Omnibus digitale sull'IA: cosa cambia nell'AI Act (Reg. 2026/1744)

L'Unione europea ha ritoccato l'AI Act. Il Regolamento UE 2026/1744, il cosiddetto "Omnibus digitale sull'IA", è stato adottato l'8 luglio 2026, pubblicato in Gazzetta ufficiale il 24 luglio ed è in vigore dal 27 luglio 2026. Per una PMI italiana la sintesi è questa: le regole sull'alto rischio slittano di uno o due anni, ma gli obblighi che ti toccano già oggi, cioè formazione del personale e trasparenza, restano tutti in piedi.

Ecco il quadro delle date, prima e dopo l'Omnibus.

Obbligo	Prima	Dopo l'Omnibus
Alfabetizzazione AI (art. 4)	2 febbraio 2025	Invariato: già in vigore
Applicazione generale del regolamento	2 agosto 2026	Invariata: 2 agosto 2026
Trasparenza per i deployer (art. 50)	2 agosto 2026	Invariata: 2 agosto 2026
Marcatura leggibile dalle macchine (generativi già sul mercato)	2 agosto 2026	2 dicembre 2026 (regime transitorio)
Nuovi divieti art. 5 (contenuti intimi non consensuali, abuso su minori)	— (nuovi)	2 dicembre 2026
Alto rischio autonomo (allegato III)	2 agosto 2026	2 dicembre 2027
Alto rischio integrato in prodotti (allegato I)	2 agosto 2027	2 agosto 2028

L'impianto a rischi dell'AI Act non cambia: pratiche vietate, alto rischio, obblighi di trasparenza, rischio minimo. Cambiano alcune date e qualche formulazione. Vediamo cosa significa in pratica.

Cosa cambia per chi usa l'AI in azienda

Se la tua azienda usa sistemi di AI (sei un "deployer": ChatGPT, Copilot, un chatbot sul sito, un software di selezione del personale), l'Omnibus ti tocca in tre punti.

Primo: l'alto rischio slitta. I sistemi ad alto rischio "autonomi" dell'allegato III, quelli usati per selezione del personale, credito, istruzione e biometria, diventano obbligatori dal 2 dicembre 2027 invece che dal 2 agosto 2026. Per i sistemi integrati in prodotti regolamentati (allegato I: macchinari, dispositivi medici, giocattoli) si va al 2 agosto 2028. Se usi un ATS con screening automatico dei CV o un sistema di scoring per il credito, hai più tempo per metterti in regola. Più tempo, non un condono: gli obblighi arriveranno comunque, e sono i più pesanti del regolamento.

Secondo: l'articolo 4 è stato riscritto, ma non rinviato. Prima il testo chiedeva di "garantire un livello sufficiente di alfabetizzazione" sull'AI. Ora chiede di "adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione", misure che devono essere effettive e proporzionate a mansioni, esperienza e contesto d'uso di chi lavora con questi strumenti. È una formulazione più realistica: non devi certificare che tutti "sanno di AI", devi dimostrare di aver fatto qualcosa di serio e adeguato. Attenzione però: l'obbligo è in vigore dal 2 febbraio 2025 e tale resta. Se non hai ancora formato il personale, sei già in ritardo. Qui trovi cosa richiede esattamente l'articolo 4.

Terzo: arrivano nuovi divieti. L'Omnibus aggiunge all'articolo 5 due lettere (ba e bb) che vietano la generazione e manipolazione di contenuti sessuali o intimi non consensuali e di materiale di abuso su minori. Si applicano dal 2 dicembre 2026. Per un'azienda normale il rischio pratico è l'uso improprio degli strumenti da parte dei dipendenti: un motivo in più per avere una policy AI chiara.

C'è anche una novità utile per chi sviluppa o adatta sistemi: il nuovo articolo 4a consente il trattamento di categorie particolari di dati personali quando serve a rilevare e correggere i bias. Prima era una zona grigia con il GDPR, ora c'è una base esplicita.

Cosa NON cambia (e dove non devi rilassarti)

La tentazione, leggendo "rinvio", è pensare che tutto slitti. Non è così.

La formazione resta obbligatoria. L'articolo 4 è riformulato, non sospeso. Vale dal 2 febbraio 2025 per qualsiasi azienda che usa l'AI.

La trasparenza resta al 2 agosto 2026. Gli obblighi dell'articolo 50 per i deployer sono scattati e non si toccano: devi dichiarare i chatbot (chi parla con un sistema di AI deve saperlo) e etichettare deepfake e contenuti generati dall'AI quando li pubblichi. La guida su trasparenza e articolo 50 spiega come adempiere in pratica. L'unica concessione riguarda i fornitori: chi ha immesso sul mercato sistemi generativi prima del 2 agosto 2026 ha tempo fino al 2 dicembre 2026 per la marcatura leggibile dalle macchine degli output (art. 50, par. 2). È un respiro per chi sviluppa, non per chi usa.

Le sanzioni restano quelle. L'articolo 99 non cambia: fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate, 15 milioni o il 3% per gli altri obblighi. Per le PMI si applica il valore più basso tra i due, ma parliamo comunque di cifre che nessuna PMI può ignorare. Il calendario completo di scadenze e sanzioni è aggiornato con le nuove date.

Il 2 agosto 2026 resta la data di applicazione generale. Il regolamento è pienamente operativo, rinvii compresi solo dove l'Omnibus li prevede.

Sul fronte della vigilanza, l'AI Office europeo esce rafforzato: competenza esclusiva sui modelli di AI per finalità generali (GPAI) e sulle grandi piattaforme, nuovi poteri di indagine e sanzioni fino al 5% del fatturato per i fornitori di GPAI. Se sei un utilizzatore non ti riguarda direttamente, ma significa che i tuoi fornitori di AI saranno sorvegliati più da vicino.

Le nuove date in dettaglio

Per fissarle bene, ecco il calendario dopo l'Omnibus:

• 2 febbraio 2025 (già passata): pratiche vietate e alfabetizzazione AI (art. 4). Invariata.
• 2 agosto 2026 (già passata): applicazione generale, trasparenza art. 50 per i deployer, sanzioni operative. Invariata.
• 2 dicembre 2026: nuovi divieti su contenuti intimi non consensuali e materiale di abuso su minori; scade il regime transitorio per la marcatura leggibile dalle macchine dei sistemi generativi già sul mercato.
• 2 dicembre 2027: obblighi per l'alto rischio autonomo (allegato III): selezione del personale, credito, istruzione, biometria.
• 2 agosto 2028: obblighi per l'alto rischio integrato in prodotti regolamentati (allegato I): macchinari, dispositivi medici, giocattoli.

Cosa fare oggi in azienda

Tre azioni concrete, in ordine di urgenza:

1. Metti in regola formazione e trasparenza. Sono gli obblighi già in vigore: formazione documentata del personale (art. 4) e informative su chatbot e contenuti generati (art. 50). L'Omnibus non li ha toccati.

2. Verifica dove ti collochi. Prima di pianificare qualsiasi cosa devi sapere quali sistemi di AI usa davvero la tua azienda e in quale fascia di rischio ricadono. L'autovalutazione gratuita te lo dice in pochi minuti.

3. Se usi AI in ambiti ad alto rischio, pianifica ora. Selezione del personale, credito, valutazioni: la scadenza è slittata al 2 dicembre 2027, ma gli adempimenti sono corposi. Usa il tempo guadagnato per censire i sistemi e chiedere ai fornitori a che punto sono, non per rimandare tutto di un altro anno.

L'Omnibus digitale è una boccata d'ossigeno sulle regole più complesse, non un liberi tutti. Gli obblighi di base valgono già: chi li sistema adesso affronta il resto del calendario senza affanni.