Il Digital Omnibus sull’intelligenza artificiale è diventato definitivamente operativo con il Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio, adottato l’8 luglio 2026, pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio ed entrato in vigore il 27 luglio 2026. Il provvedimento modifica direttamente l’AI Act, Regolamento (UE) 2024/1689, e interviene anche sul Regolamento (UE) 2018/1139 relativo all’aviazione civile e sul Regolamento (UE) 2023/1230 relativo alle macchine. L’obiettivo è correggere alcune difficoltà emerse durante la prima fase di applicazione dell’AI Act, soprattutto per quanto riguarda sistemi ad alto rischio, standard tecnici, valutazioni di conformità e adempimenti per le imprese, senza modificare l’impostazione generale della normativa europea basata sulla classificazione dei sistemi in funzione del rischio.
Uno degli interventi più rilevanti riguarda il calendario applicativo dei sistemi di intelligenza artificiale ad alto rischio. Il precedente meccanismo collegava l’applicazione di numerosi obblighi a date prestabilite, ma il ritardo nella disponibilità di norme armonizzate, specifiche comuni e strumenti tecnici necessari alla conformità aveva creato il rischio che le imprese fossero obbligate a rispettare requisiti per i quali mancavano ancora riferimenti operativi sufficientemente definiti. Il Digital Omnibus introduce quindi un’applicazione collegata maggiormente alla disponibilità del quadro tecnico necessario, mantenendo comunque termini finali entro i quali gli obblighi dovranno diventare applicabili. Per i sistemi ad alto rischio individuati dall’Allegato III dell’AI Act il riferimento finale è il 2 dicembre 2027, mentre per quelli collegati ai prodotti disciplinati dalla normativa europea di armonizzazione dell’Allegato I il termine arriva al 2 agosto 2028. Il rinvio riguarda dunque specificamente una parte della disciplina dei sistemi ad alto rischio e non determina una sospensione generale dell’AI Act.
Rimangono infatti operative le altre disposizioni secondo il rispettivo calendario. Un caso particolarmente importante per le imprese riguarda l’articolo 50, dedicato agli obblighi di trasparenza dei sistemi che generano o manipolano contenuti audio, immagini, video o testi sintetici. Per i sistemi, compresi quelli general purpose, immessi sul mercato prima del 2 agosto 2026, il nuovo regolamento stabilisce che i fornitori debbano adottare le misure necessarie per conformarsi all’articolo 50, paragrafo 2, entro il 2 dicembre 2026. Il Digital Omnibus modifica quindi alcune scadenze, ma non elimina gli obblighi di identificazione dei contenuti artificiali e di trasparenza previsti dall’AI Act.
Cambia anche la disciplina dell’AI literacy. Fornitori e deployer continuano a dover adottare misure per sostenere un’adeguata alfabetizzazione sull’intelligenza artificiale del personale e delle altre persone che utilizzano o gestiscono sistemi AI per loro conto, considerando conoscenze tecniche, esperienza, istruzione, formazione e contesto di utilizzo. Il nuovo testo chiarisce però espressamente che questo obbligo non impone all’impresa di garantire a ogni singola persona il raggiungimento di uno specifico livello di alfabetizzazione. Commissione europea e Stati membri devono a loro volta facilitare l’adempimento, in particolare per le PMI, mentre la Commissione dovrà mettere a disposizione esempi pratici sulla piattaforma informativa prevista dall’AI Act e il Comitato europeo per l’intelligenza artificiale potrà definire raccomandazioni e obiettivi comuni.
Un’altra modifica interessa direttamente le dimensioni aziendali alle quali si applicano le misure di proporzionalità previste dall’AI Act. Il regolamento introduce formalmente, accanto alla definizione di microimprese, piccole e medie imprese, quella delle piccole imprese a media capitalizzazione, le Small Mid-Cap o SMC, secondo la definizione contenuta nella Raccomandazione (UE) 2025/1099. Diverse semplificazioni e tutele precedentemente concentrate sulle PMI vengono così estese alle SMC, tenendo conto del fatto che queste aziende, pur avendo superato le soglie dimensionali delle PMI, possono incontrare difficoltà simili nel sostenere gli oneri amministrativi e organizzativi della compliance. La proporzionalità interessa, tra l’altro, documentazione, sistemi di gestione della qualità, codici di condotta, accesso agli strumenti di sostegno e applicazione delle sanzioni, che devono tenere conto anche della sostenibilità economica dell’impresa.
Il Digital Omnibus interviene inoltre su uno dei problemi più delicati nella gestione dei sistemi AI ad alto rischio: l’utilizzo di dati personali appartenenti a categorie particolari per individuare e correggere distorsioni nei modelli. Il nuovo articolo 4-bis consente eccezionalmente ai fornitori di sistemi ad alto rischio di trattare questi dati quando ciò sia strettamente necessario per rilevare e correggere bias conformemente ai requisiti dell’AI Act. La possibilità non costituisce un’autorizzazione generalizzata all’impiego di dati sensibili: il trattamento deve essere limitato alle esigenze di correzione delle distorsioni e accompagnato da specifiche garanzie per i diritti e le libertà fondamentali delle persone, rimanendo applicabile il quadro europeo sulla protezione dei dati personali.
Viene precisato anche il concetto di “componente di sicurezza”, determinante per stabilire quando un sistema AI collegato a un prodotto debba essere classificato come ad alto rischio. La definizione viene circoscritta ai sistemi la cui funzione può incidere negativamente sulla salute o sulla sicurezza delle persone o dei beni. La modifica è particolarmente rilevante per produttori e imprese industriali perché riduce il rischio che componenti AI prive di una reale funzione di sicurezza vengano automaticamente attratte nella disciplina più onerosa prevista per i sistemi ad alto rischio.
Il rapporto tra AI Act e normativa europea sui prodotti viene ulteriormente coordinato. Per alcune categorie di sistemi AI ad alto rischio integrate nei prodotti soggetti alla legislazione armonizzata dell’Unione, gli obblighi dell’AI Act vengono collegati alle procedure e agli strumenti già previsti dalla normativa settoriale, con l’obiettivo di evitare duplicazioni nelle valutazioni e nella documentazione di conformità. La Commissione dovrà inoltre pubblicare entro il 1° agosto 2027 specifici orientamenti sull’applicazione complementare e proporzionata dei requisiti, così da ridurre gli adempimenti duplicati tra AI Act e legislazione europea applicabile ai prodotti. Il Regolamento 2026/1744 interviene espressamente anche sul Regolamento Macchine 2023/1230 e sulla normativa europea relativa all’aviazione civile per coordinare l’integrazione dei requisiti AI nei rispettivi sistemi di certificazione e vigilanza.
Una parte importante delle modifiche riguarda gli spazi di sperimentazione normativa. Gli AI regulatory sandbox devono offrire ambienti controllati nei quali sviluppare, addestrare, testare e validare sistemi innovativi prima della loro immissione sul mercato o messa in servizio, sulla base di un piano concordato con le autorità competenti e con adeguate garanzie. All’interno di questi spazi possono essere previste anche sperimentazioni in condizioni reali. L’AI Office può istituire una sandbox a livello dell’Unione per i sistemi rientranti nelle proprie competenze, con accesso prioritario per PMI, start-up e Small Mid-Cap, mentre resta ferma la possibilità per gli Stati membri di istituire e controllare proprie sandbox nazionali. Quando le sperimentazioni comportano trattamento di dati personali o ricadono sotto la competenza di altre autorità, queste ultime devono essere coinvolte nella supervisione degli aspetti di rispettiva competenza.
Il regolamento rafforza parallelamente il ruolo dell’AI Office nella vigilanza sui sistemi e modelli che presentano una dimensione europea particolarmente rilevante, compresi determinati sistemi collegati ai modelli di intelligenza artificiale per finalità generali. La maggiore centralizzazione della supervisione serve a evitare approcci divergenti tra le autorità nazionali nei casi in cui lo stesso sistema venga utilizzato o distribuito su larga scala nell’Unione. Per le imprese significa che la valutazione della conformità non deve più essere considerata esclusivamente come un rapporto con le autorità del singolo Stato membro, soprattutto quando il sistema AI è integrato in servizi o infrastrutture digitali distribuiti a livello europeo.
Il Digital Omnibus modifica infine anche il quadro sanzionatorio nella sua applicazione alle imprese di dimensioni più contenute. Gli Stati membri continuano a dover prevedere sanzioni effettive, proporzionate e dissuasive per le violazioni dell’AI Act, ma nell’applicazione concreta devono essere considerati gli interessi delle PMI, comprese le start-up, e delle Small Mid-Cap, insieme alla loro sostenibilità economica. L’intervento non elimina quindi la responsabilità degli operatori, ma introduce un criterio di maggiore proporzionalità nella determinazione delle conseguenze economiche delle violazioni.
Con il Regolamento (UE) 2026/1744 il calendario dell’AI Act diventa quindi più articolato rispetto a quello originariamente previsto. Per le aziende è essenziale distinguere gli obblighi effettivamente rinviati da quelli che restano già applicabili: lo slittamento riguarda soprattutto una parte della disciplina dei sistemi ad alto rischio, mentre trasparenza, alfabetizzazione AI, obblighi relativi ai modelli general purpose e altre disposizioni seguono termini propri. Allo stesso tempo, l’estensione delle semplificazioni alle Small Mid-Cap, il coordinamento con le normative di prodotto, le nuove regole sul trattamento dei dati per la correzione dei bias e il potenziamento delle sandbox modificano concretamente le modalità con cui imprese, produttori e fornitori devono organizzare la conformità ai sistemi di intelligenza artificiale nell’Unione europea.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)