Scadenze AI Act 2025-2028: calendario operativo aggiornato per le imprese

Risposta rapida

Le scadenze AI Act sono progressive. Dal 2 febbraio 2025 sono applicabili le regole su pratiche vietate e AI literacy. Dal 2025 sono entrati in gioco gli obblighi sui modelli GPAI. Le regole generali sui sistemi ad alto rischio erano originariamente collegate al 2 agosto 2026, ma al 7 maggio 2026 Consiglio e Parlamento hanno raggiunto un accordo provvisorio per rinviare l’applicazione al 2 dicembre 2027 per sistemi stand-alone ad alto rischio e al 2 agosto 2028 per sistemi AI incorporati in prodotti. Il contenuto va quindi mantenuto sotto revisione prima della pubblicazione.

Perché questo tema è importante

La timeline dell’AI Act è uno dei punti più delicati per le aziende, perché alcune regole sono già operative mentre altre dipendono da fasi applicative, strumenti di supporto, standard armonizzati e sviluppi del Digital Omnibus. Un calendario corretto non deve creare panico, ma nemmeno giustificare immobilismo: anche quando una scadenza viene rinviata, inventario, classificazione, formazione e contratti fornitori richiedono mesi di lavoro.

Per GAPOFF il punto editoriale è sempre lo stesso: normativa → problema aziendale → rischio concreto → azione operativa → evidenza richiesta → modulo utile → CTA. L’AI Act non deve essere presentato come una raccolta astratta di articoli, ma come un sistema di controlli che l’organizzazione può applicare, dimostrare e aggiornare.

Quadro normativo e fonti ufficiali

Il riferimento principale è il Regolamento (UE) 2024/1689, cioè l’AI Act. Le fonti istituzionali da monitorare sono la pagina della Commissione Europea sull’AI Act, l’AI Act Service Desk, le pagine dedicate all’AI literacy, all’Articolo 6 sui sistemi ad alto rischio, all’Annex III, agli obblighi di provider, deployer, trasparenza e sanzioni.

Alla data di revisione di questo articolo va considerato anche l’accordo provvisorio del 7 maggio 2026 tra Consiglio e Parlamento sul pacchetto di semplificazione AI. Prima della pubblicazione definitiva, il coding agent o il revisore editoriale dovrà verificare lo stato dell’adozione formale e aggiornare date e note di manutenzione se necessario.

Cosa significa per l’azienda

Per un’organizzazione l’AI Act significa passare da uso spontaneo dell’intelligenza artificiale a governance documentata. Questo richiede almeno quattro livelli di controllo: inventario dei sistemi, classificazione del rischio, definizione dei ruoli e raccolta delle evidenze. Nei casi più delicati entrano in gioco valutazioni su dati personali, contratti con fornitori, human oversight, log, incidenti, formazione e reporting verso direzione o clienti.

La valutazione dipende dal caso concreto e deve essere verificata con professionisti qualificati e fonti ufficiali aggiornate. In particolare, non basta sapere che uno strumento “usa AI”: bisogna descrivere come viene usato, chi subisce gli effetti, se l’output influenza decisioni e se il sistema rientra in un’area sensibile.

Calendario operativo consigliato

1. Subito: bloccare o verificare pratiche potenzialmente vietate, in particolare manipolazione dannosa, social scoring, emotion recognition in lavoro/educazione e usi biometrici sensibili.
2. Subito: avviare misure di AI literacy per personale e soggetti che operano sistemi AI per conto dell’organizzazione.
3. Entro 30-60 giorni: completare inventario AI per reparti, fornitori, scopo, dati e owner.
4. Entro 90 giorni: classificare rischio e individuare sistemi soggetti a trasparenza o potenzialmente ad alto rischio.
5. Per GPAI e AI generativa: verificare documentazione del provider, policy copyright, trasparenza, condizioni d’uso e limitazioni.
6. Per sistemi ad alto rischio: predisporre roadmap di adeguamento, anche tenendo conto dell’accordo provvisorio del 7 maggio 2026 e della formalizzazione legislativa.
7. Ogni trimestre: aggiornare scadenze, fonti ufficiali e stato normativo nel registro compliance.

Queste attività dovrebbero essere assegnate a owner interni, con data, stato, evidenza collegata e riesame periodico. La logica corretta non è completare un documento una tantum, ma mantenere un sistema aggiornato quando cambia il fornitore, il modello, il contesto d’uso o il processo aziendale.

Esempio pratico

Un gruppo retail usa AI per customer care, pricing, antitaccheggio video e selezione personale. Le attività non devono aspettare l’ultima data applicativa: il customer care richiede valutazioni di trasparenza; il recruiting può ricadere nell’area HR ad alto rischio; il video analytics può aprire temi biometrici o di sorveglianza; la formazione del personale e il controllo fornitori sono già elementi da impostare. La roadmap deve separare attività già necessarie e attività soggette a scadenze future.

Errori comuni da evitare

• Usare una sola data “AI Act 2026” per tutto.
• Ignorare che AI literacy e pratiche vietate sono già rilevanti.
• Aggiornare i contenuti del sito senza trigger di revisione normativa.
• Aspettare gli standard armonizzati per iniziare l’inventario.
• Non distinguere deadline legale, accordo provvisorio e data di piena applicazione dopo formal adoption.

Come GAPOFF aiuta

GAPOFF permette di associare a ogni sistema AI uno stato di scadenza, un owner, evidenze mancanti e alert di riesame. Per il periodo 2026-2028 è fondamentale che il modulo AI Act Governance supporti contenuti e workflow aggiornabili, perché il Digital Omnibus può modificare date e priorità operative.

Checklist operativa

• Timeline AI Act inserita nel calendario compliance.
• Nota Digital Omnibus presente nel registro normativo.
• Sistemi AI già in uso censiti.
• Pratiche vietate verificate.
• AI literacy avviata.
• GPAI e fornitori generativi valutati.
• Trigger di revisione ogni 60-90 giorni attivo.

FAQ

Qual è la scadenza più urgente?

Per molte aziende sono già rilevanti pratiche vietate e AI literacy. Le scadenze sui sistemi ad alto rischio vanno monitorate alla luce del Digital Omnibus.

Le date 2027 e 2028 sono definitive?

Alla data di redazione risultano da accordo provvisorio Consiglio-Parlamento; prima della pubblicazione va verificata l’adozione formale e il testo definitivo.

Conviene aspettare?

No. Inventario, classificazione e fornitori richiedono tempo e sono utili anche se alcune date applicative slittano.

Ogni azienda deve seguire tutte le scadenze?

No. Dipende dai sistemi AI usati, sviluppati o distribuiti e dal ruolo dell’organizzazione.

Fonti ufficiali e riferimenti

• EUR-Lex - Regulation (EU) 2024/1689 Artificial Intelligence Act
• European Commission - AI Act overview
• AI Act Service Desk - Implementation timeline
• European Commission - AI Literacy Q&A
• AI Act Service Desk - Article 4 AI literacy
• AI Act Service Desk - Article 6 high-risk classification
• AI Act Service Desk - Annex III high-risk areas
• AI Act Service Desk - Article 16 provider obligations
• AI Act Service Desk - Article 26 deployer obligations
• AI Act Service Desk - Article 50 transparency obligations
• AI Act Service Desk - Article 99 penalties
• European Commission - General-Purpose AI Code of Practice
• Council of the EU - Provisional agreement on AI simplification, 7 May 2026

Disclaimer legale

Questo contenuto ha finalità informative e di orientamento generale. Non costituisce consulenza legale, tecnica, fiscale o organizzativa personalizzata. Per determinare obblighi, responsabilità e misure applicabili al caso concreto, è necessario svolgere una valutazione specifica con professionisti qualificati e fonti ufficiali aggiornate.

FAQ

Qual è la scadenza più urgente?

Per molte aziende sono già rilevanti pratiche vietate e AI literacy. Le scadenze sui sistemi ad alto rischio vanno monitorate alla luce del Digital Omnibus.

Le date 2027 e 2028 sono definitive?

Alla data di redazione risultano da accordo provvisorio Consiglio-Parlamento; prima della pubblicazione va verificata l’adozione formale e il testo definitivo.

Conviene aspettare?

No. Inventario, classificazione e fornitori richiedono tempo e sono utili anche se alcune date applicative slittano.

Ogni azienda deve seguire tutte le scadenze?

No. Dipende dai sistemi AI usati, sviluppati o distribuiti e dal ruolo dell’organizzazione.