Rinvio dell'alto rischio al 2027: cosa cambia per la tua azienda

La notizia è vera: gli obblighi dell'AI Act sui sistemi ad alto rischio sono stati rinviati. L'Omnibus digitale sull'IA (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026) ha spostato le scadenze al 2 dicembre 2027 e al 2 agosto 2028, a seconda del tipo di sistema.

Ma fermati un secondo prima di archiviare la pratica. Perché "rinviato" non vuol dire "cancellato". E soprattutto: il rinvio riguarda solo gli obblighi sull'alto rischio. Tutto il resto dell'AI Act — formazione, trasparenza, pratiche vietate, sanzioni — è già in vigore e continua ad applicarsi alla tua azienda oggi, adesso, mentre leggi.

Se la tua reazione al titolo è stata "bene, se ne riparla nel 2028", questo articolo esiste per smontare esattamente quell'idea.

Cosa è stato rinviato, esattamente

Il rinvio tocca gli obblighi per i sistemi di AI ad alto rischio, che l'AI Act divide in due famiglie con due date diverse:

Famiglia	Cosa comprende	Vecchia data	Nuova data
Allegato III (sistemi autonomi)	Selezione e gestione del personale, accesso al credito, istruzione, biometria	2 agosto 2026	2 dicembre 2027
Allegato I (integrati in prodotti regolamentati)	Macchinari, dispositivi medici, giocattoli	2 agosto 2027	2 agosto 2028

Tradotto: se usi un software che fa screening automatico dei CV, che fa il ranking dei candidati, che valuta il personale o che fa scoring creditizio, gli obblighi specifici per l'alto rischio scatteranno il 2 dicembre 2027 invece che il 2 agosto 2026. Hai guadagnato circa sedici mesi.

Se invece l'AI è dentro un prodotto già regolamentato — un macchinario, un dispositivo medico — la data è il 2 agosto 2028.

Questo è tutto il rinvio. Non un articolo in più, non uno in meno.

Cosa NON è stato rinviato

Qui sta l'equivoco che vediamo più spesso: aziende che leggono "rinvio AI Act" e concludono che l'intero regolamento sia slittato. Non è così. Restano in vigore, con le loro date originali:

• Formazione (art. 4) — in vigore dal 2 febbraio 2025. L'Omnibus l'ha riformulato in "misure effettive e proporzionate", ma l'obbligo c'è: l'azienda deve sostenere con misure concrete e documentate l'alfabetizzazione di chi usa l'AI. Vale anche per te, anche se non tocchi nulla di alto rischio.
• Trasparenza (art. 50) — in vigore dal 2 agosto 2026, quindi già operativo. Se hai un chatbot rivolto a clienti o se generi contenuti sintetici, gli obblighi di informativa si applicano oggi.
• Pratiche vietate — in vigore dal 2 febbraio 2025. Manipolazione, social scoring, riconoscimento delle emozioni sul posto di lavoro: vietati, senza rinvii.
• Sanzioni (art. 99) — pienamente applicabili: fino a 35 milioni di euro o il 7% del fatturato per le pratiche vietate, fino a 15 milioni o il 3% per gli altri obblighi. Per le PMI si applica il valore più basso tra i due, ma parliamo comunque di cifre che nessuna PMI può ignorare.

E attenzione: il calendario non si è solo allungato, si è anche arricchito. Dal 2 dicembre 2026 scatta un nuovo divieto: contenuti sessuali o intimi non consensuali generati o manipolati con l'AI. Una data nuova, più vicina del rinvio, che quasi nessuno ha notato.

Il quadro completo delle scadenze e delle sanzioni lo trovi nella nostra guida a sanzioni e scadenze dell'AI Act.

Sei una PMI che usa AI nell'HR? Ecco il tuo calendario reale

Prendiamo il caso più comune: una PMI che usa un gestionale HR con funzioni di AI, o un servizio di recruiting che filtra i CV in automatico. Selezione e gestione del personale sono allegato III: alto rischio, nuova scadenza 2 dicembre 2027.

Il tuo calendario reale, però, non parte dal 2027. Parte da oggi:

Data	Cosa vale per te
Oggi	Formazione del personale (art. 4) e pratiche vietate: già in vigore
Già dal 2/8/2026	Trasparenza (art. 50): informative su chatbot e contenuti generati
2 dicembre 2026	Nuovo divieto sui contenuti intimi non consensuali
2 dicembre 2027	Obblighi pieni da deployer di sistemi ad alto rischio

Cosa ti aspetta a dicembre 2027, come deployer (cioè utilizzatore) di un sistema ad alto rischio? Quattro obblighi principali:

• supervisione umana: qualcuno in azienda deve poter controllare e correggere le decisioni del sistema;
• uso conforme alle istruzioni del fornitore: devi usare il sistema come previsto, non come capita;
• monitoraggio del funzionamento del sistema;
• conservazione dei log generati dal sistema.

Non sono adempimenti che si improvvisano la settimana prima. Richiedono di sapere quali sistemi usi, cosa fanno davvero e cosa ti dà il fornitore. Se usi l'AI per assumere o valutare persone, ti conviene leggere anche il nostro approfondimento su AI nella selezione del personale e alto rischio.

Come usare i due anni (invece di sprecarli)

Il rinvio è un regalo solo se lo usi. Chi arriverà a novembre 2027 senza aver fatto nulla si troverà nella stessa corsa affannosa di chi si è ridotto all'ultimo con il GDPR nel 2018. Ecco come trasformare sedici mesi di rinvio in un vantaggio concreto.

1. Fai il censimento dei tuoi sistemi AI. Policy sull'uso dell'AI, formazione del personale, informative sul chatbot: ogni adempimento dell'AI Act parte dalla stessa domanda. Quali sistemi di AI usi davvero? Il gestionale HR ha una funzione di ranking? Il CRM fa scoring? Senza un registro dei sistemi non puoi nemmeno sapere se il rinvio ti riguarda. Il nostro Kit Registro AI ti dà template e istruzioni per farlo in modo ordinato.

2. Fai le domande giuste ai fornitori, adesso. Gli obblighi del deployer si reggono su ciò che il fornitore ti consegna: istruzioni d'uso, informazioni sul sistema, accesso ai log. Chiedi oggi al fornitore del tuo software HR se il suo sistema rientra nell'allegato III e come intende supportarti. Se la risposta è vaga, hai due anni per cambiare fornitore — nel 2027 non li avrai più. Il Kit Fornitori AI contiene le domande pronte da inviare.

3. Metti la supervisione umana da subito. Non serve aspettare il 2027 per decidere che nessun CV viene scartato senza che un umano lo veda. È una buona pratica oggi, sarà un obbligo domani, e ti protegge già adesso da contestazioni dei candidati. Iniziare in anticipo significa che a dicembre 2027 la supervisione umana sarà una routine consolidata, non un cantiere aperto.

4. Chiudi intanto gli obblighi già in vigore. Formazione documentata, informative di trasparenza, verifica di non usare pratiche vietate: questi non aspettano il 2027. Sono esigibili oggi, con le sanzioni di oggi.

In sintesi

Il rinvio al 2 dicembre 2027 (e al 2 agosto 2028 per i prodotti regolamentati) riguarda solo gli obblighi sull'alto rischio. Formazione, trasparenza, pratiche vietate e sanzioni sono già operativi, e dal 2 dicembre 2026 arriva pure un divieto nuovo.

Se usi AI per assumere, valutare persone o decidere sul credito, hai avuto in regalo del tempo. La differenza tra le aziende che a fine 2027 saranno pronte e quelle che andranno nel panico si decide adesso, con un censimento e tre email ai fornitori.

Non sai da dove partire? Fai la nostra autovalutazione gratuita: in pochi minuti capisci quali obblighi si applicano a te e con quali date.