Il 2 agosto 2026 è una data che molte imprese avevano cerchiato in rosso: doveva segnare l’entrata in applicazione della maggior parte delle disposizioni dell’AI Act e, in particolare, degli obblighi relativi ai sistemi ad alto rischio indipendenti individuati dall’Allegato III. Per i sistemi ad alto rischio integrati in prodotti regolamentati, la data originariamente prevista era invece il 2 agosto 2027.

Il quadro è cambiato con il Digital Omnibus sull’IA, approvato dal Parlamento europeo il 16 giugno 2026 e adottato definitivamente dal Consiglio dell’Unione europea il 29 giugno 2026. Il nuovo regolamento mantiene l’impianto dell’AI Act basato sul rischio, ma modifica alcune disposizioni e rinvia l’applicazione di una parte degli obblighi più complessi.

Le nuove date sono fissate al 2 dicembre 2027 per i sistemi ad alto rischio indipendenti classificati ai sensi dell’articolo 6, paragrafo 2, e dell’Allegato III, e al 2 agosto 2028 per i sistemi ad alto rischio integrati nei prodotti disciplinati dalla normativa europea indicata nell’Allegato I. Rientrano nell’Allegato III, tra gli altri, determinati impieghi dell’IA nei settori della biometria, dell’istruzione, dell’occupazione, dell’accesso ai servizi essenziali, delle attività di contrasto, della migrazione e dell’amministrazione della giustizia.

Il messaggio da tenere a mente è quindi questo: il Digital Omnibus non sospende l’AI Act. Sposta alcune scadenze e introduce modifiche mirate, ma conserva l’architettura generale della disciplina e il suo approccio basato sui livelli di rischio.

Diverse disposizioni sono già applicabili. Le pratiche vietate originariamente previste dall’articolo 5 si applicano dal 2 febbraio 2025. Il capitolo relativo alle sanzioni si applica dal 2 agosto 2025, fermo restando che le sanzioni possono riguardare soltanto obblighi già applicabili e devono essere irrogate secondo le competenze e le procedure delle autorità interessate.

Gli obblighi di trasparenza dell’articolo 50 mantengono, in linea generale, la data del 2 agosto 2026, ma devono essere descritti distinguendo il ruolo dei provider da quello dei deployer.

I provider devono, tra l’altro, progettare i sistemi destinati a interagire direttamente con le persone in modo che queste siano informate di stare interagendo con un sistema di IA, salvo che ciò risulti evidente dal contesto. I provider di sistemi che generano contenuti sintetici devono inoltre assicurare che gli output siano marcati in un formato leggibile dalle macchine e rilevabile come generato o manipolato artificialmente.

I deployer sono invece soggetti a specifici obblighi di dichiarazione, in particolare per i deepfake e per determinati testi generati o manipolati mediante IA e pubblicati per informare il pubblico su questioni di interesse pubblico, fatte salve le eccezioni previste per i contenuti sottoposti a revisione o controllo editoriale umano. Non esiste quindi un obbligo generale di dichiarare indistintamente qualsiasi testo, immagine o contenuto aziendale realizzato con l’ausilio dell’IA.

La data del 2 dicembre 2026 ha una portata più specifica: riguarda i provider di sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026, che entro tale termine devono adottare le misure necessarie per conformarsi all’obbligo di marcatura tecnica leggibile dalle macchine previsto dall’articolo 50, paragrafo 2.

Resta inoltre centrale l’obbligo di alfabetizzazione in materia di IA previsto dall’articolo 4, applicabile dal 2 febbraio 2025. Il testo adottato con il Digital Omnibus non elimina tale obbligo, ma ne riformula la portata: provider e deployer devono adottare misure volte a sostenere lo sviluppo dell’AI Literacy del personale e delle altre persone che utilizzano o gestiscono sistemi di IA per loro conto.

Le misure devono essere determinate tenendo conto delle conoscenze tecniche, dell’esperienza, dell’istruzione e della formazione delle persone coinvolte, del contesto nel quale i sistemi vengono utilizzati e dei soggetti sui quali possono produrre effetti. L’organizzazione non è invece tenuta a garantire un livello specifico, uniforme o predeterminato di alfabetizzazione per ogni singola persona.

L’obbligo di AI Literacy permane quindi, ma deve essere applicato secondo criteri di proporzionalità e adeguatezza. In pratica, le misure possono comprendere formazione, informazione, istruzioni operative, regole interne e aggiornamenti periodici, differenziati in funzione dei ruoli, degli strumenti utilizzati e dei rischi connessi.

Conservare registri interni della formazione e delle altre iniziative adottate costituisce una misura organizzativa e probatoria fortemente consigliata. La documentazione permette infatti di ricostruire le valutazioni effettuate e di dimostrare che l’organizzazione ha concretamente adottato misure per adempiere all’obbligo.

Il rinvio degli obblighi relativi ai sistemi ad alto rischio non deve quindi essere interpretato come un invito ad attendere. I percorsi di adeguamento richiedono tempo: occorre individuare gli strumenti di IA effettivamente utilizzati, comprenderne finalità e contesto, stabilire il ruolo dell’impresa nella catena dell’IA, verificare se ricadano in categorie regolamentate e adottare misure organizzative proporzionate.

Il censimento degli strumenti, la valutazione dei rischi, la formazione del personale e la predisposizione di una policy interna non costituiscono necessariamente quattro obblighi autonomi applicabili in modo identico a qualsiasi impresa. Rappresentano però gli elementi tipici di un percorso di governance ragionevole, la cui profondità deve essere calibrata sulle dimensioni dell’organizzazione, sugli impieghi dell’IA e sui possibili impatti.

In sintesi, per un’impresa che utilizza sistemi di IA la priorità è duplice: adottare fin da ora misure proporzionate di AI Literacy, normalmente comprensive di formazione adeguata ai ruoli coinvolti, e pianificare l’adeguamento agli ulteriori obblighi applicabili, verificando in particolare la presenza di sistemi ad alto rischio o di casi soggetti agli obblighi di trasparenza dell’articolo 50.

Chi utilizza il tempo aggiuntivo per costruire gradualmente un sistema di governance arriva preparato alle nuove scadenze. Chi interpreta il rinvio come una sospensione generalizzata rischia invece di scoprire troppo tardi che una parte degli obblighi è già applicabile e che la conformità non può essere improvvisata.