---
title: "EU AI Act: guida alla conformità per deployer (2026) · Volcanic Minds"
description: "EU AI Act, Digital Omnibus e Legge 132/2025: cosa si applica dal 2 agosto 2026 ai deployer e perché l'alto rischio slitta al 2027-2028."
url: "https://volcanicminds.com/eu-ai-act"
lang: "it"
type: "first_level_page"
updated: "2026-10-12"
alternate: "https://volcanicminds.com/en/eu-ai-act"
summary: "L'EU AI Act riguarda chi usa l'AI, non solo chi la costruisce. Qui trovi che cosa si applica dal 2 agosto 2026, che cosa slitta al 2027 e al 2028, e che cosa comporta in pratica per un'azienda che ha già messo l'AI in un processo: è un contributo ingegneristico, non un parere legale."
---

# EU AI Act perché la conformità è un problema di codice, non di carta

Dal 2 agosto 2026 si applicano trasparenza, governance, sanzioni e poteri delle autorità nazionali, mentre il Digital Omnibus sposta gli obblighi sui sistemi ad alto rischio al 2027-2028. L'Italia, con la Legge 132/2025 già in vigore e i decreti attuativi in arrivo, sta costruendo un regime di responsabilità penali e societarie per chi rilascia sistemi di AI senza controllo.

## L'AI Act è già parzialmente operativo. Regolamento UE 2024/1689, modificato dal Regolamento UE 2026/1744.

*Scadenza del 2 agosto 2026*

I divieti si applicano da febbraio 2025. Per i sistemi ad alto rischio le scadenze sono il 2 dicembre 2027 per l'Allegato III e il 2 agosto 2028 per l'Allegato I, per effetto del Regolamento UE 2026/1744 (Digital Omnibus), in vigore dal 27 luglio 2026.

Un equivoco diffuso è che la norma riguardi solo chi *crea* i modelli base (OpenAI, Anthropic). La realtà è diversa: il Regolamento impatta direttamente i **deployer**, ossia chi *utilizza* un sistema di AI sotto la propria responsabilità nei processi di business (Art. 3(4)). Sono loro a dover garantire supervisione umana, logging e uso conforme (Art. 26).

## In Italia il quadro va letto su due piani.

*Come applicarlo nel nostro caso*

### Già in vigore.

La Legge 132/2025 (in vigore dal 10 ottobre 2025) ha introdotto *direttamente* nuove fattispecie penali legate all'AI, tra cui il reato di diffusione illecita di contenuti generati o alterati con AI (art. 612-quater c.p., deepfake) e un'aggravante comune per i reati commessi mediante sistemi di Intelligenza Artificiale (art. 61 n. 11-decies c.p.).

### In arrivo.

Il 10 giugno 2026 il Consiglio dei Ministri ha approvato *in esame preliminare* (Comunicato n. 177) due schemi di decreto attuativo, atti del Governo n. 418 e n. 421, da adottare entro ottobre 2026. Gli schemi assegnano la vigilanza a due autorità: AgID come autorità di notifica, ACN come autorità di vigilanza del mercato e sicurezza dei dati.

## Cosa gli schemi di decreto stanno per mettere sul tavolo

*Schemi di decreto 418 e 421*

1. **Un nuovo reato (proposto art. 437-bis c.p.)** — Omessa adozione di misure di sicurezza nei sistemi di AI ad alto rischio, quando dall'omissione di barriere tecniche o supervisione umana derivi un pericolo concreto per persone o sicurezza pubblica. La responsabilità penale non è "automatica per i vertici": ricade su chi ha materialmente omesso le misure dovute, con dolo o colpa grave.
2. **Estensione del D.Lgs. 231/2001 (proposto art. 25-vicies)** — L'illecito potrebbe diventare reato-presupposto della responsabilità amministrativa dell'ente, con sanzioni pecuniarie e interdittive: è qui che il rischio tocca l'azienda come soggetto.
3. **Decisioni automatizzate sul lavoro** — Gli schemi vietano di affidare unicamente a un algoritmo le decisioni su assunzione, licenziamento e provvedimenti disciplinari, riservando la decisione finale a una persona fisica; per il licenziamento adottato in violazione è prevista espressamente la nullità.

## Stato attuale dell'iter

*Attenzione*

Al 2 settembre 2026 i due schemi (atti del Governo n. 418 e n. 421) sono ancora all'esame delle Camere e non risultano pubblicati in Gazzetta Ufficiale. I punti derivano quindi da schemi di decreto **in esame preliminare**, **non ancora diritto vigente**. Le informazioni riflettono lo stato normativo alla data indicata, non sostituiscono un parere legale e li aggiorneremo alla pubblicazione dei testi definitivi in Gazzetta Ufficiale.

## La nostra posizione è netta

*Il bluff della compliance "facile"*

La reale conformità all'AI Act non si risolve compilando un PDF e comprando la licenza di una dashboard di compliance. L'elenco degli obblighi teorici devono trasformarsi in atti pratici che il team IT deve tradurre e mettere a terra per non incorrere in sanzioni.

E le sanzioni dell'AI Act sono progressive: fino al **3% del fatturato globale o €15M** per gli obblighi a carico di provider e deployer, fino al **7% o €35M** per chi adotta pratiche vietate. Ogni scorciatoia non architetturale è debito che si paga in sede di ispezione ACN.

La conformità all'AI Act non è un'attività amministrativa *a posteriori*. È un **requisito non funzionale dell'architettura**. Va prevista e scritta nel codice, altrimenti senza architettura, è debito tecnico-normativo.

## Compliance by Design

*Come ti aiutiamo*

### Ingegneria dei Guardrails *(Art. 15 - accuratezza, robustezza, cybersicurezza).*

Sistemi di validazione deterministici a monte e a valle delle chiamate LLM, per ridurre drasticamente il rischio che l'agente allucini dati, devii dalle policy o produca output non conformi.

### LLM Observability & tracciamento immutabile *(Art. 12 - record-keeping).*

Piani di controllo a runtime che registrano in modo immutabile ogni operazione dei sistemi agentici (contesto, token, passaggi decisionali, esito) così che in caso di audit (AgID/ACN) l'azienda possa esibire log integri, tracciabili e spiegabili (explainability).

### Architetture Human-in-the-Loop *(Art. 14 - sorveglianza umana).*

UX e logica progettate perché le decisioni ad alto rischio preparate dall'AI richiedano la validazione formale di un operatore qualificato, registrata in conformità all'Art. 26.

### Sovranità dei dati e codice di proprietà del cliente *(No vendor lock-in).*

Soluzioni di proprietà del cliente al 100%, su tecnologie standard, su infrastrutture private/on-premise e modelli open-source controllati. By design, nessun dato esce verso l'esterno o verso terzi.

## Vuoi sapere dove sei davvero scoperto?

Un'analisi gratuita dei tuoi sistemi AI rispetto agli obblighi dell'AI Act.

- [Parliamo del tuo progetto](/contacts)

## Il nostro caso d'uso di AI Auditing

*Lo abbiamo già fatto*

Non teoria. Nel nostro portfolio c'è la Piattaforma Agentica AI di Auditing Avanzati: un sistema multi-tenant progettato per condurre audit complessi, gestire la knowledge base in modo controllato e mitigare le allucinazioni. In pratica, resta federata tutta la conoscenza e l'AI non può uscire dai confini del dominio progettato. L'harness non è solo una buona pratica ingegneristica: è un requisito fondamentale.

## Domande sull'EU AI Act

*Chiarimenti*

### Chi è un "deployer" ai sensi dell'AI Act?

La persona fisica o giuridica che *utilizza* un sistema di AI sotto la propria autorità nell'attività professionale (Art. 3(4)) - distinto dal provider che lo sviluppa e dal distributore che lo mette a disposizione.

### Cosa cambia il 2 agosto 2026?

Si applicano gli obblighi di trasparenza, la governance, il regime sanzionatorio e i poteri delle autorità nazionali. Gli obblighi per i sistemi ad alto rischio sono invece stati rinviati dal Regolamento UE 2026/1744 (Digital Omnibus): 2 dicembre 2027 per i sistemi dell'Allegato III, 2 agosto 2028 per quelli dell'Allegato I. I divieti sono già attivi da febbraio 2025; gli obblighi sui modelli GPAI da agosto 2025.

### Quali sanzioni rischia un'azienda?

Tre livelli: fino a €35M/7% del fatturato per le pratiche vietate; €15M/3% per la violazione degli altri obblighi; €7,5M/1% per informazioni scorrette alle autorità. Questi limiti vanno verificati e confermati attentamente, ti consigliamo di coinvolgere un professionista.

### La normativa italiana è già in vigore?

La Legge 132/2025 sì (dal 10 ottobre 2025). I decreti attuativi che introdurrebbero il reato di omessa sicurezza AI e la responsabilità 231 sono ancora schemi all'esame delle Camere (verifica di settembre 2026), non ancora legge.

### A quali documenti ufficiali e fonti istituzionali fate riferimento?

La trasparenza è uno dei nostri valori: ogni affermazione normativa nel testo è stata desunta da una fonte dell'elenco seguente.

Tuttavia, **ti invitiamo a verificare direttamente** alla fonte l'interpretazione corretta, eventuali cambi e aggiornamenti, o errate interpretazioni. L'importanza e la comprensione di queste tematiche è vitale, quindi per approfondimenti rivolgiti a dei professionisti.

- [Regolamento (UE) 2024/1689, AI Act](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689) (eur-lex.europa.eu)
- [Regolamento (UE) 2026/1744, Digital Omnibus](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32026R1744) (eur-lex.europa.eu)
- [Legge 23 settembre 2025, n. 132](https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg) (gazzettaufficiale.it)
- [Comunicato del Consiglio dei Ministri n. 177 del 10 giugno 2026](https://www.governo.it/it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-177/32050) (governo.it)
- [Quadro normativo europeo sull'AI, Commissione Europea](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) (digital-strategy.ec.europa.eu, in inglese)
- [Strategia digitale della Commissione Europea](https://digital-strategy.ec.europa.eu) (digital-strategy.ec.europa.eu, in inglese)

## Disclaimer

Contenuto a carattere informativo e ingegneristico. Le informazioni riflettono lo stato normativo alla data di aggiornamento (controlla le fonti citate fra le FAQ di questa pagina per maggiori dettagli) e non costituiscono consulenza legale. Il contenuto di questa pagina, per quanto verificato più volte, può contenere informazioni errate o interpretazioni non corrette. Per valutazioni reali e/o sul caso specifico rivolgiti a un professionista abilitato, o chiamaci e lo coinvolgeremo insieme.

## La conformità all'AI Act si costruisce nel codice.

Mappiamo i tuoi sistemi AI su guardrail, osservabilità, supervisione umana e sovranità del dato, e ti restituiamo le lacune prioritarie rispetto agli obblighi. Senza impegno.

- [Parliamo del tuo progetto](/contacts)