In vigore il Regolamento 2026/1744 (Digital Omnibus sull’IA): più tempo per i sistemi ad alto rischio, meno oneri per le imprese e nuovi poteri all’AI Office.

Dal 27 luglio 2026 è in vigore il Regolamento (UE) 2026/1744, noto come Digital Omnibus on AI, che modifica l’AI Act con l’obiettivo di semplificarne l’attuazione, ridurre alcuni oneri amministrativi e favorire l’innovazione, senza diminuire le garanzie poste a tutela della sicurezza e dei diritti fondamentali.

La novità più rilevante riguarda il rinvio delle disposizioni sui sistemi di IA ad alto rischio:

• dal 2 dicembre 2027 si applicheranno le regole relative ai sistemi individuati dall’articolo 6, paragrafo 2, e dall’Allegato III dell’AI Act, utilizzati, tra l’altro, in ambito biometrico, occupazionale, educativo, infrastrutturale, migratorio e nell’accesso a servizi essenziali;

• dal 2 agosto 2028 si applicheranno le regole sui sistemi ad alto rischio incorporati in prodotti o componenti di sicurezza disciplinati dalla normativa europea elencata nell’Allegato I, quali macchine, giocattoli e ascensori.

Non si tratta, tuttavia, di un rinvio generale dell’AI Act. Restano ferme le disposizioni già applicabili e le ulteriori scadenze previste dal Regolamento. In particolare, i provider di sistemi, compresi quelli di IA per finalità generali, che generano contenuti sintetici audio, immagini, video o testi e che siano stati immessi sul mercato prima del 2 agosto 2026 dovranno adeguarsi all’obbligo di marcatura previsto dall’articolo 50, paragrafo 2, entro il 2 dicembre 2026.

L’AI Omnibus introduce inoltre misure di proporzionalità per le PMI, le start-up e le small mid-cap enterprises, estendendo a queste ultime alcune agevolazioni precedentemente riservate alle PMI. Sono previste, tra l’altro, modalità semplificate per la documentazione tecnica, sistemi di gestione della qualità proporzionati alla dimensione dell’organizzazione e accesso prioritario alle sandbox regolamentari.

Viene modificato anche l’obbligo di alfabetizzazione in materia di IA. Provider e deployer non devono più garantire astrattamente il raggiungimento di uno specifico livello di competenza, ma devono adottare misure idonee a sostenere lo sviluppo delle conoscenze del personale e delle altre persone che utilizzano o gestiscono sistemi di IA per loro conto, tenendo conto delle competenze, del contesto di utilizzo e dei soggetti sui quali i sistemi producono effetti. L’obbligo non è quindi eliminato: le imprese devono continuare a prevedere formazione, istruzioni interne e misure organizzative documentabili.

Sono ampliate le opportunità di sperimentazione. Gli Stati membri dovranno rendere operativa almeno una sandbox nazionale entro il 2 agosto 2027, mentre l’AI Office potrà istituire una sandbox a livello dell’Unione. Viene inoltre estesa la possibilità di effettuare test in condizioni reali, nel rispetto delle garanzie previste dall’AI Act e della normativa sulla protezione dei dati personali.

Sul piano della tutela dei diritti fondamentali, il Regolamento:

• vieta, dal 2 dicembre 2026, i sistemi destinati a generare contenuti intimi o sessualmente espliciti non consensuali e materiale di abuso sessuale sui minori, comprese le cosiddette applicazioni di “nudificazione”;

• consente, in via eccezionale e quando strettamente necessario, il trattamento di categorie particolari di dati personali per individuare e correggere bias, purché non sia possibile utilizzare efficacemente dati ordinari, sintetici o anonimizzati e siano adottate rigorose misure di sicurezza, limitazione degli accessi, documentazione e cancellazione.

Il Regolamento semplifica inoltre alcune informazioni richieste per la registrazione nella banca dati europea dei sistemi ritenuti esenti dalla classificazione ad alto rischio, chiarisce il coordinamento tra AI Act e normativa europea sulla sicurezza dei prodotti e razionalizza le procedure applicabili agli organismi di valutazione della conformità.

Vengono infine rafforzati i poteri dell’AI Office, competente in via esclusiva per la vigilanza su determinate categorie di sistemi basati su modelli di IA per finalità generali e sui sistemi integrati nelle piattaforme online e nei motori di ricerca di dimensioni molto grandi. L’AI Office potrà richiedere informazioni, svolgere indagini e ispezioni e imporre misure correttive e sanzionatorie.

Le attività da avviare nelle imprese.

L’estensione dei termini non giustifica la sospensione dei programmi di adeguamento. Provider e deployer dovrebbero:

1. aggiornare il censimento dei sistemi di IA sviluppati, acquistati o utilizzati;

2. verificare la classificazione di ciascun sistema e distinguere i casi dell’Allegato III da quelli collegati ai prodotti dell’Allegato I;

3. rivedere le roadmap di conformità alla luce delle nuove date del 2 dicembre 2027 e del 2 agosto 2028;

4. gestire separatamente gli obblighi già applicabili o non rinviati, in particolare quelli relativi alle pratiche vietate e alla trasparenza dei contenuti sintetici;

5. aggiornare i programmi di AI literacy, conservando evidenza della formazione, delle istruzioni e delle misure adottate;

6. verificare l’eventuale qualifica come PMI o small mid-cap e le semplificazioni concretamente utilizzabili;

7. riesaminare contratti con provider, sviluppatori e fornitori, chiarendo ruoli, documentazione, accesso alle informazioni e responsabilità lungo la catena del valore;

8. coordinare l’AI governance con GDPR, cybersecurity, normativa di prodotto e tutela della proprietà intellettuale;

9. valutare l’accesso alle sandbox regolamentari per progetti innovativi o sistemi ancora in fase di sviluppo.

L’AI Omnibus concede alle imprese più tempo e strumenti di conformità proporzionati, ma rafforza al contempo i controlli e la vigilanza europea. Il periodo aggiuntivo dovrebbe quindi essere utilizzato per costruire una governance dell’IA effettiva, documentata e integrata nei processi aziendali.