Digital Omnibus AI: più tempo per  prepararsi, non per posticipare

L’artificial intelligence è un tema ormai sul tavolo di ogni impresa con un minimo di prospettiva ma, appena una scadenza normativa slitta di qualche mese la reazione più diffusa è la stessa: finché non è un’urgenza, posticipiamo. Con l’entrata in vigore del Digital Omnibus AI, il 27 luglio 2026, sono state modificate alcune disposizioni dell’AI Act (“Regolamento europeo sull’intelligenza artificiale”). In sintesi, l’Omnibus semplifica alcuni obblighi e proroga alcune scadenze, con l’obiettivo di alleggerire gli oneri di conformità — soprattutto per le piccole imprese — senza rinunciare alle garanzie a tutela della sicurezza e dei diritti fondamentali, che restano centrali nell’approccio europeo alla regolazione dell’AI.

Per esperienza, ne abbiamo viste molte di imprese che, saputo del rinvio, in un primo momento hanno valutato di posticipare ogni valutazione di almeno sei mesi. La verità, che spieghiamo a tutti i clienti è però un’altra: in primis, molti obblighi dell’Ai Act non sono slittati ma, anzi, sono già in vigore. Pensiamo agli obblighi di formazione, quelli riguardanti i general purpose e gli obblighi di trasparenza. In secondo luogo, parlando degli obblighi oggetto di rinvio, la verità è che modifiche non sono da considerarsi come una pausa nell’attuazione del Regolamento. Al contrario rappresentano un’opportunità per aziende che già utilizzano sistemi di AI o che intendono introdurli per strutturare un programma di compliance serio e più sostenibile, anche economicamente. Chi procrastina, rifugiandosi dietro al pensiero del “tanto c’è tempo”, rischia infatti di arrivare alle prossime scadenze impreparato e, soprattutto, di non riuscire a sfruttare in modo consapevole, sicuro e sostenibile le opportunità offerte dai sistemi di AI.

Per capirci, si riportano di seguito le nuove scadenze: 2 dicembre 2026: nuovi divieti (art. 5, lett. b-bis e b-ter) e obblighi di marcatura dei contenuti generati o modificati da AI, per i sistemi già sul mercato prima del 2 agosto 2026; 2 dicembre 2027:  sistemi ad alto rischio “autonomi” (Allegato III) – applicazione degli obblighi del Capo III, Sezioni 1-3; 2 agosto 2028:  stessi obblighi per i sistemi ad alto rischio incorporati come componenti di sicurezza di prodotti UE (Allegato I).

Ma quindi, a livello operativo, quali sono gli obblighi?

Le modifiche introdotte dall’ Omnibus sotto il profilo AI, incidono su diversi profili operativi e richiedono attenzione anche da parte delle aziende che si limitano a utilizzare sistemi di AI sviluppati da terzi (deployer). Alcuni obblighi, come si diceva, sono però già in vigore, rendendo già ora necessarie diverse attività.

Il primo riguarda la trasparenza dei contenuti generati dall’IA (art. 50 AI Act). I fornitori devono già oggi adottare soluzioni tecniche che consentano di identificare gli output generati o manipolati da un sistema di IA, rendendoli rilevabili e marcati in un formato leggibile meccanicamente. La marcatura può essere realizzata, ad esempio, mediante watermark digitali, metadati o altre tecniche idonee a indicare la provenienza artificiale del contenuto.

Nel dettaglio, sono quattro obblighi distinti che si applicano a soggetti diversi :
Due ricadono sul provider, cioè su chi sviluppa il sistema o lo immette sul mercato sotto il proprio nome: informare che si sta interagendo con un’AI (comma 1) e marcare gli output sintetici in formato leggibile dalle macchine (comma 2). Sono obblighi di progettazione: la Commissione è esplicita nel dire che la trasparenza va incorporata nel design e nel funzionamento del sistema, non aggiunta a valle.

Due ricadono sul deployer, cioè su chi usa il sistema sotto la propria autorità: informare chi è esposto a sistemi di riconoscimento delle emozioni o categorizzazione biometrica (comma 3) ed etichettare deepfake e testi di interesse pubblico (comma 4).

Parlando di “etichettatura” è poi utile ricordare l’importanza di distinguere l’etichettatura (watermark) di cui all’art 50 dalla etichettatura o “marcatura CE”, anche essa prevista nell’AI Act, avente fondamenti del tutto differenti. Difatti, la prima serve a rendere riconoscibile un contenuto prodotto o modificato dall’IA; la seconda è obbligatoria prima di immettere sul mercato talune tipologie di AI (alto rischio) ed attesta, nei casi previsti, la conformità di un sistema di IA ai requisiti stabiliti dalla normativa europea.

Un altro tema su cui porre particolare interesse è  il fenomeno dello “Shadow AI”. L’uso non autorizzato di strumenti di AI da parte di dipendenti, al di fuori dai processi dell’organizzazione. Un comportamento apparentemente innocuo, che in realtà apre una falla concreta nella protezione dei dati. Può manifestarsi, ad esempio, quando un dipendente copia un testo in un chatbot pubblico oppure quando un team adotta un nuovo tool AI senza il coinvolgimento dell’IT o delle funzioni competenti.

Secondo alcune stime, circa due terzi dei dipendenti che utilizzano piattaforme di AI nello svolgimento delle proprie mansioni ricorrono ad account personali non autorizzati dal datore di lavoro. Il rischio è la fuoriuscita incontrollata non solo di dati personali, ma anche di progetti, contratti, business plan e altri documenti riservati che costituiscono il know-how aziendale.

Al fine di contenere questo rischio, ci siamo più volte trovati nella condizione di dover spiegare al cliente che l’approccio corretto non è quello di pensare “se non ufficializzo uno strumento, lasciando libera scelta al personale, in caso di problemi non sono responsabile”. Tutt’altro, la strategia corretta è quella di effettuare un inventario delle esigenze cercando di rispondere: a cosa potrebbe servirmi l’AI?. Trovata la risposta bisogna quindi vagliare i diversi strumenti sul mercato (se non addirittura soluzioni custom) e valutare (anche in modo formale ai fini dell’accountability) i rischi che derivano dalle varie soluzioni, così da individuare gli unici strumenti che potranno essere legittimamente utilizzati in azienda, bandendo del tutto ogni altro sturmento. Naturalmente questo elenco deve essere dinamico, motivo per cui, periodicamente varrebbe la pena di effettuare un vero e proprio assessment per valutare esigenze e strumenti.

La valutazione e l’adozione di strumenti idonei, tuttavia non completa il percorso, in quanto, anche il migliore strumento, se usato in modo non corretto, potrebbe portare a problemi di vario tipo. Per questo, uno dei passi fondamentali è la formazione e sensibilizzazione del personale. È anche su questo punto che l’Omnibus interviene sull’art. 4, dedicato all’AI literacy. L’obbligo non viene meno: fornitori e utilizzatori di sistemi di AI devono continuare ad adottare misure volte a sostenere lo sviluppo di competenze adeguate tra il proprio personale e le altre persone che utilizzano o operano i sistemi per loro conto.

Cambia però l’impostazione. La norma non richiede più di garantire un livello “sufficiente” di AI literacy, né impone un risultato standardizzato per ogni singola persona. Le aziende devono ora adottare misure proporzionate, tenendo conto delle conoscenze tecniche, dell’esperienza, della formazione, del ruolo ricoperto e del contesto in cui il sistema di AI viene utilizzato.

Una volta formato il personale in modo adeguato, come sopra si accennava, sarà comunque necessario garantire uno stato di conformità perdurante nel tempo. Anche per questo le best practice impongono di effettuare check periodici sulle esigenze, sugli strumenti e sulle persone, in modo da evitare che il problema dello shadow user si ripeta nel tempo.

Come visto, gli adempimenti sono già molti, ad ogni livello, essendo del tutto errata l’idea di chi credeva di poter rinviare ogni valutazione in materia di AI oact di altri 6 mesi almeno. Ove poi l’azienda abbia l’intenzione di sviluppare o adottare sistemi considerati ad alto rischio, le attività non possono che essere ancora più onerose, necessitando di una corretta pianificazione. Anche per questo il suggerimento è di affidarsi a chi, come noi di BSD Consulting, ormai da anni ha sviluppato un metodo ed una forte expertise in materia, frutto di attività sul campo, avendo seguito clienti nell’adozione di sistemi AI in ambito aziendale e fornendo risposte veloci e compatibili con obiettivi e tempi compatibili con il mercato, con un approccio business oriented. Ricordando sempre che l’AI deve essere una leva di business, non un ostacolo ad esso.

Il Digital Omnibus offre un tempo aggiuntivo da utilizzare con criterio. Per le imprese, questa è un’opportunità per definire responsabilità e regole d’uso. Arrivare preparati alle prossime scadenze significa rendere l’AI una leva di innovazione realmente governata, sicura e sostenibile.