Il Digital Omnibus ha rinviato gli obblighi più pesanti dell’AI Act, ma non li ha cancellati. Il Regolamento (UE) 2024/1689, noto come AI Act, resta il quadro europeo di riferimento sull’intelligenza artificiale, con applicazione generale confermata al 2 agosto 2026.
Il Digital Omnibus è il pacchetto di semplificazione che ha spostato in avanti gli obblighi sui sistemi ad alto rischio, portandoli al 2 dicembre 2027 e al 2 agosto 2028. Restano invece confermati al 2 dicembre 2026 l’etichettatura dei contenuti generati dall’IA e due nuovi divieti.
Il messaggio operativo è netto. Il rinvio non è una pausa. Un percorso completo di conformità per i sistemi ad alto rischio richiede molti mesi, e chi aspetta le scadenze del 2027-2028 rischia di arrivare tardi.
Cosa prevedeva l’AI Act nella versione originaria
L’AI Act è entrato in vigore il ventesimo giorno dopo la pubblicazione in Gazzetta ufficiale UE, avvenuta il 12 luglio 2024. L’articolo 113 del testo originario scandiva l’applicazione su quattro tappe progressive.
La prima, il 2 febbraio 2025, ha reso operativo il divieto delle pratiche a rischio inaccettabile: punteggio sociale, manipolazione subliminale, riconoscimento delle emozioni sul lavoro. Il 2 agosto 2025 sono partiti gli obblighi su governance, modelli per finalità generale e sanzioni. Il 2 agosto 2026 segna l’applicazione generale, mentre il 2 agosto 2027 era la data per la classificazione dei sistemi ad alto rischio.
Perché il calendario dell’AI Act è cambiato?
Il calendario è cambiato per un ritardo tecnico e organizzativo, non per una scelta politica di arretramento. Il 19 novembre 2025 la Commissione europea ha presentato la proposta Digital Omnibus (COM/2025/836) con due motivazioni precise.
La prima è il ritardo delle norme tecniche armonizzate. Il CEN-CENELEC JTC21 è l’organismo che elabora gli standard europei per l’AI Act, e il primo standard sui sistemi di gestione della qualità ha chiuso la consultazione solo a gennaio 2026, secondo il materiale di CityNext.
La seconda è la mancata designazione, in diversi Stati membri, delle autorità nazionali competenti alla vigilanza. Senza standard pronti e senza autorità operative, gli obblighi sui sistemi ad alto rischio sarebbero diventati difficili da rispettare. Da qui la scelta di rinviare, non di eliminare.
Quali sono le nuove scadenze dopo il Digital Omnibus?
Le nuove scadenze si articolano su quattro date, dal 2 agosto 2026 al 2 agosto 2028. Dopo l’approvazione del Parlamento europeo il 16 giugno 2026 (423 voti favorevoli, 57 contrari, 174 astenuti, secondo CityNext), il Consiglio UE ha adottato in via definitiva il regolamento di modifica.
Il testo entrerà in vigore il terzo giorno dopo la pubblicazione in Gazzetta ufficiale UE. Ecco come si presenta il nuovo quadro temporale.
Le date da tenere sotto controllo
- 2 agosto 2026: continua ad applicarsi la maggior parte del regolamento, comprese le disposizioni non toccate dalla riforma.
- 2 dicembre 2026: diventano obbligatori il watermarking, cioè la marcatura leggibile da macchina dei contenuti generati dall’IA, e due nuovi divieti su materiale di abuso su minori e immagini sessuali non consensuali.
- 2 dicembre 2027: termine per i sistemi ad alto rischio autonomi dell’allegato III, come selezione del personale e scoring creditizio.
- 2 agosto 2028: termine per i sistemi ad alto rischio integrati in prodotti già regolati, come dispositivi medici e macchinari.
- 2 agosto 2027: rinviata l’istituzione delle regulatory sandbox, gli spazi di sperimentazione normativa.
Per i sistemi del 2027 e 2028 è previsto un meccanismo di anticipo. Se la Commissione conferma la disponibilità di norme armonizzate adeguate, gli obblighi possono scattare prima. Il calendario definitivo dipende quindi anche dalla velocità di produzione degli standard tecnici.
Cosa non è stato rinviato dell’AI Act
Il rinvio riguarda esclusivamente gli obblighi sui sistemi ad alto rischio. Tutto il resto resta pienamente vigente, e questo è il punto che molte organizzazioni sottovalutano.
Restano in vigore il divieto delle pratiche a rischio inaccettabile dal 2 febbraio 2025, l’intero impianto sanzionatorio e gli obblighi per i modelli di IA per finalità generale. Chi utilizza sistemi di intelligenza artificiale deve già oggi rispettare queste regole.
Resta vigente anche l’obbligo di alfabetizzazione all’IA. La AI literacy è la competenza minima che chi usa sistemi di IA deve possedere per comprenderne funzionamento e rischi. Il Digital Omnibus ha attenuato il verbo da “garantire” a “promuovere”, ma la responsabilità in capo alle organizzazioni non è stata eliminata.
Cosa devono fare imprese e PA adesso?
Devono iniziare subito il lavoro di adeguamento, senza attendere le scadenze del 2027-2028. Il motivo è pratico. Un iter completo di conformità per i sistemi ad alto rischio richiede mediamente tra 8 e 14 mesi, secondo CityNext, con organismi notificati che segnalano agende già sature.
Il percorso include sistema di gestione del rischio, data governance ai sensi dell’articolo 10, supervisione umana, documentazione tecnica e valutazione di conformità. Sono attività che non si improvvisano nelle ultime settimane.
Il primo passo è sempre lo stesso: mappare i sistemi di IA in uso o in sviluppo e classificarli per livello di rischio. Poi verificare la conformità agli obblighi già vigenti, in particolare divieti dell’articolo 5, trasparenza dell’articolo 50 e AI literacy. Infine, prepararsi per tempo agli obblighi ad alto rischio. È qui che un percorso di AI Assessment aiuta a fare ordine prima che i tempi si stringano.
Le domande che mi arrivano più spesso sull’AI Act
Il rinvio del Digital Omnibus mi permette di rimandare tutto?
No. Il rinvio tocca solo gli obblighi sui sistemi ad alto rischio. I divieti sulle pratiche a rischio inaccettabile, l’obbligo di trasparenza sui contenuti generati e la AI literacy sono già vigenti. Se usi sistemi di IA in azienda, devi verificare da subito la conformità a queste regole, indipendentemente dalle scadenze del 2027 e 2028.
Come faccio a sapere se i miei sistemi di IA sono ad alto rischio?
Un sistema di IA è ad alto rischio quando rientra nelle categorie dell’allegato III dell’AI Act o è integrato come componente di sicurezza in prodotti regolati. Parliamo di selezione del personale, scoring creditizio, accesso a servizi pubblici, istruzione e dispositivi medici. La classificazione va fatta caso per caso, mappando ogni sistema in uso e verificandone la finalità concreta.
Quanto tempo serve per mettersi in regola sui sistemi ad alto rischio?
Secondo il materiale di CityNext, un iter completo di conformità richiede mediamente tra 8 e 14 mesi. Il tempo dipende dalla complessità del sistema e dalla documentazione già disponibile. Gli organismi notificati segnalano agende sature, quindi chi avvia il percorso in ritardo rischia di non trovare disponibilità nei tempi utili.
Il Digital Omnibus abbassa le tutele per le persone?
È un punto controverso. Il 20 gennaio 2026 il parere congiunto EDPB-EDPS 1/2026 ha segnalato che la semplificazione non deve tradursi in un abbassamento delle tutele. La Commissione sostiene che l’impianto basato sul rischio resti invariato e che l’obiettivo sia la certezza giuridica. Una parte degli osservatori legge invece la riforma come un possibile arretramento sui diritti fondamentali.
Cosa cambia dal 2 dicembre 2026 sui contenuti generati dall’IA?
Dal 2 dicembre 2026 diventa obbligatoria la marcatura leggibile da macchina dei contenuti generati o manipolati dall’intelligenza artificiale, il cosiddetto watermarking. Scattano anche due nuovi divieti aggiunti all’articolo 5: sistemi che generano materiale di abuso sessuale su minori e sistemi nudifier che producono contenuti sessuali non consensuali di persone identificabili.
Vuoi capire cosa cambia concretamente per la tua azienda?
L’AI Act genera confusione perché mescola scadenze rinviate e obblighi già vigenti. Il rischio è muoversi troppo tardi sui sistemi ad alto rischio o ignorare regole che ti riguardano già oggi.
Lavoro con imprese e organizzazioni per mappare i sistemi di IA in uso, classificarli per livello di rischio e costruire un piano di adeguamento realistico rispetto alle tempistiche. Il punto di partenza è sempre il tuo contesto operativo, non un modello astratto.
Un primo confronto serve a capire se ha senso approfondire e da dove conviene iniziare. Se vuoi fare chiarezza sulla tua posizione rispetto all’AI Act, scrivimi dalla pagina contatti e definiamo insieme i prossimi passi.