La regolazione europea dell’intelligenza artificiale è entrata in una nuova fase. Dopo anni dedicati alla costruzione di un quadro normativo sempre più articolato, la sfida non è più introdurre nuove regole, ma renderle concretamente applicabili senza rallentare innovazione e competitività.
In questo contesto, l’AI Omnibus entrato in vigore il 27 luglio 2026 va letto come un tassello di coordinamento, più che come un semplice rinvio delle scadenze dell’AI Act.
L’obiettivo è mettere ordine in un ecosistema regolatorio che oggi comprende AI Act, GDPR, EHDS, Data Act, NIS2, Cyber Resilience Act e discipline di settore come quella sui dispositivi medici: norme nate in momenti diversi, ma che finiscono per governare rischi comuni.
Indice degli argomenti
AI Omnibus e conformità dei sistemi di IA
Il rinvio delle principali scadenze per i sistemi di IA ad alto rischio è l’aspetto più visibile, ma non è il più interessante. Il vero cambiamento riguarda il modo in cui verrà costruita la conformità dei sistemi di intelligenza artificiale: meno fondata sulla somma di adempimenti, più centrata sulla capacità di dimostrare che le scelte progettuali siano adeguate rispetto ai rischi.
Questo cambio di prospettiva emerge anche nel rapporto tra AI Act e normative di prodotto. L’Omnibus interviene per ridurre duplicazioni e incoerenze, favorendo un’integrazione tra discipline che affrontano gli stessi rischi senza modificare l’impianto basato sul rischio dell’AI Act. La definizione di “componente di sicurezza” conferma che la qualificazione di un sistema dipende dalla destinazione d’uso e dalle conseguenze di un malfunzionamento, più che dalla semplice presenza di algoritmi di IA.
Il nuovo articolo 4-bis e la gestione dei dati
La novità più rilevante riguarda però la gestione dei dati.
Con il nuovo articolo 4-bis, l’AI Omnibus consente, in circostanze eccezionali, il trattamento di dati sanitari e di altre categorie particolari per rilevare e correggere bias nei sistemi di intelligenza artificiale. La disposizione non allarga indiscriminatamente le possibilità di utilizzare dati personali, ma introduce un criterio diverso per giustificarne l’impiego: prima di ricorrere ai dati personali occorre dimostrare che lo stesso risultato non possa essere raggiunto tramite dati anonimizzati o sintetici.
Il dato personale non è più il punto di partenza naturale, ma una scelta che deve essere motivata e documentata. È proprio qui che cambia il ruolo del dato sintetico.
Dati sintetici come termine di confronto regolatorio
Finora il suo principale valore era quello di facilitare ricerca, sviluppo e sperimentazione riducendo i rischi legati all’utilizzo di dati personali. L’AI Omnibus gli attribuisce una funzione nuova, pienamente regolatoria. Il dato sintetico diventa il principale termine di confronto nel test di necessità: prima di utilizzare dati reali bisogna verificare se un dataset sintetico sia sufficiente a raggiungere il medesimo obiettivo.
Si tratta di un passaggio che va oltre la gestione tecnica dei dataset. Per la prima volta il legislatore europeo riconosce il dato sintetico non soltanto come tecnologia utile a ridurre l’esposizione dei dati personali, ma come uno strumento per dimostrare la correttezza delle scelte progettuali. In altri termini, il dato sintetico entra nel cuore del processo di conformità: non è solo un mezzo per “fare meno male”, ma un elemento con cui si argomenta perché una certa architettura sia appropriata rispetto al rischio da governare.
Perché la scelta del dato va valutata caso per caso
Questo non significa che il dato sintetico diventi automaticamente la scelta migliore. La sua adeguatezza deve essere valutata caso per caso, verificando se rappresenta correttamente il fenomeno da analizzare, se mantiene le caratteristiche rilevanti del dataset originario e se consente davvero di individuare o correggere eventuali bias. La novità consiste nello spostamento dell’attenzione: non conta più soltanto quale categoria di dato venga utilizzata, ma perché quella scelta sia tecnicamente e giuridicamente la più appropriata.
Il principio si riflette anche nella progettazione delle architetture. L’AI Omnibus non impone l’elaborazione on-premise né esclude il cloud, ma indica una direzione chiara: ridurre la movimentazione dei dati personali e mantenere il trattamento all’interno di ambienti controllabili, secondo la logica del “portare il calcolo al dato”. In parallelo, cambia la relazione con lo European Health Data Space. Se l’EHDS crea le condizioni per rendere i dati sanitari accessibili e riutilizzabili, l’AI Omnibus introduce una domanda ulteriore: quale dato è davvero necessario utilizzare? Accessibilità e adeguatezza non coincidono, e la conformità richiede sempre più la capacità di dimostrare che il dataset scelto sia il più idoneo rispetto alla finalità perseguita.
Dal dato sintetico alla tecnologia regolatoria
È probabilmente questo il contributo più originale dell’AI Omnibus. Il dato sintetico non diventa obbligatorio e non sostituisce il dato personale, ma entra a far parte del processo con cui viene dimostrata la conformità di un sistema di intelligenza artificiale. Da tecnologia abilitante diventa anche tecnologia regolatoria: uno strumento che concorre a definire se una scelta progettuale sia proporzionata, documentabile e verificabile.
Per il settore sanitario, medtech e farmaceutico questo rappresenta un cambiamento culturale prima ancora che normativo. Il vantaggio competitivo non dipenderà soltanto dalla disponibilità dei dati o dalla capacità di sviluppare modelli più sofisticati, ma dalla possibilità di dimostrare, con solide basi tecniche e giuridiche, perché un determinato dato — personale, anonimizzato o sintetico — sia la scelta più appropriata rispetto allo specifico caso d’uso.
La seconda fase della regolazione europea dell’IA
In fondo, è lo stesso movimento che sta attraversando l’intera regolazione europea del dato sanitario: il dato non viene più valutato come oggetto statico, ma come funzione rispetto a uno scopo, a un rischio e a una responsabilità. L’AI Omnibus porta questa tensione dentro il cuore dei sistemi di intelligenza artificiale: non chiede soltanto quali dati vengano utilizzati, ma come e perché quei dati – personali, anonimizzati o sintetici – siano proporzionati alla funzione che devono svolgere. È su questa capacità di pensare il dato come funzione, e non solo come risorsa, che si misurerà la maturità reale della seconda fase della regolazione europea dell’IA.
Partecipa alla community