Regolamento Omnibus digitale sull’IA: le modifiche all’AI Act
Il 24 luglio 2026 è stato pubblicato nella Gazzetta ufficiale dell'Unione europea il Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio dell'8 luglio 2026, che modifica i regolamenti (UE) 2024/1689 (il cosiddetto "AI Act", per quanto riguarda la semplificazione dell'attuazione di regole armonizzate sull'intelligenza artificiale), (UE) 2018/1139 (norme sull'aviazione civile) e (UE) 2023/1230 (regolamento macchine).
Il provvedimento, noto come "Omnibus digitale sull'IA", è entrato in vigore il terzo giorno successivo alla pubblicazione e introduce una serie di semplificazioni mirate all'attuazione delle regole armonizzate sull'intelligenza artificiale, senza ridurre il livello di tutela della salute, della sicurezza e dei diritti fondamentali già previsto dalla normativa originaria.
Di seguito i chiarimenti principali, utili sia ai cittadini sia alle imprese e ai professionisti che devono orientarsi tra i nuovi obblighi.
Le nuove scadenze per i sistemi di IA ad alto rischio
La modifica più rilevante dal punto di vista operativo riguarda il rinvio dell'entrata in applicazione delle disposizioni del Capo III, sezioni 1, 2 e 3, dell'AI Act, quelle relative ai sistemi di IA classificati come "ad alto rischio".
Il legislatore ha riconosciuto che i ritardi nella predisposizione di norme tecniche, quadri di governance nazionali e procedure di valutazione della conformità avrebbero reso insostenibile il rispetto della data originaria del 2 agosto 2026. Le nuove scadenze sono differenziate in base alla categoria di rischio:
| Categoria di sistema di IA | Nuova data di applicazione |
|---|---|
| Sistemi ad alto rischio ex art. 6, par. 2 e allegato III (es. biometria, gestione infrastrutture, istruzione, occupazione, accesso a servizi essenziali) | 2 dicembre 2027 |
| Sistemi ad alto rischio ex art. 6, par. 1 e allegato I (componenti di sicurezza in prodotti già regolamentati, es. macchine, dispositivi medici, aviazione) | 2 agosto 2028 |
| Divieti su deepfake intimi non consensuali e materiale di abuso sessuale su minori generato da IA (nuove lettere b bis e b ter dell'art. 5) | 2 dicembre 2026 |
| Articoli 102-110 (modifiche ad altri regolamenti di prodotto) | 27 luglio 2026 |
Restano invece invariate le disposizioni già applicabili dal 2 febbraio 2025 (Capi I e II) e quelle sui modelli di IA per finalità generali, in vigore dal 2 agosto 2025.
Semplificazioni per PMI, piccole imprese a media capitalizzazione e obblighi di alfabetizzazione
Il regolamento introduce, per la prima volta nel testo dell'AI Act, una nuova categoria intermedia tra le PMI e le grandi imprese, la "piccola impresa a media capitalizzazione". Si tratta di aziende che hanno superato i limiti dimensionali delle PMI, ma che condividono con queste ultime esigenze simili in termini di risorse e capacità organizzativa.
Il regolamento estende quindi anche a loro alcune agevolazioni già previste per le imprese più piccole, tra cui:
- una procedura semplificata per adempiere agli obblighi sul sistema di gestione della qualità;
- la possibilità di presentare la documentazione tecnica in un formato semplificato;
- l'accesso prioritario agli spazi di sperimentazione normativa (i cosiddetti "sandbox"), ambienti controllati in cui è possibile testare nuove soluzioni di intelligenza artificiale prima di immetterle sul mercato.
Una seconda semplificazione riguarda l'obbligo di alfabetizzazione in materia di IA (art. 4 del regolamento), che impone a chi fornisce o utilizza sistemi di intelligenza artificiale di garantire che il proprio personale abbia le competenze adeguate per farlo in modo consapevole. Con la nuova formulazione, questo obbligo resta in vigore, ma viene reso meno rigido: le imprese devono continuare ad adottare misure concrete per formare il personale, senza però dover dimostrare di aver raggiunto un livello specifico e predefinito di competenza.
Si tratta di un correttivo pensato soprattutto per le realtà più piccole, per le quali l'obbligo, così come formulato in origine, comportava un onere organizzativo difficile da sostenere (per approfondire, si veda il nostro articolo su formazione obbligatoria e AI Act per i professionisti).
Infine, viene semplificata anche la registrazione dei sistemi di intelligenza artificiale a rischio limitato nella banca dati europea (art. 6, par. 3): le informazioni da inserire vengono ridotte e razionalizzate, così da alleggerire l'adempimento senza eliminarlo. Resta comunque fermo l'obbligo, per chi fornisce questi sistemi, di documentare la valutazione del rischio prima di immettere il prodotto sul mercato.
I nuovi divieti su deepfake e materiale di abuso su minori
Tra le modifiche di maggiore impatto sociale figura l'estensione dell'elenco delle pratiche vietate dall'articolo 5. Sono ora espressamente vietati l'immissione sul mercato, la messa in servizio o l'uso di sistemi di IA destinati a generare o manipolare immagini, video o audio realistici a contenuto intimo di persone identificabili senza il loro consenso (le cosiddette applicazioni di "nudificazione"), nonché di sistemi che generano materiale di abuso sessuale su minori, anche parzialmente sintetico.
Il divieto colpisce i fornitori quando la generazione di tale materiale è la finalità prevista del sistema, oppure quando essa costituisce un risultato ragionevolmente prevedibile in assenza di adeguate misure tecniche di prevenzione; per i deployer, il divieto scatta solo in caso di utilizzo effettivo del sistema a tali fini.
Restano escluse dal divieto le rappresentazioni non realistiche, le opere artistiche che non ritraggono persone identificabili e le applicazioni sanitarie o di prova virtuale basate sul consenso.
Rafforzamento della governance: il ruolo dell’Ufficio europeo per l’IA
L'AI Act prevede un organismo di controllo a livello europeo, l'Ufficio per l'IA (AI Office), incardinato presso la Commissione europea. Il Regolamento (UE) 2026/1744 ne rafforza i poteri e chiarisce meglio i confini tra ciò che spetta a questo Ufficio e ciò che resta di competenza delle autorità nazionali (in Italia, ad esempio, l'Agenzia per l'Italia Digitale e il Garante per la protezione dei dati personali).
La novità principale riguarda l'individuazione di due categorie di soggetti su cui l'Ufficio per l'IA esercita ora una competenza esclusiva, senza il coinvolgimento delle autorità di vigilanza degli Stati membri:
- le imprese che sviluppano sia il modello di intelligenza artificiale di base (ad esempio un modello linguistico di ampia portata) sia il sistema o servizio che lo utilizza, quando entrambi provengono dalla stessa azienda o da aziende appartenenti allo stesso gruppo;
- le grandi piattaforme online e i grandi motori di ricerca già sottoposti alla vigilanza del regolamento sui servizi digitali (Digital Services Act), quando integrano al loro interno sistemi di intelligenza artificiale.
In pratica, quando lo stesso soggetto sviluppa sia il modello di IA sia il prodotto che lo incorpora, il controllo passa direttamente alla Commissione europea, senza intermediazione degli Stati membri.
Il regolamento introduce inoltre quattro nuovi articoli (75-bis, 75-ter, 75-quater e 75-quinquies) che attribuiscono all'Ufficio per l'IA poteri operativi paragonabili a quelli di un'autorità di vigilanza del mercato: la possibilità di richiedere informazioni e documentazione alle imprese, di effettuare ispezioni anche non preannunciate, di accogliere impegni di adeguamento spontaneo proposti dalle aziende (chiudendo così il procedimento senza sanzione), oppure, in caso di mancata conformità, di irrogare sanzioni pecuniarie e penalità di mora giornaliere fino alla regolarizzazione.
Alle imprese sono comunque garantiti pieno diritto di difesa, accesso agli atti del procedimento e la possibilità di ricorrere alla Corte di giustizia dell'Unione europea contro le decisioni sanzionatorie.
Il provvedimento consente infine all'Ufficio per l'IA di istituire un proprio spazio di sperimentazione normativa a livello di Unione, in cui le imprese possono testare soluzioni di IA innovative in un contesto controllato prima dell'immissione sul mercato, ed estende la possibilità di condurre prove in condizioni reali anche ai sistemi ad alto rischio disciplinati da normative di settore già esistenti, tra cui, da questo regolamento, anche le macchine industriali (ora ricondotte prevalentemente al Regolamento (UE) 2023/1230, per evitare sovrapposizioni normative con l'AI Act).
Per le imprese e i professionisti che sviluppano o utilizzano sistemi di intelligenza artificiale, è opportuno verificare tempestivamente quale autorità sia competente sul proprio caso specifico — se l'Ufficio per l'IA europeo o l'autorità nazionale di riferimento — e monitorare la pubblicazione, da parte della Commissione europea, degli orientamenti attuativi attesi entro il 1° agosto e il 2 settembre 2027, che chiariranno numerosi aspetti operativi ancora da definire.
Allegati: