Ogni volta che qualcuno mi chiede "ma quindi entro quando devo essere a posto?", parte una discussione di venti minuti. Perché la risposta giusta è "dipende da cosa fai", ma la risposta che serve è un elenco di date. Eccolo, aggiornato dopo il Regolamento (UE) 2026/1744 che a luglio 2026 ha spostato mezzo calendario.
Stampalo e attaccalo dove ti pare. È l'unica pagina di questo sito che ti conviene tenere aperta in un tab.
Le date già passate (e già vincolanti)
1 agosto 2024. L'AI Act, cioè il Regolamento (UE) 2024/1689, entra in vigore. Da qui parte tutto il conteggio.
2 febbraio 2025. Scattano i divieti dell'articolo 5: punteggio sociale, sfruttamento delle vulnerabilità legate a età o disabilità, riconoscimento delle emozioni sul posto di lavoro e a scuola, raccolta indiscriminata di volti da internet o dalle telecamere per costruire database biometrici. Insieme ai divieti parte l'obbligo di alfabetizzazione IA dell'articolo 4. Nessun rinvio: questa roba è vincolante da oltre un anno.
2 agosto 2025. Partono gli obblighi per i modelli di IA per finalità generali, i GPAI: quelli di OpenAI, Google, Anthropic, Mistral e compagnia. Documentazione tecnica, policy sul copyright, sintesi dei dati di addestramento. Prende forma la governance europea attorno all'Ufficio IA.
27 luglio 2026. Entra in vigore il Digital Omnibus. Dalla stessa data si applica la versione riscritta dell'articolo 4 sull'alfabetizzazione: non più un principio vago, ma "misure effettive e proporzionate" calibrate sulle mansioni e sul contesto d'uso.
2 agosto 2026. Applicabili gli obblighi di trasparenza dell'articolo 50, l'impianto sanzionatorio e la vigilanza nazionale. In Italia entrano in scena ACN e AgID con poteri veri. Parte anche il nuovo articolo 4-bis, che dà una base giuridica al trattamento di categorie particolari di dati quando serve a rilevare e correggere i bias.
Le date che arrivano adesso
2 dicembre 2026. Doppio appuntamento. Scade il termine per la marcatura leggibile da macchina dei contenuti sintetici sui sistemi immessi prima del 2 agosto 2026. E diventano applicabili i nuovi divieti su deepfake sessuali non consensuali e materiale di abuso su minori generato con IA.
Sono poco più di tre mesi. Se produci contenuti con l'IA per lavoro, questa è la tua scadenza vera, non quella di agosto.
Le date del 2027 e del 2028
2 dicembre 2027. Diventano applicabili gli obblighi per i sistemi ad alto rischio dell'Allegato III: software di selezione del personale, valutazione del merito creditizio, accesso ai servizi essenziali, istruzione, alcuni impieghi biometrici. Erano previsti per il 2 agosto 2026, l'Omnibus li ha spostati di sedici mesi. Dalla stessa data devono essere operative le sandbox regolatorie negli Stati membri.
2 agosto 2028. Tocca ai sistemi ad alto rischio dell'Allegato I, cioè l'IA integrata in prodotti già regolati da altre normative europee: macchine industriali, dispositivi medici, ascensori, aviazione, giocattoli. Due anni pieni, perché lì la conformità si incastra con direttive che esistevano da prima.
Come si legge questo calendario senza farsi male
Prima cosa: il rinvio non è un'amnistia. Se il tuo software di screening dei CV sarà ad alto rischio nel dicembre 2027, la documentazione la costruisci adesso, perché a quel punto ti servirà già pronta. Chi si è fermato ad agosto 2026 dicendo "tanto è slittato" si ritroverà a rincorrere.
Seconda cosa: le date valgono per ruolo. Fornitore e deployer hanno obblighi diversi sulla stessa data. Se compri un gestionale con l'IA dentro, la maggior parte del peso resta a chi te l'ha venduto — ma la trasparenza verso i tuoi clienti resta tua e basta.
Terza cosa: i divieti non slittano mai. Sono l'unica parte del regolamento che non ha mai preso una proroga, e sono anche quella con le multe più alte, fino a 35 milioni o al 7% del fatturato mondiale.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Il calendario è questo. Le scuse sono finite ad agosto.
Domande frequenti
Il Digital Omnibus ha cancellato gli obblighi sull'alto rischio?
No, li ha rinviati: 2 dicembre 2027 per l'Allegato III, 2 agosto 2028 per l'Allegato I. I requisiti restano quelli, cambia la data in cui diventano esigibili.
Esiste un periodo transitorio per i sistemi già in uso?
Sì, ed è il senso della scadenza del 2 dicembre 2026 sulla marcatura dei contenuti sintetici: riguarda i sistemi immessi sul mercato prima del 2 agosto 2026.
Le sandbox regolatorie a cosa servono?
Sono ambienti controllati in cui sperimentare un sistema IA sotto la supervisione dell'autorità nazionale, con margini di tolleranza. Devono essere operative entro il 2 dicembre 2027 in tutti gli Stati membri.