Digital Omnibus: cosa è stato davvero rinviato dell'AI Act (e cosa no)
Il Digital Omnibus ha spostato in avanti alcune scadenze dell'AI Act. Ma «rinviato» non vuol dire «sospeso»: la maggior parte degli obblighi che riguardano una PMI è già in vigore oggi. Ecco cosa slitta davvero, cosa resta, e perché la differenza ti conviene conoscerla.
«Tanto l'AI Act è stato rinviato.» È la frase che gira nelle riunioni da qualche mese, di solito detta con un certo sollievo. E in effetti qualcosa è cambiato: il cosiddetto Digital Omnibus ha spostato in avanti alcune scadenze.
Il problema è che tra il titolo di giornale — «AI Act rinviato» — e quello che è successo davvero c'è una differenza enorme. E chi si ferma al titolo rischia di rimandare cose che, invece, doveva già fare ieri. Mettiamo ordine.
TL;DR
- Il Digital Omnibus (mandato negoziale del Parlamento europeo, 26 marzo 2026) rinvia solo gli obblighi tecnici per i sistemi di IA ad alto rischio: al 2 dicembre 2027 e al 2 agosto 2028.
- Restano pienamente in vigore: la formazione del personale (AI literacy), i divieti sulle pratiche inaccettabili e gli obblighi per i modelli di IA generali (GPAI), con sanzioni fino a 35 milioni di euro o il 7% del fatturato.
- L'obbligo di trasparenza (art. 50) resta confermato al 2 agosto 2026: non è tra le scadenze rinviate.
- È ancora una proposta: fino all'adozione formale, la scadenza di agosto 2026 è tecnicamente valida. Prepararsi come se fosse la data reale è la scelta prudente.
«Rinviato» non vuol dire «sospeso»
Partiamo dall'equivoco di fondo. L'AI Act non è un unico interruttore che si accende o si spegne. È un insieme di obblighi diversi, con scadenze diverse, che riguardano soggetti diversi. Il Digital Omnibus non ha toccato l'intero impianto: ha spostato una parte precisa, quella più tecnica e complessa, lasciando tutto il resto dov'era.
Tradotto: la parte dell'AI Act che riguarda il 90% delle PMI — quella su formazione, uso consapevole e trasparenza — non è cambiata. È rinviata la parte che riguarda chi costruisce o integra sistemi ad alto rischio. Sono due cose molto diverse, ed è facile confonderle se ci si ferma alla parola «rinvio».
Cosa slitta davvero: i sistemi ad alto rischio
Il rinvio riguarda gli obblighi per i sistemi di IA ad alto rischio — quelli elencati nell'Allegato III dell'AI Act: IA usata nella selezione del personale, nello scoring creditizio, nella sanità, nell'istruzione, nell'accesso a servizi essenziali, nella giustizia, nella gestione delle frontiere.
Per questi sistemi le nuove scadenze sono due:
- 2 dicembre 2027 per i sistemi ad alto rischio dell'Allegato III;
- 2 agosto 2028 per l'IA integrata in prodotti già regolamentati da normative settoriali (dispositivi medici, macchinari, veicoli, giocattoli).
Sono le scadenze che nel dibattito pubblico vengono lette come «l'AI Act è slittato». Ma «slittato» qui vuol dire una cosa sola: se sviluppi o integri sistemi ad alto rischio, hai più tempo per la documentazione tecnica, la valutazione dei rischi e la marcatura di conformità. Non vuol dire che puoi ignorarli — vuol dire che hai qualche mese in più. E, come vedremo, ne servono parecchi.
Cosa è già in vigore (e non si tocca)
Qui sta il punto che conta per la maggior parte delle aziende. Questi obblighi sono attivi oggi, e il Digital Omnibus non li ha rinviati di un giorno.
AI literacy: la formazione (art. 4)
Dal 2 febbraio 2025, chi fornisce o utilizza sistemi di IA deve promuovere la formazione del personale sull'uso consapevole e responsabile dell'intelligenza artificiale. Il Digital Omnibus ha ammorbidito il verbo — da «garantire» a «promuovere» — ma l'obbligo resta in capo all'azienda.
In pratica: se i tuoi collaboratori usano ChatGPT, Copilot o Claude nel lavoro quotidiano, la formazione di base su rischi, ruoli e obblighi è già richiesta dalla normativa. Non è qualcosa da programmare per il 2027: è qualcosa che, se non hai fatto, ti mette già fuori posto.
I divieti sulle pratiche inaccettabili
Sempre dal 2 febbraio 2025 sono vietate alcune pratiche: il social scoring, la manipolazione subliminale, la categorizzazione biometrica di dati sensibili, la polizia predittiva sugli individui. Sono divieti assoluti, già efficaci. Per un'azienda il messaggio è semplice: chi sviluppa o sceglie strumenti di IA deve conoscerli, per non integrarli nemmeno per errore in un prodotto o in un processo.
I modelli generali (GPAI) e le sanzioni
Dal 2 agosto 2025 sono in vigore gli obblighi per i modelli di IA a uso generale — i GPAI, come GPT, Gemini o Claude: documentazione tecnica, trasparenza sul copyright, valutazione dei rischi sistemici per i modelli più avanzati. Accanto agli obblighi c'è un regime sanzionatorio che arriva fino a 35 milioni di euro o al 7% del fatturato.
Se sviluppi questi modelli, l'obbligo è diretto. Ma anche se usi semplicemente le API di un fornitore terzo, hai una responsabilità: sapere cosa stai integrando. Il primo passo concreto è banale e quasi nessuno lo fa: mappare quali modelli GPAI usi, interni ed esterni.
Cosa è solo confermato, non rinviato: la trasparenza
C'è una scadenza che nel rumore sui rinvii viene spesso data per slittata, e invece non lo è: l'obbligo di trasparenza dell'articolo 50, confermato al 2 agosto 2026.
Significa che, quando una persona interagisce con un sistema di IA — un chatbot, un assistente virtuale, una voce sintetica, un contenuto generato — deve poterlo sapere. Se la tua azienda usa un chatbot sul sito o produce contenuti con l'IA, questa è una scadenza da pianificare adesso, non da rimandare.
Le novità del Digital Omnibus (oltre ai rinvii)
Il Digital Omnibus non ha solo spostato date. Ha anche introdotto un paio di novità sostanziali che vale la pena conoscere:
- Un nuovo divieto esplicito per i sistemi di IA che creano o manipolano immagini sessualmente esplicite di persone identificabili senza il loro consenso (le cosiddette app di «nudificazione»).
- La possibilità di trattare dati personali sensibili per correggere i bias nei sistemi di IA, ma solo quando strettamente necessario e con garanzie adeguate.
- La conferma delle misure di semplificazione per le PMI (meno di 250 dipendenti), estese anche alle imprese di medie dimensioni, per evitare duplicazioni con i regolamenti settoriali già esistenti.
Un punto onesto: è ancora una proposta
Qui serve chiarezza, perché è il dettaglio che cambia la strategia. Il Digital Omnibus rappresenta la posizione negoziale del Parlamento europeo, approvata il 26 marzo 2026. Il trilogo è in corso, ma non è ancora legge definitiva.
Cosa vuol dire in pratica? Che fino all'adozione formale, la scadenza del 2 agosto 2026 resta tecnicamente in vigore. La strategia più prudente non è scommettere sul rinvio, ma prepararsi come se agosto 2026 fosse la data reale — pianificando, allo stesso tempo, sapendo che dicembre 2027 sarà con ogni probabilità la data effettiva per i sistemi ad alto rischio. Ci si copre da entrambi i lati, senza scommettere.
Cosa cambia per te, in pratica
Facciamo la sintesi utile, quella da tenere a mente:
- Se usi strumenti di IA a basso rischio (ChatGPT, Copilot, Claude): il rinvio non ti riguarda quasi per niente. Formazione e trasparenza sono già attive. Devi assicurarti che le persone siano formate e consapevoli.
- Se produci contenuti con l'IA (marketing, comunicazione): la trasparenza e la marcatura dei contenuti restano scadenze del 2026. Meglio mappare adesso i flussi di produzione.
- Se sviluppi o integri sistemi ad alto rischio: le scadenze sono più lontane (2027/2028), ma la preparazione — mappatura, valutazione dei rischi, documentazione — richiede mesi. Iniziare tardi non ti fa risparmiare: ti espone.
Il rinvio dell'AI Act non è un motivo per fermarsi. È, semmai, un'occasione per arrivare pronti mentre gli altri corrono. Poche scadenze chiare, lette bene, valgono più di mille titoli di giornale.
Vuoi capire cosa fare adesso, senza aspettare?
Il Corso AI Act copre in poche ore l'obbligo di formazione già in vigore dal 2 febbraio 2025 — con attestato nominativo per ogni dipendente. Se vuoi anche una mappa completa della tua posizione (documenti, ruoli, sistemi in uso), l'Assessment Compliance AI Act ti mette in regola in 3 mesi.
Scopri il corso · Scopri l'assessment · Fissa una call
Fonti
- Regolamento UE 2024/1689 (AI Act)
- AI Act — Articolo 4 (AI literacy)
- AI Act — Articolo 50 (trasparenza)
- Digital Omnibus (COM 2025/836), mandato negoziale del Parlamento europeo, 26 marzo 2026 — digital-strategy.ec.europa.eu
Nota: contenuto a scopo informativo, non costituisce consulenza legale. Le scadenze e gli obblighi vanno verificati con un legale o un DPO sul caso concreto.