News Digitali
Novità AI della settimana
Dal 2 agosto si applicano gli obblighi di trasparenza dell’AI Act. Intanto cambiano le scadenze per i sistemi ad alto rischio e GitHub aggiorna policy, modelli e controlli di Copilot. Una selezione verificata delle novità AI utili alle PMI italiane.
Redazione PMI Digital Lab
5 min
PMI DIGITAL LAB
In questa guida
Cosa cambia con l’AI Act dal 2 agosto Quando informare gli utenti di un chatbot Quali contenuti AI richiedono una disclosure Le nuove scadenze per i sistemi ad alto rischio I controlli introdotti in GitHub Copilot La chiusura di GitHub Models L’impatto delle AI Gigafactories sulle PMI
Da ricordare
La settimana dal 27 luglio al 2 agosto 2026 porta alle imprese una scadenza normativa concreta e diversi aggiornamenti da controllare negli strumenti di sviluppo. Dal 2 agosto si applicano gli obblighi di trasparenza dell’articolo 50 dell’AI Act e prende avvio una nuova fase di vigilanza. Il Digital Omnibus sull’AI, entrato in vigore pochi giorni prima, ha invece spostato al 2027 e al 2028 l’applicazione delle regole per specifici sistemi ad alto rischio.
Sul fronte tecnologico, GitHub ha introdotto nuovi controlli su app, modelli, agenti, collegamenti MCP e sessioni remote di Copilot. Ha inoltre ritirato GitHub Models e due modelli Gemini. Sono novità rivolte soprattutto a software house e imprese con sviluppo interno, ma mostrano una tendenza più ampia: gli assistenti AI stanno acquisendo accesso a un numero crescente di file, strumenti e sistemi aziendali.
Dal 2 agosto 2026 l’AI Office della Commissione europea e le autorità nazionali iniziano a esercitare i rispettivi poteri di applicazione dell’AI Act. Nella stessa data diventano applicabili gli obblighi di trasparenza previsti dall’articolo 50, come conferma il comunicato della Commissione europea sull’avvio dell’enforcement.
Le regole non impongono a ogni azienda di dichiarare pubblicamente qualsiasi uso di ChatGPT, Gemini, Claude o Copilot. Distinguono invece il ruolo dell’organizzazione, il tipo di sistema e il modo in cui l’output viene presentato.
In sintesi:
i provider devono progettare i sistemi che interagiscono direttamente con le persone in modo che queste sappiano di avere davanti un’AI, salvo che sia evidente;
i provider di sistemi generativi devono applicare agli output pertinenti marcature tecniche leggibili dalle macchine;
i deployer, cioè le organizzazioni che usano professionalmente i sistemi, devono informare le persone esposte a strumenti di riconoscimento delle emozioni o categorizzazione biometrica;
i deployer devono rendere riconoscibili i deepfake e determinati testi di interesse pubblico generati o manipolati con AI.
Una PMI che integra sul sito un chatbot fornito da terzi è normalmente un deployer, non il soggetto che ha progettato il sistema. Dovrebbe comunque verificare che l’avviso sia presente e funzionante, chiarire nel contratto chi gestisce gli obblighi tecnici e controllare che il passaggio a un operatore umano sia comprensibile.
Chatbot: l’avviso deve comparire dall’inizio
La pagina di domande e risposte della Commissione sull’articolo 50 indica quattro condizioni cumulative: deve trattarsi di un sistema AI, progettato per uno scambio bidirezionale, che comunica direttamente con una persona fisica senza un intermediario umano.
Un chatbot che interpreta la domanda di un cliente e genera una risposta personalizzata rientra normalmente in questo caso. Un modulo di contatto che raccoglie dati e inoltra una conferma standard non diventa invece un sistema AI interattivo soltanto perché la richiesta viene smistata automaticamente.
L’informazione deve essere chiara e distinguibile fin dall’inizio della prima interazione. Può bastare una formula semplice:
Stai interagendo con un assistente virtuale basato sull’intelligenza artificiale.
L’eccezione prevista quando la natura artificiale dell’interazione è evidente deve essere interpretata in modo restrittivo. Il nome di fantasia di un assistente o la presenza di un avatar non sono sempre sufficienti. Se il chatbot raccoglie dati personali, restano inoltre da verificare informativa, finalità, conservazione e accessi, come spiegato nella guida pratica al GDPR per PMI.
Immagini AI e deepfake non sono la stessa cosa
Non tutte le immagini generate con AI sono deepfake. Secondo le linee guida europee, un deepfake è un contenuto visivo, audio o video che assomiglia a una persona, un oggetto, un luogo, un’entità o un evento esistente o plausibile e può apparire falsamente autentico o veritiero.
Un’illustrazione chiaramente stilizzata per la copertina di un articolo, un’icona o una scena apertamente fantastica non rientrano automaticamente in questa definizione. Richiedono invece attenzione un video realistico nel quale un amministratore sembra pronunciare parole mai dette, una voce sintetica che imita una persona reale o la fotografia artificiale di una sede presentata come autentica.
La disclosure deve essere percepibile al più tardi al primo contatto con il contenuto. La marcatura tecnica inserita dal provider non sostituisce l’avviso comprensibile per il pubblico. Per le opere evidentemente artistiche, creative, satiriche o di fantasia, l’informazione può essere adattata per non compromettere la fruizione, ma l’obbligo non scompare automaticamente.
I testi revisionati da una persona possono essere esenti
L’articolo 50 considera anche i testi generati o manipolati con AI e pubblicati per informare il pubblico su questioni di interesse pubblico. La categoria può comprendere, per esempio, contenuti su politica, servizi pubblici, salute, ambiente, sicurezza dei consumatori e sviluppi economici o scientifici rilevanti per il dibattito pubblico.
L’etichettatura non è richiesta quando il testo ha ricevuto una revisione umana sostanziale o un controllo editoriale effettivo e una persona o un’organizzazione ne assume la responsabilità editoriale. Correggere soltanto grammatica, punteggiatura o stile non basta. Il controllo dovrebbe riguardare fonti, date, affermazioni, completezza e attendibilità.
La nostra guida AI Act dal 2 agosto 2026: come etichettare chatbot, deepfake e contenuti AI approfondisce esempi, eccezioni e modalità di disclosure.
La proroga a dicembre è limitata
Non esiste una proroga generale degli obblighi di trasparenza. Per i sistemi immessi sul mercato prima del 2 agosto 2026, soltanto l’obbligo del provider relativo alla marcatura e rilevabilità tecnica degli output, previsto dall’articolo 50(2), beneficia di un periodo limitato fino al 2 dicembre 2026. I contenuti generati prima del 2 agosto non devono essere etichettati retroattivamente.
Il Codice di condotta europeo sulla trasparenza resta volontario. A fine luglio risultavano circa 190 organizzazioni firmatarie, secondo l’elenco pubblicato dalla Commissione. La firma offre un percorso riconosciuto per dimostrare l’adeguatezza delle misure previste dal Codice; non sostituisce il regolamento e non è necessaria per la maggior parte delle PMI che usano normali servizi AI di terzi.
AI Omnibus: le scadenze per l’alto rischio si spostano
Il Digital Omnibus sull’AI, adottato come Regolamento (UE) 2026/1744, è entrato in vigore il 27 luglio 2026. La modifica più rilevante per molte imprese riguarda il calendario dei sistemi ad alto rischio:
Ambito | Nuova data di applicazione |
|---|---|
Sistemi ad alto rischio dell’Allegato III | 2 dicembre 2027 |
Sistemi AI integrati nei prodotti regolamentati dell’Allegato I | 2 agosto 2028 |
Nell’Allegato III rientrano determinati usi in settori quali occupazione, istruzione, servizi essenziali, biometria, infrastrutture critiche, migrazione e giustizia. Conta però la finalità concreta: non ogni funzione AI usata dalle risorse umane è automaticamente ad alto rischio.
Il rinvio non sospende GDPR, diritto del lavoro, regole antidiscriminatorie, sicurezza informatica o obblighi contrattuali. Un’impresa che utilizza un sistema per classificare candidati, analizzare dipendenti o influenzare decisioni su persone non dovrebbe attendere il 2027 per valutarne liceità, dati, supervisione e affidabilità.
L’Omnibus amplia inoltre l’accesso alle sandbox regolamentari e prevede una sandbox a livello europeo. Sono ambienti supervisionati destinati a supportare la sperimentazione, non autorizzazioni a ignorare privacy, sicurezza o diritti fondamentali.
La nuova pratica vietata relativa ai sistemi che generano contenuti sessualmente espliciti o intimi non consensuali e materiale di abuso sessuale su minori, comprese le applicazioni di “nudification”, diventerà applicabile a dicembre 2026. Non va quindi presentata come già operativa dal 27 luglio. Le date e le principali modifiche sono riepilogate nella pagina ufficiale sull’entrata in vigore dell’AI Omnibus; il testo vincolante è il Regolamento (UE) 2026/1744 su EUR-Lex.
GitHub Copilot: più funzioni richiedono più controlli
Le novità GitHub della settimana interessano soprattutto software house, agenzie digitali e PMI con un team di sviluppo. Copilot opera ormai attraverso app, editor, riga di comando, agenti cloud e fonti esterne.
Il 27 luglio GitHub ha introdotto una policy dedicata per l’app Copilot, separandola da Copilot CLI. Le opzioni sono “Enabled everywhere”, “Disabled everywhere” e “Let organizations decide”. L’impostazione iniziale è “Enabled everywhere”: l’amministratore che non vuole rendere disponibile l’app deve quindi intervenire.
Nella stessa data, le impostazioni aziendali gestite sono state estese all’app e al cloud agent. Il file managed-settings.json può limitare plugin e marketplace, impedire l’aggiramento delle richieste di approvazione nei client interattivi e impostare la selezione automatica del modello. I controlli non si applicano in modo identico a ogni superficie.
Dal 26 agosto cambia la gestione predefinita dei modelli
GitHub ha annunciato che dal 26 agosto 2026 i modelli generalmente disponibili non configurati esplicitamente seguiranno una policy globale. Se il valore predefinito rimane attivo, questi modelli potranno diventare disponibili agli utenti senza una nuova approvazione individuale. Le scelte esplicite già impostate restano invariate; sono esclusi dall’attivazione automatica i modelli open-weight e quelli non coperti dagli accordi GitHub sulla conservazione dei dati.
La nuova policy di abilitazione predefinita è rilevante per Copilot Business ed Enterprise. Prima del 26 agosto l’amministratore dovrebbe decidere se accettare automaticamente i nuovi modelli o mantenere un processo di approvazione manuale.
È inoltre disponibile in anteprima una gestione dei modelli per enterprise team. Il criterio è permissivo: se una persona riceve l’accesso a un modello attraverso almeno uno dei team ai quali appartiene, può usarlo nell’ambiente coperto dalla licenza. Prima di attivare l’anteprima conviene quindi controllare utenti presenti in più gruppi e modelli opzionali assegnati a ciascun team.
MCP in sola lettura non significa assenza di rischio
Il supporto a skill e server MCP nella code review di Copilot è ora generalmente disponibile per i piani Pro, Pro+, Business ed Enterprise. Le skill possono aggiungere istruzioni e standard interni; i server MCP possono fornire contesto da issue tracker, documentazione e cataloghi di servizi.
GitHub specifica che le chiamate MCP eseguite dalla code review sono limitate alla lettura. La funzione annunciata il 29 luglio attiva inoltre per impostazione predefinita i server MCP di GitHub e Playwright in questa configurazione.
La sola lettura riduce il rischio di modifica dei sistemi, ma può comunque esporre informazioni riservate o fornire all’agente un contesto errato. Vanno controllati dati accessibili, segreti di autenticazione, proprietario del server, log, fonti autorizzate e possibilità di revoca.
Per le sessioni controllate a distanza, la nuova impostazione remoteControl permette di richiedere l’autorizzazione SSO, bloccare il controllo remoto o consentirlo, distribuendo la configurazione anche sui dispositivi gestiti. È un controllo utile quando l’agente può eseguire attività su repository e terminali da computer aziendali o personali.
GitHub Models chiude e cambia il catalogo di Copilot
Dal 30 luglio 2026 GitHub Models è stato ritirato per tutti i clienti. Non sono più disponibili playground, catalogo, API di inferenza e configurazioni BYOK. Le imprese che avevano realizzato prototipi sul servizio devono individuare le dipendenze, scegliere un’alternativa e ripetere i test su qualità, costi, dati e condizioni d’uso. GitHub indica Microsoft Foundry per l’accesso a un catalogo di modelli e Copilot per i flussi all’interno della piattaforma, come riportato nell’annuncio di chiusura di GitHub Models.
Il 31 luglio sono stati inoltre ritirati da Copilot Gemini 2.5 Pro e Gemini 3 Flash. Le alternative suggerite sono Gemini 3.1 Pro, ancora in anteprima, e Gemini 3.6 Flash. Procedure o integrazioni che richiamano esplicitamente i vecchi modelli devono essere aggiornate e verificate: sostituire un modello può modificare output, costi e comportamento delle automazioni. La tabella aggiornata è nell’avviso di deprecazione di GitHub.
Grok 4.5 ha iniziato invece la distribuzione il 28 luglio per i piani Pro, Pro+, Max, Business ed Enterprise. Nei piani aziendali la policy è disattivata per impostazione predefinita e il modello utilizza la fatturazione a consumo secondo il listino del provider. Prima di abilitarlo, è opportuno valutare il caso d’uso, gli utenti autorizzati, il trattamento dei dati e il costo atteso, facendo riferimento all’annuncio ufficiale di Grok 4.5 in Copilot.
Queste novità riguardano GitHub Copilot, dedicato allo sviluppo software. Per le funzioni di produttività in Word, Excel, Outlook e Teams, il prodotto di riferimento è Microsoft 365 Copilot, approfondito nella guida Microsoft Copilot: cosa può fare davvero in ufficio.
AI Gigafactories: investimento europeo, non voucher immediato
Il 30 luglio l’Unione europea ha avviato una gara per realizzare fino a sette AI Gigafactories. L’iniziativa prevede fino a 10 miliardi di euro di sostegno europeo e nazionale e mira a mobilitare almeno 20 miliardi di investimenti privati. Le infrastrutture dovrebbero offrire capacità di addestramento, inferenza e fine-tuning a startup, scaleup, PMI, industria, università e pubbliche amministrazioni.
Per una microimpresa non si tratta di un contributo da richiedere subito. L’impatto potenziale è indiretto e di medio periodo: maggiore disponibilità di capacità di calcolo europea, servizi locali e alternative infrastrutturali. Prima di presentare la notizia come un incentivo per le PMI occorre attendere modalità di accesso, soggetti selezionati e servizi effettivamente offerti. I dati economici e il perimetro dell’iniziativa sono contenuti nel comunicato ufficiale sulle AI Gigafactories.
Errori da evitare
Etichettare automaticamente ogni contenuto assistito dall’AI
L’articolo 50 distingue tra marcatura tecnica dei provider, disclosure dei deepfake, chatbot e determinati testi di interesse pubblico. Una bozza interna o un testo sottoposto a vera revisione editoriale non seguono automaticamente la stessa regola.
Aspettare il 2027 per valutare gli strumenti HR
Il rinvio riguarda gli obblighi specifici per determinati sistemi ad alto rischio. GDPR, diritto del lavoro, divieti già applicabili e responsabilità dell’impresa restano rilevanti.
Lasciare invariate le impostazioni Copilot
Alcune nuove policy sono abilitate per impostazione predefinita o cambieranno il 26 agosto. L’assenza di una decisione amministrativa può quindi produrre un ampliamento degli strumenti disponibili.
Considerare “read-only” equivalente a “senza rischio”
Un collegamento MCP in sola lettura non modifica la fonte, ma può esporre dati, documenti o istruzioni riservate. Accessi e segreti devono essere proporzionati al compito.
Migrare un modello senza ripetere i test
Modelli diversi possono cambiare precisione, formato, costi e comportamento degli agenti. La sostituzione va verificata sugli stessi casi d’uso e con criteri confrontabili.
Checklist finale per le PMI
Abbiamo censito chatbot, strumenti generativi e sistemi che incidono su persone?
Il chatbot informa l’utente dall’inizio della prima interazione?
Abbiamo distinto illustrazioni AI, deepfake e testi di interesse pubblico?
La revisione editoriale verifica davvero fonti, date e affermazioni?
Esiste una persona responsabile dell’approvazione dei contenuti pubblicati?
Il calendario interno riporta il 2 dicembre 2027 e il 2 agosto 2028 per l’alto rischio?
Gli usi in HR, credito, biometria o servizi essenziali sono già stati valutati?
L’app GitHub Copilot è autorizzata consapevolmente oppure è rimasta attiva per default?
Abbiamo deciso come gestire l’abilitazione dei nuovi modelli dal 26 agosto?
Team, plugin, marketplace, skill e server MCP sono stati autorizzati?
Le sessioni remote sono limitate agli utenti e ai dispositivi appropriati?
Utilizzavamo GitHub Models o i modelli Gemini ritirati?
Costi a consumo e trattamento dei dati sono verificati prima di abilitare nuovi modelli?
Le modifiche alle policy sono registrate e riesaminate periodicamente?
Conclusione
La distinzione decisiva di questa settimana è tra obblighi già applicabili e scadenze rinviate. Dal 2 agosto la trasparenza dell’articolo 50 richiede controlli concreti su chatbot, deepfake, sistemi biometrici o di riconoscimento delle emozioni e alcuni testi di interesse pubblico. Le regole specifiche per i sistemi ad alto rischio seguono invece il nuovo calendario introdotto dall’AI Omnibus.
Per una PMI, il primo passo è verificare l’inventario degli strumenti realmente in uso. Da lì diventa possibile controllare disclosure, dati, permessi, modelli e responsabilità senza trattare allo stesso modo tecnologie e casi d’uso molto diversi.
Fonti ufficiali
Commissione europea — Avvio dell’enforcement dell’AI Act e requisiti di trasparenza dal 2 agosto 2026
https://digital-strategy.ec.europa.eu/en/news/commission-starts-enforcing-ai-act-rules-and-new-transparency-requirements-2-augustCommissione europea — FAQ sugli obblighi di trasparenza dell’articolo 50
https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-actCommissione europea — Linee guida sugli obblighi di trasparenza per provider e deployer
https://digital-strategy.ec.europa.eu/en/policies/guidelines-transparency-ai-generated-contentCommissione europea — Codice di condotta sulla trasparenza dei contenuti generati con AI
https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-contentCommissione europea — Organizzazioni firmatarie del Codice di condotta sulla trasparenza
https://digital-strategy.ec.europa.eu/en/news/strong-backing-code-practice-transparency-ai-generated-contentCommissione europea — Entrata in vigore dell’AI Omnibus e nuove scadenze
https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-forceEUR-Lex — Regolamento (UE) 2026/1744, Digital Omnibus sull’AI
https://eur-lex.europa.eu/eli/reg/2026/1744/oj/engGitHub — Policy dedicata per l’accesso all’app Copilot
https://github.blog/changelog/2026-07-27-manage-github-copilot-app-access-with-a-dedicated-policy/GitHub — Impostazioni gestite per l’app Copilot e il cloud agent
https://github.blog/changelog/2026-07-27-enterprise-managed-settings-now-apply-to-the-github-copilot-app/GitHub — Abilitazione predefinita dei modelli dal 26 agosto 2026
https://github.blog/changelog/2026-07-29-default-model-enablement-for-copilot-business-and-enterprise/GitHub — Gestione dei modelli per enterprise team
https://github.blog/changelog/2026-07-31-enterprise-teams-model-policy-targeting-in-public-preview/GitHub — Skill e server MCP nella code review di Copilot
https://github.blog/changelog/2026-07-29-copilot-code-review-agent-skills-and-mcp-now-generally-available/GitHub — Limitazione del controllo remoto ai dispositivi gestiti
https://github.blog/changelog/2026-07-30-limit-remote-control-to-managed-devices/GitHub — Chiusura definitiva di GitHub Models
https://github.blog/changelog/2026-07-30-github-models-is-now-retired/GitHub — Ritiro di Gemini 2.5 Pro e Gemini 3 Flash da Copilot
https://github.blog/changelog/2026-07-31-gemini-2-5-pro-and-gemini-3-flash-deprecated/GitHub — Disponibilità di Grok 4.5 in Copilot
https://github.blog/changelog/2026-07-28-grok-4-5-is-now-available-in-github-copilot/Commissione europea — Gara per la realizzazione delle AI Gigafactories
https://digital-strategy.ec.europa.eu/en/news/eu-launches-ai-gigafactories-call-boost-europes-computing-capacity-and-unlock-more-eu30-billion
Nota pratica
Prima di adottare un nuovo strumento, prova un flusso piccolo per sette giorni e misura se riduce davvero tempo, errori o passaggi inutili.
Articoli correlati
News Digitali
Dal 2 agosto si applicano gli obblighi di trasparenza dell’AI Act. Intanto cambiano le scadenze per i sistemi ad alto rischio e GitHub aggiorna policy, modelli e controlli di Copilot. Una selezione verificata delle novità AI utili alle PMI italiane.
Guide Pratiche
Una guida pratica per collegare moduli online, fogli di calcolo e notifiche email senza sviluppare software. Scopri come progettare il flusso, gestire dati mancanti, duplicati, accessi ed errori e verificare se il foglio è ancora lo strumento adatto.
Guide Pratiche
Dal 2 agosto 2026 diventano applicabili gli obblighi di trasparenza dell’AI Act. Scopri quando dichiarare chatbot, deepfake e contenuti AI, quali casi sono esenti e quando serve una revisione umana.