Le scadenze dell’AI Act, e cosa cambia se l’AI è nel prodotto o nei processi
Aggiornato il 26 agosto 2026·6 min di lettura·Alberto Scarpa
Sull’AI Act circola una data sola, il 2027, e con quella un falso senso di tempo. Il regolamento (UE 2024/1689) è in vigore dall’1 agosto 2024, ma la sua applicazione è scaglionata fino al 2030 (articolo 113). Il punto è che le date non arrivano in fila per gravità: alcune cose sono già obbligatorie oggi, e l’obbligo che pesa di più su un’azienda dipende non da quando ma da dove usa l’intelligenza artificiale.
Per un produttore industriale la linea di frattura è netta, e conviene tracciarla prima del calendario. C’è l’AI nei processi — quella che usi in azienda: selezione del personale, gestione dei lavoratori, valutazione del credito. E c’è l’AI nel prodotto — quella che incorpori in una macchina, in un apparato, in un dispositivo che poi vendi con la marcatura CE. Le due cose ricadono in due regimi e in due date diverse. Chi le confonde rischia di guardare al 2027 mentre è già scoperto su un fronte più vicino. Se il quadro generale — cos’è un sistema di AI, cosa vuol dire “alto rischio” — non è ancora a fuoco, il punto di partenza sugli standard è Gli standard dell’AI Act; per fotografare la propria esposizione c’è il pre-assessment AI Act.
Già in vigore: proibizioni e alfabetizzazione
Dal 2 febbraio 2025 si applicano due cose che quasi nessuno associa a una “scadenza”, perché non hanno l’aspetto di un adempimento di prodotto.
La prima sono le pratiche vietate dell’articolo 5: sistemi di AI che manipolano il comportamento in modo dannoso, che fanno social scoring, o che deducono emozioni sul posto di lavoro salvo eccezioni. Non è un rischio da valutare, è un divieto: quei sistemi non si possono usare, punto.
La seconda è l’obbligo di alfabetizzazione AI dell’articolo 4. Chi sviluppa o usa sistemi di AI deve garantire un livello adeguato di competenza a chi li governa. È un obbligo generale, già attivo, che vale anche per l’AI usata internamente e non solo per quella che finisce nel prodotto.
Nota dell’autore (mia indicazione, non testo di legge). L’articolo 4 è la scadenza più facile da rispettare e la più facile da ignorare, perché non produce un documento da esibire. Cosa devi aver fatto: sapere quali strumenti di AI girano già in azienda — inclusi quelli arrivati dal basso, senza che nessuno li abbia deliberati — e aver dato a chi li usa una formazione proporzionata al rischio. Non serve un corso da manuale; serve che la competenza sia tracciabile.
2 agosto 2026, l’AI nei processi
Da questa data si applica la gran parte del regolamento, e con essa gli obblighi per i sistemi ad alto rischio elencati nell’Allegato III (articolo 6, paragrafo 2). Sono i sistemi ad alto rischio “in sé”, indipendenti da un prodotto: quelli usati per selezionare candidati, per gestire e valutare i lavoratori, per decidere l’accesso a servizi essenziali.
È qui che una PMI manifatturiera scopre di essere esposta anche senza vendere un grammo di AI. Basta usarne una nei propri processi. Uno strumento di screening dei CV, un sistema che assegna turni o valuta la produttività: se rientra nell’Allegato III, porta con sé obblighi di gestione del rischio, qualità dei dati, sorveglianza umana e trasparenza. L’AI nei processi arriva prima dell’AI nel prodotto, e riguarda molte più aziende di quante pensino di essere “aziende di AI”.
2 agosto 2027, l’AI nel prodotto
È la data che quasi tutti conoscono, ed è quella giusta per un pezzo preciso del problema: gli obblighi dell’articolo 6, paragrafo 1. Un sistema di AI è ad alto rischio quando è un componente di sicurezza di un prodotto — o è esso stesso un prodotto — coperto dalla normativa di armonizzazione dell’Allegato I (Direttiva Macchine e nuovo Regolamento Macchine, RED, dispositivi medici e altre), e quando quel prodotto è soggetto a valutazione di conformità di terza parte.
Per chi costruisce macchine e apparati questa è la data-perno, e la buona notizia è che si aggancia a un binario già noto: la marcatura CE. L’AI ad alto rischio incorporata non apre un canale separato, entra nella valutazione di conformità del prodotto che già fai. Il che significa che le decisioni di progetto che prendi oggi su un device destinato a restare in produzione nel 2028 sono già decisioni AI Act, esattamente come lo sono già decisioni CRA (le due normative si sovrappongono sullo stesso prodotto connesso e intelligente: vale la pena leggerle insieme).
La stessa data porta un secondo obbligo, meno visibile ma rilevante per chi integra: i modelli di AI per finalità generali (GPAI) immessi sul mercato prima dell’agosto 2025 devono mettersi a norma entro il 2 agosto 2027. Se nel tuo prodotto gira un modello di terzi, quella conformità a monte ti riguarda a valle.
Nota dell’autore (mia indicazione). Il caso di confine che sfugge di più: un componente di AI dentro una macchina è sempre “componente di sicurezza”? Non necessariamente, e la differenza cambia tutto il regime. Cosa devi aver fatto per tempo: aver classificato con onestà i tuoi sistemi, senza dare per scontato né che siano tutti ad alto rischio né che non lo sia nessuno. Gli orientamenti della Commissione sull’articolo 6 (attesi) serviranno proprio a questo; nel frattempo la classificazione va argomentata, non intuita.
Come leggere le date insieme
La trappola è comprimere tutto sul 2027 e rimandare. In realtà le date lavorano su piani diversi. Le proibizioni e l’alfabetizzazione sono già oggi, e non chiedono un prodotto conforme: chiedono di sapere cosa gira in azienda. L’AI nei processi (2026) è un problema di governance interna, e riguarda anche chi non si considera un produttore di AI. L’AI nel prodotto (2027) è un problema di progettazione, e si vince solo se le decisioni giuste entrano nel prodotto mentre lo disegni, non dopo.
Chi tiene separati i tre orizzonti arriva pronto a tutti. Chi li fonde in un’unica scadenza al 2027 rischia di essere già inadempiente su ciò che è entrato in vigore prima, credendo di avere ancora un anno di margine.
Riferimenti: Regolamento (UE) 2024/1689 (AI Act), articoli 4, 5, 6, 70, 111, 113 e Allegati I e III; legge italiana 132/2025 (autorità nazionali AgID e ACN). Le note segnalate come operative sono mie interpretazioni, non testo normativo. Per lo stato di attuazione aggiornato — standard, orientamenti, autorità — c’è il tracker stato di attuazione dell’AI Act.