si chiama deployer. Non è chi lo produce, non è chi lo vende: è chi lo usa per lavoro. L'uso puramente personale resta fuori dal perimetro; l'uso professionale no.

Il che significa che sei dentro se hai un chatbot sul sito aziendale, se il gestionale smista o classifica automaticamente le richieste in arrivo, se qualcuno in ufficio usa un assistente generativo per preparare una bozza di relazione, di capitolato o di risposta a una richiesta di chiarimenti, se il software di computo o l'ambiente BIM ha una funzione "suggerita dall'IA" che nessuno ha mai indagato davvero, se le telecamere di cantiere fanno analisi video, se il sistema di gestione energetica o di lettura contatori prende decisioni in autonomia, se uno strumento fa una prima scrematura delle candidature quando assumi.

Nessuna di queste cose l'hai comprata pensando "sto adottando intelligenza artificiale". È esattamente il punto: l'IA è già in casa, e non c'è un momento in cui hai deciso di farla entrare.

L'alfabetizzazione si è alleggerita, il problema no

Una precisazione utile, perché in queste settimane circola parecchia confusione. Il Digital Omnibus ha riscritto l'articolo 4: fornitori e deployer non devono più garantire un livello sufficiente di competenza del personale, ma adottare misure adeguate a sostenere l'alfabetizzazione di chi lavora con quei sistemi, con il supporto della Commissione e degli Stati membri.

È un alleggerimento reale sul piano formale. Non è un condono. L'articolo 4 non ha una sanzione propria, ma le misure tecniche e organizzative adottate pesano nella commisurazione delle sanzioni per altre violazioni. Tradotto: quando qualcuno chiede conto di come hai lavorato, formazione e regole interne documentate giocano a tuo favore, e la loro assenza gioca contro. È la stessa logica di accountability che abbiamo già imparato, a nostre spese, con la protezione dei dati.

Prima il rilievo dello stato di fatto, poi il progetto

Qui arriviamo alla parte che ci interessa davvero, perché è la stessa cosa che diciamo da anni davanti a un fabbricato.

Quando qualcuno ci chiama per un intervento (un ampliamento, un cambio di destinazione, un efficientamento, una pratica da sbloccare) la prima richiesta è quasi sempre il progetto. Vogliono il disegno, il computo, la soluzione. E quasi sempre la prima cosa che serve è un'altra: capire cosa c'è. Rilievo, stato legittimo, titoli edilizi, difformità, cosa è stato fatto negli anni e con quale carta.

Non è pignoleria da ufficio tecnico. Un progetto costruito su uno stato di fatto sbagliato non è un progetto: è una scommessa che paghi dopo, con gli interessi, di solito quando il cantiere è aperto e non puoi più tornare indietro.

Con l'IA in azienda vale la stessa identica logica. Chi ti propone «la soluzione per la conformità all'AI Act» prima di sapere quali sistemi hai in casa ti sta vendendo un progetto senza rilievo. Può anche essere un buon prodotto, ma non sa cosa deve risolvere, perché non lo sai neanche tu.

E lo diciamo perchè lo abbiamo affrontato in prima persona. In INSPIRENG l'IA viene utilizzata, ma con criterio: interlocutori costruiti con ruolo, contesto e obiettivo definiti, che producono output operativi verificati da controllo umano prima di uscire.

Il metodo era definito. Quello che per un po' non c'è stato è la parte noiosa: metterlo nero su bianco. Quali strumenti, chi li usa, su quali dati, chi controlla l'output.

Le quattro colonne del rilievo

Il lavoro, per la maggior parte delle realtà che conosciamo, sta in una tabella. Quattro colonne, e la fatica non è tecnica: è ricordarsi di guardare.

1. Quale sistema. Nome dello strumento, fornitore, dove sta il servizio. Ci finiscono i gestionali, i chatbot, gli assistenti generativi e le funzioni "smart" dentro programmi che usi da anni.
2. Chi lo usa. Persona e ruolo, non "l'ufficio". Serve a calibrare la formazione, che l'articolo 4 chiede proporzionata al contesto e non uniforme per tutti.
3. Su quali dati. Dati di clienti, dipendenti, elaborati di progetto, documenti riservati di gara. Qui l'AI Act incrocia il GDPR e i conti si fanno insieme.
4. Con quale controllo umano. Chi rilegge, chi firma, cosa succede se l'output è sbagliato. È la colonna che quasi nessuno compila, ed è l'unica che conta davvero quando qualcuno chiede conto di come si è lavorato.

Da questa tabella escono quasi da sole le tre cose che poi servono: un percorso di formazione documentato, una regola interna scritta su strumenti ammessi e limiti, l'informativa al cliente. Prima della tabella, ognuna di queste è aria fritta.

Il secondo binario: la legge italiana

In Italia c'è un secondo binario, ed è quello con l'impatto più immediato su chi esercita una professione intellettuale.

La Legge n. 132/2025, in vigore dal 10 ottobre 2025, all'articolo 13 stabilisce che nelle professioni intellettuali l'IA si usa solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale della persona, e impone di comunicare al cliente le informazioni sui sistemi impiegati con linguaggio chiaro, semplice ed esaustivo. Diversi Ordini hanno già diffuso modelli di informativa.

L'articolo 13 non prevede sanzioni proprie e diciamo che questa non è proprio una buona notizia: la violazione pesa sul piano disciplinare, civile e contrattuale e la responsabilità per l'errore resta personale; c'è il rischio concreto, quindi, che la copertura assicurativa non operi in caso di uso negligente o non dichiarato dell'IA. Non ci sono multe, ma se qualcosa va storto sei solo.

Sul fronte della vigilanza il quadro italiano si sta chiudendo adesso: la legge affida ad ACN il ruolo di autorità di vigilanza del mercato e ad AgID quello di autorità di notifica, con le autorità di settore competenti sui rispettivi ambiti. Il decreto legislativo che definisce autorità nazionali, spazio di sperimentazione e sistema sanzionatorio era stato approvato in esame preliminare dal Consiglio dei ministri il 10 giugno 2026.