«Le scadenze dell'AI Act sono state rinviate: possiamo rallentare?» È la domanda che molte PMI italiane si pongono dopo il Digital Omnibus. La risposta breve è: no. Il Digital Omnibus — Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026 — ha rinviato soltanto una parte degli obblighi, quelli sui sistemi ad alto rischio, lasciando invariato tutto ciò che è già applicabile oggi. Trasparenza compresa.
Che cos'è il Digital Omnibus
Il Digital Omnibus è un pacchetto di modifiche mirate al Regolamento (UE) 2024/1689 (l'EU AI Act). È stato pubblicato nella Gazzetta Ufficiale dell'Unione europea il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026, sei giorni prima della scadenza originaria del 2 agosto 2026.
Il punto chiave è cosa non tocca: non riapre le categorie di rischio, non modifica l'impianto sanzionatorio, non cambia la logica del Regolamento. Interviene su un solo fronte — le date di applicazione dei sistemi ad alto rischio — rendendole peraltro incondizionate (non più legate alla disponibilità degli standard). La ragione dichiarata è pratica: gli standard armonizzati europei (CEN e CENELEC) e l'infrastruttura di valutazione della conformità non sarebbero stati pronti per il 2 agosto 2026.
Le uniche scadenze slittate: l'alto rischio
Il rinvio riguarda esclusivamente gli obblighi sui sistemi ad alto rischio, con due binari distinti:
| Obbligo | Scadenza precedente | Nuova scadenza |
|---|---|---|
| Sistemi ad alto rischio "stand-alone" (Allegato III) | 2 agosto 2026 | 2 dicembre 2027 |
| Sistemi ad alto rischio integrati in prodotti regolamentati (Allegato I) | 2 agosto 2027 | 2 agosto 2028 |
L'Allegato III raccoglie gli usi ad alto rischio "autonomi" — per esempio l'IA nella selezione del personale, nell'accesso al credito o a servizi essenziali. L'Allegato I riguarda l'IA incorporata in prodotti già soggetti a valutazione di conformità (macchine, dispositivi medici e simili). Se la tua azienda sviluppa o utilizza uno di questi sistemi, hai più tempo — ma non meno lavoro.
Cosa NON è cambiato (e vale già adesso)
Qui sta il fraintendimento pericoloso. La gran parte dell'AI Act è già in vigore e il Digital Omnibus non l'ha toccata:
- 2 febbraio 2025 — i divieti sulle pratiche a rischio inaccettabile (Art. 5) e l'obbligo di alfabetizzazione IA (Art. 4) sono operativi.
- 2 agosto 2025 — si applicano gli obblighi sui modelli di IA per finalità generali (GPAI), la governance e il quadro sanzionatorio.
- 2 agosto 2026 — si applicano gli obblighi di trasparenza dell'Art. 50: dichiarare che un chatbot è un sistema di IA, marcare i contenuti generati o manipolati, segnalare i deepfake. Alla data di oggi è già un obbligo vigente.
Il Digital Omnibus ha anche aggiunto due nuove pratiche vietate all'Art. 5 — i sistemi che generano immagini intime non consensuali e materiale pedopornografico — con un periodo transitorio fino al 2 dicembre 2026. In altre parole: la direzione del Regolamento non si allenta, in alcuni punti si irrigidisce.
Restano invariate anche le sanzioni del Regolamento: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo per le violazioni più gravi. Rinviare la scadenza dell'alto rischio non sposta di un giorno gli obblighi già applicabili.
L'alfabetizzazione IA: ammorbidita, non abolita
Un'unica sfumatura merita attenzione. Il Digital Omnibus ha alleggerito la formulazione dell'obbligo di alfabetizzazione IA (Art. 4): fornitori e utilizzatori devono ora sostenere lo sviluppo dell'alfabetizzazione IA del personale, anziché garantire un livello sufficiente di competenza. L'obbligo resta in vigore dal 2 febbraio 2025 e resta sostanziale: chi usa l'IA in azienda deve capire cosa sta usando, con quali limiti e rischi. In pratica, un programma di formazione documentato rimane la risposta corretta.
E in Italia: la Legge 132/2025
Il quadro nazionale non cambia con l'Omnibus. La Legge 23 settembre 2025, n. 132 è la legge italiana che adatta l'ordinamento all'AI Act: affida all'ACN (Agenzia per la Cybersicurezza Nazionale) la vigilanza di mercato, con poteri di ispezione anche senza preavviso e sanzionatori, e all'AgID le funzioni di notifica e vigilanza sugli organismi di valutazione della conformità. È una legge quadro: diversi aspetti operativi saranno definiti da decreti attuativi. Per una PMI il messaggio è concreto: gli interlocutori del controllo, in Italia, sono già individuati.
Cosa deve fare una PMI adesso
Il rinvio è un'opportunità, non una pausa. La sequenza operativa non cambia:
- Inventario — elenca ogni sistema di IA in uso, interno o di terzi.
- Classificazione del rischio — vietato, alto, limitato o minimo. È il passo che dice quali scadenze ti riguardano davvero.
- Trasparenza subito — se usi chatbot, generi contenuti o pubblichi immagini/testi prodotti con l'IA, gli obblighi dell'Art. 50 valgono già oggi.
- Alfabetizzazione — forma chi usa l'IA e documenta la formazione.
- Alto rischio: prepara, non rimandare — se hai sistemi dell'Allegato III o I, usa il tempo in più per documentazione tecnica, supervisione umana e governance dei dati, non per accantonare il tema.
Da dove partire
Il Digital Omnibus rende ancora più importante sapere dove ti trovi: quali dei tuoi sistemi sono già soggetti a obblighi vigenti e quali beneficiano del rinvio. Un gap assessment indipendente trasforma la confusione sulle date in un piano con priorità, responsabili e scadenze reali — e ti evita sia di correre a vuoto sia di scoprire tardi un obbligo che era già operativo.