Miriade · AI Governance Practice · agosto 2026

Il 2 agosto 2026 è passato in Italia accompagnato da una quantità notevole di comunicazione allarmata sull'obbligo di alfabetizzazione all'AI Buona parte era imprecisa, e vale la pena chiarire perché: non per pedanteria, ma perché l'imprecisione sposta gli investimenti sulle cose sbagliate.

 

L'articolo 4 dell'AI ACT non è la vera notizia

L'obbligo di alfabetizzazione dell'art. 4 dell'AI Act è applicabile dal 2 febbraio 2025, non da agosto 2026. Quello che è cambiato ad agosto è che le autorità nazionali di vigilanza del mercato — in Italia l'ACN, ai sensi dell'art. 20 della Legge 132/2025 — hanno acquisito i poteri formali di supervisione.

Nel frattempo la norma è stata ammorbidita. Il Regolamento (UE) 2026/1744, il Digital Omnibus sull'AI, in vigore dal 27 luglio 2026, ha riscritto l'art. 4: il dovere non è più garantire un livello sufficiente di alfabetizzazione, ma adottare misure a sostegno del suo sviluppo. Il testo aggiunge un inciso esplicito: l'obbligo non richiede di garantire alcun livello specifico di alfabetizzazione di alcun individuo. Il considerando 8 ne spiega la ragione — obblighi rigorosi non sarebbero proporzionati a tutti gli operatori, e graverebbero soprattutto sulle imprese più piccole.

L'art. 4, inoltre, non è mai stato assistito da una sanzione europea autonoma: non figura nell'elenco dell'art. 99(4), che riserva il massimale di 15 milioni di euro o 3% del fatturato ad altre violazioni. Le conseguenze sono rimesse al diritto nazionale.

Chi in queste settimane vi ha proposto un percorso formativo presentandolo come adempimento sanzionabile con 15 milioni di euro stava descrivendo male la norma.

La notizia è l'articolo 50

Lo stesso 2 agosto 2026 sono diventati applicabili gli obblighi di trasparenza dell'art. 50, che l'Omnibus non ha rinviato. Questi sì rientrano nella fascia sanzionatoria di 15 milioni di euro o 3% del fatturato mondiale annuo, e riguardano una platea molto più ampia dei sistemi ad alto rischio:

• informare le persone quando interagiscono con un sistema di AI, salvo che sia evidente;
• marcare in formato leggibile dalla macchina i contenuti sintetici generati o manipolati — con transizione al 2 dicembre 2026 per i sistemi già sul mercato;
• etichettare i deepfake e i testi pubblicati per informare il pubblico su questioni di interesse generale;
• informare le persone esposte a sistemi di riconoscimento delle emozioni o categorizzazione biometrica.

Se la vostra organizzazione ha un chatbot sul sito, genera immagini o testi con strumenti di AI, o produce contenuti destinati a clienti e pubblico, l'art. 50 vi riguarda adesso. È un obbligo tecnico e documentale, non formativo — e nella comunicazione delle ultime settimane è stato quasi ignorato.

Alla stessa data del 2 dicembre 2026 si aggiungono le nuove fattispecie vietate introdotte nell'art. 5.

La domanda a cui non potete rispondere da soli (art. 25)

C'è però un articolo che, nella nostra esperienza sul campo, genera più esposizione di tutti gli altri, e che quasi nessuno ha letto: l'art. 25, sulla responsabilità lungo la catena del valore dell'AI.

Stabilisce che un distributore, un importatore o un deployer diventa fornitore — con l'intero set di obblighi che ne consegue — se appone il proprio marchio su un sistema ad alto rischio già immesso sul mercato, se lo modifica in modo sostanziale, o se ne modifica la finalità prevista.

Nella pratica quotidiana significa che un'organizzazione che effettua fine-tuning di un modello, che rivende una soluzione di terzi con il proprio nome, o che la impiega per uno scopo diverso da quello dichiarato dal fornitore, può aver già assunto la posizione giuridica di fornitore senza che nessuno l'abbia deciso e senza che nessuno lo sappia.

Questa è la domanda che un'organizzazione non può risolvere leggendo il regolamento: richiede di guardare, sistema per sistema, che cosa è stato effettivamente fatto.

Il rinvio al 2027 non è una sospensione

L'Omnibus ha spostato gli obblighi sui sistemi ad alto rischio: 2 dicembre 2027 per i sistemi stand-alone dell'Allegato III, 2 agosto 2028 per quelli incorporati in prodotti già regolati dall'Allegato I. La sostanza dei requisiti - artt. 9 a 15, 17, 26, 27 - è intatta, e le date sono ora fisse.

Vale qui il concetto di debito di governance, che funziona esattamente come il debito tecnico: ogni sistema portato in produzione senza documentazione, ogni policy scritta e non operazionalizzata, ogni controllo omesso in fase di design non scompare. Matura. E il costo di applicare la governance retroattivamente a sistemi già in esercizio è di un ordine di grandezza superiore a quello di incorporarla dall'inizio. Sedici mesi in più sono un vantaggio solo per chi li usa; per tutti gli altri sono sedici mesi di interessi.

C'è poi una pressione che non dipende dal calendario del regolatore. I buyer enterprise hanno già inserito nei propri processi di due diligence la domanda su come è governata l'IA presso i fornitori. Quella domanda arriva quando arriva un contratto, non quando scade un termine.

Cosa proponiamo, dichiaratamente

Miriade ha strutturato una practice di AI Governance ancorata a riferimenti pubblici e verificabili: l'AI Act e la Legge 132/2025 per i requisiti, ISO/IEC 42001:2023 per il sistema di gestione, ISO/IEC 42005:2025 per gli impact assessment, NIST AI Risk Management Framework per il metodo di risk management, il framework AI TRiSM per l'architettura dei controlli tecnici.

Il punto di ingresso è un assessment di quattro a sei settimane che risponde a una sola domanda: qual è la nostra esposizione reale? Gli output sono di proprietà dell'organizzazione ed esportabili: inventario dei sistemi di IA con qualificazione del ruolo giuridico ai sensi degli artt. 3 e 25, screening delle pratiche vietate, classificazione del rischio secondo l'art. 6 e l'Allegato III, verifica dei presidi di trasparenza dell'art. 50 già esigibili, mappatura delle misure di alfabetizzazione, heat map dei rischi con priorità e roadmap ordinata per urgenza e impatto.

Non è un percorso formativo travestito da compliance, e non è una piattaforma da acquistare. È una diagnosi, che ha senso perché la domanda dell'art. 25 non ha una risposta generica.

Per una valutazione preliminare: m.novello@miriade.it

 

__
Aggiornato al 12 agosto 2026. Documento redatto a scopo informativo, non costituisce consulenza legale. Riferimenti: Reg. (UE) 2024/1689; Reg. (UE) 2026/1744; L. 23 settembre 2025, n. 132.