AI Act rinvio: quali obblighi sono slittati al 2027 e quali no? Per il tuo sito, nessuno

Sono slittati solo gli obblighi sui sistemi ad alto rischio: quelli dell'Allegato III passano al 2 dicembre 2027, quelli integrati in prodotti già regolati al 2 agosto 2028. Tutto il resto è in vigore: i divieti dal 2 febbraio 2025, le regole sui modelli di uso generale dal 2 agosto 2025 e gli obblighi di trasparenza, cioè quelli che toccano un sito con un chatbot o con immagini generate, dal 2 agosto 2026.

La domanda mi arriva più o meno in questa forma: «hanno rinviato l'AI Act, quindi la riga sul chatbot la mettiamo più avanti?». No. Il titolo «AI Act rinviato» è vero per un capitolo del regolamento e falso per quello che riguarda il tuo sito, e chi lo legge di corsa si porta via la parte sbagliata.

Premessa d'obbligo: non sono un avvocato e questo non è un parere legale. Parlo di quello che tocca il sito e il codice, che è il mio mestiere. Perimetro, eccezioni e sanzioni sono materia di chi fa l'altro.

Cosa ha spostato il Digital Omnibus

Il regolamento (UE) 2026/1744, quello che tutti chiamano Digital Omnibus, è in vigore dal 27 luglio 2026 e sposta in avanti due date, tutte e due sui sistemi ad alto rischio. La prima riguarda l'Allegato III: biometria, infrastrutture critiche, istruzione, selezione del personale, accesso al credito e ai servizi essenziali, migrazione, giustizia. Gli obblighi per questi sistemi si applicano dal 2 dicembre 2027.

La seconda riguarda i sistemi di AI integrati in prodotti che hanno già una normativa europea di sicurezza: macchinari, dispositivi medici, giocattoli, ascensori. Per questi la data è il 2 agosto 2028.

Il motivo dichiarato è il tempo: norme tecniche armonizzate e strutture di controllo non erano pronte, e un sistema ad alto rischio senza uno standard contro cui misurarlo non si può certificare. La scelta la capisco. Quello che non capisco è come sia diventata «l'AI Act è rinviato».

Cosa non è slittato: il calendario che vale per quasi tutti

Tutto il resto del regolamento segue le date originali. Messe in fila:

• Divieti, dal 2 febbraio 2025: social scoring, manipolazione che sfrutta le vulnerabilità delle persone, riconoscimento delle emozioni sul posto di lavoro e a scuola, raccolta indiscriminata di volti dal web per costruire database.
• Alfabetizzazione, dalla stessa data: chi usa sistemi di AI deve fare in modo che le persone che li gestiscono sappiano cosa stanno usando.
• Modelli di uso generale, dal 2 agosto 2025: gli obblighi per chi sviluppa i modelli di base. Riguardano chi li produce, non chi ci costruisce sopra una chat.
• Trasparenza, dal 2 agosto 2026: l'articolo 50, quello del chatbot che si dichiara e dei contenuti generati che si marcano.

La riga che interessa a chi ha un sito è l'ultima, e non è stata toccata.

La parte che tocca il tuo sito è in vigore da due mesi

L'articolo 50 chiede tre cose a chi ha un sito o una web app. Chi parla con un chatbot deve saperlo dal primo scambio, nella finestra della chat e non nelle condizioni d'uso. Le immagini e i video generati che potrebbero passare per reali vanno etichettati da chi li pubblica. I testi generati su temi di interesse pubblico, messi online senza una revisione umana vera, vanno dichiarati.

Il dettaglio di ogni punto sta nel pezzo sul chatbot che si deve dichiarare, e non lo riscrivo. Qui conta una cosa sola: nessuna di queste scadenze si è mossa. L'unica proroga che esiste in questo capitolo è quella sulla marcatura leggibile dalle macchine per i generatori già sul mercato, fino al 2 dicembre 2026, e riguarda chi produce il generatore, non chi pubblica.

Quando integriamo un assistente AI in un sito, la dichiarazione sta nell'intestazione della chat, fissa, così non scorre via con i messaggi. È una riga di HTML e un deploy. Non è il tipo di obbligo per cui ha senso aspettare un rinvio, nemmeno quando il rinvio c'è davvero.

Perché «rinviato» è una mezza verità pericolosa

Il problema del titolo è che comprime un regolamento a capitoli in una data sola. Chi lo legge dalla parte di un'azienda con un sito, una chat di assistenza e qualche foto prodotto generata ne ricava che può aspettare. E invece l'unica parte che la riguarda è quella già in vigore.

Il paradosso è che il rinvio è reale per pochissimi. Alto rischio vuol dire sistemi che decidono su persone: un modulo che fa la prima scrematura dei curriculum, un algoritmo che assegna un punteggio a chi chiede un finanziamento, un sistema che valuta studenti. Se stai costruendo una web app del genere, sì, hai guadagnato più di un anno. Un sito vetrina con una chat di assistenza non rientra in nessuna di quelle categorie, e niente di quello che gli si applica è stato spostato.

C'è anche il rischio opposto: leggere «alto rischio» e pensare che il proprio chatbot lo sia perché risponde a domande sui prezzi. Non lo è. Le due categorie si confondono in tutti e due i sensi, e un titolo che parla di rinvio senza dire di cosa aiuta a confonderle.

Cosa controllare adesso, in ordine

1. Apri la chat del tuo sito in una finestra privata: nel primo messaggio o nell'intestazione deve esserci «automatico», «virtuale» o «intelligenza artificiale». Se manca, è un obbligo scaduto ad agosto, non una scadenza da calendario.
2. Elenca le immagini e i video generati pubblicati dal 2 agosto in avanti e segna quelli che sembrano fotografie o riprese: vanno etichettati.
3. Se una tua web app usa l'AI per decidere o filtrare su persone, lavoro, credito o scuola, chiedi a chi la sviluppa in quale allegato cade. La data è il 2 dicembre 2027, ma la documentazione richiesta si costruisce durante lo sviluppo, non si aggiunge la settimana prima.
4. Diffida dei titoli con «rinviato» senza «cosa». Il regolamento ha un calendario per capitoli; chi te lo riassume in una data sola, nella migliore delle ipotesi non l'ha letto.

Quando commissioni un progetto con dentro dell'AI, la domanda da fare a chi lo sviluppa è una sola: in quale capitolo del regolamento cade, trasparenza o alto rischio. La prima vale già. La seconda dal 2027, e solo se ci sei davvero dentro.

Secondo me il rinvio è una buona notizia per chi costruisce sistemi complessi e una pessima notizia per la comprensione generale, perché ha dato a tutti un pretesto per non fare la cosa facile. La riga nella chat e l'etichetta sotto il render sono il lavoro di un pomeriggio. Se a dicembre 2027 il tuo sito avrà ancora un assistente con un nome di persona e nessun avviso, non sarà perché il legislatore ti ha dato tempo: sarà perché qualcuno ha letto solo il titolo.