AI Act e normativa

AI Act: il testo del regolamento, dove trovarlo e come leggerlo

Sonia Milan · Autrice per Il Sole 24 Ore · Pubblicato il 17 agosto 2026

Chi cerca il testo dell'AI Act trova soprattutto riassunti senza il link al testo, e copie PDF che dal 27 luglio 2026 mostrano articoli superati. Questa pagina porta al testo nella versione aggiornata e spiega come è costruito. I link puntano tutti a fonti ufficiali.

Le due destinazioni che servono, per chi ha fretta:

• Per leggere e lavorare: la versione consolidata al 27 luglio 2026, l'unico testo che appare com'è oggi. Il PDF si scarica dalla stessa pagina, con il pulsante in alto.
• Per citare in un documento formale: il PDF della Gazzetta ufficiale del 12 luglio 2024, insieme al Regolamento (UE) 2026/1744 che lo modifica.

I documenti ufficiali, e quando usare ciascuno

Il testo dell'AI Act è pubblicato su EUR-Lex, il portale del diritto dell'Unione europea. Per lavorarci servono tre documenti, con scopi diversi: sono le tre righe della tabella.

La versione consolidata porta un'avvertenza che va presa sul serio: EUR-Lex dichiara che il testo consolidato «è un semplice strumento di documentazione e non produce alcun effetto giuridico». Fa fede quello pubblicato in Gazzetta ufficiale. In pratica: si legge il consolidato, si cita l'originario insieme all'atto che lo modifica.

Per la versione inglese, o per qualunque altra lingua, basta cambiare il codice lingua nella pagina EUR-Lex: ogni documento esiste in tutte le lingue ufficiali dell'Unione, e il selettore in testa alla pagina le elenca. Un confronto italiano-inglese si fa aprendo lo stesso CELEX nelle due lingue.

Il PDF, e il problema delle copie vecchie

Il PDF ufficiale in italiano è la Gazzetta ufficiale del 12 luglio 2024: gratuito e senza registrazione. Il PDF della versione consolidata si scarica invece dalla pagina EUR-Lex del consolidato, con il pulsante di esportazione.

Un PDF dell'AI Act scaricato prima del luglio 2026 mostra un regolamento che in parte non esiste più: l'articolo 4 nella formulazione superata, le scadenze sull'alto rischio al 2026 e al 2027, otto pratiche vietate invece di dieci. Le copie circolano in dispense, corsi e siti di studi professionali, e sono tutte identiche e tutte superate. Cosa è cambiato esattamente sta nell'articolo sul Digital Omnibus.

La regola pratica: mai affidarsi a una copia locale del regolamento, di chiunque sia. Basta salvare il link alla versione consolidata: resta aggiornato.

Com'è costruito il regolamento

Il testo del 2024 contiene 180 considerando, 13 capi, 113 articoli numerati e 13 allegati. Il Digital Omnibus ha inserito cinque articoli aggiuntivi e un quattordicesimo allegato, senza rinumerare nulla. I riferimenti agli articoli restano quindi stabili nel tempo: il numero identifica sempre la stessa disposizione, anche quando il contenuto è stato modificato, com'è successo all'articolo 4.

I cinque articoli inseriti dall'Omnibus dicono molto di cosa è cambiato: il 4 bis sul trattamento di dati particolari per correggere le distorsioni, il 60 bis sulle prove in condizioni reali dei sistemi in prodotti regolamentati, e la terna 75 bis, 75 ter e 75 quater sui poteri dell'ufficio per l'IA, compresa la base giuridica con cui l'ufficio può irrogare direttamente sanzioni pecuniarie e penalità di mora.

I considerando sono le premesse: spiegano l'intenzione del legislatore e servono a interpretare, ma non impongono obblighi. Gli obblighi stanno negli articoli. Quando qualcuno cita «l'AI Act dice che», la prima verifica è controllare se la frase viene da un articolo o da un considerando.

La mappa dei tredici capi

Per un'azienda che usa l'AI senza svilupparla, i capi da leggere per intero sono quattro: I, II, IV e XII, più l'articolo 26 del capo III e l'articolo 113. Tutto il resto riguarda chi costruisce e vende sistemi.

Come orientarsi negli articoli, per chi usa l'AI in azienda

Questa è la mappa di dove stanno le cose nel testo. Cosa fare in pratica per ciascun obbligo è il lavoro della guida all'AI Act per le aziende, che è la pagina complementare a questa.

Articolo 3, le definizioni. Settanta definizioni nel testo consolidato; le due da cui dipendono gli obblighi sono «fornitore» e «deployer», cioè chi sviluppa un sistema e chi lo utilizza nella propria attività.

Articolo 4, l'alfabetizzazione. L'obbligo con la platea più ampia del regolamento: misure volte a sostenere lo sviluppo dell'alfabetizzazione del personale, calibrate su conoscenze tecniche, esperienza, istruzione e formazione, e contesto d'uso. Riscritto dall'Omnibus nel 2026, spiegato nella guida dedicata.

Articolo 5, le pratiche vietate. Dieci pratiche: le otto originarie, fra cui la manipolazione dannosa e il punteggio sociale, si applicano dal 2 febbraio 2025; le due aggiunte dall'Omnibus, fra cui il materiale intimo non consensuale generato con l'AI, dal 2 dicembre 2026.

Articolo 6 e Allegato III, l'alto rischio. L'articolo 6 dice come si classifica; l'Allegato III elenca i casi. Per un'azienda ordinaria i casi da controllare sono la selezione e la gestione del personale, l'accesso al credito e la formazione professionale.

Articolo 26, gli obblighi del deployer ad alto rischio. Sorveglianza umana, uso conforme alle istruzioni, conservazione dei log, informazione ai lavoratori. Si applica dal 2 dicembre 2027 per l'Allegato III.

Articolo 50, la trasparenza. Rendere riconoscibili l'interazione con un sistema di AI e i contenuti generati o manipolati. Applicabile dal 2 agosto 2026, con una finestra transitoria: per i sistemi che generano contenuti sintetici già sul mercato prima di quella data, la marcatura è dovuta dal 2 dicembre 2026.

Articolo 99, le sanzioni. Il tetto per le pratiche vietate arriva a 35 milioni di euro o, se superiore, al 7 per cento del fatturato mondiale annuo; per le PMI vale il minore fra importo e percentuale. Gli importi completi, con le regole italiane di attuazione, stanno nella guida alla legge 132/2025.

Articolo 113, il calendario. Dice da quando si applica ogni capo, e la versione aggiornata delle date sta nel calendario completo.

I documenti che accompagnano il testo

Tre documenti della Commissione completano il quadro, e nessuno dei tre è nel regolamento.

Le linee guida sulle pratiche vietate, pubblicate il 4 febbraio 2025: interpretano l'articolo 5 caso per caso. Precedono l'Omnibus, quindi non coprono le due pratiche aggiunte nel 2026.

La Q&A sull'alfabetizzazione AI, aggiornata al 27 luglio 2026 con una sezione dedicata alle modifiche dell'articolo 4: è la pagina della Commissione da controllare prima di impostare un piano di formazione.

Gli esempi pratici in arrivo: il nuovo articolo 4, paragrafo 2, impegna la Commissione a pubblicare «esempi pratici» su come adempiere all'obbligo di alfabetizzazione, sulla piattaforma unica di informazione prevista dall'articolo 62. Il paragrafo 3 aggiunge le raccomandazioni del consiglio per l'IA. Sono i documenti da tenere d'occhio nei prossimi mesi.

Entrata in vigore e applicazione: due date diverse

L'entrata in vigore del regolamento è il 1° agosto 2024: da quella data l'AI Act esiste come atto giuridico. Le sue disposizioni diventano però applicabili a scaglioni, secondo l'articolo 113. Le pratiche vietate e la prima formulazione dell'articolo 4 dal 2 febbraio 2025; la governance e i modelli per finalità generali dal 2 agosto 2025; gli articoli da 102 a 110 dal 27 luglio 2026, per effetto dell'Omnibus; la trasparenza dal 2 agosto 2026; l'alto rischio dal 2 dicembre 2027 per l'Allegato III e dal 2 agosto 2028 per i prodotti regolamentati.

Molta confusione nasce dal mescolare i due concetti: «l'AI Act è in vigore» e «l'AI Act si applica» sono frasi vere in momenti diversi per pezzi diversi del testo. Chi vi dice che «dal 2026 si applica tutto» non ha letto l'articolo 113.

La versione italiana fa fede

I regolamenti dell'Unione sono pubblicati in tutte le lingue ufficiali e ogni versione linguistica fa ugualmente fede. La versione italiana è testo legale a tutti gli effetti, alla pari delle altre; nei casi dubbi la Corte di giustizia interpreta confrontando le versioni linguistiche fra loro.

Questo ha una conseguenza pratica per chi legge fonti in inglese: i termini tecnici vanno riportati sulla versione italiana prima di usarli in un documento. «AI literacy» nel testo italiano è «alfabetizzazione in materia di IA», e «deployer» resta «deployer» anche in italiano, perché il legislatore ha scelto di non tradurlo.

Da dove cominciare

Se il testo serve per decidere cosa fare in azienda, l'ordine di lettura efficiente è questo:

1. le definizioni dell'articolo 3, per capire il proprio ruolo;
2. l'articolo 4, perché è già applicabile;
3. l'articolo 5, per escludere le pratiche vietate;
4. l'Allegato III, per verificare se qualche uso ricade nell'alto rischio;
5. l'articolo 113, per le date.

Due ore di lettura vera, contro le centinaia di pagine del totale. Il passo successivo è la verifica su cosa è davvero in uso: quali sistemi, per quali funzioni, in quali classi di rischio. È il lavoro dell'assessment AI, che riprende da dove finisce questa pagina.

Fonti

1. Regolamento (UE) 2024/1689, testo originario in Gazzetta ufficiale dell'Unione europea · il testo che fa fede, pubblicato il 12 luglio 2024. CELEX 32024R1689
2. Versione consolidata al 27 luglio 2026 su EUR-Lex · il testo con le modifiche del Digital Omnibus già incorporate. Strumento di documentazione, senza valore legale autonomo
3. Regolamento (UE) 2026/1744, il Digital Omnibus sull'intelligenza artificiale · l'atto che ha modificato l'AI Act in 43 punti, in vigore dal 27 luglio 2026
4. PDF del testo originario in italiano · la Gazzetta ufficiale in formato PDF. Non incorpora le modifiche del 2026
5. Linee guida della Commissione sulle pratiche vietate, 4 febbraio 2025 · precedono l'Omnibus: non coprono le due pratiche aggiunte nel 2026
6. Q&A della Commissione sull'alfabetizzazione AI · aggiornata al 27 luglio 2026, con la sezione sulle modifiche del Digital Omnibus all'articolo 4
7. Legge 23 settembre 2025, n. 132, su Normattiva · la legge italiana che affianca il regolamento: designa le autorità e aggiunge le norme di settore

Questo articolo descrive un quadro normativo in evoluzione e non costituisce un parere legale. Per stabilire se una specifica attività o un sistema ricadono in una determinata classe di rischio conviene rivolgersi a un legale.