Digital Omnibus AI: cosa cambia davvero

Il 24 luglio 2026, data di pubblicazione nella Gazzetta ufficiale dell’Unione europea, è arrivato a compimento l'iter legislativo del Regolamento (UE) 2026/1744. Il Digital Omnibus on AI entrerà in vigore il 27 luglio e modificherà diversi passaggi dell’AI Act, intervenendo sulle scadenze applicabili ai sistemi ad alto rischio, sull’AI literacy, sull’uso dei dati per correggere i bias, sui contenuti sintetici, sulle sandbox regolamentari e sul coordinamento con le normative di settore.

Comprensibilmente, l’attenzione di molti dei primi commentatori si è concentrata soprattutto sulla novità più immediata: i rinvii. Ma leggere il Digital Omnibus come una semplice proroga rischia di restituirne un’immagine incompleta.

Il provvedimento riflette infatti un passaggio più profondo nella politica europea sull’intelligenza artificiale. L’Unione non rinuncia all’impostazione dell’AI Act, fondata sulla tutela dei diritti fondamentali e su una regolazione proporzionata al rischio, ma cerca di renderla più praticabile, in un momento nel quale la capacità di innovare, attrarre investimenti e competere sui mercati internazionali è diventata una priorità politica non meno rilevante della necessità di governare i rischi.

Perché l’Europa ha cambiato il calendario

Com'è noto, l’AI Act è entrato in vigore nell’agosto 2024, prevedendo un’applicazione progressiva delle proprie disposizioni. Durante la prima fase sono però emerse difficoltà che non dipendevano soltanto dalla capacità degli operatori di organizzarsi: gli standard tecnici necessari per tradurre alcuni obblighi in soluzioni concrete non erano ancora disponibili; i sistemi nazionali di vigilanza e valutazione della conformità non risultavano pienamente operativi; in diversi settori si profilavano sovrapposizioni tra l’AI Act e le discipline già applicabili ai prodotti.

Lo stesso legislatore europeo ha riconosciuto che questi ritardi rischiavano di rendere la compliance più onerosa del previsto e di favorire interpretazioni divergenti tra gli Stati membri.

A queste difficoltà si aggiunge una considerazione di carattere politico ed economico. Negli ultimi anni si è rafforzata la convinzione che l’Europa non possa affrontare la competizione sull’intelligenza artificiale confidando soltanto nella propria capacità regolatoria. Le regole continuano a essere considerate uno strumento per costruire fiducia e garantire un livello elevato di protezione ma vengono valutate anche per i loro effetti sull’innovazione, sulla produttività e sulla capacità degli operatori europei di sviluppare e adottare nuove tecnologie.

Il Digital Omnibus nasce dalla tensione fra queste diverse considerazioni.

Le nuove date per i sistemi ad alto rischio

Il cambiamento più immediato riguarda il calendario applicabile ai sistemi di IA ad alto rischio, con una distinzione tra due categorie.

Per i sistemi individuati dall’articolo 6, paragrafo 2, e dall’Allegato III, gli obblighi si applicheranno dal 2 dicembre 2027. Si tratta, a determinate condizioni, dei sistemi utilizzati in ambiti come la biometria, l’istruzione, la selezione e gestione del personale, l’accesso a servizi essenziali, le infrastrutture critiche e l’amministrazione della giustizia.

Per i sistemi di IA che costituiscono essi stessi un prodotto o operano come componente di sicurezza di un prodotto disciplinato dalla normativa europea di armonizzazione, il termine è invece fissato al 2 agosto 2028. Rientrano in questo ambito, ad esempio, sistemi collegati a dispositivi medici, veicoli, ascensori, macchinari o altre apparecchiature soggette a requisiti europei comuni di sicurezza e conformità. La sola presenza di una funzione di IA non è però sufficiente: il sistema deve svolgere una funzione rilevante per la sicurezza e il prodotto deve essere sottoposto a una valutazione di conformità da parte di un soggetto terzo.

Più flessibilità per l'AI literacy

Tra le modifiche più discusse vi è quella dell’articolo 4, dedicato all’AI literacy.

La formulazione originaria richiedeva a provider e deployer di garantire un livello sufficiente di alfabetizzazione del personale e degli altri soggetti che utilizzavano sistemi di IA per loro conto. Il nuovo testo chiede invece di adottare misure volte a sostenerne lo sviluppo, parametrandole alle competenze e all’esperienza delle persone coinvolte, al contesto d’uso e ai soggetti sui quali il sistema può produrre effetti. Viene inoltre esclusa la necessità di assicurare a ciascun individuo il raggiungimento di uno specifico livello di competenza.

Il passaggio da un obbligo di risultato a un obbligo formulato in termini più aperti risponde all’esigenza di rendere la disciplina proporzionata ai diversi contesti applicativi. Al tempo stesso, riflette una delle tensioni centrali del Digital Omnibus: fino a che punto la semplificazione possa spingersi senza indebolire uno dei presupposti essenziali per un uso consapevole dei sistemi di IA.

Il tema non riguarda l’adozione di percorsi formativi uniformi, ma la qualità del raccordo tra competenze, rischio e funzione concretamente svolta dal sistema. Un assistente generativo utilizzato per attività interne, un sistema di selezione del personale e uno strumento di supporto a decisioni cliniche o giudiziarie pongono esigenze difficilmente assimilabili.

Lo studio professionale rappresenta soltanto uno dei possibili esempi. In quel contesto, l’AI literacy investe la capacità di valutare l’affidabilità degli output, la gestione delle informazioni riservate e il rapporto tra supporto algoritmico e responsabilità professionale. Questioni analoghe si pongono, con configurazioni diverse, per imprese, amministrazioni pubbliche, strutture sanitarie e altre organizzazioni.

La modifica alleggerisce dunque la formulazione dell’obbligo, ma non risolve il problema sostanziale: la competenza resta uno degli elementi attraverso cui si misura l’adeguatezza dell’uso dell’IA.

Trasparenza e contenuti sintetici

Il Digital Omnibus interviene anche sull’articolo 50 dell’AI Act, relativo ai contenuti generati o manipolati artificialmente.

Resta fermo l’obbligo, per i provider di sistemi generativi, di adottare soluzioni che rendano rilevabile e identificabile l’origine artificiale di contenuti audio, video, immagini e testi, nei limiti tecnicamente possibili. Per i sistemi immessi sul mercato prima del 2 agosto 2026, il termine di adeguamento è fissato al 2 dicembre 2026: una disposizione transitoria, dunque, e non la data generale di avvio degli obblighi di trasparenza.

La disciplina non esaurisce tuttavia i suoi effetti sul versante del provider. Anche per i deployer, soprattutto quando i contenuti sono destinati al pubblico o incidono su relazioni professionali e istituzionali, si pone un tema di tracciabilità dell’origine, verifica del contenuto e corretta rappresentazione del ruolo svolto dall’IA nel processo di produzione.

Il regolamento amplia inoltre l’elenco delle pratiche vietate, includendo i sistemi destinati alla produzione o manipolazione non consensuale di contenuti sessualmente espliciti o intimi riferibili a persone identificabili, nonché quelli riconducibili allo sfruttamento sessuale dei minori.

L’intervento segnala un ulteriore spostamento dell’attenzione: non soltanto verso la finalità dichiarata del sistema, ma anche verso gli usi illeciti ragionevolmente prevedibili e le misure adottate per prevenirli.

Bias, sandbox e coordinamento tra le regole

Il nuovo articolo 4-bis disciplina il trattamento delle categorie particolari di dati personali quando sia strettamente necessario per individuare e correggere distorsioni nei sistemi di IA.

Non si tratta di un’autorizzazione generalizzata all’uso dei dati sensibili. Il trattamento resta eccezionale e deve essere accompagnato da garanzie rigorose: pseudonimizzazione, limitazione degli accessi, divieto di comunicazione a terzi, misure di sicurezza, cancellazione tempestiva e documentazione delle ragioni per le quali non sia possibile conseguire lo stesso risultato attraverso dati anonimi, sintetici o meno invasivi.

Anche in questo caso emerge la necessità di superare una lettura esclusivamente tecnica dell’IA. Correggere un bias richiede il confronto tra competenze informatiche, giuridiche, organizzative e di protezione dei dati.

Il Digital Omnibus rinvia poi al 2 agosto 2027 il termine entro il quale ogni Stato membro dovrà rendere operativa almeno una sandbox regolamentare. Questi ambienti consentiranno di sviluppare e testare sistemi innovativi in condizioni controllate, con il coinvolgimento delle autorità competenti e, quando vengono trattati dati personali, delle autorità di protezione dei dati.

L’altra linea di intervento riguarda il coordinamento con la normativa settoriale. Quando una disciplina europea di prodotto garantisce già un livello equivalente o superiore di tutela, sarà possibile limitare l’applicazione di obblighi sovrapposti dell’AI Act.

L’obiettivo è evitare che lo stesso rischio venga affrontato più volte attraverso procedure diverse, senza che la duplicazione produca una maggiore protezione effettiva.

Il tempo guadagnato va utilizzato

Il Digital Omnibus concede più tempo, ma rende meno giustificabile l’inerzia.

Imprese, professionisti, pubbliche amministrazioni ed enti dovrebbero anzitutto comprendere quali sistemi di IA siano già entrati nei propri processi. Non sempre si tratta di applicazioni presentate chiaramente come strumenti di intelligenza artificiale: funzionalità algoritmiche possono essere incorporate in software gestionali, piattaforme cloud, sistemi per la gestione del personale, strumenti di videosorveglianza o programmi di analisi documentale.

Una volta ricostruito il perimetro, diventa necessario comprendere il ruolo svolto rispetto a ogni sistema, le finalità dell’utilizzo, i dati trattati e il livello di controllo umano richiesto.

Per le organizzazioni più strutturate ciò significa distribuire responsabilità tra direzione, funzione legale, IT, cybersecurity, privacy, risorse umane e procurement. Per uno studio professionale può essere sufficiente un modello più snello, purché non sia soltanto informale: strumenti autorizzati, categorie di dati che non possono essere inserite, modalità di verifica degli output e responsabilità sul risultato finale dovrebbero essere definiti prima che sorga un problema.

La governance dell’IA non coincide con la produzione di documenti. Consiste nel rendere consapevoli e verificabili le scelte che accompagnano l’adozione di una tecnologia.