Stato al 29 luglio 2026
L’AI Act (Regolamento UE 2024/1689) è entrato in vigore il 1 agosto 2024 e diventa pienamente applicabile il 2 agosto 2026. Il 7 maggio 2026 è stato raggiunto l’accordo politico sulla proposta di semplificazione del regolamento (il cosiddetto AI omnibus), che ha fissato le nuove date per i sistemi ad alto rischio. L’iter formale di adozione è in chiusura, quindi le date indicate in questo articolo sono quelle dell’accordo politico, verificate sulle pagine della Commissione europea il 29 luglio 2026.
Checklist AI Act per agenzie in 12 punti
Una guida pratica per capire da che parte stai, quali obblighi sono già attivi e cosa verificare prima del 2 agosto. Ogni punto rimanda al testo normativo ufficiale.
- 12 presidi con contesto normativo e articoli citati
- Aggiornata alle nuove scadenze del Digital Omnibus
- PDF pronto da condividere con legale o DPO
Usare l’AI per i clienti rende l’agenzia un deployer
L’AI Act distingue due ruoli principali. Il fornitore è chi sviluppa un sistema di AI e lo immette sul mercato con il proprio nome. Il deployer è chi utilizza un sistema di AI sotto la propria autorità nell’ambito di un’attività professionale. Un’agenzia che genera testi, immagini o traduzioni con un modello di terze parti per il lavoro di un cliente è deployer, e lo è da subito.
La distinzione conta perché gli obblighi del deployer sono più leggeri di quelli del fornitore, ma non sono zero. E il ruolo non è fisso, cambia in base a cosa fai con lo strumento.
Tre situazioni ricorrenti in agenzia, con l’inquadramento che ne deriva:
- Copywriting, traduzioni, generazione di immagini con un LLM commerciale. Sei deployer. Il fornitore del modello ha i suoi obblighi, tu hai i tuoi, che riguardano l’uso.
- Chatbot installato sul sito del cliente con un servizio terzo. Sei deployer per la parte che gestisci, e il cliente è a sua volta deployer rispetto ai propri utenti. Il perimetro di chi risponde di cosa va messo per iscritto, perché in caso di contestazione la catena di responsabilità è il primo punto che viene guardato.
- Rivendita di un servizio AI white-label con il tuo marchio. Qui il ruolo può ribaltarsi. Immettere sul mercato un sistema di AI con il proprio nome, o modificarne in modo sostanziale la finalità, può qualificarti come fornitore, con obblighi di un altro ordine di grandezza. È lo scenario da valutare con attenzione se stai costruendo un prodotto sopra un modello di terzi.
Il testo integrale delle definizioni è nell’articolo 3 del Regolamento UE 2024/1689.
Obblighi AI Act già in vigore dal 2 febbraio 2025
Due blocchi di norme si applicano già da un anno e mezzo: il divieto delle pratiche vietate e l’obbligo di alfabetizzazione AI. Sono i due punti su cui un’agenzia è più esposta oggi.
Alfabetizzazione AI del personale
Fornitori e deployer devono adottare misure per garantire un livello sufficiente di competenza in materia di AI al personale che si occupa del funzionamento e dell’uso di questi sistemi. Non serve un corso certificato e non esiste un attestato obbligatorio. La norma chiede misure proporzionate al contesto, alle competenze delle persone e all’uso concreto che ne fanno.
Tradotto in pratica per un’agenzia, chi scrive con un modello linguistico deve sapere che l’output va verificato, che i dati dei clienti non si incollano nei prompt senza una valutazione, che un’immagine generata ha implicazioni su diritti e licenze. Documentare questa formazione, anche in forma leggera, è la differenza tra un obbligo assolto e uno solo dichiarato.
Pratiche vietate
L’AI Act vieta otto pratiche, tra cui la manipolazione e l’inganno basati sull’AI, lo sfruttamento delle vulnerabilità di gruppi specifici, il riconoscimento delle emozioni sul luogo di lavoro e nelle scuole, il social scoring. Le prime due toccano il perimetro della comunicazione e della pubblicità, la terza riguarda chi usa strumenti di AI nei processi di selezione del personale.
Con l’accordo di maggio 2026 è stato aggiunto il divieto dei sistemi che generano contenuti sessuali espliciti non consensuali, comprese le applicazioni di nudification.
Trasparenza AI: cosa scatta il 2 agosto 2026
Dal 2 agosto 2026 l’AI Act richiede un’etichettatura chiara in tre casi: i deepfake, i testi generati o manipolati con AI pubblicati per informare il pubblico su questioni di interesse pubblico, e i sistemi interattivi come i chatbot, dove l’utente deve essere informato che sta interagendo con una macchina.
Vale la pena leggere il secondo caso con attenzione, perché è quello che viene raccontato in modo più largo di quanto sia. Un articolo di blog commerciale scritto con l’aiuto di un modello linguistico non diventa automaticamente un testo di interesse pubblico. La categoria è più stretta e riguarda la comunicazione destinata a informare il pubblico su temi di rilevanza collettiva. Il primo e il terzo caso, invece, sono nettissimi e riguardano lavori che le agenzie consegnano ogni settimana.
Il Codice di condotta è volontario e definisce i passi pratici per aiutare fornitori e deployer di sistemi di AI generativa a rispettare gli obblighi di trasparenza dell’AI Act che si applicheranno dal 2 agosto 2026.
Commissione europea, Codice di condotta su marcatura ed etichettatura dei contenuti generati dall’AI, 10 giugno 2026
Il codice resta volontario, però è il riferimento più concreto disponibile per capire come si assolve l’obbligo. La Commissione ha pubblicato insieme al codice anche un set di icone europee per l’etichettatura dei contenuti generati dall’AI: usarle evita di inventare una convenzione grafica propria e di doverla spiegare a ogni cliente.
La cosa utile da fare adesso è organizzativa. Censisci dove l’AI entra nei deliverable che consegni, decidi una convenzione di etichettatura unica e mettila nel processo di produzione. Se la decisione resta appesa al singolo progetto, al terzo progetto se ne è già perso il filo.
Obblighi sui sistemi ad alto rischio: rinviati al 2027 e al 2028
Gli obblighi più onerosi dell’AI Act, quelli su valutazione dei rischi, qualità dei dati, tracciabilità e documentazione tecnica, riguardano i sistemi ad alto rischio e non si applicano il 2 agosto 2026. Le nuove date sono il 2 dicembre 2027 per i sistemi usati in aree ad alto rischio come biometria, infrastrutture critiche, istruzione, occupazione, migrazione e controllo delle frontiere, e il 2 agosto 2028 per i sistemi integrati in prodotti regolamentati.
Per il lavoro tipico di un’agenzia web questa categoria resta fuori perimetro. Diventa rilevante in un caso preciso, quando il cliente usa l’AI in un processo che rientra in quelle aree, per esempio uno screening automatico dei curriculum o uno scoring che condiziona l’accesso a un servizio. In quello scenario l’obbligo è del cliente, ma la domanda arriva a te, perché sei tu che hai messo mano al sito.
Conviene anche diffidare di chi presenta il 2 agosto come la data in cui scatta tutto. Comprimere in un unico allarme obblighi attivi da un anno e mezzo, obblighi di trasparenza e obblighi rinviati di due anni serve a vendere urgenza.
AI Act e GDPR regolano cose diverse sullo stesso sito
L’AI Act regola il sistema, il GDPR regola i dati personali, la direttiva ePrivacy regola l’accesso al dispositivo dell’utente. Un chatbot sul sito di un cliente può attivare tutti e tre i livelli contemporaneamente, e assolvere uno non copre gli altri.
| Aspetto | AI Act | GDPR ed ePrivacy |
|---|---|---|
| Cosa regola | Il sistema di AI e il modo in cui viene usato | Il trattamento dei dati personali e l’accesso al dispositivo dell’utente |
| Adempimento tipico su un sito | Informare che si interagisce con un sistema di AI, etichettare i contenuti generati | Informativa privacy, base giuridica, cookie banner e blocco preventivo |
| Chi risponde | Fornitore e deployer, secondo il ruolo | Titolare del trattamento, di norma il cliente proprietario del sito |
| Da quando | Alfabetizzazione e pratiche vietate dal 2 febbraio 2025, trasparenza dal 2 agosto 2026 | Già pienamente applicabili |
Il punto di contatto pratico è il chatbot. Se raccoglie dati per rispondere, serve una base giuridica e un’informativa che lo dica. Se installa cookie o tecnologie simili, serve il consenso raccolto prima dell’installazione, con blocco preventivo degli script. L’etichetta che dichiara la natura artificiale dell’assistente non sostituisce l’informativa privacy, e il consenso ai cookie non copre l’uso dell’AI. Sono adempimenti paralleli, con basi normative diverse.
In pratica la parte GDPR ed ePrivacy resta dove è sempre stata, nella gestione del consenso sui siti che segui. Se la stai già presidiando con una CMP, quel livello è coperto e l’AI Act si aggiunge sopra senza toccarlo. Se non lo è, l’AI Act è il secondo dei tuoi problemi.
Cosa dire al cliente che chiede se è a norma
Nelle prossime settimane la domanda arriverà, e arriverà a te prima che al legale del cliente. Tre formule che puoi riusare, da adattare al caso concreto.
Informativa per un assistente virtuale sul sito
Stai scrivendo a un assistente virtuale basato su intelligenza artificiale, non a un operatore. Le risposte possono contenere errori. Per richieste che riguardano contratti, pagamenti o dati personali, chiedi di essere messo in contatto con una persona.
Etichetta per un contenuto prodotto con AI
Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione.
Dichiarare la verifica umana è quello che distingue un’etichetta credibile da una formula di stile, e ti tutela sul merito del contenuto.
Clausola per il preventivo o il contratto
Nella produzione dei deliverable possono essere impiegati strumenti di intelligenza artificiale generativa. L’agenzia opera come deployer ai sensi del Regolamento UE 2024/1689 e garantisce la verifica dei contenuti prima della consegna. Gli obblighi relativi ai sistemi di AI eventualmente installati sui siti del cliente e gestiti in autonomia dal cliente restano in capo a quest’ultimo.
Una clausola come questa serve a delimitare le responsabilità mentre sono ancora chiare a tutti. È quello che ti evita la conversazione difficile sei mesi dopo, quando nessuno ricorda chi aveva deciso cosa.
Prossime tappe
- 2 agosto 2026: l’AI Act diventa pienamente applicabile, entrano in vigore gli obblighi di trasparenza.
- Secondo semestre 2026: attese le linee guida della Commissione sui sistemi di AI trasparenti, che chiariranno perimetro e definizioni degli obblighi di etichettatura.
- 2 dicembre 2027: obblighi per i sistemi ad alto rischio nelle aree elencate dall’allegato III.
- 2 agosto 2028: obblighi per i sistemi di AI integrati in prodotti regolamentati.
In parallelo resta aperto il negoziato sul Digital Omnibus che riguarda GDPR ed ePrivacy, con effetti potenziali sulla gestione del consenso e sui cookie banner. È un dossier distinto da quello sull’AI e va seguito separatamente.
