La CNIL francese ha aggiornato il 17 agosto 2026 le proprie FAQ dedicate all’AI Act, adeguandole alle modifiche introdotte dal Digital Omnibus, entrato in vigore il 27 luglio 2026. L’aggiornamento offre una ricostruzione particolarmente utile del nuovo calendario di applicazione del Regolamento europeo sull’intelligenza artificiale e chiarisce nuovamente il rapporto tra AI Act e GDPR.

Secondo il calendario aggiornato dalla CNIL, gli obblighi di trasparenza relativi a determinati sistemi di IA sono applicabili dal 2 agosto 2026. Dal 2 dicembre 2026 si applicheranno inoltre il divieto relativo ai sistemi di IA che generano materiale pedopornografico e deep fake sessuali e, per i sistemi interessati immessi sul mercato prima del 2 agosto 2026, gli specifici obblighi di trasparenza relativi all’etichettatura dei contenuti generati dall’IA. Le regole sui sistemi ad alto rischio dell’Allegato III troveranno applicazione dal 2 dicembre 2027, mentre quelle relative ai sistemi ad alto rischio collegati ai prodotti dell’Allegato I dal 2 agosto 2028.

La CNIL sottolinea inoltre che la disciplina sulla protezione dei dati continua ad applicarsi ai trattamenti di dati personali effettuati sia nella fase di sviluppo sia nella fase di utilizzo dei sistemi di IA. In molti casi, il provider di un sistema o modello di IA sarà titolare del trattamento ai sensi del GDPR durante lo sviluppo, mentre il deployer che utilizza il sistema trattando dati personali sarà a sua volta normalmente titolare per i trattamenti effettuati nella fase di utilizzo.

Particolarmente rilevante è il richiamo della CNIL alla necessità di una lettura integrata dei due regolamenti. Gli obblighi di trasparenza, documentazione, valutazione dei rischi e accountability previsti dall’AI Act possono infatti concorrere alla conformità GDPR. La CNIL richiama, ad esempio, il rapporto tra la valutazione d’impatto sui diritti fondamentali prevista dall’AI Act (FRIA) e la valutazione d’impatto sulla protezione dei dati (DPIA), evidenziando la possibilità di coordinare le due analisi per evitare duplicazioni documentali.

L’Autorità francese conferma infine di conservare pienamente le proprie competenze ai sensi del GDPR nei confronti dei trattamenti di dati personali connessi ai sistemi e ai modelli di IA, anche quando gli stessi siano contemporaneamente soggetti alla disciplina dell’AI Act.