AI Act e Digital Omnibus: le nuove scadenze tra 2026 e 2028

Per i sistemi ad alto rischio immessi sul mercato prima della nuova data di applicazione vale un regime transitorio (art. 111, par. 2): il regolamento si applica solo se, da quella data, il sistema subisce modifiche significative nel suo design. Il Digital Omnibus chiarisce che conta il tipo e modello: se almeno un’unità è stata immessa lecitamente sul mercato prima della scadenza, le unità successive identiche beneficiano dello stesso regime. Per i fornitori e i deployer di sistemi destinati alle autorità pubbliche resta comunque il termine del 2 agosto 2030. Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza dell’articolo 50: informare le persone quando interagiscono con un sistema di IA, marcare in formato leggibile da una macchina i contenuti sintetici, informare gli interessati sull’uso di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, dichiarare i deepfake. Il Digital Omnibus ha concesso un solo periodo transitorio: i fornitori di sistemi che generano audio, immagini, video o testo sintetici, già sul mercato prima del 2 agosto 2026, hanno tempo fino al 2 dicembre 2026 per adeguarsi alla marcatura. Per i sistemi immessi sul mercato dal 2 agosto 2026 in poi l’obbligo vale da subito.

L’AI Act gradua gli obblighi in base al rischio potenziale dei sistemi (risk-based approach), secondo un principio di proporzionalità tra innovazione e tutela dei diritti fondamentali. I sistemi ad alto rischio sono quelli che, in caso di malfunzionamento o uso improprio, possono causare danni significativi alla salute, alla sicurezza o ai diritti fondamentali delle persone. Un sistema ad alto rischio è un sistema consentito, soggetto ai requisiti più severi del regolamento: gestione del rischio, governance dei dati, documentazione tecnica, registrazione automatica degli eventi, istruzioni per i deployer, sorveglianza umana, accuratezza, robustezza e cybersicurezza, valutazione della conformità e, dove previsto, marcatura CE. Le pratiche vietate sono una categoria distinta, disciplinata dall’articolo 5.

Oltre al calendario, il Regolamento (UE) 2026/1744 interviene su diversi punti dell’AI Act. Questi sono i più rilevanti per imprese, fornitori e deployer.

Alfabetizzazione in materia di IA (art. 4). Fornitori e deployer devono ora adottare misure per sostenere lo sviluppo dell’alfabetizzazione del proprio personale e delle altre persone che usano i sistemi per loro conto, tenendo conto di competenze, esperienza e contesto d’uso. Il testo precisa che non è richiesto di garantire un livello specifico di alfabetizzazione di ciascun individuo. Commissione e Stati membri dovranno sostenere questi sforzi, in particolare per le PMI, e la Commissione pubblicherà esempi pratici di adempimento. L’obbligo resta in vigore dal 2 febbraio 2025: conviene quindi documentare le misure adottate, dai percorsi formativi alle policy interne sull’uso dell’IA.

Nuovi divieti (art. 5), dal 2 dicembre 2026. Si aggiungono due pratiche vietate: i sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona identificabile, o che la ritraggono in attività sessualmente esplicite, senza il suo consenso libero, specifico, informato, inequivocabile ed esplicito (le cosiddette app di “nudificazione”); e i sistemi che generano o manipolano materiale pedopornografico. Per i fornitori il divieto scatta quando quella generazione è lo scopo previsto del sistema, oppure quando ne è un esito ragionevolmente prevedibile e riproducibile e mancano misure di sicurezza ragionevoli e adeguate per impedirlo. Per i deployer scatta quando usano il sistema a quello scopo.

Dati particolari per individuare e correggere i bias (nuovo art. 4 bis). La base giuridica per trattare categorie particolari di dati personali a fini di rilevazione e correzione dei bias, prima riservata ai fornitori di sistemi ad alto rischio, si estende ai deployer di questi sistemi e a fornitori e deployer di altri sistemi e modelli di IA. Il trattamento è ammesso solo se strettamente necessario e con garanzie precise: impossibilità di usare dati sintetici o anonimizzati, pseudonimizzazione, controllo degli accessi, divieto di comunicazione a terzi, cancellazione una volta corretto il bias. Il registro dei trattamenti deve riportare perché il trattamento era strettamente necessario. La norma non introduce alcun obbligo di effettuare la rilevazione dei bias.

FRIA e DPIA (art. 27). Il deployer che deve svolgere la valutazione d’impatto sui diritti fondamentali può rinviare alle sezioni pertinenti della valutazione d’impatto sulla protezione dei dati già svolta ai sensi del GDPR, o includerne delle parti. L’AI Office svilupperà un modello di questionario, anche come strumento automatizzato, che prevede questa possibilità.

PMI e small mid-cap. Il Digital Omnibus introduce la categoria delle small mid-cap (SMC): imprese che superano le soglie delle PMI, con meno di 750 dipendenti e un fatturato annuo fino a 150 milioni di euro o un totale di bilancio fino a 129 milioni. PMI e SMC potranno usare un modulo semplificato per la documentazione tecnica, che gli organismi notificati sono tenuti ad accettare, e avranno un sistema di gestione della qualità proporzionato alle loro dimensioni e un accesso prioritario alle sandbox. Anche per le SMC le sanzioni dei paragrafi 4 e 5 dell’articolo 99 si calcolano ora sul valore più basso tra importo fisso e percentuale del fatturato.

Più poteri all’AI Office. L’Ufficio europeo per l’IA diventa l’autorità esclusivamente competente per i sistemi basati su un modello GPAI sviluppato dallo stesso fornitore o dallo stesso gruppo di imprese, salvo eccezioni (prodotti dell’Allegato I, infrastrutture critiche, alcuni usi da parte di forze dell’ordine, autorità di frontiera e istituzioni finanziarie, amministrazione della giustizia). Lo stesso vale per i sistemi che costituiscono o sono integrati in piattaforme online e motori di ricerca di dimensioni molto grandi designati ai sensi del Digital Services Act. L’AI Office può svolgere ispezioni da remoto e in loco, rendere vincolanti gli impegni degli operatori e irrogare sanzioni e penalità di mora.

Raccordo con la normativa di settore. Entro il 2 agosto 2027 la Commissione adotterà atti delegati per limitare l’applicazione di specifici requisiti dell’AI Act quando la normativa di prodotto dell’Allegato I garantisce già un livello di protezione equivalente o superiore. I sistemi ad alto rischio conformi ai requisiti essenziali di cybersicurezza del Cyber Resilience Act si presumono conformi anche ai requisiti di cybersicurezza dell’articolo 15 dell’AI Act. Gli organismi notificati già designati in base alla normativa di prodotto possono presentare un’unica domanda di designazione.

Sandbox regolamentari. Il termine per rendere operativa almeno una sandbox nazionale passa al 2 agosto 2027, e l’AI Office potrà istituirne una a livello europeo per i sistemi di sua competenza, con accesso prioritario per PMI, start-up e SMC.