SDG Group, società di consulenza attiva a livello globale specializzata in AI, Data & Analytics, ha rilasciato un'analisi che va a fondo sulle nuove prospettive di governance che si aprono per le aziende da ieri, 2 agosto. Questo giorno segna infatti segna un passaggio chiave nell'applicazione dell'AI Act - perché scattano gli obblighi di trasparenza e il regime sanzionatorio - mentre il Digital Omnibus approvato a giugno ha rinviato al 2027-2028 gli obblighi più corposi sui sistemi ad alto rischio. Proprio su questo punto si concentra l'analisi di Massimiliano Rosatelli, Head of Data & AI di SDG: il vero tema non è la scadenza normativa in sé, ma il costo della compliance dal punto di vista organizzativo - governance, processi, contratti, gestione dei fornitori, responsabilità interne - che va costruito ora, indipendentemente da quali obblighi sono già formalmente in vigore e quali no. Considerato che la maggior parte delle imprese non sviluppa l'AI ma la utilizza, il vero nodo sarà capire come governarla. Molte aziende scopriranno di usare già sistemi di intelligenza artificiale senza averne una piena visibilità o senza aver definito chi ne è responsabile, come vengono supervisionati e quali garanzie devono essere richieste ai fornitori. Rosatelli spiega lo scenario: "Il 2 agosto 2026 il regolamento europeo è entrato nella sua fase applicativa più ampia. Ma il vero costo per le imprese non è negli articoli di legge: è nella riorganizzazione silenziosa che impone a governance, processi e contratti". Spiegando che  "Il 2 agosto non è la data in cui le aziende europee "diventano conformi" all'AI Act. È la data in cui scoprono quanto poco sanno dei propri sistemi di intelligenza artificiale. Con l'applicazione dei capitoli centrali del Regolamento 2024/1689 - trasparenza, sorveglianza del mercato, regime sanzionatorio - l'AI smette di essere una questione tecnologica e diventa una questione di accountability: chi usa un sistema deve poterlo dimostrare governato, tracciato, supervisionato. E la dimostrazione, non l'intenzione, è ciò che conta davanti a un'autorità di vigilanza". Il pacchetto Digital Omnibus, approvato nel giugno scorso, ha rimodulato il calendario, spostando in avanti gli obblighi più onerosi sui sistemi ad alto rischio. Molti consigli di amministrazione hanno letto la proroga come una tregua: "È una lettura miope: il rinvio riguarda le scadenze formali, non il tempo necessario per costruire i presidi. E costruire un sistema di gestione del rischio AI, con log immutabili, documentazione tecnica e supervisione umana effettiva, richiede tra i dodici e i ventiquattro mesi per un'organizzazione di media complessità. Chi comincia quando scatta l'obbligo ha già perso", chiarisce Rosatelli.

Massimiliano Rosatelli, Head of Data & AI di SDG

Il significato reale: dall'adozione alla responsabilità

L'attenzione mediatica si è concentrata sui produttori di modelli. Ma la stragrande maggioranza delle imprese europee non sviluppa AI: la usa: "E il regolamento assegna proprio ai deployer - chi impiega sistemi AI sotto la propria autorità - una catena di responsabilità che finora nessuno aveva formalizzato. Significa sapere quali sistemi sono in uso, con quali dati sono stati addestrati, chi ne sorveglia gli output, con quale formazione e con quali strumenti di intervento", spiega il manager. Qui emerge il primo costo implicito: il censimento. "Nella pratica, l'AI aziendale non vive solo nei progetti approvati dall'IT. Vive nel CRM che ha attivato una funzione di scoring "di default", nel software HR che filtra i curricula, nel chatbot acquistato da una business unit senza passare dal procurement, nei plugin generativi che i dipendenti usano quotidianamente. È l'AI invisibile: non governata, non documentata, spesso non nota nemmeno a chi dovrebbe risponderne. Molte aziende scopriranno di essere deployer di sistemi potenzialmente ad alto rischio senza averlo mai deciso", chiarisce.

Il sentiero nascosto: ciò che il regolamento costringe a riorganizzare

La conformità formale - la checklist, il fascicolo, la policy firmata - è la parte visibile. Quella invisibile è organizzativa, e attraversa funzioni che raramente hanno lavorato insieme: "Il legal deve rinegoziare i contratti con i fornitori tecnologici: chi risponde se il modello del vendor produce un output discriminatorio? Quali clausole garantiscono accesso a documentazione tecnica, aggiornamenti, informazioni sugli incidenti? Il procurement deve inserire criteri di conformità AI nelle gare, trasformando un acquisto software in una due diligence regolatoria. L'HR deve gestire il doppio fronte della formazione - l'obbligo di AI literacy è in vigore da oltre un anno, e resta tra i più disattesi - e dell'impatto sui processi di selezione e valutazione del personale, tra gli ambiti più sensibili dell'Allegato III", afferma. Poi ci sono i dati. Tracciabilità e auditabilità non si improvvisano: servono log conservati e non manipolabili, versioning dei modelli, registri delle decisioni automatizzate, procedure per l'escalation umana: "La "supervisione umana significativa" richiesta dal regolamento non è un dipendente che clicca "approva": è una persona formata, con autorità reale di fermare il sistema e strumenti per capire cosa sta facendo. Progettarla costa, in tempo, competenze e architettura", sottolinea. Infine, il costo meno esplicito: la manutenzione della conformità. "L'AI Act non certifica uno stato, impone un processo continuo. Ogni aggiornamento del modello, ogni nuovo caso d'uso, ogni modifica del fornitore riapre la valutazione. Le aziende dovranno mettere a budget non un progetto di compliance, ma una funzione permanente di AI governance - con comitati, ownership chiare e metriche - analoga a quanto accaduto con il GDPR, ma su un oggetto tecnologico che cambia molto più in fretta", prosegue.

Chi si muove prima trasforma l'obbligo in vantaggio

C'è un modo cinico di leggere il 2 agosto 2026: un'altra tassa regolatoria europea sull'innovazione. E ce n'è uno strategico: il regolamento obbliga le imprese a fare ciò che avrebbero comunque dovuto fare per scalare l'AI in sicurezza - "sapere cosa usano, con quali dati, con quali controlli. L'inventario dei sistemi diventa una mappa delle opportunità; la qualità dei dati imposta dalla norma migliora anche i modelli; la fiducia dimostrabile diventa un argomento commerciale verso clienti e partner che, a loro volta, chiederanno garanzie ai propri fornitori", dice Rosatelli, per conlcudere: "La distinzione competitiva dei prossimi due anni non passerà tra chi usa l'AI e chi no. Passerà tra chi la governa e chi la subisce. Il 2 agosto, semplicemente, rende questa differenza misurabile - e sanzionabile".