Il 2 agosto 2026 era la data prevista per l’applicazione degli obblighi dell’AI Act sui sistemi di intelligenza artificiale ad alto rischio. Pochi giorni prima è entrato in vigore il Digital Omnibus sull’IA, che ha rinviato quegli obblighi al 2027 e al 2028 e ha modificato alcune disposizioni del regolamento. Per le piccole e medie imprese che sviluppano o usano sistemi di IA, il quadro attuale comprende obblighi già in vigore, scadenze rinviate e una nuova data ravvicinata, il 2 dicembre 2026.
In questo articolo parliamo di:
L’iter del Digital Omnibus
La Commissione europea aveva presentato la proposta il 19 novembre 2025, nell’ambito di un più ampio programma di semplificazione delle norme digitali. Parlamento e Consiglio hanno raggiunto l’accordo in trilogo il 7 maggio 2026. Il Parlamento europeo ha approvato il testo il 16 giugno e il Consiglio lo ha adottato in via definitiva il 29 giugno. Il regolamento è stato pubblicato nella Gazzetta Ufficiale dell’Unione Europea il 24 luglio 2026 come Regolamento (UE) 2026/1744 ed è entrato in vigore il 27 luglio.
Tra i motivi del rinvio c’è il ritardo nella preparazione delle norme tecniche armonizzate. Gli organismi europei di normazione, incaricati dalla Commissione di elaborare le specifiche necessarie per dimostrare la conformità all’AI Act, non le hanno completate in tempo.
Il nuovo calendario
Gli obblighi per i sistemi ad alto rischio elencati nell’Allegato III dell’AI Act, previsti dal 2 agosto 2026, si applicano ora dal 2 dicembre 2027. Riguardano i sistemi usati in ambiti come lavoro e gestione del personale, credito, biometria, infrastrutture critiche, istruzione, servizi pubblici essenziali, migrazione e giustizia.
Gli obblighi per i sistemi ad alto rischio integrati in prodotti già regolati da altre norme europee di armonizzazione, come dispositivi medici e macchinari (Allegato I), sono passati dal 2 agosto 2027 al 2 agosto 2028.
Il Digital Omnibus non ha eliminato gli obblighi sui sistemi ad alto rischio: ne ha solo posticipato l’applicazione, lasciandone invariato il contenuto sostanziale. Le categorie di rischio non sono state modificate.
Trasparenza, marcatura e nuovi divieti
Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’articolo 50. Chi interagisce con chatbot e sistemi interattivi deve poter riconoscere di interagire con un’IA. Deepfake e contenuti su temi di interesse pubblico devono essere dichiarati. Chi usa sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone interessate.
Per i sistemi di IA già sul mercato, l’obbligo di marcatura dei contenuti generati, con filigrane o metadati, è stato spostato dal 2 agosto al 2 dicembre 2026. Il periodo di adeguamento è stato quindi ridotto a tre mesi. Dal 2 dicembre 2026 si applica anche un nuovo divieto introdotto dal Digital Omnibus, che riguarda i sistemi di “nudificazione” e il materiale pedopornografico sintetico.
Sandbox normative
Il termine per istituire le sandbox normative nazionali, cioè ambienti controllati in cui le imprese possono sperimentare sistemi di IA, è passato dal 2 agosto 2026 al 2 agosto 2027. Il Digital Omnibus impone almeno una sandbox per ogni Stato membro.
Gli obblighi già applicabili
L’articolo 4 dell’AI Act, sull’alfabetizzazione in materia di intelligenza artificiale, si applica dal 2 febbraio 2025 e il Digital Omnibus non ne ha cambiato la data. Ne ha però modificato il contenuto. L’obbligo di “garantire” un livello sufficiente di alfabetizzazione del personale diventa un impegno di promozione per la Commissione e gli Stati membri. Fornitori e deployer, cioè chi sviluppa e chi usa sistemi di IA in ambito professionale, devono comunque adottare misure concrete. Il testo chiarisce però che non sono tenuti a garantire un livello specifico a ogni persona e introduce un criterio di proporzionalità rispetto ai rischi dei sistemi e alle caratteristiche dell’organizzazione.
L’articolo 99 del regolamento, che elenca le violazioni sanzionabili, non comprende l’articolo 4. Per la sola alfabetizzazione non è quindi prevista una sanzione europea specifica, e il controllo spetta alle autorità nazionali.
Governance e sanzioni
Dal 2 agosto 2026 è operativo il sistema di governance e sanzioni del regolamento, con pieni poteri per le autorità nazionali. Il Digital Omnibus rafforza anche il ruolo dell’AI Office europeo nella vigilanza sui sistemi più complessi.
Le misure per PMI e small mid-cap
L’AI Act prevedeva già agevolazioni per start-up, microimprese e PMI, tra cui una documentazione tecnica semplificata e l’accesso prioritario alle sandbox normative. Il Digital Omnibus estende queste agevolazioni alle cosiddette small mid-cap, una categoria recente che comprende le imprese di media capitalizzazione di dimensioni ridotte. Le semplificazioni riguardano in particolare la documentazione tecnica prevista dagli articoli 11 e 17 e la proporzionalità delle sanzioni.
Il quadro italiano
La Legge n. 132/2025, in vigore dal 10 ottobre 2025, è la legge nazionale che accompagna l’applicazione dell’AI Act in Italia. Designa AgID come autorità di notifica e l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità di vigilanza del mercato, con poteri ispettivi e sanzionatori. Nel settore finanziario il ruolo di autorità di vigilanza resta a Banca d’Italia, CONSOB e IVASS. In generale, sarà quindi l’ACN a vigilare in Italia sull’articolo 4.
I decreti attuativi
Il Consiglio dei ministri ha approvato in esame preliminare due decreti attuativi della Legge n. 132/2025. Riguardano le autorità nazionali, la formazione, l’uso della biometria da parte delle forze di polizia e la responsabilità civile. Secondo il comunicato del Consiglio dei ministri, il testo è stato adeguato al Regolamento (UE) 2026/1744: le sanzioni entreranno in vigore solo quando saranno applicabili gli obblighi europei corrispondenti.
Le prossime scadenze
Il 2 dicembre 2026 entrano in vigore l’obbligo di marcatura dei contenuti generati dall’IA per i sistemi già sul mercato e il nuovo divieto su nudificazione e materiale pedopornografico sintetico. Entro il 2 agosto 2027 gli Stati membri devono istituire le sandbox normative. Dal 2 dicembre 2027 si applicano gli obblighi sui sistemi ad alto rischio dell’Allegato III e dal 2 agosto 2028 quelli sui sistemi integrati nei prodotti dell’Allegato I.