Per le imprese che entrano in contatto a vario titolo con soluzioni di intelligenza artificiale, i prossimi mesi meritano particolare attenzione sia per quanto riguarda le norme che diventeranno applicabili dal 2 agosto 2026, sia per quanto riguarda le modifiche introdotte dal Digital Omnibus sull’IA. Questo contributo ricostruisce le principali novità dell’Omnibus e propone una guida operativa per orientare le scelte di compliance delle imprese, distinguendo ciò che cambia da ciò che, invece, va comunque rispettato nei tempi già previsti.
Indice degli argomenti
Perché il 2 agosto 2026 resta una data rilevante
Nonostante il Digital Omnibus sull’IA sposti diverse “scadenze” relative all’applicabilità di disposizioni dell’AI Act (come vedremo nel prosieguo), la data generale di applicazione del regolamento, fissata al 2 agosto 2026 dal primo comma dell’articolo 113 dell’AI Act e non toccata dalla riforma, resta pertanto il riferimento per tutte le disposizioni non espressamente derogate.
Per quanto riguarda le disposizioni che impattano maggiormente le imprese, tra quelle che restano ancorate a questa data rientra l’articolo 50 dell’AI Act che disciplina gli obblighi di trasparenza per fornitori e deployer di determinati sistemi di IA. In sintesi, dal 2 agosto 2026:
- i fornitori di sistemi di IA destinati a interagire direttamente con le persone fisiche, come un chatbot o un assistente vocale, devono garantire che l’utente sia informato di stare interagendo con un sistema di IA, a meno che ciò non risulti già evidente dal contesto (art. 50, par. 1);
- i fornitori di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici, garantiscono che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente (art. 50, par. 2), salvo quanto espressamente previsto dal Digital Omnibus sull’IA per i fornitori di tali sistemi di IA laddove siano stati immessi sul mercato prima del 2 agosto 2026 (questi, come si vedrà più avanti, adottano le misure necessarie per conformarsi all’articolo 50, paragrafo 2, entro il 2 dicembre 2026).
- i deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica devono informarne le persone esposte, in coordinamento con gli obblighi previsti dal GDPR (art. 50, par. 3);
- i deployer che generano o manipolano immagini, audio o video assimilabili a un deep fake, oppure testi pubblicati per informare il pubblico su questioni di interesse generale senza controllo editoriale umano, devono rendere nota l’origine artificiale del contenuto (art. 50, par. 4).
Le novità introdotte dall’Omnibus sull’IA
Il percorso legislativo del Digital Omnibus sull’IA, infatti, può ormai considerarsi concluso nella sostanza; il Parlamento europeo ha approvato il testo in seduta plenaria il 16 giugno 2026 e il Consiglio dell’Unione europea ha dato il via libera definitivo il 29 giugno 2026. Resta la pubblicazione in Gazzetta Ufficiale dell’Unione europea, dalla quale decorreranno i tre giorni previsti per l’entrata in vigore, come previsto dall’articolo 4 del testo stesso.
Il regolamento modifica tre atti dell’Unione: il Regolamento (UE) 2024/1689 (l’AI Act), il Regolamento (UE) 2018/1139 (aviazione) e il Regolamento (UE) 2023/1230 (macchine). Come si legge nei considerando, l’obiettivo dichiarato è utilizzare l’esperienza già maturata nell’attuazione delle parti dell’AI Act già applicabili per intervenire su quelle non ancora in vigore, in un contesto in cui le stesse istituzioni europee avevano riconosciuto la difficoltà, per autorità e imprese, di attuare tempestivamente le parti più complesse del Regolamento, con particolare riferimento alle disposizioni relative ai sistemi di IA ad alto rischio
Al netto della cronaca dell’iter legislativo, ciò che interessa le imprese è capire quali disposizioni cambiano concretamente. Di seguito una panoramica delle principali novità, con l’indicazione, dove rilevante, di come si differenziano dalla proposta iniziale della Commissione.
Un nuovo calendario per l’alto rischio, ma con date fisse
La novità più rilevante riguarda l’applicabilità delle norme sui sistemi di IA ad alto rischio (capo III, sezioni 1, 2 e 3 dell’AI Act). Il testo finale modifica l’articolo 113 dell’AI Act e sposta le relative scadenze: dal 2 agosto 2026 al 2 dicembre 2027 per i sistemi ad alto rischio autonomi dell’Allegato III, e dal 2 agosto 2027 al 2 agosto 2028 per i sistemi ad alto rischio di cui all’art. 6, paragrafo 1, e dell’Allegato I.
Si ricorda che resta inoltre fermo, per i sistemi ad alto rischio già in uso da parte di autorità pubbliche prima dell’applicabilità del capo III, un termine ultimo e non derogabile fissato al 2 agosto 2030.
Due nuovi divieti assoluti, applicabili dal 2 dicembre 2026
Il regolamento introduce nuove pratiche vietate ai sensi dell’articolo 5 dell’AI Act, relative alla generazione o manipolazione di materiale di abuso sessuale sui minori e alla generazione di contenuti sessuali o intimi non consensuali (le cosiddette applicazioni “nudifier”). A differenza degli altri divieti già in vigore dal 2 febbraio 2025, queste due nuove fattispecie si applicheranno a partire dal 2 dicembre 2026, data individuata dall’articolo 113 dell’AI Act come modificato.
Fornitori di sistemi di IA che generano contenuti sintetici audio, video, immagine o testo
Per i fornitori di sistemi di IA, inclusi i modelli di IA per finalità generali, che generano contenuti sintetici audio, video, immagine o testo e che erano già stati immessi sul mercato prima del 2 agosto 2026, il nuovo articolo 111, paragrafo 4, dell’AI Act fissa l’obbligo di conformarsi alle regole di marcatura di cui all’articolo 50, paragrafo 2, entro il 2 dicembre 2026. Rispetto alla proposta iniziale della Commissione, che ipotizzava un periodo di adeguamento più ampio, il testo finale ha ridotto questa finestra. Su questo specifico obbligo di trasparenza, il legislatore non ha inteso concedere lo stesso respiro riservato ad altre disposizioni.
Alfabetizzazione in materia di IA. Obbligo confermato, ma nella sostanza attenuato
Sull’articolo 4 dell’AI Act (alfabetizzazione in materia di IA) la proposta della Commissione avrebbe voluto trasformare l’obbligo in un mero incoraggiamento. Il testo definitivo dell’Omnibus sull’IA conferma la natura di obbligo in capo a fornitori e deployer, ma ne attenua il contenuto. Il nuovo articolo 4 dell’AI Act, infatti, richiede di adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del proprio personale, chiarendo espressamente che tale obbligo non impone di garantire un livello specifico di alfabetizzazione per alcuna persona. Si passa pertanto da un obbligo di “garantire un livello sufficiente” a un obbligo di “sostenerne lo sviluppo”, pur restando un adempimento formalmente vincolante.
Il nuovo articolo 4-bis e il trattamento dei dati particolari per la correzione dei bias
Tra le disposizioni di maggior interesse pratico vi è l’introduzione dell’articolo 4-bis, che consente a fornitori e deployer di trattare categorie particolari di dati personali quando ciò sia necessario per individuare e correggere distorsioni (“bias”) nei sistemi di IA, a condizione che siano rispettati requisiti cumulativi quali, ad esempio, l’impossibilità di raggiungere lo stesso risultato con dati alternativi (ad esempio dati sintetici o anonimizzati), l’adozione di misure di sicurezza rafforzate e la cancellazione tempestiva dei dati particolari una volta assolta la finalità.
Una nuova categoria di impresa, la “piccola impresa a media capitalizzazione”
Il regolamento inserisce nell’articolo 3 dell’AI Act due nuove definizioni ossia quella di “PMI” (rinviando alla raccomandazione 2003/361/CE) e quella di “piccole imprese a media capitalizzazione”, che rinvia alla raccomandazione (UE) 2025/1099. Questa nuova categoria intermedia viene poi richiamata trasversalmente in diverse disposizioni di semplificazione, tra cui, ad esempio, la possibilità di fornire la documentazione tecnica in forma semplificata.
Spazi di sperimentazione (c.d. sandbox)
Il termine per l’istituzione, da parte delle autorità nazionali competenti, degli spazi di sperimentazione normativa (“sandbox”) per l’IA viene posticipato al 2 agosto 2027. Il regolamento prevede inoltre la possibilità per l’Ufficio europeo per l’intelligenza artificiale di istituire una sandbox a livello dell’Unione per i sistemi di IA disciplinati dall’articolo 75, paragrafo 1 (i sistemi basati su modelli di IA per finalità generali con rischio sistemico), con l’obiettivo di evitare sovrapposizioni con le sandbox nazionali.
AI Office
Il testo chiarisce infine la ripartizione delle competenze di vigilanza tra l’Ufficio per l’IA (“AI Office”) e le autorità nazionali per i sistemi di IA basati su modelli di IA per finalità generali, quando il fornitore del modello e quello del sistema coincidono (o fanno parte della stessa impresa). In questi casi la competenza dell’Ufficio per l’IA diventa esclusiva, con quattro eccezioni in cui le autorità nazionali competenti restano l’interlocutore di riferimento (i sistemi di IA relativi a prodotti disciplinati dalla normativa di armonizzazione dell’Allegato I; i sistemi dell’Allegato III, punto 2 (infrastrutture critiche); i sistemi forniti da autorità di contrasto, autorità di gestione delle frontiere e istituti finanziari, entro certi limiti; e i sistemi dell’Allegato III, punto 8, limitatamente all’amministrazione della giustizia).
Cosa non cambia e perché è utile il tempo a disposizione
Il rischio di intendere lo “slittamento delle scadenze” posto dall’Omnibus sull’IA come una moratoria generale sull’intelligenza artificiale è alto; tuttavia, è utile tenere a mente che i divieti di cui all’art. 5 già in vigore dal 2 febbraio 2025 restano tali; gli obblighi per i fornitori di modelli di IA per finalità generali, in vigore dal 2 agosto 2025, non sono toccati dalla riforma; la metodologia di classificazione dei sistemi come “ad alto rischio” (articolo 6 e allegati I e III dell’AI Act) resta invariata (cambia “quando” gli obblighi collegati a quella classificazione diventano pienamente applicabili); l’architettura di governance (Ufficio per l’IA, autorità nazionali competenti, organismi notificati) non cambia.
Cosa si può e si deve fare oggi?
Trasformare questo quadro normativo in un piano operativo richiede di distinguere tra ciò che va fatto subito, ciò che ha una scadenza ravvicinata e ciò che riguarda un orizzonte pluriennale. In primo luogo, può essere utile proseguire, o avviare, la mappatura e la classificazione dei sistemi di IA in uso o in fase di sviluppo, verificandone la riconducibilità a casistiche che richiedano o meno il rispetto di obblighi, anche in relazione al ruolo ricoperto dall’organizzazione.
Sul punto si ricorda che il 2 agosto 2026 rappresenta una scadenza regolamentare importante in quanto diventano applicabili le norme relative agli obblighi di trasparenza per i fornitori e i deployer di determinati sistemi di IA (disciplinate dall’art. 50 dell’AI Act).
Per i fornitori di sistemi che generano contenuti sintetici già immessi sul mercato prima del 2 agosto 2026, invece, è importante avviare fin d’ora l’implementazione degli obblighi di marcatura, considerato il termine del 2 dicembre 2026.
Un altro aspetto che si potrebbe valutare è se l’uso dei propri sistemi di IA in contesti di rilevazione e correzione dei bias richieda il trattamento di categorie particolari di dati personali, verificando fin d’ora la sussistenza delle condizioni cumulative previste dal nuovo articolo 4-bis.
Infine, sempre considerando le azioni da monitorare sin da subito, è auspicabile formare il proprio personale, a prescindere dall’attenuazione formale dell’obbligo, mettendo i propri lavoratori nella condizione di comprendere al meglio la tecnologia IA.
Il monitoraggio costante della documentazione e degli strumenti prodotti dalle istituzioni e il tenere sotto controllo le attività sopra indicate consentiranno di arrivare pronti alla data di applicabilità delle disposizioni relative ai sistemi di IA ad alto rischio. Ad esempio, un profilo da non trascurare riguarda la FRIA (Fundamental Rights Impact Assessment) che alcuni deployer di sistemi ad alto rischio, segnatamente enti pubblici o privati incaricati di servizi pubblici, nonché i deployer di sistemi impiegati per la valutazione del merito creditizio o per la determinazione del rischio e della tariffazione nell’ambito assicurativo vita e salute, devono effettuare ai sensi dell’art. 27 dell’AI Act.Il Digital Omnibus sull’IA non elimina tale obbligo ed è necessario pianificare per tempo tali valutazioni al fine di poter traguardare la scadenza fissata per i sistemi di IA ad alto rischio.
Partecipa alla community