In breve: Il Regolamento (UE) 2026/1744 è stato pubblicato nella Gazzetta Ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026. Gli obblighi ad alto rischio che tutti si aspettavano sono slittati al 2 dicembre 2027 e al 2 agosto 2028. La scadenza del 2 agosto 2026 per la trasparenza non è stata spostata. Due nuove proibizioni entrano in vigore il 2 dicembre 2026. L'architettura basata sul rischio dell'AI Act è intatta. E in una tabella di codici amministrativi per gli organismi notificati, il diritto dell'Unione nomina per la prima volta l'IA agentiva, senza definirla.
Cosa è successo realmente
Il Parlamento europeo e il Consiglio hanno adottato il Regolamento (UE) 2026/1744 l'8 luglio 2026 a Strasburgo. È stato pubblicato nella Gazzetta Ufficiale il 24 luglio ed è entrato in vigore il 27 luglio, il terzo giorno dopo la pubblicazione anziché il ventesimo, poiché il 2 agosto era troppo vicino per lasciare il testo in sospeso. Il suo compito formale è ristretto: modificare il Regolamento (UE) 2024/1689 - l'AI Act - insieme al Regolamento sull'aviazione di base e al Regolamento macchine. Tutti lo chiamano il Digital Omnibus sull'IA.
Un regolamento che modifica un regolamento si applica direttamente in tutti i 27 Stati membri. Nessun passo di trasposizione, nessun atto di attuazione nazionale da attendere, nessuna divergenza tra Dublino e Varsavia. L'AI Act che avete letto il mese scorso è un documento diverso oggi.
Non è un'abrogazione, e non è la deregolamentazione che alcune lobby chiedevano. I livelli di rischio sono sopravvissuti. L'elenco delle pratiche proibite è diventato più lungo, non più corto. Ciò che è cambiato è stato il calendario per il capitolo più costoso, più una manciata di obblighi che sono diventati meno onerosi da adempiere.
L'unica data che non è stata spostata: 2 agosto 2026
Questa è la parte che i titoli dei giornali sui ritardi seppelliscono, ed è la parte che arriva per prima. L'articolo 50, il capitolo sulla trasparenza, si applica ancora a partire dal 2 agosto 2026. Se state leggendo questo nella settimana in cui è stato pubblicato, mancano giorni, non trimestri.
- Dite alle persone che stanno parlando con una macchina. Un sistema di IA che interagisce con persone fisiche deve renderlo chiaro, a meno che non sia ovvio dal contesto.
- Contrassegnare il contenuto sintetico in modo leggibile dalla macchina. Audio, immagini, video e testo generati o manipolati dall'IA devono riportare un contrassegno che una macchina possa rilevare.
- Etichettare i deepfake. Il contenuto che assomiglia a persone, luoghi o eventi reali e che potrebbe indurre in errore deve essere dichiarato come generato artificialmente.
- Divulgare il testo generato dall'AI pubblicato per informare il pubblico su questioni di interesse pubblico, a meno che un essere umano non se ne sia assunto la responsabilità editoriale.
- Riconoscimento delle emozioni e categorizzazione biometrica: gli utilizzatori devono informare le persone esposte al sistema.
È stata concessa una deroga. L'articolo 50(2) - la marcatura leggibile dalla macchina dei contenuti sintetici - prevede un periodo di grazia fino al 2 dicembre 2026 per i sistemi già sul mercato prima del 2 agosto 2026. I nuovi sistemi non godono di questo periodo. Il resto dell'articolo 50 entra in vigore il 2 agosto senza alcuna transizione, e i nuovi articoli sull'applicazione entrano in vigore lo stesso giorno.
Le nove modifiche che contano
Legge originale a sinistra, posizione modificata a destra. I numeri degli articoli si riferiscono all'AI Act come modificato.
- 1. Tempistica per l'alto rischio (Articolo 113). Era: sistemi autonomi dell'Allegato III dal 2 agosto 2026, AI incorporata in prodotti regolamentati ai sensi dell'Allegato I dal 2 agosto 2027. Ora: 2 dicembre 2027 per l'Allegato III, 2 agosto 2028 per l'Allegato I Sezione A. I sistemi legacy ad alto rischio già in uso da parte delle autorità pubbliche hanno tempo fino al 2 agosto 2030. La bozza della Commissione di novembre 2025 aveva legato queste date a un innesco condizionale di prontezza degli standard; il testo finale l'ha eliminato, quindi queste sono date di calendario incondizionate che non possono subire ulteriori slittamenti senza una nuova procedura legislativa.
- 2. Nuovi divieti (Articolo 5). Erano: otto pratiche vietate, applicabili dal 2 febbraio 2025. Ora: altre due - generare o manipolare materiale intimo senza consenso libero, specifico, informato, inequivocabile ed esplicito, e materiale di abuso sessuale su minori. Applicabili dal 2 dicembre 2026, nella fascia di penalità massima fino a 35 milioni di euro o il 7% del fatturato annuo mondiale. Il nuovo Articolo 5(1a) divide la responsabilità tra fornitore e utilizzatore: un fornitore è coinvolto quando la generazione è lo scopo previsto, o è ragionevolmente prevedibile e riproducibile senza significative modifiche tecniche. I fornitori sono tenuti a documentare salvaguardie tecniche reali - formazione sul rifiuto, guardrail per i prompt, filtraggio dei contenuti, rilevamento degli abusi.
- 3. Marcatura di trasparenza (Articolo 50(2)). Era: applicabile il 2 agosto 2026, nessuna transizione. Ora: stessa data per i nuovi sistemi, con un periodo di grazia fino al 2 dicembre 2026 per i sistemi immessi sul mercato prima del 2 agosto 2026.
- 4. Alfabetizzazione AI (Articolo 4). Era: fornitori e utilizzatori devono garantire un livello sufficiente di alfabetizzazione AI tra il personale. Ora: adottare misure per sostenere lo sviluppo dell'alfabetizzazione AI, con un linguaggio esplicito che nessun livello specifico deve essere garantito. Meno rigido nella sostanza, e si applica dal 27 luglio 2026. Si applica ancora agli utilizzatori, il che significa che si applica agli studi legali.
- 5. Dati per il rilevamento dei bias (nuovo Articolo 4a). Era: una base giuridica ristretta per i fornitori ad alto rischio per il trattamento di categorie speciali di dati personali al fine di rilevare e correggere i bias. Ora: estesa a tutti i fornitori e tutti gli utilizzatori di sistemi AI e modelli di uso generale, secondo uno standard di stretta necessità con salvaguardie. Se il GDPR bloccava i tuoi test di equità, questa è la soluzione.
- 6. Classificazione e macchinari ad alto rischio (Articoli 6, Allegato I). Prima: un’ampia verifica dei componenti di sicurezza che includeva molti sistemi di intelligenza artificiale comuni. Ora: i nuovi Articoli 6(1a)–(1c) escludono i sistemi utilizzati per funzioni non di sicurezza - assistenza all'utente, ottimizzazione delle prestazioni, efficienza del servizio, automazione, convenienza, controllo qualità - e ripristinano un criterio oggettivo per ciò che costituisce un componente di sicurezza. L'IA nei macchinari è passata dall'Allegato I Sezione A alla Sezione B, quindi gli Articoli 9–15 e 17–25 non si applicano più direttamente ad essa; i requisiti equivalenti derivano da atti delegati ai sensi del Regolamento Macchine, da recepire entro il 2 agosto 2027.
- 7. La registrazione è sopravvissuta (Articolo 6(3), Allegato VIII). Prima: i fornitori che auto-valutavano un sistema come non ad alto rischio dovevano comunque registrarlo nella banca dati dell'UE. La Commissione aveva proposto di eliminarla. Ora: mantenuta, con la motivazione che è cruciale per la sorveglianza del mercato, con due elementi di dati rimossi dall'Allegato VIII Sezione B per snellire la procedura di deposito. Le autorità mantengono il loro accesso.
- 8. Sandbox (Articolo 57). Prima: gli Stati membri dovevano avere almeno una sandbox regolamentare per l'IA operativa entro il 2 agosto 2026. Ora: 2 agosto 2027, più una nuova sandbox a livello unionale gestita tramite l'Ufficio AI con accesso prioritario per le PMI.
- 9. Applicazione e sanzioni (Articoli 75, 75a–75d, 99). Prima: la supervisione era divisa, con l'Ufficio AI focalizzato sui modelli di uso generale. Ora: l'Ufficio AI ottiene competenza esclusiva sui sistemi AI costruiti su un modello di uso generale dalla stessa impresa, e sull'AI integrata in piattaforme online e motori di ricerca di grandi dimensioni. I nuovi Articoli 75a–75d gli conferiscono poteri investigativi, inclusi ispezioni in loco e sigillatura dei locali, la capacità di accettare impegni vincolanti, una procedura di non conformità con sanzioni periodiche fino al 5% del fatturato medio giornaliero, un periodo di prescrizione di cinque anni e diritti di difesa. L'Articolo 99 introduce un livello di ammenda limitato per le piccole e medie imprese (una nuova definizione dell'Articolo 3, secondo la Raccomandazione della Commissione (UE) 2025/1099) e uno spazio esplicito per avvertimenti e misure non monetarie. Gli obblighi di gestione della qualità semplificati sono stati estesi dalle microimprese alle PMI in generale. Tutto ciò a partire dal 2 agosto 2026.
L'UE ha appena nominato l'IA agentica, e non l'ha definita
La riga più interessante di questo regolamento non si trova in nessun Articolo. Si trova in un nuovo Allegato XIV, una tabella di codici di nomenclatura utilizzati per designare che un organismo notificato è competente a valutare. Accanto ai codici verticali per le aree di applicazione, l'emendamento introduce codici AIH orizzontali per la tecnologia sottostante. AIH 0401 è l'IA agentica.
Per quanto ne sappiamo, è la prima volta che la frase compare in una legge vincolante dell'Unione. Il suo codice "fratello" è rivelatore: AIH 0205 copre i sistemi AI che apprendono dal loro ambiente, escludendo l'IA agentica. Qualcuno che redigeva una tabella di codici amministrativi ha deciso che i sistemi agentici erano una classe sufficientemente distinta da essere esclusa.
Fate attenzione a cosa sia questo. Un codice amministrativo non è una definizione legale. Non c'è alcun Articolo che definisca un agente, nessun livello di rischio associato all'autonomia, nessun obbligo che si modella in base a quanti passaggi un sistema esegue senza intervento umano. Il diritto dell'Unione ha messo per iscritto la parola e ha lasciato la sostanza per dopo.
Questo divario è il problema principale per chiunque costruisca sistemi agentici in un settore regolamentato. Gli obblighi che alla fine si attacheranno vengono redatti mentre i sistemi vengono distribuiti, il che significa che l'unica posizione difendibile è limitare ciò che un agente è in grado di fare piuttosto che controllare ciò che ha fatto. Questa è l'argomentazione che abbiamo sostenuto in governance by construction, ed è il motivo per cui Justinian limita lo spazio d'azione di un agente a una giurisdizione prima che gli sia consentito di agire, piuttosto che filtrare la risposta in seguito. Thomson Reuters ha stimato l'adozione agentica al 15% dei professionisti nel 2026, con il 77% che si aspetta che sia centrale per il proprio flusso di lavoro entro il 2030. Le regole arriveranno nel mezzo di quella curva.
Cosa cambia per uno studio legale che utilizza l'AI
Quasi ogni avviso al cliente su questo regolamento è scritto per un responsabile della conformità di un'azienda che costruisce IA. Se sei uno studio che la usa, il vocabolario ti è ostile, quindi inizia dalla distinzione. Un fornitore sviluppa un sistema di IA e lo immette sul mercato con il proprio nome. Un utilizzatore ne usa uno sotto la propria autorità. La maggior parte degli studi legali sono utilizzatori, e i doveri dell'utilizzatore sono meno stringenti ma non inesistenti.
- La competenza nell'IA è tua, ed è attuale. L'Articolo 4 vincola sia gli utilizzatori che i fornitori. L'emendamento l'ha ammorbidito a sostenere lo sviluppo della competenza piuttosto che garantirne un livello, effettivo dal 27 luglio 2026. Questo è un requisito inferiore, non assente, e non c'è ancora nessuna esenzione per gli studi più piccoli.
- Se selezioni CV con l'IA, utilizzi un sistema ad alto rischio. Il reclutamento rientra nell'Allegato III punto 4. Gli obblighi che ne derivavano erano previsti per il 2 agosto 2026 e ora sono previsti per il 2 dicembre 2027. Sedici mesi extra sono la cosa più preziosa che questo regolamento offre a un normale studio legale.
- Se pubblichi commenti redatti dall'IA, dichiaralo. L'Articolo 50(4) copre il testo pubblicato per informare il pubblico su questioni di interesse pubblico, e l'esenzione si basa sulla responsabilità editoriale umana. I contenuti del blog dello studio generati in massa senza un revisore umano nominato sono esattamente il caso che descrive. Dal 2 agosto 2026.
- Se gestisci un chatbot rivolto al cliente, dichiara che è una macchina. Articolo 50(1), dal 2 agosto 2026, a meno che non sia ovvio.
- Se sviluppi internamente, potresti essere diventato un fornitore. Metti in servizio uno strumento sotto il tuo nome e l'intera pila del fornitore può applicarsi, inclusa la registrazione ove l'Articolo 6(3) si applica. Gli studi che costruiscono i propri livelli di flusso di lavoro su un modello dovrebbero farlo valutare piuttosto che presumerlo.
- Il test di equità è diventato più facile. Il nuovo Articolo 4a concede agli utilizzatori una base legittima per trattare dati di categoria speciale strettamente al fine di rilevare e correggere i pregiudizi. Utile se un cliente si è chiesto se la tua selezione iniziale svantaggia qualcuno e il GDPR era il motivo per cui non potevi controllare.
- L'extraterritorialità non è cambiata. L'Articolo 2 raggiunge i fornitori e gli utilizzatori al di fuori dell'Unione laddove il risultato viene utilizzato al suo interno. Uno studio a Dubai o Beirut che serve clienti dell'UE rientra nel perimetro. La Legge segue il risultato, non il codice postale.
Otto domande per il tuo fornitore di Legal AI
Siamo un fornitore di Legal AI, quindi leggi queste domande sapendo che dobbiamo rispondere anche noi. Questo è piuttosto il punto - ognuna di queste ha una risposta specifica e verificabile, e un fornitore che non può dartene una ti sta dicendo qualcosa.
- Per qualsiasi cosa facciamo con voi, siete il fornitore di un sistema ad alto rischio dell'allegato III e quale punto dell'allegato III?
- Quali obblighi dell'articolo 50 il prodotto assolve per noi e quali restano a nostro carico come utilizzatori? Elencateli individualmente.
- Contrassegnate l'output generato dall'AI in modo leggibile da una macchina oggi e, in caso contrario, lo farete prima del 2 dicembre 2026?
- Laddove si applichi l'autovalutazione dell'articolo 6, paragrafo 3, siete registrati nella banca dati dell'UE e possiamo consultare la voce?
- In cosa consiste il vostro supporto all'articolo 4 - formazione e materiali effettivi, o un PDF e un webinar?
- Quale delle due nuove proibizioni dell'articolo 5 il nostro uso del vostro strumento potrebbe prevedibilmente violare e quali salvaguardie tecniche documentate contro di esse?
- Chi è il vostro rappresentante autorizzato nell'Unione e quale autorità di vigilanza del mercato vi supervisiona?
- Se il vostro sistema è basato su un vostro modello di uso generale, l'Ufficio AI è ora il vostro supervisore esclusivo ai sensi dell'articolo 75 riscritto?
Cosa non è cambiato
- Obblighi dell'IA per scopi generali. Articoli da 51 a 55, in vigore dal 2 agosto 2025, non modificati. Le soglie di rischio sistemico e i doveri del fornitore del modello rimangono invariati.
- I divieti originali. Il social scoring, la manipolazione subliminale, alcune categorizzazioni biometriche e il resto sono in vigore dal 2 febbraio 2025 e non sono stati riaperti.
- L'allegato III stesso. L'elenco di classificazione è invariato. Un sistema che era ad alto rischio a giugno è ancora ad alto rischio. È solo la data entro cui deve essere conforme che è stata spostata, e le valutazioni già fatte rimangono valide.
- I livelli di sanzione superiori e medi. Fino a 35 milioni di euro o al 7% per le pratiche vietate, e il livello inferiore, sono come erano.
- L'architettura. Livelli di rischio, valutazione di conformità, la via degli organismi notificati, il database, la sorveglianza del mercato. L'UE è ancora l'unica giurisdizione al mondo con una legge orizzontale completa sull'IA, e questa modifica la lascia intatta.
La nostra lettura
Il ritardo è reale ed è limitato. Un capitolo è stato spostato, per buone ragioni che hanno più a che fare con l'assenza di standard armonizzati e di infrastrutture per la valutazione della conformità che con qualsiasi cambiamento di idea. Interpretare questo come un passo indietro dell'UE è un errore per i prossimi due anni.
Per i fornitori, la pressione è aumentata. Dal 2 agosto 2026, l'Ufficio IA può ispezionare e sigillare le sedi, imporre sanzioni periodiche e assumere impegni vincolanti. La registrazione è sopravvissuta a un tentativo di cancellazione. La marcatura leggibile da macchina dell'output sintetico diventa un requisito di prodotto con una data fissa. Nulla di tutto ciò è un approccio più leggero; è la stessa sostanza con una migliore applicazione e una fattura successiva sulla parte più costosa.
Il trigger condizionale eliminato è il dettaglio sottovalutato. La bozza di novembre avrebbe permesso alle date ad alto rischio di "galleggiare" sulla disponibilità degli standard. Il testo finale le fissa. Chiunque abbia costruito un piano basato su ulteriori slittamenti dovrebbe ricostruirlo: il 2 dicembre 2027 e il 2 agosto 2028 richiedono ora una procedura legislativa completamente nuova per essere spostate, e nessuno vuole gestire questa due volte.
Non siamo un'azienda con sede nell'UE. Costruiamo a Beirut e i nostri clienti sono concentrati in Medio Oriente ed Europa, il che ci colloca pienamente nell'Articolo 2 e fuori dalla comodità di pensare che questa sia una regolamentazione di qualcun altro. Perciò abbiamo letto il testo consolidato il giorno della sua pubblicazione piuttosto che aspettare un riassunto, e preferiremmo pubblicare chiaramente le date piuttosto che vendere a chiunque un panico da conformità. La posizione onesta il 28 luglio 2026 è che la maggior parte delle aziende ha una scadenza a quattro giorni di distanza e una a ventotto mesi di distanza, e confondere le due in entrambi i sensi è l'errore costoso.
Questo è un riassunto di un regolamento, non una consulenza legale, e non sostituisce la lettura del testo. Le date e i riferimenti agli articoli sono tratti dal Regolamento (UE) 2026/1744 come pubblicato nella Gazzetta Ufficiale il 24 luglio 2026 e dalle analisi pubblicate dello stesso. Se una decisione dipende da uno qualsiasi di questi elementi, verificare con il testo consolidato e chiedere consiglio a un avvocato qualificato nella giurisdizione pertinente. HAQQ non è uno studio legale e non fornisce rappresentanza legale.
- Regolamento (UE) 2026/1744 su EUR-Lex
- Sportello di servizio per l'AI Act della Commissione Europea
- Freshfields - l'Omnibus Digitale finale sull'IA
- Gibson Dunn - scadenze ad alto rischio posticipate e altre modifiche chiave
- Thomson Reuters - 2026 AI in Professional Services Report
- Governance by construction - limitare ciò che un agente può fare
- Come HAQQ gestisce la sicurezza e la compliance
- Justinian - Legal AI con ambito giurisdizionale
- Perché la revisione umana è una caratteristica strutturale
- Come diventare uno studio legale AI-native
Prova HAQQ AI gratis
Sperimenta la redazione e ricerca legale con IA
