Il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, sposta al 2027 e al 2028 gli adempimenti più gravosi previsti per i sistemi di intelligenza artificiale ad alto rischio. Restano però fermi al 2 agosto 2026 gli obblighi di trasparenza: chatbot, assistenti virtuali e contenuti generati artificialmente devono dichiarare la propria natura da subito.
Un regolamento che sposta le scadenze, non le regole
Il 24 luglio 2026 è stato pubblicato nella Gazzetta ufficiale dell’Unione europea il Regolamento (UE) 2026/1744 dell’8 luglio 2026 — il cosiddetto Digital Omnibus sull’intelligenza artificiale — entrato in vigore il 27 luglio. Il provvedimento modifica l’AI Act, ossia il Regolamento (UE) 2024/1689, insieme alla normativa europea su macchinari e aeronautica civile, con l’obiettivo dichiarato di semplificarne l’attuazione.
Le ragioni sono pratiche: gli standard tecnici armonizzati che dovevano fungere da parametro di conformità non sono stati adottati nei tempi previsti e la designazione delle autorità nazionali competenti e degli organismi notificati ha accumulato ritardi. Il calendario è stato quindi riscritto senza toccare l’architettura del sistema, e la distinzione conta: il rinvio non è una moratoria. Un sistema che oggi rientra nell'”alto rischio” — categoria riservata alle applicazioni capaci di incidere in modo significativo sui diritti delle persone — continua ad appartenervi; si sposta solo il momento in cui alcuni obblighi diventano esigibili, e in cui la non conformità inizia a costare: le sanzioni più gravi arrivano a 35 milioni di euro o al 7 per cento del fatturato mondiale.
Le nuove scadenze per i sistemi ad alto rischio
Le proroghe riguardano due famiglie distinte: i sistemi ad alto rischio autonomi elencati nell’Allegato III dell’AI Act — software impiegati nella selezione e valutazione del personale, nel merito creditizio, nell’accesso ai servizi essenziali, nell’identificazione biometrica, nell’istruzione e nella giustizia — e i sistemi incorporati in prodotti già soggetti a disciplina europea di settore, come dispositivi medici, macchinari, veicoli e apparecchiature radio.
| Categoria di sistemi | Nuovo termine |
|---|---|
| Sistemi ad alto rischio “autonomi” dell’Allegato III (selezione del personale, valutazione dei dipendenti, scoring creditizio, accesso ai servizi essenziali, biometria, istruzione, giustizia) | 2 dicembre 2027 |
| Sistemi ad alto rischio integrati in prodotti già regolamentati (dispositivi medici, macchinari, veicoli, apparecchiature radio) | 2 agosto 2028 |
| Sistemi ad alto rischio destinati all’uso da parte delle pubbliche autorità | 2 agosto 2030 |
| Obblighi di trasparenza sui contenuti sintetici per i sistemi già sul mercato prima del 2 agosto 2026 | 2 dicembre 2026 |
| Nuovi divieti in materia di immagini intime generate artificialmente e materiale pedopornografico | 2 dicembre 2026 |
Viene inoltre chiarita la clausola transitoria che sottrae ai nuovi obblighi i sistemi già immessi sul mercato: l’esenzione opera a livello di tipo e modello, cosicché se almeno un’unità è stata legittimamente commercializzata nell’Unione prima della data rilevante anche le altre possono continuare a circolare, purché il progetto resti invariato. Ogni “modifica sostanziale” successiva fa però scattare l’applicazione integrale del Regolamento: chi intende avvalersene deve censire i sistemi e documentare gli aggiornamenti.
Ciò che non è stato rinviato
Altre previsioni restano fissate al 2 agosto 2026 e interessano una platea molto più ampia delle sole imprese che gestiscono sistemi ad alto rischio. Da quella data chi impiega un chatbot, un assistente vocale o un agente automatico che dialoga con il pubblico deve rendere chiaro che dall’altra parte non c’è una persona, salvo che la natura artificiale sia evidente dal contesto; l’informazione va fornita in modo comprensibile e tempestivo, e collocarla nelle condizioni generali di servizio non basta. Per molte aziende significa rivedere interfacce e script del servizio clienti.
Lo stesso vale per i contenuti sintetici: immagini, video o audio generati o manipolati con l’intelligenza artificiale e idonei ad apparire autentici devono essere segnalati, salve le eccezioni per opere creative e satiriche; e così i testi diffusi per informare il pubblico su questioni di interesse generale, salvo controllo editoriale con assunzione di responsabilità. Slitta al 2 dicembre 2026 solo la marcatura tecnica dei contenuti prodotti da sistemi già sul mercato. Restano infine operativi le pratiche vietate, gli obblighi sui modelli per finalità generali e l’alfabetizzazione del personale.
Le semplificazioni sostanziali per le imprese
L’alleggerimento di maggiore impatto riguarda la nozione di “componente di sicurezza”, che nel testo originario finiva per attrarre nell’alto rischio anche sistemi privi di reali implicazioni per la salute e la sicurezza. Ora un sistema svolge funzione di sicurezza solo quando lo scopo dichiarato dal fornitore è prevenire o mitigare rischi per le persone o per le cose, restando escluse le funzioni di assistenza all’utente, di ottimizzazione delle prestazioni, di automazione e di controllo qualità non attinente alla sicurezza. Il perimetro si restringe, ma l’onere di qualificare correttamente la finalità del sistema resta al fornitore.
Ne beneficia soprattutto il settore dei macchinari, per il quale i requisiti di sicurezza connessi all’intelligenza artificiale restano affidati in via primaria alla normativa di prodotto, evitando percorsi di conformità paralleli. Sul fronte dei dati personali, viene poi fornita una base giuridica espressa per trattare categorie particolari di dati al fine di rilevare distorsioni discriminatorie, ed è consentito riutilizzare nella valutazione d’impatto sui diritti fondamentali le parti pertinenti di una valutazione d’impatto già svolta.
Le agevolazioni riservate a start-up e PMI — documentazione semplificata e accesso prioritario agli spazi di sperimentazione regolamentare, da istituire in ogni Stato membro entro il 2 agosto 2027 — sono estese alle imprese di media capitalizzazione di dimensioni ridotte. In senso opposto va segnalata l’attenuazione dell’obbligo di alfabetizzazione del personale: da obbligo di “garantire” un adeguato livello di competenza diventa obbligo di “adottare misure a supporto”, con il rischio di ridurre la formazione a un adempimento formale.
I nuovi divieti e il raccordo con il diritto penale italiano
Il Digital Omnibus non si limita a semplificare: amplia anche l’elenco delle pratiche vietate. Sono ora proibiti l’immissione sul mercato, la messa in servizio e l’uso di sistemi che generino o manipolino immagini, video o audio realistici raffiguranti parti intime o attività sessualmente esplicite di una persona identificabile senza un consenso esplicito, specifico, informato e inequivocabile — le applicazioni note come deep nude — nonché l’impiego di sistemi di intelligenza artificiale per produrre materiale pedopornografico. Le nuove disposizioni si applicheranno dal 2 dicembre 2026.
Sul piano interno l’ordinamento italiano è già intervenuto: la legge 23 settembre 2025, n. 132 ha introdotto l’art. 612-quater del codice penale, che punisce con la reclusione da uno a cinque anni chi cagiona un danno ingiusto diffondendo senza consenso immagini, video o voci falsificati o alterati mediante sistemi di intelligenza artificiale e idonei a ingannare sulla loro genuinità, oltre ad aggravare i reati commessi impiegando tali sistemi. Le due discipline operano su piani complementari: il divieto europeo colpisce a monte chi sviluppa e mette a disposizione lo strumento, la norma penale interna colpisce a valle chi diffonde il contenuto.
Cosa conviene fare nei prossimi mesi
Il tempo guadagnato ha senso solo se viene impiegato. Il primo passo è capire quali sistemi di intelligenza artificiale sono già presenti in azienda: spesso non stanno dove li si cerca, ma nel software di gestione del personale, nel CRM, negli strumenti antifrode o in una funzione aggiunta silenziosamente da un fornitore cloud. Serve una mappa che ne indichi finalità, dati utilizzati, fornitore, responsabile interno e impatto possibile sulle persone. Il secondo passo è stabilire il ruolo dell’impresa nella catena del valore: gli obblighi cambiano a seconda che si agisca come fornitore, utilizzatore, distributore o importatore, e integrare un sistema in un proprio prodotto o commercializzarlo con il proprio marchio può spostare la responsabilità in modo non intuitivo.
Il terzo fronte è contrattuale. Utilizzare un sistema sviluppato da terzi non trasferisce automaticamente sul fornitore ogni conseguenza: va stabilito per iscritto chi conserva i log, chi produce la documentazione tecnica, chi comunica gli incidenti e chi interviene quando il modello cambia comportamento. Gli aggiornamenti sono frequenti e spesso silenziosi: il nome del software resta lo stesso, il motore sotto il cofano no. Prevedere controlli periodici e una procedura per le modifiche sostanziali è quindi tutt’altro che un esercizio formale. Il calendario dell’AI Act è cambiato; il perimetro delle responsabilità no.
Avv. Gianluca Carlone – Studio Legale CCDG, Pescara