In sintesi
- Il Digital Omnibus (Reg. UE 2026/1744) rinvia gli obblighi per l'alto rischio al 2 dicembre 2027 e al 2 agosto 2028, ma non sospende l'AI Act.
- Gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026.
- In Italia la Legge 132/2025 impone già l'informativa ai lavoratori quando si usano sistemi di IA.
La prima versione di questo articolo risale all'ottobre 2024, poco dopo l'entrata in vigore del Regolamento (UE) 2024/1689. Da allora il quadro è cambiato due volte: in Italia con la Legge 132/2025, in Europa con il Digital Omnibus sull'IA. Molti titoli hanno parlato di «rinvio dell'AI Act». È una semplificazione che rischia di costare cara.
Il Digital Omnibus in sintesi
Il Regolamento (UE) 2026/1744 è stato pubblicato in Gazzetta Ufficiale dell'Unione il 24 luglio 2026 ed è in vigore dal 27 luglio 2026. Le modifiche principali:
- Sistemi ad alto rischio dell'Allegato III (selezione e gestione del personale, istruzione, merito creditizio, infrastrutture critiche, servizi essenziali): obblighi rinviati dal 2 agosto 2026 al 2 dicembre 2027.
- Sistemi ad alto rischio integrati in prodotti regolamentati (Allegato I: dispositivi medici, macchine, giocattoli): rinvio al 2 agosto 2028.
- Trasparenza (art. 50): nessun rinvio. Gli obblighi si applicano dal 2 agosto 2026, con un periodo di tolleranza fino al 2 dicembre 2026 sul watermarking per i sistemi già immessi sul mercato.
- Alfabetizzazione IA (art. 4): l'obbligo di «garantire» un livello sufficiente di competenza diventa l'obbligo di favorire lo sviluppo delle competenze del personale.
- Nuovi divieti: sistemi che generano materiale pedopornografico o immagini intime non consensuali.
- Semplificazioni per PMI e small mid-cap: documentazione semplificata e sanzioni proporzionate.
Rinviato non significa cancellato. Diciotto mesi sono il tempo giusto per prepararsi bene, non per smettere di pensarci.
Cosa si applica già oggi
- Dal 2 febbraio 2025: divieto delle pratiche a rischio inaccettabile (manipolazione, social scoring, alcuni usi biometrici, riconoscimento delle emozioni sul luogo di lavoro) e obbligo di alfabetizzazione.
- Dal 2 agosto 2025: obblighi per i fornitori di modelli di IA per finalità generali.
- Dal 2 agosto 2026: trasparenza. Chi usa un chatbot con i clienti deve dichiararlo; chi pubblica contenuti generati o manipolati (deepfake) deve renderli riconoscibili.
La legge italiana: Legge 132/2025
In vigore dal 10 ottobre 2025, la Legge 132/2025 affianca l'AI Act con disposizioni nazionali. Per le imprese la più immediata è l'articolo 11: il datore di lavoro che utilizza sistemi di IA deve informare preventivamente i lavoratori su finalità e ambiti di utilizzo, logica di funzionamento, categorie di dati trattati, metriche di valutazione, livello di accuratezza e rischi. Se il sistema incide su assunzioni, promozioni o cessazioni, il livello di attenzione deve essere massimo.
Il punto che quasi tutti trascurano: sei un deployer
La maggior parte delle imprese non sviluppa sistemi di IA: li usa. Nel linguaggio dell'AI Act è un deployer. Usare uno strumento di terze parti non trasferisce la responsabilità al fornitore: se un software di selezione del personale con IA integrata rientra nell'alto rischio, chi lo utilizza ha obblighi propri di sorveglianza umana, conservazione dei log, informazione e uso conforme.
Il piano che propongo, in sei passi
- Inventario: quali sistemi di IA sono in uso, compresi quelli integrati in software esistenti e quelli usati dai dipendenti di propria iniziativa.
- Classificazione: per ciascun sistema, livello di rischio secondo l'AI Act e ruolo dell'azienda (fornitore o deployer).
- Policy d'uso: quali strumenti sono ammessi, per quali attività, con quali dati. Il rischio più frequente non è l'alto rischio: è la fuga di informazioni riservate in strumenti pubblici.
- Trasparenza: adeguamento immediato di chatbot, contenuti generati e comunicazioni verso clienti e utenti.
- Informativa ai lavoratori ai sensi della Legge 132/2025.
- Roadmap per l'alto rischio verso dicembre 2027: valutazione dei fornitori, sorveglianza umana, registri, valutazione d'impatto dove richiesta.
Governance e sicurezza vanno insieme
Un sistema di IA è anche un sistema informatico, con dati, accessi, integrazioni e superfici di attacco nuove: prompt injection, esfiltrazione di dati, avvelenamento delle fonti. Per questo imposto l'AI governance insieme alla sicurezza delle informazioni e, per gli usi critici, con l'architettura di verifica di Team Evoluto AI 6.0.
Trovi il percorso completo nella pagina AI Governance e AI Act.
Domande frequenti
L'AI Act è stato rinviato?
Solo in parte. Il Digital Omnibus ha rinviato gli obblighi per i sistemi ad alto rischio al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I). Divieti, alfabetizzazione, obblighi per i modelli generali e trasparenza restano in applicazione.
Cosa prevede l'articolo 50 dell'AI Act?
Obblighi di trasparenza: informare le persone quando interagiscono con un sistema di IA e rendere riconoscibili i contenuti generati o manipolati artificialmente, come i deepfake. Si applica dal 2 agosto 2026.