Il Digital Omnibus non ha alleggerito l’AI Act. Ha spostato in avanti le scadenze più lontane e lasciato in piedi, intatto, tutto ciò che oggi costa davvero.
Il regolamento è in vigore dal 27 luglio 2026. La lettura che circola in molte sale riunioni è che ci sia più tempo. È vera per una parte del perimetro, ed è falsa esattamente dove le aziende sono più scoperte.
Il rinvio riguarda i sistemi ad alto rischio, non il regolamento
Due categorie sono state differite, e vanno tenute distinte perché hanno destinatari diversi.
- Sistemi ad alto rischio autonomi, quelli elencati nell’Allegato III: selezione del personale, credit scoring, accesso a servizi pubblici, istruzione, infrastrutture critiche, amministrazione della giustizia. Applicazione spostata al 2 dicembre 2027.
- Sistemi ad alto rischio integrati come componenti di sicurezza in prodotti già regolati da normativa settoriale: dispositivi medici, macchine, giocattoli. Applicazione spostata al 2 agosto 2028.
Le sandbox regolatorie slittano al 2 agosto 2027.
Il 2 agosto 2026 è già passato, e non ha portato proroghe
Gli obblighi di trasparenza sono operativi. Non sono stati toccati dall’Omnibus.
Significa due cose molto concrete. Chi interagisce con un sistema di AI deve essere informato che sta interagendo con un sistema di AI. E i contenuti generati o manipolati artificialmente, deepfake compresi, vanno dichiarati come tali.
Quasi ogni azienda che ha messo un assistente conversazionale sul proprio sito, o che genera contenuti con modelli generativi, rientra qui. Nessuna di queste aziende si considera “ad alto rischio”, ed è precisamente il motivo per cui questa scadenza è stata ignorata.
Il 2 dicembre 2026 è la data che manca dalle agende
Da quel giorno la marcatura leggibile da macchina dei contenuti generati o manipolati con AI diventa obbligatoria. Non un’etichetta visibile all’occhio: un marcatore che un sistema automatico possa leggere.
Sempre dal 2 dicembre 2026 entrano in vigore due nuovi divieti: i sistemi che generano materiale di abuso sessuale non consensuale su minori e i sistemi cosiddetti nudifier, che producono immagini intime non consensuali.
Quello che non è stato rinviato è quello che sanziona
- i divieti sulle pratiche a rischio inaccettabile, applicabili dal 2 febbraio 2025;
- l’impianto sanzionatorio;
- gli obblighi per i modelli di intelligenza artificiale per finalità generali;
- l’obbligo di alfabetizzazione AI del personale.
L’ultimo punto merita attenzione. Non ha una scadenza differita, non ha una soglia dimensionale, e non si soddisfa con una circolare interna. Richiede che le persone che usano sistemi di AI abbiano una competenza proporzionata al ruolo e al contesto. Va documentata.
Il calendario, in una tabella
| Data | Cosa scatta |
|---|---|
| 2 febbraio 2025 | Divieti sulle pratiche a rischio inaccettabile, già applicabili |
| 2 agosto 2026 | Obblighi di trasparenza, applicabili e non rinviati |
| 2 dicembre 2026 | Marcatura leggibile da macchina dei contenuti generati con AI, più due nuovi divieti |
| 2 agosto 2027 | Sandbox regolatorie |
| 2 dicembre 2027 | Sistemi ad alto rischio autonomi, Allegato III |
| 2 agosto 2028 | Sistemi ad alto rischio integrati in prodotti regolati |
Sedici mesi non sono tempo libero, sono il tempo di un progetto di governance
Chi rientra nell’Allegato III ha oggi la finestra che nel 2025 non aveva. Usarla per rimandare significa arrivare a dicembre 2027 nelle stesse condizioni di adesso, con la differenza che gli standard armonizzati saranno stati pubblicati e il margine interpretativo si sarà chiuso.
Il lavoro che regge un audit è sempre lo stesso, e non dipende dalle date:
- inventario dei sistemi di AI effettivamente in uso, compresi quelli introdotti dai reparti senza passare dall’IT;
- classificazione motivata di ciascuno rispetto alle categorie di rischio del regolamento;
- presìdi tracciabili su dati, modelli, output e supervisione umana;
- un sistema di gestione dell’AI documentato, per cui lo standard di riferimento è la ISO/IEC 42001.
La classificazione è la parte che le aziende sottovalutano. Dichiarare che un sistema non è ad alto rischio è una decisione che va motivata per iscritto, non un’omissione.
Fonti
- Federprivacy, AI Omnibus in vigore dal 27 luglio 2026
- CityNext, AI Act: le scadenze 2026-2028 dopo il Digital Omnibus
- DLA Piper, The Digital AI Omnibus: deferral of high risk AI obligations
Lascia un commento