Il regolamento europeo sull’intelligenza artificiale (AI Act) è entrato nella sua fase di applicazione progressiva, ma il calendario inizialmente previsto ha subito una profonda ristrutturazione che la maggior parte delle sintesi disponibili non integra ancora. Questo slittamento modifica concretamente le scadenze di conformità per le aziende e le amministrazioni che operano in Francia.
Digital Omnibus: il calendario reale degli obblighi IA dopo luglio 2026
Il regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale il 24 luglio 2026, ha ridistribuito le date di entrata in vigore dei vari strati dell’AI Act. Ignorare questo testo espone a due errori simmetrici: credere di essere in ritardo su obblighi rinviati, o trascurare quelli che si applicano già.
I capitoli I e II, inclusi l’articolo 4 sulla alfabetizzazione IA e l’articolo 5 sulle pratiche di IA vietate, sono applicabili dal 2 febbraio 2025. Le regole che disciplinano i modelli di IA a uso generale (GPAI) e il capitolo sulla governance e sanzioni sono in vigore dal 2 agosto 2025.
Le obbligazioni di trasparenza dell’articolo 50 (informazione dell’utente che interagisce con un sistema di IA, segnalazione del contenuto generato) si applicano a partire dal 2 agosto 2026 e non sono state rinviate dal Digital Omnibus.
Le obbligazioni più gravose sui sistemi ad alto rischio sono state posticipate. I sistemi autonomi dell’Allegato III (reclutamento, scoring creditizio, valutazione dei dipendenti) passano al 2 dicembre 2027 invece del 2 agosto 2026. Questo rinvio supera la semplice tolleranza amministrativa: riflette la difficoltà tecnica di implementare i meccanismi di valutazione di conformità nei tempi iniziali.
Per comprendere meglio la legislazione sull’intelligenza artificiale in Francia, è necessario integrare questo nuovo calendario come riferimento operativo.
Autorità di controllo IA in Francia: un vuoto istituzionale persistente
A metà del 2026, la Francia non ha ancora ufficialmente designato la sua autorità nazionale competente per supervisionare l’applicazione dell’AI Act. Questo ritardo non è trascurabile: senza un’autorità identificata, le aziende non hanno alcun interlocutore per le richieste di pre-conformità, le notifiche di incidenti o le domande di interpretazione delle categorie di rischio.
La CNIL si presenta come candidata naturale, data la sua esperienza sul GDPR e i suoi lavori pubblicati sull’articolazione tra protezione dei dati e sistemi di IA. Ha infatti prodotto diverse risorse tecniche sull’argomento. Tuttavia, nulla garantisce che il mandato le venga assegnato integralmente: altre configurazioni istituzionali rimangono possibili, in particolare una condivisione delle competenze tra diversi regolatori settoriali.
Questa incertezza crea una insicurezza giuridica concreta per i fornitori di sistemi ad alto rischio. Senza linee guida nazionali, le aziende devono fare affidamento solo sui testi europei e sulle orientamenti dell’Ufficio europeo dell’IA, che non coprono le specificità del diritto francese.
Articolazione AI Act, GDPR e diritto d’autore francese: tre regimi che si sovrappongono
Il 2 agosto 2026 segna anche l’entrata in applicazione delle obbligazioni di trasparenza che incrociano direttamente il diritto d’autore. L’articolo 53 dell’AI Act impone ai fornitori di modelli GPAI di pubblicare un riassunto sufficientemente dettagliato dei dati di addestramento utilizzati, inclusi i contenuti protetti da diritto d’autore.
In diritto francese, questa esigenza collide con il quadro esistente della proprietà intellettuale. Gli editori, fotografi e autori dispongono già di meccanismi di opposizione alla raccolta di testi e dati (text and data mining). La sovrapposizione dei due regimi solleva questioni pratiche:
- Un riassunto dei dati di addestramento conforme all’AI Act può essere sufficiente a dimostrare il rispetto del diritto di opposizione al TDM previsto dal Codice della proprietà intellettuale?
- I fornitori di modelli GPAI addestrati su corpus multilingue devono adattare la loro politica di trasparenza paese per paese, o il quadro europeo prevale?
- La responsabilità in caso di riproduzione non autorizzata di un’opera in un’uscita generata da IA ricade sul fornitore del modello, sul fornitore, o su entrambi?
Raccomandiamo alle aziende che utilizzano modelli generativi di documentare fin da ora la loro catena di approvvigionamento dei dati di addestramento, anche se la scadenza di conformità completa per i sistemi ad alto rischio è stata rinviata.
Obbligazioni di trasparenza IA applicabili da agosto 2026: ambito concreto
L’articolo 50 dell’AI Act, applicabile dal 2 agosto 2026, impone tre categorie di obbligazioni che riguardano direttamente le aziende francesi che implementano sistemi di IA in contatto con il pubblico:
- Segnalazione di interazione con un’IA: ogni utente deve essere informato quando interagisce con un sistema di IA, a meno che ciò non sia evidente in base alle circostanze d’uso.
- Marcatura del contenuto sintetico: le immagini, testi, file audio o video generati o manipolati da IA devono essere identificati come tali in modo leggibile dalla macchina.
- Informazione sulle decisioni automatizzate: quando un sistema di IA produce decisioni che influenzano persone fisiche, il fornitore deve fornire spiegazioni sulla logica del sistema e sulle sue principali variabili.
Queste obbligazioni non sostituiscono i requisiti del GDPR sulle decisioni individuali automatizzate (articolo 22). Si aggiungono ad essi. Un chatbot di servizio clienti, ad esempio, deve sia segnalare la sua natura artificiale ai sensi dell’AI Act sia rispettare i diritti di accesso e rettifica ai sensi del GDPR.
L’assenza di un’autorità nazionale designata complica il controllo di queste obbligazioni, ma non esonera dal loro rispetto. Le sanzioni previste dall’AI Act per non conformità alle obbligazioni di trasparenza possono raggiungere importi significativi, proporzionali al fatturato globale del trasgressore.
Il quadro giuridico dell’IA in Francia si costruisce per strati successivi, tra regolamento europeo, diritto nazionale della proprietà intellettuale e protezione dei dati. Le aziende che aspettano la designazione di un’autorità di controllo per agire accumulano un ritardo di conformità difficile da recuperare, in particolare sulla documentazione dei dati di addestramento e sui meccanismi di trasparenza già esigibili.