Dal 2 agosto 2026 si applicano trasparenza, governance, sanzioni e poteri delle autorità nazionali, mentre il Digital Omnibus sposta gli obblighi sui sistemi ad alto rischio al 2027-2028. L'Italia, con la Legge 132/2025 già in vigore e i decreti attuativi in arrivo, sta costruendo un regime di responsabilità penali e societarie per chi rilascia sistemi di AI senza controllo.
I divieti si applicano da febbraio 2025. Per i sistemi ad alto rischio le scadenze sono il 2 dicembre 2027 per l'Allegato III e il 2 agosto 2028 per l'Allegato I, per effetto del Regolamento UE 2026/1744 (Digital Omnibus), in vigore dal 27 luglio 2026.
Un equivoco diffuso è che la norma riguardi solo chi crea i modelli base (OpenAI, Anthropic). La realtà è diversa: il Regolamento impatta direttamente i deployer, ossia chi utilizza un sistema di AI sotto la propria responsabilità nei processi di business (Art. 3(4)). Sono loro a dover garantire supervisione umana, logging e uso conforme (Art. 26).
La Legge 132/2025 (in vigore dal 10 ottobre 2025) ha introdotto direttamente nuove fattispecie penali legate all'AI, tra cui il reato di diffusione illecita di contenuti generati o alterati con AI (art. 612-quater c.p., deepfake) e un'aggravante comune per i reati commessi mediante sistemi di Intelligenza Artificiale (art. 61 n. 11-decies c.p.).
Il 10 giugno 2026 il Consiglio dei Ministri ha approvato in esame preliminare (Comunicato n. 177) due schemi di decreto attuativo, atti del Governo n. 418 e n. 421, da adottare entro ottobre 2026. Gli schemi assegnano la vigilanza a due autorità: AgID come autorità di notifica, ACN come autorità di vigilanza del mercato e sicurezza dei dati.
Omessa adozione di misure di sicurezza nei sistemi di AI ad alto rischio, quando dall'omissione di barriere tecniche o supervisione umana derivi un pericolo concreto per persone o sicurezza pubblica. La responsabilità penale non è "automatica per i vertici": ricade su chi ha materialmente omesso le misure dovute, con dolo o colpa grave.
L'illecito potrebbe diventare reato-presupposto della responsabilità amministrativa dell'ente, con sanzioni pecuniarie e interdittive: è qui che il rischio tocca l'azienda come soggetto.
Gli schemi vietano di affidare unicamente a un algoritmo le decisioni su assunzione, licenziamento e provvedimenti disciplinari, riservando la decisione finale a una persona fisica; per il licenziamento adottato in violazione è prevista espressamente la nullità.
Al 2 settembre 2026 i due schemi (atti del Governo n. 418 e n. 421) sono ancora all'esame delle Camere e non risultano pubblicati in Gazzetta Ufficiale. I punti derivano quindi da schemi di decreto in esame preliminare, non ancora diritto vigente. Le informazioni riflettono lo stato normativo alla data indicata, non sostituiscono un parere legale e li aggiorneremo alla pubblicazione dei testi definitivi in Gazzetta Ufficiale.
La reale conformità all'AI Act non si risolve compilando un PDF e comprando la licenza di una dashboard di compliance. L'elenco degli obblighi teorici devono trasformarsi in atti pratici che il team IT deve tradurre e mettere a terra per non incorrere in sanzioni.
E le sanzioni dell'AI Act sono progressive: fino al 3% del fatturato globale o €15M per gli obblighi a carico di provider e deployer, fino al 7% o €35M per chi adotta pratiche vietate. Ogni scorciatoia non architetturale è debito che si paga in sede di ispezione ACN.
La conformità all'AI Act non è un'attività amministrativa a posteriori. È un requisito non funzionale dell'architettura. Va prevista e scritta nel codice, altrimenti senza architettura, è debito tecnico-normativo.
Sistemi di validazione deterministici a monte e a valle delle chiamate LLM, per ridurre drasticamente il rischio che l'agente allucini dati, devii dalle policy o produca output non conformi.
Piani di controllo a runtime che registrano in modo immutabile ogni operazione dei sistemi agentici (contesto, token, passaggi decisionali, esito) così che in caso di audit (AgID/ACN) l'azienda possa esibire log integri, tracciabili e spiegabili (explainability).
UX e logica progettate perché le decisioni ad alto rischio preparate dall'AI richiedano la validazione formale di un operatore qualificato, registrata in conformità all'Art. 26.
Soluzioni di proprietà del cliente al 100%, su tecnologie standard, su infrastrutture private/on-premise e modelli open-source controllati. By design, nessun dato esce verso l'esterno o verso terzi.
Un'analisi gratuita dei tuoi sistemi AI rispetto agli obblighi dell'AI Act.
Non teoria. Nel nostro portfolio c'è la Piattaforma Agentica AI di Auditing Avanzati: un sistema multi-tenant progettato per condurre audit complessi, gestire la knowledge base in modo controllato e mitigare le allucinazioni. In pratica, resta federata tutta la conoscenza e l'AI non può uscire dai confini del dominio progettato. L'harness non è solo una buona pratica ingegneristica: è un requisito fondamentale.
La persona fisica o giuridica che utilizza un sistema di AI sotto la propria autorità nell'attività professionale (Art. 3(4)) - distinto dal provider che lo sviluppa e dal distributore che lo mette a disposizione.
Si applicano gli obblighi di trasparenza, la governance, il regime sanzionatorio e i poteri delle autorità nazionali. Gli obblighi per i sistemi ad alto rischio sono invece stati rinviati dal Regolamento UE 2026/1744 (Digital Omnibus): 2 dicembre 2027 per i sistemi dell'Allegato III, 2 agosto 2028 per quelli dell'Allegato I. I divieti sono già attivi da febbraio 2025; gli obblighi sui modelli GPAI da agosto 2025.
Tre livelli: fino a €35M/7% del fatturato per le pratiche vietate; €15M/3% per la violazione degli altri obblighi; €7,5M/1% per informazioni scorrette alle autorità. Questi limiti vanno verificati e confermati attentamente, ti consigliamo di coinvolgere un professionista.
La Legge 132/2025 sì (dal 10 ottobre 2025). I decreti attuativi che introdurrebbero il reato di omessa sicurezza AI e la responsabilità 231 sono ancora schemi all'esame delle Camere (verifica di settembre 2026), non ancora legge.
La trasparenza è uno dei nostri valori: ogni affermazione normativa nel testo è stata desunta da una fonte dell'elenco seguente.
Tuttavia, ti invitiamo a verificare direttamente alla fonte l'interpretazione corretta, eventuali cambi e aggiornamenti, o errate interpretazioni. L'importanza e la comprensione di queste tematiche è vitale, quindi per approfondimenti rivolgiti a dei professionisti.
Contenuto a carattere informativo e ingegneristico. Le informazioni riflettono lo stato normativo alla data di aggiornamento (controlla le fonti citate fra le FAQ di questa pagina per maggiori dettagli) e non costituiscono consulenza legale. Il contenuto di questa pagina, per quanto verificato più volte, può contenere informazioni errate o interpretazioni non corrette. Per valutazioni reali e/o sul caso specifico rivolgiti a un professionista abilitato, o chiamaci e lo coinvolgeremo insieme.
Ultimo aggiornamento: 2 settembre 2026.
Mappiamo i tuoi sistemi AI su guardrail, osservabilità, supervisione umana e sovranità del dato, e ti restituiamo le lacune prioritarie rispetto agli obblighi. Senza impegno.