AI Act, 2 Agosto 2026: Arriva la Scadenza High-Risk e il 78% delle Aziende Non È Pronto

Mentre il mercato litiga su drawdown dei chip e supercicli di capex, l'evento AI più consequenziale dell'estate ha una data sopra: 2 agosto 2026. È quando gli obblighi high-risk dell'AI Act europeo diventano applicabili—e i dati sulla compliance dicono che la maggior parte delle aziende nel perimetro arriverà a quella data impreparata.

Di solito scrivo di mercati. Questa è una storia di mercati travestita da storia legale: credit scoring e pricing assicurativo sono categorie esplicitamente high-risk, le multe scalano fino al 7% del fatturato globale, e l'incertezza regolatoria pesa su ogni deployment AI europeo come una term structure che nessuno sa prezzare.

L'Orologio

FIG. 01 // L'OROLOGIO

Il calendario di enforcement dell'AI Act, fase per fase

DATI: EU AI ACT (REG. 2024/1689) · LEGISCOPE · 2026

L'Act è entrato in vigore ad agosto 2024 e si applica per fasi: pratiche proibite a febbraio 2025, obblighi per i modelli general-purpose ad agosto 2025, e ora quella grossa—i sistemi high-risk dell'Allegato III il 2 agosto 2026. Articoli 9-17 per i provider, articolo 26 per i deployer: risk management, data governance, logging, supervisione umana, valutazione di conformità, marcatura CE, registrazione nel database UE.

Il colpo di scena che rende tutto genuinamente confuso: a novembre 2025 la Commissione ha proposto—col "Digital Omnibus"—di rinviare parte del regime high-risk a fine 2027. Quella proposta non è stata approvata. Legalmente, il 2 agosto resta. Le aziende che scommettono sul rinvio stanno scambiando la compliance con un'opzione su un voto parlamentare.

Il Divario

FIG. 02 // IL DIVARIO

La readiness delle aziende, misurata a poche settimane dalla scadenza

DATI: VISION COMPLIANCE 2026 · CSA RESEARCH NOTE MAR 2026

Contro quella scadenza, i numeri sulla readiness sono notevoli: il 78% delle imprese non ha fatto passi concreti di compliance, il 74% non ha un owner designato, il 61% non ha un processo di documentazione tecnica. Una research note della CSA rileva che più della metà delle organizzazioni non ha nemmeno un inventario di base dei sistemi AI in uso.

Rileggete l'ultima: non potete valutare la conformità di un sistema che non avete censito. Per gran parte del 78% impreparato, il lavoro che resta non è burocrazia—è scoperta.

La Posta in Gioco

FIG. 03 // LA POSTA IN GIOCO

Quanto costa la non-compliance, e perché la finanza è nel raggio dell'esplosione

Multa massima prevista dall'AI Act

€35M / 7%

del fatturato globale, il maggiore dei due

Categorie high-risk dell'Allegato III che toccano la finanza

2

credit scoring e pricing di assicurazioni vita/salute

Rinvio proposto al 2027, stato attuale

NON È LEGGE

il Digital Omnibus è una proposta; il 2 agosto 2026 resta operativo

DATI: EU AI ACT ART. 99 · DLA PIPER · HOLLAND & KNIGHT · 2026

Le multe massime arrivano a €35 milioni o al 7% del fatturato globale. E il perimetro è extraterritoriale: qualsiasi provider o deployer il cui output AI è usato nell'UE è dentro—Wall Street e Londra incluse.

Per la finanza, in particolare, due categorie dell'Allegato III mordono direttamente: valutazione del merito creditizio e pricing del rischio nelle assicurazioni vita e salute. Se fate girare modelli ML di underwriting, scoring o pricing che toccano cittadini UE, siete deployer high-risk a undici giorni dall'applicabilità, che vi consideriate o meno "un'azienda AI".

Gli Angoli da Quant

1. La compliance è un tema tradabile con un calendario. I vendor di governance, documentazione modelli e audit AI hanno uno shock di domanda con una scadenza legale attaccata—e il 78% del mercato che compra in ritardo. La sequenza ricorda la dinamica frodi-prima-dei-pagamenti del pezzo sull'agentic commerce: i budget di panico si muovono per primi.

2. Il rinvio è un event trade. Un esito parlamentare binario (l'Omnibus passa / non passa) con data nota e vincitori chiari da entrambi i lati: i deployer AI europei salgono sul rinvio; i vendor di compliance salgono sul no-rinvio. Posizionatevi di conseguenza o almeno non siate short di quella volatilità.

3. L'enforcement crea dati. Quando il database UE dei sistemi high-risk si riempirà, diventerà un registro pubblico di chi usa quali modelli e dove—alt-data sull'adozione AI che oggi non esiste da nessuna parte. Stessa logica delle code di interconnessione nel pezzo sull'energia: i filing regolatori non mentono.

4. Guardate la prima multa, non la legge. Le regolamentazioni riprezzano i mercati quando parte l'enforcement, non quando escono i testi. La prima sanzione a otto cifre contro il modello di scoring di una banca farà alle valutazioni AI europee più di due anni di commenti legali messi insieme.

La valutazione onesta: il regime high-risk dell'AI Act arriva con la maggioranza dei suoi destinatari impreparata e il suo stesso calendario in rinegoziazione politica. Non è un argomento per dire che non conta—è il setup per un'era di enforcement disordinata e guidata dai titoli, in cui le aziende già conformi detengono un vantaggio operativo silenzioso. Nella regolamentazione come nei mercati: la scadenza è reale finché il voto non dice altrimenti, e la speranza non è una strategia di compliance.

---

I vostri modelli sono nel perimetro dell'Allegato III, o non avete ancora costruito l'inventario per saperlo? I memo legali raccontano una storia; il model registry ne racconta un'altra.