Intelligenza artificiale e Digital Omnibus: le nuove scadenze dell’AI Act per le imprese
Il Regolamento (UE) 2024/1689, noto come AI Act, pubblicato nella Gazzetta Ufficiale dell’Unione Europea il 12 luglio 2024 ed entrato in vigore il 1° agosto 2024, ha introdotto una disciplina articolata su un calendario di applicazione progressiva, scandito da scadenze successive fino al 2027. A distanza di due anni, tale calendario è stato oggetto di una modifica di rilievo, nota come “Digital Omnibus on AI”, che ha riscritto in modo significativo i termini di applicazione degli obblighi relativi ai sistemi ad alto rischio.
Presentata dalla Commissione europea il 19 novembre 2025 nell’ambito del più ampio pacchetto di semplificazione normativa digitale (c.d. “Omnibus VII”), la proposta ha raggiunto un accordo provvisorio in sede di trilogo il 7 maggio 2026, è stata approvata dal Parlamento europeo in seduta plenaria il 16 giugno 2026 e ha ricevuto il via libera formale del Consiglio dell’Unione Europea il 29 giugno 2026, chiudendo così la procedura legislativa ordinaria. Alla data odierna il regolamento risulta adottato da entrambi i co-legislatori, ma non ancora pubblicato nella Gazzetta Ufficiale dell’Unione Europea: la sua entrata in vigore, e con essa l’efficacia giuridica del nuovo calendario, è prevista per il terzo giorno successivo alla pubblicazione.
La modifica più rilevante riguarda il differimento degli obblighi di conformità per i sistemi di intelligenza artificiale ad alto rischio: per i sistemi “autonomi” di cui all’Allegato III, l’applicazione slitta dal 2 agosto 2026 al 2 dicembre 2027; per i sistemi integrati in prodotti già disciplinati da normativa di settore (Allegato I — ad esempio macchinari, dispositivi medici, giocattoli), il termine è posticipato dal 2 agosto 2027 al 2 agosto 2028. Il rinvio è motivato dalla necessità di completare gli standard tecnici armonizzati e gli strumenti di supporto alla conformità, a oggi non ancora disponibili.
Il differimento non investe, tuttavia, l’intero impianto del Regolamento. Restano ferme le scadenze già maturate — i divieti sulle pratiche di IA a rischio inaccettabile e l’obbligo di alfabetizzazione di cui all’art. 4, in vigore dal 2 febbraio 2025, e gli obblighi per i modelli di IA per finalità generali (GPAI), applicabili dal 2 agosto 2025 — nonché gli obblighi di trasparenza dell’art. 50, che restano fissati al 2 agosto 2026: chi impiega sistemi conversazionali o genera contenuti sintetici dovrà comunque rendere riconoscibile l’interazione con una macchina o la natura artificiale del contenuto. Fa eccezione, in questo perimetro, l’obbligo di marcatura tecnica (watermarking) per i sistemi già immessi sul mercato, prorogato al 2 dicembre 2026. Dalla medesima data entreranno inoltre in vigore due nuovi divieti aggiunti all’art. 5: quello relativo ai sistemi di IA destinati a generare contenuti sessuali o intimi non consensuali e quello sulla generazione o manipolazione di materiale di abuso sessuale su minori.
Per le imprese italiane, la maggior parte delle quali opera quale “deployer” — utilizzatore di sistemi di IA sotto la propria responsabilità, piuttosto che sviluppatore — il rinvio degli obblighi sull’alto rischio non equivale a un venir meno degli adempimenti. Restano attuali la mappatura dei sistemi di IA in uso, la classificazione del rischio e gli obblighi di trasparenza già in scadenza al 2 agosto 2026, la cui violazione resta sanzionabile fino al 3% del fatturato mondiale per le inosservanze relative all’alto rischio, e fino al 7% per le pratiche vietate.
In un quadro normativo ancora in evoluzione, una consulenza legale aggiornata è essenziale per distinguere correttamente ciò che è già obbligatorio da ciò che è stato rinviato, evitando sia investimenti di conformità prematuri, sia — soprattutto — l’errore opposto di ritenere esteso all’intero Regolamento un differimento che riguarda solo una parte, circoscritta ma rilevante, dei suoi obblighi.