Indice

• Prima di tutto, stabilisci che ruolo hai
• Il piano di sopravvivenza in cinque passi
  • 1. Costruisci un inventario dei modelli
  • 2. Classifica ogni sistema in base al rischio
  • Rischio inaccettabile (vietato).
  • Alto rischio (rigorosamente regolamentato).
  • Rischio limitato (trasparenza).
  • 3. Adempi ai tuoi obblighi di deployer per i sistemi ad alto rischio
  • 4. Colma il divario di alfabetizzazione sull'IA
  • 5. Porta la governance al consiglio di amministrazione
• Quanto costa sbagliare
• Cos'altro ha cambiato l'Omnibus
• Gli strumenti da utilizzare
  • Strumenti interattivi ufficiali (Commissione europea)
  • Linee guida e codici di condotta ufficiali
• Da dove iniziare

Per gran parte del 2026 l'AI Act europeo è rimasto sulle roadmap di compliance come una scadenza rigida: il 2 agosto 2026, data in cui la maggior parte dei suoi obblighi sarebbe diventata applicabile. Quella scadenza è cambiata. Il 27 luglio 2026 il Digital Omnibus sull'IA (Regolamento (UE) 2026/1744, l'"AI Omnibus") è entrato in vigore, pubblicato nella Gazzetta Ufficiale il 24 luglio 2026, e ha modificato l'AI Act pochi giorni prima che la data di applicazione originaria potesse produrre effetti. Ha spostato in avanti di oltre un anno le principali scadenze per i sistemi ad alto rischio, ha alleggerito alcuni requisiti e ha aggiunto nuove pratiche vietate.

Il regolamento è entrato in vigore il 1° agosto 2024 e alcune sue parti sono già operative. I divieti si applicano da febbraio 2025 e gli obblighi fondamentali di trasparenza si applicano dal 2 agosto 2026. Ciò che l'Omnibus ha garantito alla maggior parte delle imprese è tempo sulla categoria più onerosa, quella dei sistemi ad alto rischio, non una via d'uscita dall'ambito di applicazione. Se la tua azienda sviluppa IA, acquista IA o gestisce sistemi i cui output raggiungono persone all'interno dell'UE, rientri già nel perimetro, e le sanzioni restano ben al di sopra del massimale previsto dal GDPR.

Questa guida illustra ciò che serve per restare conformi secondo il calendario modificato: come classificare il proprio ruolo, i passaggi da seguire, quanto costa la non conformità e gli strumenti ufficiali che permettono di verificare la propria posizione senza rivolgersi a un consulente.

Prima di tutto, stabilisci che ruolo hai

Prima di affrontare un singolo obbligo, definisci due elementi: il tuo ruolo e la tua portata.

Deployer o fornitore. Se la tua azienda utilizza sistemi di IA di terze parti sotto la propria autorità, sei un deployer. Se sviluppi un sistema di IA o un modello per finalità generali e lo immetti sul mercato con il tuo nome, sei un fornitore. La maggior parte dei tuoi obblighi giuridici cambia a seconda del lato della linea su cui ti collochi, quindi questa è la prima decisione da prendere.

Ambito geografico. Il regolamento ha portata extraterritoriale. Anche se la tua impresa ha sede interamente al di fuori dell'UE, ad esempio in Svizzera o negli Stati Uniti, si applica nel momento in cui gli output generati dalla tua IA vengono utilizzati all'interno dell'Unione. La sede legale non basta a tenerti fuori dall'ambito di applicazione.

Il piano di sopravvivenza in cinque passi

Mettersi in regola è soprattutto una questione di metodo. Questi cinque passi ti portano da "non abbiamo idea di cosa stiamo utilizzando" a una posizione difendibile.

1. Costruisci un inventario dei modelli

Parti da un audit dello stato attuale della tua esposizione. Individua ogni sistema di IA attualmente in uso, in sviluppo o previsto per l'acquisto, e catalogalo in un unico repository centralizzato. Non puoi classificare o governare ciò che non hai ancora elencato, quindi questa è la base per tutto ciò che segue. L'Omnibus aggiunge un motivo specifico per tenere aggiornato questo elenco: ha introdotto nuove pratiche vietate, perciò un inventario costruito prima della metà del 2026 potrebbe ora contenere sistemi da riesaminare.

2. Classifica ogni sistema in base al rischio

Il regolamento suddivide l'IA in quattro livelli. Il livello in cui ricade un sistema determina la quantità di lavoro richiesto.

Rischio inaccettabile (vietato).

I sistemi che minacciano la sicurezza, i mezzi di sussistenza o i diritti fondamentali sono vietati del tutto. I divieti originari si applicano dal 2 febbraio 2025 e riguardano il social scoring, il riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole e lo scraping non mirato di immagini facciali per costruire banche dati. L'AI Omnibus ha ampliato l'elenco.

È ora vietato anche utilizzare sistemi di IA per generare o manipolare materiale pedopornografico, oppure per generare contenuti intimi non consensuali o sessualmente espliciti che ritraggono persone identificabili, le cosiddette applicazioni "nudifier". Tale divieto copre contenuti di immagine, video e audio. Qualsiasi fornitore o deployer di IA generativa in grado di produrre materiale di questo tipo dovrebbe trattare come prioritario il riesame delle proprie salvaguardie tecniche, delle politiche di moderazione dei contenuti e delle condizioni d'uso.

Alto rischio (rigorosamente regolamentato).

Sistemi che determinano l'accesso all'occupazione, come gli strumenti di screening dei CV, insieme al credit scoring, alla tariffazione del rischio assicurativo e ai componenti di sicurezza nelle infrastrutture critiche.

È qui che l'Omnibus ha introdotto la sua modifica più rilevante. La maggior parte degli obblighi per l'alto rischio previsti dal Capo III dell'AI Act si applica ora dal 2 dicembre 2027 per i sistemi ad alto rischio autonomi, cioè quelli elencati nell'Allegato III in ambiti come biometria, infrastrutture critiche, occupazione, istruzione, accesso ai servizi essenziali, attività di contrasto, migrazione e amministrazione della giustizia.

Per l'IA ad alto rischio utilizzata come componente di sicurezza di un prodotto regolamentato ai sensi dell'Allegato I, come i sistemi integrati in dispositivi medici, macchinari o apparecchiature aeronautiche, la scadenza è il 2 agosto 2028. Queste proroghe riguardano esclusivamente gli obblighi del Capo III. Non rinviano i requisiti di trasparenza illustrati più avanti, che restano in vigore dal 2 agosto 2026.

L'Omnibus ha inoltre chiarito cosa si intende per "componente di sicurezza". I sistemi di IA che si limitano ad assistere gli utenti o a ottimizzare le prestazioni non sono automaticamente considerati componenti di sicurezza quando il loro guasto o malfunzionamento non genera un rischio per la salute o la sicurezza. Se utilizzi l'IA in contesti operativi o di produttività, questo chiarimento potrebbe mantenere alcuni sistemi fuori dalla categoria ad alto rischio, quindi vale la pena riesaminare i casi limite.

Rischio limitato (trasparenza).

AI conversazionale come i chatbot e i modelli generativi. Questi sistemi devono comunicare agli utenti che stanno interagendo con una macchina e contrassegnare chiaramente i deepfake e i testi generati dall'IA. Le regole fondamentali di trasparenza hanno preso effetto il 2 agosto 2026.

L'Omnibus ha aggiunto un breve periodo di adattamento per la marcatura dei contenuti sintetici: i sistemi che generano audio, immagini, video o testo sintetici e che sono stati immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per adempiere all'obbligo di watermarking. I sistemi immessi sul mercato a partire dal 2 agosto 2026 devono conformarsi da tale data. Se utilizzi IA generativa, verifica quando ciascun sistema è stato immesso sul mercato e pianifica di conseguenza il lavoro di marcatura.

Rischio minimo o nullo. Filtri antispam, IA nei videogiochi e sistemi simili non comportano obblighi aggiuntivi.

3. Adempi ai tuoi obblighi di deployer per i sistemi ad alto rischio

Se utilizzi IA ad alto rischio, la legge si aspetta che tu:

• Faccia funzionare il sistema rigorosamente in linea con le sue istruzioni per l'uso.
• Monitori il funzionamento e segnali senza indugio eventuali rischi individuati o incidenti gravi.
• Assegni la supervisione umana a personale formato all'interno della tua organizzazione.
• Ti assicuri che i dati di input forniti al sistema siano pertinenti e sufficientemente rappresentativi.
• Svolga una valutazione d'impatto sui diritti fondamentali (FRIA) prima della messa in servizio. Questo vale per i fornitori di servizi pubblici, gli enti pubblici e le organizzazioni che effettuano valutazioni del rischio di credito o assicurativo.
• Informi i lavoratori e i loro rappresentanti prima di mettere in servizio un sistema ad alto rischio sul luogo di lavoro.
• Rispetti il diritto a una spiegazione per chiunque sia sottoposto a un processo decisionale assistito dall'IA.

Questi obblighi restano invariati dopo l'Omnibus. Ciò che è cambiato è la tempistica: per i sistemi autonomi dell'Allegato III si applicano dal 2 dicembre 2027, e per i sistemi integrati dell'Allegato I dal 2 agosto 2028. Il tempo aggiuntivo serve a consentire alle imprese di assorbire gli standard tecnici, le linee guida e le procedure di valutazione di conformità ancora in fase di definizione. Non riduce la mole di lavoro, quindi l'approccio ragionevole è continuare a lavorare sugli obblighi fin da ora.

4. Colma il divario di alfabetizzazione sull'IA

L'articolo 4, in vigore dal 2 febbraio 2025, richiede attenzione all'alfabetizzazione in materia di IA, e l'Omnibus ha attenuato il modo in cui l'obbligo è formulato. Fornitori e deployer sono ora tenuti ad adottare misure per sostenere lo sviluppo di un livello sufficiente di alfabetizzazione sull'IA tra il personale e gli altri soggetti che operano sui sistemi di IA per loro conto, anziché a garantire tale livello in modo assoluto.

La Commissione e gli Stati membri hanno l'obbligo di fornire supporto, anche attraverso la pubblicazione di esempi di conformità. L'aspettativa di fondo non è scomparsa, ma l'esposizione giuridica nei casi in cui un individuo risulti carente è minore. La formazione di base sui rischi, sulle opportunità e sulla supervisione responsabile resta uno dei passi meno costosi di questo elenco da attuare correttamente, e i programmi esistenti possono essere confrontati nel tempo con i materiali che la Commissione e gli Stati membri renderanno disponibili.

5. Porta la governance al consiglio di amministrazione

I consigli di amministrazione non possono più affidare l'IA al reparto IT e voltarsi dall'altra parte. Ci si aspetta che gli amministratori vigilino sulla due diligence relativa a ogni fornitore di IA. Se uno strumento di selezione del personale di terze parti a cui ti affidi si rivela distorto o non conforme, è la tua azienda a doverne rispondere davanti al regolatore e alle ricadute reputazionali.

Quanto costa sbagliare

Le sanzioni del regolamento sono volutamente elevate e superano le soglie del GDPR:

• Fino a 35 milioni di euro o al 7% del fatturato annuo totale a livello mondiale, a seconda di quale importo sia più elevato, per le pratiche vietate o la non conformità in materia di dati.
• Fino a 15 milioni di euro o al 3% del fatturato per altre violazioni.
• Fino a 7,5 milioni di euro o all'1% per la fornitura di informazioni inesatte o fuorvianti ai regolatori.

Per le PMI si applica il minore dei due importi. Per le imprese di maggiori dimensioni si applica il maggiore. L'Omnibus ha esteso le agevolazioni esistenti per le piccole e medie imprese (PMI) e le piccole imprese a media capitalizzazione (SMC), tra cui documentazione tecnica semplificata, obblighi proporzionati di gestione della qualità, sanzioni attenuate e accesso prioritario mantenuto agli spazi di sperimentazione normativa. Le agevolazioni facilitano il percorso per dimostrare la conformità, anziché ridurre i requisiti sostanziali che alla fine si applicano.

Cos'altro ha cambiato l'Omnibus

Alcune ulteriori modifiche rilevano soprattutto per i fornitori e le imprese dei settori regolamentati:

• Riduzione della sovrapposizione con la normativa settoriale. Laddove una legislazione specifica di settore imponga già requisiti in materia di IA equivalenti a quelli dell'AI Act, la Commissione può limitare l'applicazione del regolamento tramite atti delegati, riducendo la duplicazione degli oneri di compliance per settori come i dispositivi medici, gli ascensori e i giocattoli. I macchinari sono stati esclusi dai prodotti per i quali i componenti di sicurezza devono soddisfare le regole complete per l'alto rischio, in attesa di un progetto legislativo separato.
• Valutazione di conformità semplificata. Un organismo di valutazione della conformità può ora presentare un'unica domanda e sottoporsi a un'unica procedura per essere designato sia ai sensi dell'AI Act sia della pertinente normativa di armonizzazione dell'UE. Alcuni organismi notificati già designati ai sensi della normativa settoriale possono svolgere valutazioni sull'IA ad alto rischio durante un periodo transitorio, in attesa della designazione formale.
• Rafforzamento della supervisione dell'AI Office. L'AI Office, l'organismo della Commissione che vigila sui fornitori di modelli di IA per finalità generali, ha acquisito poteri più ampi, tra cui la competenza su determinati sistemi di IA dei fornitori di modelli GPAI e sull'IA integrata nelle piattaforme online di dimensioni molto grandi e nei motori di ricerca regolamentati dal Digital Services Act.

Gli strumenti da utilizzare

Non devi interpretare il regolamento da solo. La Commissione europea ha pubblicato una serie di strumenti ufficiali e gratuiti che permettono di valutare e verificare la propria posizione.

Strumenti interattivi ufficiali (Commissione europea)

L' AI Act Single Information Platform and Service Desk è il punto di riferimento centrale. Da lì puoi raggiungere:

• EU AI Act Compliance Checker. Uno strumento interattivo che aiuta a valutare se i tuoi sistemi di IA e i modelli per finalità generali soddisfano i requisiti, e indica i passaggi necessari per conformarsi
• AI Act Explorer. Un portale di navigazione per consultare i capi, gli allegati e i considerando del regolamento, con sintesi a livello di articolo.
• Guida sui sistemi di IA ad alto rischio. Disponibile tramite il Service Desk per aiutarti a stabilire se i tuoi sistemi rientrano nelle categorie ad alto rischio secondo la metodologia di classificazione della Commissione.
• Portale di invio del Service Desk. Un canale online per rivolgere domande direttamente ai team di esperti che collaborano con l'Ufficio europeo per l'IA, raggiungibile dal Service Desk.

Linee guida e codici di condotta ufficiali

• Linee guida sulle pratiche di IA vietate e sulle definizioni dei sistemi di IA. Quadri della Commissione con spiegazioni giuridiche ed esempi concreti che chiariscono l'ambito di applicazione del regolamento.
• Codice di condotta per l'IA per finalità generali (GPAI). Uno strumento volontario che aiuta i fornitori ad allineare le proprie politiche in materia di trasparenza, diritto d'autore e sicurezza.
• Modello per i contenuti di addestramento GPAI. Il modello standard di sintesi pubblica per dettagliare le fonti di dati utilizzate per addestrare un modello.
• Codice di condotta sulla marcatura dei contenuti generati dall'IA. Orientamenti e un set di icone UE standardizzate per rendere visibile la divulgazione dei contenuti generati artificialmente, come i deepfake.
• Spazi di sperimentazione normativa e piattaforme di test sicure. Ambienti controllati e realistici approvati dalle autorità di vigilanza del mercato, in cui puoi validare soluzioni di IA innovative prima della messa in commercio.

Da dove iniziare

Se il tuo inventario è ancora una pagina bianca, la mossa iniziale più rapida è far passare i tuoi sistemi attraverso il Compliance Checker ufficiale e costruire l'elenco a partire da ciò che segnala. Da lì, gli obblighi di deployer descritti sopra diventano una checklist operativa di audit, anziché un muro di testo giuridico. Le scadenze prorogate per l'alto rischio ti danno lo spazio per farlo con cura, quindi l'approccio più sereno è usare questo tempo invece di metterlo da parte.

In Neodata costruiamo sistemi di IA per le imprese, quindi sono le stesse domande su cui lavoriamo internamente. Se l'AI Act è appena salito nella tua lista di priorità, affrontarlo come un esercizio di inventario e classificazione, anziché come un'emergenza legale, è il modo più sereno per iniziare.