Il Regolamento europeo sull’Intelligenza Artificiale, noto come AI Act, sta per passare da una fase concettuale a una fase operativa concreta. Una volta che i requisiti legati ai modelli general purpose AI (GPAI) saranno completi, il 2 agosto 2026 entra in campo il capitolo più impegnativo del regolamento: i sistemi d’intelligenza artificiale ad alto rischio. Questo momento rappresenta una data significativa per CIO e CISO, che dovranno sviluppare governance, cybersecurity e risk management dedicati all’AI.

L’importanza delle nuove scadenze

Il 2 agosto 2026 è un punto di svolta per le imprese europee, poiché l’AI Act introduce nuovi obblighi in termini di compliance, cyber resilienza e gestione del rischio. Tra le novità più importanti, l’AI Act richiede un controllo costante sugli ambienti di utilizzo dell’AI, con particolare attenzione ai settori sensibili come la sanità, l’industria manifatturiera, la finanza e il settore pubblico.

Gli obblighi legati ai modelli GPAI erano iniziati nel 2025 con la richiesta di trasparenza, documentazione tecnica e una valutazione completa dei rischi. L’anno 2026, invece, porterà l’implementazione pratica di normative per sistemi ad alto rischio, il primo settore su cui si punterà la lente dell’AI Act.

Obblighi e scadenze principali

All’entrata formale in vigore dei contenuti ad alto rischio del 2 agosto 2026 saranno attivi la maggior parte delle disposizioni principali dell’AI Act. Essi includeranno:

Verso la fine del 2026 le aziende dovranno rispettare obblighi di registrazione.

Obblighi relativi a dati e algoritmica saranno completati verso il 2027.

E’ prevista una revisione generale del sistema entro il 2028.

LAI Omnibus Package, approvato a giugno 2026, ha modificato alcune scadenze. Tuttavia, queste proroghe non riducono il senso di urgenza: il CIO e il CISO devono avviare da subito il loro piano per rispettare le norme entro la data stabilita.

Quale interpretazione della Commissione?

Le ultime linee guida emanate dalla Commissione Europea hanno chiarito i criteri per il riconoscimento di un sistema AI ad alto rischio. L’interpretazione adottata è più estensiva di quanto previsto inizialmente, coinvolgendo molteplici soluzioni precedentemente non ritenute rilevanti. Gli settori industriali che richiedono attenzione prioritaria sono:

Settori HR e recruiting

Credit Scoring

Assicurazioni vita e saúde

Dispositivi medici

Sistemi di supporto decisionale

Biometrici e servizi essenziali

Infrastrutture critiche

Un errore frequente da evitare è di considerare l’AI Act come qualcosa di separato dal NIS2 (Network and Information Security Directive). I due regolamenti condividono requisiti comuni, tra cui la gestione del rischio cybersicurezza, il controllo sulla catena di fornitura, il monitoraggio degli incidenti e la responsabilità del management.

Gli obiettivi del CIO

Per i CIO, il rispetto del Regolamento sull’AI implica abbracciare un modello di governance sull’impianto completo del ciclo di vita. Questo include:

Definire criteri di governance chiara.

Implementare strumenti di tracciabilità dei processi.

Eseguire test periodici per la conformità.

Creare documentazione dettagliata per audit e conformità.

I controlli per il CISO

I CISO, per la loro parte, devono concentrare l’attenzione sull'identificazione e la gestione dei nuovi rischi introdotti dall’AI. I principali temi di attenzione includono:

Prompt injection

Data poisoning

Model evasion

Model theft

Data leakage

Shadow AI

Accesso non autorizzato

Manipolazione degli output

Per gestire questi rischi, le organizzazioni devono:

Implementare logging e tracciabilità.

Governare la separazione dei dati.

Integrare l’autorizzazione e l’accesso ai modelli AI.

Ridurre il rischio usando i controlli per Red Teaming AI.

Effettuare monitoraggio continuo sull’accuratezza e anomali.

Aggiornare i piani di risposta agli incidenti.

I programmi di governance AI

Vengono create piattaforme di AI Governance Board permanenti che includono rappresentanti da ogni area aziendale, permettendo così una visione interdisciplinare del rischio e dell’opportunità. Le aziende ben strutturate stanno integrando già oggi governance, risk management e AI security come parte centrale della loro strategia di conformità e competitività.

Cominciare subito

Conclusione chiara: le aziende che vogliono rimanere fuori dal gioco rischiano di incorrere in sanzioni. Per prepararsi, le aziende europee devono agire immediatamente per:

Creare una politica di governance sull’utilizzo dell’AI.

Avviare attività di risk assessment dedicate.

Pianificare controlli di conformità periodici.

Integrare il rischio AI nei framework cybersecurity esistenti.

Costruire competenze interne per audit e compliance.

In questo contesto, il 2 agosto 2026 non è solo un’altra data da ricordare. È l’inizio di un nuovo paradigma, dove la gestione dell’AI diventa parte integrante del piano strategico, operativo e normativo del business. Ogni azienda interessata a utilizzare l’AI deve riconoscerne le implicazioni e preparare l’azienda a un ambiente sempre più regolamentato e competitivo.