Il 24 luglio 2026, mentre l'Europa chiudeva per ferie, è uscito in Gazzetta Ufficiale europea il Regolamento (UE) 2026/1744. In vigore dal 27 luglio. Lo chiamano Digital Omnibus sull'IA, ed è la prima modifica sostanziale all'AI Act da quando è stato adottato.
Non ribalta l'impianto. Sposta le date, alleggerisce alcuni adempimenti, aggiunge divieti e rafforza il centro. Vediamolo per pezzi, perché ogni pezzo tocca aziende diverse.
Le date spostate
La modifica più pesante riguarda l'alto rischio. I sistemi dell'Allegato III — selezione del personale, merito creditizio, istruzione, servizi essenziali, alcuni usi biometrici — passano dal 2 agosto 2026 al 2 dicembre 2027. Quelli dell'Allegato I, cioè l'IA incorporata in prodotti già regolati (macchine, dispositivi medici, ascensori, aviazione), passano al 2 agosto 2028.
Slittano con loro valutazione di conformità, sistema di gestione della qualità, sorveglianza umana strutturata e gestione degli incidenti. Le sandbox regolatorie devono essere operative entro il 2 dicembre 2027.
Sedici mesi e due anni. Non è un condono: è tempo per costruire quello che serve.
I nuovi divieti
Nella parte alta della piramide entrano nuove fattispecie: deepfake a contenuto sessuale non consensuale e materiale di abuso su minori generato con IA. Applicabili dal 2 dicembre 2026.
È la risposta europea a un fenomeno che è esploso più in fretta di quanto la norma originale prevedesse. In Italia una parte della materia era già coperta dal codice penale con l'articolo 612-quater, introdotto dalla legge 132/2025.
La marcatura dei contenuti sintetici
Per i sistemi immessi sul mercato prima del 2 agosto 2026, l'obbligo di marcatura leggibile da macchina dei contenuti generati va soddisfatto entro il 2 dicembre 2026. È il periodo transitorio per l'esistente: i sistemi nuovi partono già conformi.
L'alfabetizzazione riscritta
L'articolo 4 cambia formulazione e si applica nella nuova versione dal 27 luglio 2026: misure effettive e proporzionate, calibrate sulle mansioni e sui contesti di utilizzo. Non è un ammorbidimento, è una messa a fuoco: meno principio generico, più adeguatezza concreta al ruolo di chi usa i sistemi.
La base giuridica per i bias
Arriva un articolo 4-bis, applicabile dal 2 agosto 2026: una base normativa per il trattamento di categorie particolari di dati personali quando serve a rilevare e correggere i bias dei sistemi.
Risolve un cortocircuito reale. Per dimostrare che un modello non discrimina per origine etnica o genere servono proprio quei dati che il GDPR protegge in modo rafforzato. Prima si girava attorno al problema con acrobazie giuridiche; adesso c'è un appiglio, con garanzie e limiti.
Semplificazioni e registrazioni
Il regolamento estende le misure di proporzionalità e sostegno alle PMI e alle piccole imprese a media capitalizzazione, e rafforza il coordinamento con la normativa settoriale — macchine, aviazione — dove la conformità rischiava di duplicarsi.
In direzione opposta, viene ripristinata la registrazione nella banca dati UE anche per i fornitori che ritengono che il proprio sistema non sia ad alto rischio. Traduzione: se ti autoclassifichi fuori dall'Allegato III, quella valutazione va dichiarata e motivata, non tenuta nel cassetto.
Più poteri al centro
L'Ufficio IA della Commissione esce rafforzato, in particolare sulla vigilanza dei modelli per finalità generali. Il messaggio politico è chiaro: sui grandi modelli decide Bruxelles, sulle applicazioni decidono gli Stati membri.
Cosa devi fare adesso
Se stavi correndo verso il 2 agosto 2026 con un progetto ad alto rischio, hai respirato: usa i sedici mesi per fare le cose per bene, non per rimandare. Se produci contenuti sintetici, la tua scadenza è il 2 dicembre 2026. Se hai personale che usa l'IA, l'articolo 4 nella nuova versione ti riguarda da adesso. Se ti sei autoclassificato fuori dall'alto rischio, prepara la motivazione scritta.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
L'Europa ha spostato le date, non le pretese. Chi ha letto solo il titolo "rinviato" si ritroverà a rincorrere nel 2027.
Domande frequenti
Il Digital Omnibus indebolisce l'AI Act?
Alleggerisce e dilaziona alcuni adempimenti, soprattutto per le imprese minori, ma non tocca l'impianto: la piramide del rischio, i divieti e gli obblighi di trasparenza restano, e i divieti anzi aumentano.
Devo rifare la valutazione già fatta sui miei sistemi?
Non da zero. Vanno aggiornate le date di riferimento, verificata la posizione sulla registrazione in banca dati e allineata la documentazione sull'alfabetizzazione alla nuova formulazione dell'articolo 4.
Le sanzioni sono cambiate?
I massimali restano quelli dell'AI Act: fino a 35 milioni o 7% per le pratiche vietate, 15 milioni o 3% per le altre violazioni, 7,5 milioni o 1% per le informazioni inesatte, con l'importo inferiore per PMI e start-up.