Dal 2 agosto l'AI Office può bussare. E la multa è il 3% del fatturato mondiale.

Il 2 agosto 2026 è la data che chi costruisce modelli di intelligenza artificiale a scopo generale aspettava e temeva allo stesso tempo. Da quel giorno la Commissione europea, attraverso l'AI Office, ha formalmente il potere di indagare e far rispettare gli obblighi imposti ai fornitori di modelli GPAI (General Purpose AI). Gli obblighi sostanziali erano già in vigore dal 2 agosto 2025; per un anno intero c'è stato un periodo di adattamento durante il quale l'autorità non poteva ancora esercitare pienamente i propri poteri di vigilanza. Quel periodo è finito.

Cosa può fare concretamente l'autorità da oggi

Gli articoli 88-94 dell'AI Act costruiscono un meccanismo di enforcement dedicato e piuttosto invasivo, se paragonato ad altri regimi di vigilanza digitale europei:

• Richiesta di documenti e informazioni al fornitore del modello, con termini stringenti di risposta.
• Accesso via API o al codice sorgente per condurre valutazioni tecniche indipendenti del modello — una prerogativa che nessun altro regolatore europeo aveva mai avuto sui sistemi di intelligenza artificiale prima di questa norma.
• Imposizione di misure correttive e di mitigazione del rischio, anche prima di un accertamento definitivo di violazione, se l'autorità ritiene che il modello presenti un rischio sistemico.
• Sanzioni pecuniarie fino al maggiore tra 15 milioni di euro e il 3% del fatturato mondiale annuo del fornitore — una soglia calcolata sul fatturato globale del gruppo, non sul solo fatturato europeo, sul modello già visto nel GDPR e negli enforcement antitrust.

Le tre date che ogni compliance officer dovrebbe avere scritte alla scrivania

• 2 agosto 2025: entrata in vigore degli obblighi sostanziali per i fornitori GPAI.
• 2 agosto 2026: l'AI Office può esercitare pienamente i poteri di vigilanza ed enforcement.
• 2 agosto 2027: termine ultimo entro cui i modelli già immessi sul mercato prima del 2 agosto 2025 devono essere portati a piena conformità, anche se erano stati sviluppati sotto un regime normativo diverso o assente.

Perché l'accesso al codice sorgente cambia la natura del rischio

La maggior parte dei regimi di compliance digitale in Europa — GDPR incluso — si basa su documentazione, audit trail, procedure interne verificabili su richiesta. L'AI Act va oltre: dà all'autorità la possibilità di valutare direttamente il comportamento tecnico del modello, non solo la documentazione che lo descrive. Questo significa che una policy interna ben scritta ma non corrispondente al comportamento reale del sistema — un problema comune quando i modelli vengono aggiornati più velocemente della documentazione che li accompagna — diventa immediatamente visibile all'autorità, non solo teoricamente rilevabile in un contenzioso futuro.

L'algoritmo non firma niente, ma qualcuno sì

L'algoritmo non decide niente. Decide chi lo ha addestrato, e chi ha firmato per metterlo in produzione.

Da oggi quella firma ha un prezzo scritto esplicitamente nel regolamento: fino al tre per cento di tutto quello che l'impresa fattura nel mondo, non solo in Europa. È una soglia pensata per rendere la sanzione dolorosa anche per i gruppi tecnologici più grandi, per i quali una multa fissa in milioni di euro sarebbe stata poco più di un costo operativo trascurabile.

Il punto cieco per chi non costruisce modelli ma li usa

Attenzione a non tirare un sospiro di sollievo pensando che questo enforcement riguardi solo i grandi laboratori che addestrano modelli GPAI. Chi integra un modello di terzi in un prodotto proprio eredita comunque una parte significativa del rischio: la documentazione tecnica che il fornitore GPAI deve tenere sotto l'AI Act è spesso la stessa base informativa di cui l'integratore ha bisogno per dimostrare, a sua volta, che il proprio prodotto finale è conforme. Se il fornitore a monte non è pienamente conforme, o smette di esserlo dopo un aggiornamento del modello, il buco normativo arriva fino a valle, nel prodotto dell'impresa che lo ha integrato in buona fede.

La domanda giusta da fare a ogni fornitore di AI

Non "il modello funziona bene per il nostro caso d'uso". La domanda che oggi ha valore legale è: "siete in regola con gli obblighi dell'AI Act per fornitori GPAI, e siete disposti a mettere questa dichiarazione per iscritto in un allegato contrattuale specifico, con obbligo di notifica in caso di modifiche sostanziali al modello". Una risposta evasiva a questa domanda, dopo il 2 agosto 2026, non è più solo un campanello d'allarme commerciale — è un elemento che un'autorità di vigilanza, in caso di indagine, valuterà anche a carico dell'impresa che ha scelto di integrare quel fornitore senza fare la domanda.