Cosa è cambiato a Bruxelles il 2 agosto

Il 2 agosto 2026, un anno di codici di condotta volontari e dialoghi sulla conformità a Bruxelles si è trasformato in un regime sanzionatorio. Gli obblighi di trasparenza dell'articolo 50 - che impongono ai chatbot di dichiarare il proprio stato automatizzato, ai deepfake di recare etichette e ai contenuti generati da macchine di portare marcature leggibili da macchina - sono entrati in vigore insieme ai poteri di applicazione sui modelli di IA per finalità generali. L'AI Office della Commissione europea e le 24 autorità nazionali competenti nei diversi Stati membri possono ora richiedere documentazione tecnica, condurre proprie valutazioni, esigere azioni correttive e comminare multe direttamente, anziché negoziare informalmente la conformità.

La vicepresidente esecutiva della Commissione europea, Henna Virkkunen, ha descritto il cambiamento come protettivo, non conflittuale, affermando che le norme danno "agli innovatori certezza giuridica proteggendo al contempo l'interesse pubblico" e definendo il momento "un passo importante verso un'IA che le persone e le imprese possano comprendere e in cui possano avere fiducia". Ha inoltre definito l'intelligenza artificiale "una tecnologia trasformativa", avvertendo però che i modelli più avanzati "creano rischi su una scala del tutto nuova", una distinzione che indica dove è probabile che si concentri per prima l'attenzione dell'applicazione della norma.

La prima mossa della CNIL: 14 banche, zero proroghe concesse

Il primo vero banco di prova del nuovo regime è arrivato entro 48 ore. Il 4 agosto 2026, l'autorità francese per la protezione dei dati, la CNIL, ha inviato formali richieste di documentazione tecnica ai sensi dell'articolo 11 a 14 istituti finanziari che gestiscono algoritmi di credit scoring basati sull'IA, chiedendo la documentazione dell'allegato IV che i sistemi di IA ad alto rischio sono tenuti a mantenere. Tre dei quattordici istituti hanno chiesto più tempo per rispondere.

La CNIL ha respinto tutte e tre le richieste di proroga, richiamando i due anni che le aziende hanno avuto per prepararsi da quando l'AI Act è stato approvato nel 2024. È questo il dettaglio su cui vale la pena soffermarsi: la prima mossa di un regolatore sotto i nuovi poteri di applicazione non è stata una lettera di avvertimento né una richiesta informale, bensì una formale richiesta di documentazione con un netto rifiuto a concedere tempo aggiuntivo. Qualsiasi azienda UE in una categoria ad alto rischio - concessione di credito, selezione del personale o un altro caso d'uso dell'allegato III - dispone ora di un precedente concreto, non più ipotetico, di come si presenta davvero una verifica al primo contatto.

Come funzionano davvero le multe

La struttura sanzionatoria è scaglionata in base al tipo di violazione, non è un'unica cifra fissa. Le violazioni degli obblighi di trasparenza dell'articolo 50 - le norme sull'etichettatura dei deepfake e sulla divulgazione dell'uso dell'IA - comportano multe fino a EUR 15 milioni o il 3% del fatturato annuo globale dell'azienda, a seconda di quale importo sia più alto. Le pratiche di IA vietate, il ristretto insieme di usi che la norma vieta del tutto, comportano un tetto più severo: fino a EUR 35 milioni o il 7% del fatturato globale.

La struttura basata sulla percentuale di fatturato conta più delle cifre in euro per qualsiasi azienda di dimensioni rilevanti, poiché scala con i ricavi invece di limitare l'esposizione a un numero fisso. Gli ordini di azione correttiva aggiungono un secondo livello di pressione: una volta che un'autorità nazionale riscontra la non conformità di un sistema, può fissare una finestra di adeguamento anche di soli 15 giorni lavorativi per correggerlo, ritirarlo o richiamarlo, un tempo esiguo per un'azienda che non abbia già preparato in anticipo la propria documentazione tecnica.

La domanda a cui ogni azienda UE deve ora rispondere

Per un anno, la domanda operativa per qualsiasi azienda UE che utilizzi o implementi l'IA è stata se fosse genericamente conforme all'AI Act, a cui si rispondeva in buona fede tramite revisioni interne e codici volontari. Da questa settimana, quella domanda è cambiata. La domanda operativa ora è se un'azienda sia in grado di produrre la documentazione tecnica dell'allegato IV su richiesta, entro i tempi stabiliti dal regolatore stesso, perché la CNIL ha appena dimostrato che non prorogherà quei tempi su richiesta.

L'indagine della CNIL sul credit scoring è un'anteprima utile in particolare per le aziende nei settori della concessione di credito, della selezione del personale e delle altre categorie ad alto rischio dell'allegato III, poiché è il primo esempio concreto di come si presenti nella pratica una verifica documentale ad alto rischio, e non solo nel testo della norma. Qualsiasi azienda in quelle categorie che non abbia già predisposto il proprio fascicolo tecnico dovrebbe considerare questo mese, e non una futura scadenza di conformità, il momento in cui la documentazione deve già esistere.

Da leggere ora: Il 2 agosto le multe UE sull'IA diventano reali  |  La soglia USA per l'IA di frontiera è ora segreta