--- title: "EU AI Act: guida alla conformità per deployer (2026) | Volcanic Minds" description: "EU AI Act, Digital Omnibus e Legge 132/2025: cosa si applica dal 2 agosto 2026 ai deployer e perché l'alto rischio slitta al 2027-2028." url: "https://volcanicminds.com/eu-ai-act" lang: "it-it" type: "first_level_page" updated: "2026-09-02" alternate: "https://volcanicminds.com/en/eu-ai-act" --- # EU AI Act: perché la conformità è un problema di codice, non di carta Dal 2 agosto 2026 si applicano trasparenza, governance, sanzioni e poteri delle autorità nazionali, mentre il Digital Omnibus sposta gli obblighi sui sistemi ad alto rischio al 2027-2028. L'Italia, con la Legge 132/2025 già in vigore e i decreti attuativi in arrivo, sta costruendo un regime di responsabilità penali e societarie per chi rilascia sistemi di AI senza controllo. ## La scadenza del 2 agosto 2026 e la via italiana alla conformità L'AI Act è già parzialmente operativo. Regolamento UE 2024/1689, modificato dal Regolamento UE 2026/1744. I divieti si applicano da febbraio 2025. Dal 2 agosto 2026 si applicano trasparenza, governance, sanzioni e poteri delle autorità nazionali, mentre gli obblighi per i sistemi ad alto rischio slittano al 2 dicembre 2027 per l'Allegato III e al 2 agosto 2028 per l'Allegato I, per effetto del Regolamento UE 2026/1744 (Digital Omnibus), in vigore dal 27 luglio 2026. Un equivoco diffuso è che la norma riguardi solo chi _crea_ i modelli base (OpenAI, Anthropic). La realtà è diversa: il Regolamento impatta direttamente i **deployer**, ossia chi _utilizza_ un sistema di AI sotto la propria responsabilità nei processi di business (Art. 3(4)). Sono loro a dover garantire supervisione umana, logging e uso conforme (Art. 26). ## Come applicarlo nel nostro caso In Italia il quadro va letto su due piani. ### Già in vigore. La Legge 132/2025 (in vigore dal 10 ottobre 2025) ha introdotto _direttamente_ nuove fattispecie penali legate all'AI, tra cui il reato di diffusione illecita di contenuti generati o alterati con AI (art. 612-quater c.p., deepfake) e un'aggravante comune per i reati commessi mediante sistemi di Intelligenza Artificiale (art. 61 n. 11-decies c.p.). ### In arrivo. Il 10 giugno 2026 il Consiglio dei Ministri ha approvato _in esame preliminare_ (Comunicato n. 177) due schemi di decreto attuativo, atti del Governo n. 418 e n. 421. A settembre 2026 sono ancora all'esame delle Camere e non risultano pubblicati in Gazzetta Ufficiale: il termine per adottarli scade a ottobre 2026. Gli schemi assegnano la vigilanza a due autorità: AgID come autorità di notifica, ACN come autorità di vigilanza del mercato e sicurezza dei dati. ## Cosa gli schemi di decreto stanno per mettere sul tavolo ### Un nuovo reato (proposto art. 437-bis c.p.) Omessa adozione di misure di sicurezza nei sistemi di AI ad alto rischio, quando dall'omissione di barriere tecniche o supervisione umana derivi un **pericolo concreto** per persone o sicurezza pubblica. La responsabilità penale non è "automatica per i vertici": ricade su chi ha materialmente omesso le misure dovute, con dolo o colpa grave. ### Estensione del D.Lgs. 231/2001 (proposto art. 25-vicies) L'illecito potrebbe diventare reato-presupposto della responsabilità _amministrativa dell'ente_, con sanzioni pecuniarie e interdittive: è qui che il rischio tocca l'azienda come soggetto. ### Decisioni automatizzate sul lavoro Gli schemi vietano di affidare _unicamente_ a un algoritmo le decisioni su assunzione, licenziamento e provvedimenti disciplinari, riservando la decisione finale a una persona fisica; per il licenziamento adottato in violazione è prevista espressamente la nullità. ⚠️ **Stato dell'iter (aggiornato a settembre 2026)** Al 2 settembre 2026 i due schemi (atti del Governo n. 418 e n. 421) sono ancora all'esame delle Camere e non risultano pubblicati in Gazzetta Ufficiale. I punti derivano quindi da schemi di decreto **in esame preliminare**, **non ancora diritto vigente**. Le informazioni riflettono lo stato normativo alla data indicata, non sostituiscono un parere legale e li aggiorneremo alla pubblicazione dei testi definitivi in Gazzetta Ufficiale. ## Il bluff della compliance "facile" La nostra posizione è netta La reale conformità all'AI Act non si risolve compilando un PDF e comprando la licenza di una dashboard di compliance. L'elenco degli obblighi teorici devono trasformarsi in atti pratici che il team IT deve tradurre e mettere a terra per non incorrere in sanzioni. E le sanzioni dell'AI Act sono progressive: fino al **3% del fatturato globale o €15M** per gli obblighi a carico di provider e deployer, fino al **7% o €35M** per chi adotta pratiche vietate. Ogni scorciatoia non architetturale è debito che si paga in sede di ispezione ACN. La conformità all'AI Act non è un'attività amministrativa _a posteriori_. È un **requisito non funzionale dell'architettura**. Va prevista e scritta nel codice, altrimenti senza architettura, è debito tecnico-normativo. ## Ti aiuteremo a mettere a terra la legge. Compliance by Design ### Ingegneria dei Guardrails (Art. 15 - accuratezza, robustezza, cybersicurezza). Sistemi di validazione deterministici a monte e a valle delle chiamate LLM, per ridurre drasticamente il rischio che l'agente allucini dati, devii dalle policy o produca output non conformi. ### LLM Observability & tracciamento immutabile (Art. 12 - record-keeping). Piani di controllo a runtime che registrano in modo immutabile ogni operazione dei sistemi agentici - contesto, token, passaggi decisionali, esito - così che in caso di audit (AgID/ACN) l'azienda possa esibire log integri, tracciabili e spiegabili (explainability). ### Architetture Human-in-the-Loop (Art. 14 - sorveglianza umana). UX e logica progettate perché le decisioni ad alto rischio preparate dall'AI richiedano la validazione formale di un operatore qualificato, registrata in conformità all'Art. 26. ### Sovranità dei dati e codice proprietario (No vendor lock-in). Soluzioni proprietarie al 100% per il cliente, su infrastrutture private/on-premise e modelli open-source controllati. By design, nessun dato esce verso l'esterno o verso terzi. ## Vuoi sapere dove sei veramente scoperto? Con un'**analisi gratuita** mappiamo i tuoi sistemi AI sui 4 pilastri: Guardrails, Observability, Human-in-the-Loop, Sovranità del dato e ti restituiamo i gap prioritari rispetto agli obblighi dell'AI Act. Senza impegno. ## Lo abbiamo già fatto Il nostro caso d'uso di AI Auditing Non teoria. Nel nostro portfolio c'è la Piattaforma Agentica AI di Auditing Avanzati: un sistema multi-tenant progettato per condurre audit complessi, gestire la knowledge base in modo controllato e mitigare le allucinazioni. In pratica, resta federata tutta la conoscenza e l'AI non può uscire dai confini del dominio progettato. L'harness non è solo una buona pratica ingegneristica: è un requisito fondamentale. ## Alcuni chiarimenti che servono a comprendere cosa succede Domande sull'EU AI Act ### Chi è un "deployer" ai sensi dell'AI Act? La persona fisica o giuridica che _utilizza_ un sistema di AI sotto la propria autorità nell'attività professionale (Art. 3(4)) - distinto dal provider che lo sviluppa e dal distributore che lo mette a disposizione. ### Cosa cambia il 2 agosto 2026? Si applicano gli obblighi di trasparenza, la governance, il regime sanzionatorio e i poteri delle autorità nazionali. Gli obblighi per i sistemi ad alto rischio sono invece stati rinviati dal Regolamento UE 2026/1744 (Digital Omnibus): 2 dicembre 2027 per i sistemi dell'Allegato III, 2 agosto 2028 per quelli dell'Allegato I. I divieti sono già attivi da febbraio 2025; gli obblighi sui modelli GPAI da agosto 2025. ### Quali sanzioni rischia un'azienda? Tre livelli: fino a €35M/7% del fatturato per le pratiche vietate; €15M/3% per la violazione degli altri obblighi; €7,5M/1% per informazioni scorrette alle autorità. Questi limiti vanno verificati e confermati attentamente, ti consigliamo di coinvolgere un professionista. ### La normativa italiana è già in vigore? La Legge 132/2025 sì (dal 10 ottobre 2025). I decreti attuativi che introdurrebbero il reato di omessa sicurezza AI e la responsabilità 231 sono ancora schemi all'esame delle Camere (verifica di settembre 2026), non ancora legge. ### A quali documenti ufficiali e fonti istituzionali fate riferimento? La trasparenza è uno dei nostri valori: ogni affermazione normativa nel testo è stata desunta da una fonte dell'elenco seguente. Tuttavia, **ti invitiamo a verificare direttamente** alla fonte l'interpretazione corretta, eventuali cambi e aggiornamenti, o errate interpretazioni. L'importanza e la comprensione di queste tematiche è vitale, quindi per approfondimenti rivolgiti a dei professionisti. 1. **Regolamento (UE) 2024/1689 (AI Act)** - [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689) 1. **Regolamento (UE) 2026/1744 (Digital Omnibus)** - [eur-lex.europa.eu](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32026R1744) 1. **Legge 23 settembre 2025, n. 132** - [gazzettaufficiale.it](https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg) 1. **Comunicato del Consiglio dei Ministri n. 177 (10 giugno 2026)** - [governo.it](https://www.governo.it/it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-177/32050) 1. **AI Act - Commissione Europea** - [digital-strategy.ec.europa.eu | Digital Strategy](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) 1. **Approccio europeo AI - Commissione Europea** - [digital-strategy.ec.europa.eu | EU Approeach AI](digital-strategy.ec.europa.eu) [Domande frequenti] **_Disclaime**r _ _Contenuto a carattere informativo e ingegneristico. Le informazioni riflettono lo stato normativo alla data di aggiornamento (controlla le fonti citate fra le FAQ di questa pagina per maggiori dettagli) e non costituiscono consulenza legale. Il contenuto di questa pagina, per quanto verificato più volte, può contenere informazioni errate o interpretazioni non corrette. Per valutazioni reali e/o sul caso specifico rivolgiti a un professionista abilitato, o chiamaci e lo coinvolgeremo ins_ieme. **_Ultimo aggiornamento: settembre 2026**._ ## Vuoi scoprire l'impatto reale delle nostre soluzioni? Non lasciare la conformità della tua AI al caso o al classico PDF di 80 pagine. L'adozione dell'AI non deve essere frenata dalla burocrazia, trasformarsi in un costo aggiuntivo, né diventare un azzardo legale: costruiamo sistemi agentici stabili, sicuri e conformi dalla prima riga di codice. Idee chiare, business chiaro.