Omnibus IA in Gazzetta: l'Europa rinegozia le scadenze dell'AI Act

Pubblicato sulla Gazzetta Ufficiale dell'Unione europea il 24 luglio, il Regolamento (UE) 2026/1744 — noto come Omnibus digitale sull'IA — entra in vigore il prossimo 27 luglio, modificando significativamente la tempistica di applicazione dell'AI Act. Firmato a Strasburgo da Roberta Metsola e Tadgh Byrne, l'atto rettifica il calendario originale che aveva fissato al 2 agosto 2026 l'avvio degli obblighi più gravosi per i sistemi ad alto rischio. La procedura legislativa, conclusasi con il voto favorevole del Parlamento europeo a giugno e il successivo via libera del Consiglio, sposta al 2 dicembre 2027 la conformità per i sistemi dell'allegato III e al 2 agosto 2028 quelli dell'allegato I, alterando la prospettiva temporale delle imprese del settore.

Se le scadenze per l'alto rischio allentano la presa, il regolamento impone invece adempimenti stringenti per i contenuti sintetici già in circolazione. I fornitori di sistemi che generano contenuti sintetici audio, immagine, video o testuali, immessi sul mercato prima del 2 agosto 2026, dovranno conformarsi all'obbligo di marcatura dell'articolo 50, paragrafo 2, entro il 2 dicembre 2026. Parallelamente, l'articolo 5 introduce nuovi divieti mirati, specificamente rivolti alla generazione o manipolazione di materiale intimo non consensuale e di abuso su minori; il perimetro di questo divieto è circoscritto alle rappresentazioni realistiche delle parti intime o di atti sessualmente espliciti, e restano fuori i casi in cui le parti intime non sono mostrate o lo sono con consenso liberamente prestato. Tali divieti si applicano dal 2 dicembre 2026.

Sul fronte delle sanzioni e della governance, il testo introduce correttivi proporzionali: gli Stati membri devono tenere conto degli interessi di PMI, start-up e piccole imprese a media capitalizzazione; per queste ultime la sanzione è pari al minore fra la percentuale del fatturato e l'importo fisso previsti dai paragrafi 4 e 5. Per i sistemi ad alto rischio destinati alle autorità pubbliche, fornitori e deployer hanno tempo fino al 2 agosto 2030. In Italia, dove la vigilanza è attribuita all'Agenzia per la cybersicurezza nazionale e le procedure di notifica all'AgID, restano da definire i dettagli operativi tramite i decreti attuativi della legge 132/2025.

L'operazione di semplificazione promossa dalla Commissione appare quindi come una ricalibrazione degli equilibri tra innovazione e regolamentazione: si concede tempo alle infrastrutture più complesse, ma si stringe il cerchio sulle anomalie dei contenuti generati. Restano invece ferme al 2 agosto 2026 le regole di trasparenza dell'articolo 50 per i sistemi immessi sul mercato da quella data, e resta invariato l'impianto sanzionatorio. La vera sfida ora non è più la data di entrata in vigore, ma la capacità degli attori coinvolti di tradurre queste nuove scadenze in compliance tecnica, un compito reso meno immediato dalla necessità di attendere ulteriori orientamenti della Commissione previsti per il 2027.

— Olya