Il calendario dell’AI Act non è più quello del 2024. Il Regolamento (UE) 2026/1744, il cosiddetto Omnibus digitale sull’AI, firmato l’8 luglio e pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026, ha rinviato gli obblighi per i sistemi ad alto rischio e introdotto nuovi divieti che si applicano dal 2 dicembre 2026. Nel frattempo, dal 23 ottobre, in Italia è in vigore il D.Lgs. 179/2026, che nomina le autorità di controllo e fissa le sanzioni. Per una PMI o uno studio la domanda pratica è: che cosa vale oggi e che cosa più avanti?
Cosa cambia
Alto rischio: rinvio. Gli obblighi del capo III, sezioni 1-3 (requisiti e obblighi per i sistemi ad alto rischio) non si applicano più dal 2 agosto 2026, ma:
- dal 2 dicembre 2027 per i sistemi dell’allegato III, tra cui quelli usati nella selezione del personale o nella valutazione del merito creditizio;
- dal 2 agosto 2028 per i sistemi integrati in prodotti già regolati da norme europee di armonizzazione (allegato I), come macchinari e dispositivi medici.
Nuovi divieti dal 2 dicembre 2026. L’Omnibus aggiunge all’articolo 5 il divieto di immettere sul mercato, mettere in servizio o usare sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile, o che la ritraggono in atti sessualmente espliciti, senza il suo consenso; si aggiunge il divieto relativo al materiale pedopornografico. Per chi usa questi sistemi, il divieto scatta se li impiega proprio per generare quel materiale.
Contenuti generati dall’AI. I fornitori di sistemi che generano audio, immagini, video o testo, immessi sul mercato prima del 2 agosto 2026, hanno tempo fino al 2 dicembre 2026 per adeguarsi all’articolo 50, paragrafo 2 (marcatura dei contenuti sintetici in formato leggibile dalle macchine).
Alfabetizzazione: obbligo riscritto. Il nuovo articolo 4 chiede a fornitori e deployer di adottare «misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA» del personale, tenendo conto di competenze e contesto d’uso. Il testo precisa che l’obbligo non impone di garantire un livello specifico di alfabetizzazione per ciascuna persona. Commissione e Stati membri dovranno sostenere in particolare le PMI.
In Italia: autorità e sanzioni. Il D.Lgs. 179/2026 indica ACN come autorità di vigilanza del mercato e AgID come autorità di notifica. L’art. 23 riprende i massimali europei: fino a 35 milioni di euro o al 7% del fatturato per le pratiche vietate, fino a 15 milioni o al 3% per altri obblighi, compresi quelli di trasparenza dell’articolo 50. Per PMI e start-up si applica il criterio dell’articolo 99, paragrafo 6, cioè il valore più basso tra importo fisso e percentuale. Per violazioni di scarsa offensività il decreto (art. 22) consente in alternativa ordini di adeguamento o la dichiarazione pubblica della violazione.
Chi è interessato
Ogni azienda o studio che usa strumenti di AI nel lavoro rientra di norma tra i deployer: chi utilizza un sistema di AI sotto la propria autorità. Per la maggior parte delle PMI, che usano assistenti generativi, chatbot o strumenti di estrazione dati, l’alto rischio è un tema del 2027; trasparenza, divieti e alfabetizzazione sono invece temi di oggi. Una sanzione, comunque, si applica solo quando l’obbligo violato è già in vigore: chi usa un sistema dell’allegato III non risponde degli obblighi da alto rischio prima del 2 dicembre 2027.
Cosa fare adesso
Commento della redazione. Il rinvio dà tempo, ma non elimina il lavoro da fare. Tre passi concreti:
- Censire gli strumenti AI in uso e indicare per ciascuno se tocca selezione del personale, credito o altre aree dell’allegato III. Quelli vanno pianificati per il 2027.
- Verificare la trasparenza verso clienti e utenti: chatbot che si presentano come tali, contenuti generati dall’AI riconoscibili. Se si usano generatori di immagini o voci, controllare che il fornitore sia in regola entro il 2 dicembre.
- Documentare le misure di alfabetizzazione adottate per il personale: anche se l’obbligo è stato riformulato, resta un obbligo.
Per mappare gli strumenti e capire quali obblighi si applicano, vedi Compliance e normativa. Se i dati trattati sono riservati, valuta anche la configurazione sicura e l’AI in locale.
Questo articolo ha scopo informativo e non costituisce parere legale.
Vuoi sapere quali scadenze riguardano la tua azienda? Ogni progetto parte da una diagnosi. Richiedi una consulenza.
