L'AI Act è stato modificato dal Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, in vigore dal 27 luglio 2026: gli obblighi per i sistemi ad alto rischio sono rinviati al 2027 e al 2028, ma formazione del personale, trasparenza e divieti restano pienamente in vigore. Per la maggior parte delle aziende e degli studi che usano strumenti come ChatGPT, Copilot o un chatbot sul sito, quindi, gli obblighi di oggi non si sono alleggeriti.
In questa guida trovi cosa cambia davvero, articolo per articolo, cosa resta com'era e cosa conviene fare subito. Tutte le date sono verificate sul testo pubblicato nella Gazzetta ufficiale dell'Unione europea.
| Scheda rapida | |
|---|---|
| Norma | Regolamento (UE) 2026/1744 dell'8 luglio 2026, «Omnibus digitale sull'IA» |
| Pubblicazione | Gazzetta ufficiale UE, serie L, 24 luglio 2026 |
| In vigore dal | 27 luglio 2026 (terzo giorno dopo la pubblicazione) |
| Prossima scadenza | 2 dicembre 2026: nuovi divieti e marcatura dei contenuti sintetici |
| Rinvii principali | Alto rischio Allegato III al 2 dicembre 2027, Allegato I al 2 agosto 2028 |
| Chi riguarda | Tutte le imprese che sviluppano o usano sistemi di IA, con agevolazioni nuove per PMI e piccole imprese a media capitalizzazione |
| Testo ufficiale | EUR-Lex, Reg. (UE) 2026/1744 |
Cos'è il Digital Omnibus e perché è stato approvato?
Il Digital Omnibus sull'IA fa parte del pacchetto di semplificazione delle norme digitali proposto dalla Commissione europea nel novembre 2025. L'obiettivo dichiarato è rendere l'AI Act più applicabile: alcune regole sull'alto rischio dipendevano da norme tecniche armonizzate e strumenti di supporto non ancora pronti, e il calendario originale (alto rischio dal 2 agosto 2026) era diventato irrealistico per molte imprese.
Il regolamento modifica l'AI Act (Reg. UE 2024/1689) e, in parte, il regolamento sulla sicurezza aerea e il regolamento Macchine (Reg. UE 2023/1230). Non è una nuova legge da studiare da zero: interviene su punti precisi. Il problema pratico è che molte guide e molti corsi in circolazione riportano ancora le date vecchie.
La formazione sull'IA (art. 4) è ancora obbligatoria?
Sì. L'art. 4 è stato riscritto, ma l'obbligo non è sparito. Il nuovo testo dice che fornitori e deployer di sistemi di IA adottano misure volte a sostenere lo sviluppo dell'alfabetizzazione in materia di IA del loro personale e delle altre persone che usano i sistemi per loro conto, tenendo conto di conoscenze, esperienza, formazione e contesto d'uso.
Cosa cambia rispetto a prima:
- non devi più garantire un livello «sufficiente» di competenza a ogni singola persona: il testo precisa che l'obbligo non impone un livello specifico di alfabetizzazione;
- Commissione e Stati membri devono aiutare le imprese, soprattutto le PMI, anche pubblicando esempi pratici di come adempiere;
- il consiglio per l'IA (AI Board) adotterà raccomandazioni basate sui quadri europei delle competenze.
È un obbligo di mezzi: devi poter dimostrare di aver fatto qualcosa di adeguato. La Commissione, nelle FAQ sull'alfabetizzazione aggiornate il 20 ottobre 2026, conferma che non serve un certificato e che non c'è obbligo di misurare le conoscenze con test, ma che è utile tenere un registro interno delle iniziative di formazione. La vigilanza delle autorità nazionali è partita dal 2 agosto 2026. Approfondiamo nella guida sulla formazione sull'IA obbligatoria per i dipendenti.
Alto rischio rinviato: quali sistemi e fino a quando?
È la modifica più nota. Gli obblighi del capo III (requisiti, documentazione, supervisione umana, valutazione di conformità) per i sistemi ad alto rischio ora si applicano:
- dal 2 dicembre 2027 per i sistemi dell'Allegato III: tra questi selezione del personale e valutazione dei lavoratori, accesso al credito, istruzione, servizi pubblici essenziali;
- dal 2 agosto 2028 per i sistemi dell'Allegato I, cioè l'IA usata come componente di sicurezza in prodotti già regolati (macchinari, dispositivi medici, giocattoli, ascensori).
Per i sistemi ad alto rischio già immessi sul mercato prima di queste date, l'AI Act si applica solo se in seguito subiscono modifiche significative della progettazione. I sistemi ad alto rischio usati dalle autorità pubbliche devono comunque essere adeguati entro il 2 agosto 2030.
Il Digital Omnibus chiarisce anche un punto utile alle imprese manifatturiere: l'IA usata solo per aspetti non legati alla sicurezza, come assistenza agli utenti, ottimizzazione delle prestazioni, efficienza o controllo qualità, non è un componente di sicurezza, salvo che un suo guasto possa mettere a rischio salute e sicurezza.
Rinvio non significa via libera. Se usi software di IA per selezionare candidati o valutare dipendenti, in Italia valgono già oggi l'art. 11 della Legge 132/2025 e l'art. 41 del D.Lgs. 179/2026: le decisioni finali sul rapporto di lavoro non possono essere prese solo dalla macchina. Lo spieghiamo nella guida al D.Lgs. 179/2026.
Quali sono i nuovi divieti introdotti dal Digital Omnibus?
All'elenco delle pratiche vietate dell'art. 5 si aggiungono due lettere, applicabili dal 2 dicembre 2026:
- lettera b bis): sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile, o che la ritraggono in atti sessualmente espliciti, senza il suo consenso;
- lettera b ter): sistemi che generano o manipolano materiale pedopornografico.
Sono violazioni della fascia più alta: fino a 35 milioni di euro o al 7% del fatturato mondiale. Abbiamo dedicato un articolo a chi riguardano i nuovi divieti, anche tra le aziende che non sviluppano software.
Cosa cambia per la marcatura dei contenuti generati dall'IA?
L'art. 50 resta applicabile dal 2 agosto 2026. Il Digital Omnibus ha però aggiunto una transizione per i fornitori di sistemi che generano audio, immagini, video o testi sintetici: se il sistema era sul mercato prima del 2 agosto 2026, la marcatura in formato leggibile da macchina (art. 50, paragrafo 2) va attuata entro il 2 dicembre 2026.
Per chi usa questi strumenti cambia poco: gli obblighi di dichiarare chatbot e deepfake valgono già. Le linee guida e il Codice di buone pratiche della Commissione sono spiegati nella guida alle linee guida sull'art. 50.
PMI e small mid-cap: cosa diventa più semplice?
Il Digital Omnibus introduce nell'AI Act la categoria delle piccole imprese a media capitalizzazione (small mid-cap), definite dalla raccomandazione (UE) 2025/1099, ed estende loro alcuni vantaggi finora riservati alle PMI:
| Agevolazione | PMI e start-up | Small mid-cap |
|---|---|---|
| Documentazione tecnica semplificata per l'alto rischio (art. 11) | Sì, con modulo della Commissione | Sì, novità |
| Sistema di gestione della qualità proporzionato (art. 17) | Sì | Sì, novità |
| Sanzione pari all'importo più basso tra cifra fissa e percentuale | Sì, per tutte le sanzioni (art. 99, par. 6) | Sì, per le sanzioni dei par. 4 e 5 (art. 99, par. 6 bis) |
| Interessi e sostenibilità economica considerati nel fissare le sanzioni | Sì | Sì, novità |
Le agevolazioni riguardano soprattutto chi sviluppa sistemi ad alto rischio. Per una PMI che usa l'IA nel lavoro quotidiano il vantaggio più concreto è sul calcolo delle sanzioni.
Ci sono altre modifiche che riguardano chi usa l'IA?
- Dati sensibili per correggere le distorsioni (nuovo art. 4 bis): fornitori e, in casi eccezionali, deployer possono trattare categorie particolari di dati personali solo se strettamente necessario per rilevare e correggere bias, con garanzie rigorose (pseudonimizzazione, accessi controllati, cancellazione, motivazione nel registro dei trattamenti).
- Valutazione d'impatto sui diritti fondamentali (art. 27): il deployer di un sistema ad alto rischio può richiamare le parti già svolte nella DPIA del GDPR; l'Ufficio per l'IA preparerà un questionario semplificato.
- Spazi di sperimentazione: ogni Stato deve avere almeno una sandbox nazionale operativa entro il 2 agosto 2027. In Italia lo Spazio di sperimentazione italiano per l'IA è istituito dal D.Lgs. 179/2026.
- Ufficio europeo per l'IA: rafforza la vigilanza diretta sui sistemi basati su modelli di IA per finalità generali sviluppati dallo stesso fornitore del modello.
Cosa non cambia con il Digital Omnibus?
- i divieti dell'art. 5 già in vigore dal 2 febbraio 2025 (ad esempio il riconoscimento delle emozioni sul luogo di lavoro, salvo motivi medici o di sicurezza);
- gli obblighi di trasparenza dell'art. 50 per chatbot, deepfake e testi di interesse pubblico, dal 2 agosto 2026;
- le sanzioni dell'AI Act, oggi rese operative in Italia dal D.Lgs. 179/2026;
- il GDPR, che si applica sempre quando l'IA tratta dati personali;
- la Legge 132/2025: informativa ai lavoratori (art. 11) e ai clienti dei professionisti (art. 13).
Cosa fare oggi in 5 passi
- Aggiorna le date nei documenti interni, nelle policy e nei piani di adeguamento: se citano l'alto rischio dal 2 agosto 2026, sono superati. Trovi tutte le scadenze nel calendario aggiornato dell'AI Act.
- Non sospendere la formazione: l'art. 4 vale dal 2025 e le autorità vigilano dal 2 agosto 2026. Tieni un registro di sessioni, materiali, partecipanti e date.
- Verifica gli strumenti di generazione di immagini e video usati in azienda prima del 2 dicembre 2026 e vieta per iscritto gli usi proibiti.
- Usa il tempo guadagnato sull'alto rischio per mappare i sistemi che potrebbero rientrarvi (HR, credito, valutazioni) invece di rimandare tutto al 2027.
- Controlla la tua posizione con la checklist gratuita e la pagina sugli obblighi per le aziende.
Vuoi documentare la formazione del personale senza perdere tempo? Con l'abbonamento AI ACT ITALIA hai la formazione del personale con attestato e il manuale operativo con checklist e scadenze: scopri i servizi.