LE NOVITà DA CONOSCERE

1. Nuovo calendario per i sistemi di AI ad alto rischio.

Le regole applicabili ai sistemi di AI ad alto rischio vengono rimodulate: il termine è fissato al 2 dicembre 2027 per i sistemi stand-alone e al 2 agosto 2028 per i sistemi integrati nei prodotti. Per le imprese questo significa disporre di un margine temporale più ampio, da utilizzare per classificare i sistemi, raccogliere la documentazione e definire una roadmap di adeguamento.

2. Watermarking e trasparenza dei contenuti artificiali.

Per i sistemi già immessi sul mercato è prevista una proroga al 2 dicembre 2026 per l’applicazione degli obblighi di watermarking. La misura consente agli operatori di adeguare progressivamente le soluzioni tecniche necessarie a rendere riconoscibili i contenuti generati o manipolati artificialmente.

3. Nuovi divieti a tutela delle persone.

Dal 2 dicembre 2026 si applicheranno nuovi divieti relativi a sistemi di AI utilizzati per generare contenuti sessuali o intimi non consensuali o materiale pedopornografico. Si tratta di un intervento rilevante per rafforzare la tutela dei diritti fondamentali e prevenire abusi connessi all’uso dell’IA.

4. AI literacy confermata, ma con maggiore flessibilità.

Resta l’obbligo di alfabetizzazione in materia di AI per fornitori e deployer, senza requisiti di risultato predeterminati. Le nuove linee guida attese dovrebbero supportare le organizzazioni nel definire percorsi formativi coerenti con ruoli, contesti d’uso e livello di rischio dei sistemi impiegati.

5. Dati sensibili e bias.

Viene ampliato il regime che consente, in via eccezionale, il trattamento di categorie particolari di dati personali per finalità di rilevazione e correzione dei bias. Restano essenziali garanzie adeguate, misure di sicurezza rafforzate e rigorose limitazioni al trattamento.

6. Componenti di sicurezza e classificazione del rischio.

Il Digital Omnibus introduce chiarimenti sul concetto di “componente di sicurezza”, rilevante per stabilire quando un sistema di AI possa essere qualificato come ad alto rischio. Il tema è particolarmente importante per sistemi integrati in prodotti o infrastrutture regolamentate.

7. Registrazione nel database UE.

È confermato l’obbligo per i provider di registrare i sistemi di AI nel database UE dei sistemi ad alto rischio, anche nei casi in cui siano previste esenzioni. La registrazione resta quindi un presidio centrale della governance documentale e della dimostrazione di conformità.

8. Atti delegati, linee guida e misure di supporto.

La Commissione potrà adottare misure e orientamenti per assistere gli operatori che sviluppano o utilizzano sistemi di AI ad alto rischio disciplinati da normative di armonizzazione, con l’obiettivo di ridurre le incertezze applicative e favorire un’attuazione più uniforme.

9. Sandbox normative nazionali.

Il termine per l’istituzione delle sandbox normative nazionali dedicate all’AI viene rinviato al 2 agosto 2027. Le sandbox restano uno strumento utile per sperimentare soluzioni innovative in un ambiente controllato e accompagnato dalle autorità competenti.

10. Ruolo dell’AI Office.

Il regolamento chiarisce le competenze dell’AI Office nella supervisione dei sistemi di AI basati su modelli GPAI quando modello e sistema sono sviluppati dallo stesso provider. La misura mira a rafforzare la coerenza dei controlli sui sistemi più complessi e di maggiore impatto.

11. Maggiore proporzionalità per PMI e piccole imprese a media capitalizzazione.

Le agevolazioni previste per le PMI vengono estese anche alle piccole imprese a media capitalizzazione. Ciò comporta un approccio più proporzionato agli adempimenti, in particolare rispetto a documentazione tecnica, sistema di gestione della qualità e profili sanzionatori.

12. Decorrenza e regime transitorio.

Gli obblighi dell’AI Act collegati alla trasparenza si applicano dal 2 agosto 2026 a tutti gli utilizzi rientranti nel relativo perimetro. Per i deployer non è previsto un generale periodo transitorio: i deep fake generati o manipolati prima di tale data non devono essere etichettati retroattivamente, mentre i testi generati prima del 2 agosto 2026 ma pubblicati da tale data in avanti devono essere etichettati, salvo le eccezioni applicabili. L’etichettatura volontaria dei deep fake preesistenti è incoraggiata, purché non comporti sforzi sproporzionati.

COSA FARE

Alla luce delle novità introdotte, le imprese dovrebbero utilizzare questa finestra temporale per rafforzare la propria governance interna sull’AI. In particolare, può essere utile:

• aggiornare l’inventario dei sistemi di AI già in uso o in fase di introduzione;
• verificare la corretta classificazione del rischio;
• individuare ruoli e responsabilità interne;
• pianificare le attività di AI literacy e formazione;
• predisporre o aggiornare la documentazione necessaria a dimostrare le valutazioni effettuate.

La semplificazione non elimina gli obblighi: li rende più proporzionati e, in alcuni casi, ne ridefinisce i tempi. Per questo è opportuno non attendere le scadenze finali, ma trasformare il nuovo calendario in una roadmap operativa di compliance.

DA QUANDO SI APPLICA

Il Regolamento (UE) 2026/1744 è entrato in vigore il 27 luglio 2026, tre giorni dopo la pubblicazione nella Gazzetta ufficiale dell’Unione europea avvenuta il 24 luglio 2026. Le imprese sono quindi chiamate a valutare fin da subito l’impatto delle novità sulle attività già avviate per l’adeguamento all’AI Act.

Il nostro suggerimento: partire da una domanda semplice ma decisiva: quali sistemi di AI utilizziamo oggi e quali obblighi ci riguarderanno nei prossimi mesi?

Restiamo a disposizione per supportarvi nella mappatura dei sistemi di AI, nella verifica degli obblighi applicabili e nella definizione di un percorso di adeguamento coerente con il nuovo quadro normativo.