Le date di applicazione giuridica sono fissate nel regolamento, mentre la pubblicazione e la citazione delle norme seguono calendari propri. Nell'ottobre 2026 i due percorsi si sono toccati per la prima volta: la decisione di esecuzione (UE) 2026/2274 della Commissione ha citato la EN 18286:2026, la norma sul sistema di gestione della qualità per l'articolo 17, nella Gazzetta ufficiale dell'UE (GUUE) il 14 ottobre 2026. Gli altri deliverable sono più indietro. I progetti su gestione dei rischi, logging e cibersicurezza sono passati per l'inchiesta pubblica durante l'estate e sono in risoluzione dei commenti o in approvazione, e la richiesta di normazione a cui rispondono scade il 28 febbraio 2027. Il regolamento (UE) 2026/1744, il Digital Omnibus sull'IA, pubblicato in GUUE il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026, ha fissato le date per l'alto rischio al 2 dicembre 2027 e al 2 agosto 2028. I fornitori che pianificano IA ad alto rischio nell'UE costruiscono quindi la maggior parte dei controlli prima che le norme corrispondenti siano citate. Questo articolo mette a confronto i due calendari e spiega come condurre un programma credibile rispetto a entrambi.
La data è il 2 dicembre 2027, con importanti eccezioni
La maggior parte degli obblighi per l'IA ad alto rischio si applica dal 2 dicembre 2027 ai sistemi autonomi dell'allegato III e dal 2 agosto 2028 all'IA ad alto rischio integrata in prodotti coperti dalla legislazione dell'allegato I. Il regolamento (UE) 2026/1744 ha fissato entrambe le date nell'articolo 113 modificato; è stato pubblicato nella Gazzetta ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026. I team dovrebbero pianificare rispetto a queste date come riferimento operativo, tenendo conto delle eccezioni specifiche e dei punti di applicabilità anticipati previsti dal regolamento. Gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026, con un periodo di tolleranza fino al 2 dicembre 2026 per la marcatura leggibile da macchina dei sistemi generativi già sul mercato.
Una sfumatura spesso trascurata è che alcuni elementi di classificazione ad alto rischio legati ai prodotti si applicano più tardi (inclusi gli effetti temporali dell'articolo 6, paragrafo 1, nel regime graduale). Per questo le roadmap di conformità richiedono una mappatura precisa delle date giuridiche.
Come riferimento di base, allineate il vostro calendario giuridico con il testo dell'AI Act e con l'interpretazione specifica per il vostro ruolo della guida per fornitori e deployer.
A che punto sono le norme a ottobre 2026
Il lavoro di normazione del CEN/CENELEC JTC 21 è ampio e interdipendente. I deliverable su sistema di gestione della qualità, gestione dei rischi, affidabilità, cibersicurezza, valutazione della conformità e governance dei dati si influenzano a vicenda. Nell'ottobre 2025 il CEN-CENELEC ha fissato il quarto trimestre del 2026 come obiettivo per i deliverable prioritari. La richiesta della Commissione, la M/593 modificata dalla M/613 (decisione C(2025)3871), scade il 28 febbraio 2027.
Al 17 ottobre 2026 un solo deliverable ha centrato l'obiettivo. Le fasi riportate di seguito provengono dal programma di lavoro CEN-CENELEC e dal sito del JTC 21; gli esiti delle inchieste sono quelli riportati da AI Standardisation Watch, edizione 16, perché il CEN-CENELEC non pubblica i risultati dei voti sulle sue pagine pubbliche. Il tracker JTC 21 contiene la tabella completa e il registro delle modifiche.
Il lavoro di consenso tra più Paesi richiede tempo, e tre dei progetti arrivati all'inchiesta quest'estate sono tornati con abbastanza obiezioni da richiedere un altro ciclo. Pianificate partendo dall'ipotesi che la maggior parte delle norme complementari non sarà citata prima del 2027.
| Deliverable | Articolo dell'AI Act | Fase |
|---|---|---|
| EN 18286:2026 | Articolo 17 | Pubblicata il 22 luglio 2026; citata nella Gazzetta ufficiale il 14 ottobre 2026 |
| prEN 18228 | Articolo 9 | In approvazione; inchiesta chiusa il 30 luglio 2026; risoluzione dei commenti a inizio novembre, poi voto formale |
| prEN 18229-1 | Articolo 12 | Risoluzione dei commenti dopo un'inchiesta chiusa il 20 agosto 2026 |
| prEN 18229-3 | Articolo 14 | Inchiesta pubblica, si chiude il 22 ottobre 2026 |
| prEN 18282 | Articolo 15 (cibersicurezza) | Revisione dopo un'inchiesta chiusa il 30 luglio 2026 |
| prEN 18229-2, prEN 18283, prEN 18284, prEN 18285 | Articoli 10, 13, 43 | Revisione della Commissione prima dell'inchiesta |
Il divario di conformità da gestire
Per l'articolo 17 la via più semplice alla presunzione ora esiste: la conformità alla EN 18286:2026. Per gli articoli da 9 a 15 nessuna norma armonizzata è citata, quindi i fornitori si basano su misure alternative documentate, su una logica di conformità interna e su giustificazioni sostenute da evidenze solide.
Questo non impedisce l'accesso al mercato, ma innalza l'onere della prova per i fornitori e genera maggiore variabilità nel modo in cui le autorità valutano la qualità dell'attuazione nei diversi Stati membri.
- Maggiore enfasi sulla qualità della documentazione tecnica e sulle evidenze di tracciabilità
- Maggiore necessità di motivazioni esplicite quando si usano controlli non armonizzati
- Maggiore importanza di revisioni interne riproducibili e di registri delle decisioni
- Maggiore attenzione ai confini di ruolo e alla gestione delle modifiche sostanziali
I meccanismi di accelerazione aiutano solo dopo un'inchiesta positiva
Il CEN/CENELEC ha previsto un percorso accelerato in cui la pubblicazione può procedere senza un voto formale separato se il voto di inchiesta è positivo. La prEN 18228, la prEN 18229-1 e la prEN 18282 non hanno ottenuto un'inchiesta positiva, quindi passano per la risoluzione dei commenti e per un voto formale, il percorso seguito dalla EN 18286. Ogni voto formale dura otto settimane secondo le regole CEN-CENELEC, e poi la Commissione valuta la norma pubblicata prima di citarla.
I team dovrebbero considerare gli aggiornamenti sull’accelerazione come un possibile vantaggio, pianificando budget e personale per operare in un periodo con norme solo parziali.
Piano di esecuzione fino al 2 dicembre 2027
Il modello pratico è un doppio binario: attuare ora i controlli richiesti dalla legge e prepararsi a recepire rapidamente le norme armonizzate quando vengono citate. I sedici mesi in più spostano la scadenza. Il lavoro da costruire resta lo stesso.
- Binario A: costruire i controlli richiesti dalla legge (articoli 9–15) con evidenze verificabili, e gestire il SGQ dell'articolo 17 sulla EN 18286:2026 citata
- Binario B: mantenere mappe delle differenze rispetto alle norme per un’adozione rapida quando i testi sono finalizzati
- Binario C: mantenere un elenco di monitoraggio delle autorità nazionali per consultazioni e cambi di orientamento
- Binario D: svolgere revisioni mensili di governance collegate ai gate di lancio e di rilascio. Nei nostri tenant di test i rilasci di policy richiedono due persone, e i revisori vedono la bozza rieseguita sulle ultime 200 esecuzioni prima di approvarla
Domande frequenti
Dobbiamo attendere che tutte le norme siano finalizzate prima di attuare i controlli?
No. Finora è citata solo la EN 18286:2026, e la richiesta per le altre scade il 28 febbraio 2027 con diversi progetti ancora in risoluzione dei commenti. Costruite ora sui requisiti di legge e mantenete un processo di gestione delle differenze per recepire i testi armonizzati man mano che vengono citati.
Le specifiche comuni possono sostituire le norme armonizzate?
Potenzialmente in casi specifici, ma le organizzazioni non dovrebbero presumere una sostituzione generalizzata. Costruite il piano principale sugli obblighi giuridici diretti e su solide evidenze di attuazione.
Che cosa dovrebbero monitorare ogni mese i vertici aziendali?
Avanzamento dei controlli, interpretazioni giuridiche aperte, qualità delle evidenze, eccezioni ai gate di rilascio e aggiornamenti sullo stato delle norme da CEN/CENELEC e dagli enti nazionali.
Punti chiave
La postura praticabile fino al 2027 è un'esecuzione per fasi: gestire il SGQ dell'articolo 17 sulla EN 18286:2026 ora che è citata, costruire i controlli degli articoli da 9 a 15 sul testo di legge, recepire le norme complementari man mano che vengono citate e mantenere una qualità delle evidenze sufficiente a superare una revisione di livello regolamentare. Consultate la cronologia dell'Omnibus per ogni data spostata dal Digital Omnibus e il tracker JTC 21 per la fase attuale di ciascuna norma.