Digital Omnibus sull’EU AI Act adottato: le nuove scadenze per il 2027 e il 2028

Tutte le date di applicazione, prima e dopo l’Omnibus¶

L’Omnibus è uno strumento di semplificazione e di revisione delle tempistiche. Ha riaperto l’Articolo 113, che stabilisce quando inizia ad applicarsi ciascun capo dell’EU AI Act, e ha spostato le date di applicazione per l’alto rischio. Ha lasciato invariato il contenuto del Capo III: gli stessi obblighi di gestione del rischio, governance dei dati, documentazione tecnica, registrazione degli eventi, trasparenza, supervisione umana, accuratezza e gestione della qualità arriveranno più tardi, nella stessa forma.

La Commissione aveva inizialmente proposto un’attivazione condizionata alla disponibilità delle norme armonizzate, con una data limite. Il testo adottato usa date di calendario fisse, quindi c’è una sola cronologia su cui pianificare.

Agosto 2026 arriva comunque, per un insieme più ristretto di obblighi¶

Tutto ciò che riguarda i clienti segue la scadenza originaria. L’Articolo 50 impone ai fornitori di informare le persone quando interagiscono con un sistema di IA, di marcare in formato leggibile dalla macchina audio, immagini, video e testi sintetici e impone ai deployer di indicare i deepfake e i testi generati dall’IA pubblicati per informare il pubblico su questioni di interesse pubblico. I sistemi di riconoscimento delle emozioni e di categorizzazione biometrica devono informare le persone esposte. Tutto questo si applica dal 2 agosto 2026.

L’unica concessione è un breve periodo transitorio: i sistemi generativi già immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per implementare la marcatura leggibile dalla macchina. I sistemi immessi sul mercato dopo quella data non hanno margine aggiuntivo.

I divieti dell’Articolo 5 sono applicabili dal 2 febbraio 2025 e l’Omnibus ne aggiunge due: i sistemi di IA che generano materiale relativo ad abusi sessuali su minori e quelli che generano immagini intime non consensuali, entrambi vietati dal 2 dicembre 2026. Gli obblighi per i modelli di IA per finalità generali si applicano dal 2 agosto 2025. L’Omnibus ha inoltre ampliato la supervisione dell’Ufficio per l’IA ai sistemi costruiti su modelli di IA per finalità generali e ha riformulato l’obbligo di alfabetizzazione all’IA dell’Articolo 4 come obbligo di promuovere e incoraggiare l’alfabetizzazione all’IA attraverso misure proporzionate.

Per la maggior parte delle imprese che gestiscono assistenti, copiloti e agenti rivolti ai clienti, il lavoro di agosto 2026 si restringe a informative, marcatura e prove del loro funzionamento in produzione. La checklist di dicembre 2026 trasforma i due obblighi di dicembre e le fasi del 2027 e del 2028 in attività organizzate per ruolo e orizzonte temporale.

La registrazione resta, con un carico informativo più leggero¶

La Commissione aveva proposto di eliminare l’obbligo dell’Articolo 49(2) di registrare i sistemi dell’Allegato III che il fornitore valuta autonomamente come non ad alto rischio ai sensi dell’Articolo 6(3). Il Parlamento e il Consiglio hanno respinto l’eliminazione e ripristinato l’obbligo con un insieme di dati più ridotto.

Due voci della Sezione B dell’Allegato VIII sono eliminate. Il punto 7 era il breve riepilogo dei motivi per cui il sistema era considerato non ad alto rischio secondo la procedura dell’Articolo 6(3). Il punto 9 era l’elenco degli Stati membri in cui il sistema era stato immesso sul mercato, messo in servizio o reso disponibile nell’Unione.

Il punto 6 resta, quindi il fornitore deve ancora indicare quale condizione dell’Articolo 6(3) soddisfa il sistema. La valutazione sostanziale non cambia: l’Articolo 6(3) richiede ancora al fornitore di documentare la valutazione prima di immettere il sistema sul mercato e l’Articolo 80 consente ancora a un’autorità di vigilanza del mercato di riaprire la classificazione. Il campo della banca dati scompare. Il documento che giustifica la decisione deve continuare a esistere.

La registrazione segue ora la data dell’Allegato III del 2 dicembre 2027, insieme alla banca dati UE dell’Articolo 71. La guida alla registrazione spiega chi registra cosa e come il contenuto dell’Allegato VIII differisce dal fascicolo tecnico dell’Allegato IV.

La FRIA segue l’Allegato III¶

La valutazione d’impatto sui diritti fondamentali dell’Articolo 27 è un obbligo del deployer collegato ai sistemi ad alto rischio dell’Allegato III, quindi segue la nuova data del 2 dicembre 2027. Si applica agli enti disciplinati dal diritto pubblico, ai soggetti privati che forniscono servizi pubblici e ai deployer di IA utilizzata per la valutazione dell’affidabilità creditizia o il credit scoring e per la valutazione e la determinazione dei prezzi del rischio nell’assicurazione sulla vita e sulla salute.

Anche con la data posticipata, ci sono due aspetti della FRIA da pianificare. La valutazione descrive il processo di implementazione, il periodo e la frequenza d’uso, le categorie di persone interessate, i rischi specifici di danno per loro, le misure di supervisione umana e i rimedi se un rischio si concretizza. Gran parte di questo contenuto esiste solo dopo la progettazione del sistema e la decisione sul modello di supervisione, quindi il lavoro di redazione deve iniziare mesi prima della scadenza.

Il secondo aspetto è l’Articolo 27(4): una valutazione d’impatto sulla protezione dei dati svolta ai sensi del GDPR può essere integrata dalla FRIA anziché essere duplicata. I team che già svolgono DPIA per il credit scoring o la determinazione dei prezzi assicurativi hanno una base riutilizzabile. La guida al modello FRIA illustra le sei sezioni e il generatore FRIA gratuito prepara una prima bozza strutturata.

Cosa resta in vigore nei sedici mesi aggiuntivi¶

L’Omnibus ha spostato le date in un regolamento. L’esposizione che rende rischioso un agente di IA in una funzione regolamentata deriva da più fonti.

• L’Articolo 50 mantiene la scadenza. Le informative e la marcatura dei contenuti si applicano dal 2 agosto 2026 a ogni sistema di IA che dialoga con una persona o produce contenuti sintetici.
• I regimi settoriali restano invariati. Gli obblighi di resilienza operativa DORA, il pacchetto UE antiriciclaggio, il GDPR, le aspettative delle autorità nazionali di vigilanza e le regole prudenziali sul rischio dei modelli si applicano a una decisione guidata dall’IA come a qualsiasi altra decisione.
• Il GDPR, Articolo 22, continua a disciplinare le decisioni automatizzate. Una decisione sul credito o su un sinistro presa senza un coinvolgimento umano significativo comporta il diritto a un riesame umano, a una spiegazione e a un modo per contestarla, indipendentemente da quando il Capo III inizierà ad applicarsi.
• Gli incidenti seguono il proprio calendario. Un alert chiuso per errore, una chiamata a uno strumento con privilegi eccessivi o un agente che esegue un’istruzione ottenuta tramite prompt injection produce danno al cliente e può generare un confronto con l’autorità di vigilanza il giorno stesso.
• La capacità di valutazione della conformità non cresce con la proroga. Organismi notificati, norme armonizzate e team di audit interni avanzano alla stessa velocità. La coda per il 2 dicembre 2027 è la stessa coda, solo più avanti.
• EN 18286 ha superato il Formal Vote e il lavoro collegato continua. DIN riferisce l’esito positivo del Formal Vote e BSI riferisce la pubblicazione nazionale come BS EN 18286:2026 il 24 luglio. La pagina della Commissione aggiornata il 27 luglio descrive ancora la pubblicazione finale CEN/CENELEC come in attesa. prEN 18228 (gestione del rischio), prEN 18283 (bias) e prEN 18284 (governance dei dati) sono ancora in sviluppo. La revisione delle fonti ufficiali del 28 luglio non ha trovato alcun riferimento a EN 18286 nella GUUE. La cronologia degli standard segue le fasi attuali e il separato processo di citazione della Commissione.

Cosa è possibile costruire in sedici mesi¶

Un programma di conformità supera un audit quando l’organizzazione sa mostrare che cosa ha fatto un sistema in una data specifica, chi lo ha autorizzato, quali controlli sono scattati e che cosa ha deciso una persona. Questa evidenza deve essere prodotta mentre il lavoro avviene, dai sistemi che lo eseguono.

Sedici mesi sono sufficienti per portare la governance dalla documentazione al percorso di esecuzione. Il lavoro seguente è utile per i suoi stessi obiettivi ed è lo stesso lavoro che il Capo III richiederà nel dicembre 2027.

• Inventaria e classifica. Indica ogni sistema di IA, la finalità prevista, il ruolo di fornitore o deployer e lo stato nell’Allegato III. Registra il ragionamento dell’Articolo 6(3) quando sostieni che un sistema non è ad alto rischio. Questo alimenta la registrazione, la FRIA e il fascicolo tecnico.
• Porta la policy nel percorso di esecuzione. Codifica i limiti entro cui opera un agente come regole applicabili che vengono eseguite prima di una chiamata a uno strumento, così il blocco di un’azione lascia una registrazione perché il blocco è avvenuto. Il KLA Policy Engine valuta ogni Decision Request nel punto dell’azione.
• Rendi la supervisione umana una superficie operativa. La supervisione dell’Articolo 14 richiede una persona capace di interpretare l’output, sovrascriverlo e fermare il sistema. Servono una coda, un responsabile, un livello di servizio e una registrazione della decisione. Le Decision Request vengono gestite nella Decision Desk.
• Cattura la lineage durante l’esecuzione. Input, chiamate agli strumenti, versioni dei modelli, decisioni della policy, approvazioni ed esiti devono stare in un unico record per ogni esecuzione. Lineage Explorer ricostruisce un caso specifico; Audit Trail conserva la cronologia a prova di manomissione che lo sostiene.
• Costruisci una volta il pacchetto di evidenze. La documentazione tecnica dell’Articolo 11, la registrazione degli eventi dell’Articolo 12, i record del sistema di gestione della qualità dell’Articolo 17 e il piano di monitoraggio post-commercializzazione dell’Articolo 72 utilizzano le stesse esecuzioni sottostanti. Evidence Room produce un Sealed Evidence Bundle che una terza parte può verificare senza accedere ai tuoi sistemi.
• Governa il cambiamento. Una modifica sostanziale ai sensi dell’Articolo 3(23) riapre la valutazione della conformità. Versiona, riesamina e approva ora le release, così il collegamento tra una versione in produzione e le sue evidenze resta valido nel tempo.
• Mappa i controlli ai framework verso cui già riferisci. Control Mapping collega gli articoli dell’EU AI Act a ISO/IEC 42001, DORA e alle librerie di controlli interne, così un test di controllo può rispondere a più revisori.

Una sequenza di sedici mesi¶

La sequenza seguente presuppone un’impresa che utilizza già l’IA in una funzione regolamentata e un obiettivo del 2 dicembre 2027 per gli obblighi dell’Allegato III. Anticipa l’avvio se il lavoro sulle informative dell’Articolo 50 è ancora aperto.

Come cambia la discussione sul budget 2026¶

La risposta più probabile a una proroga di sedici mesi è fermare il programma e riassegnare il team. Questo trasforma un cambiamento di calendario in una lacuna di capacità, perché le attività con i tempi di esecuzione più lunghi sono quelle che vengono tagliate per prime: strumentazione, raccolta delle evidenze, personale per la supervisione e decisioni di classificazione da cui dipende tutto il resto.

Una posizione difendibile per il 2026 mantiene finanziato il lavoro sul livello di esecuzione e lascia che la documentazione segua le nuove date. La strumentazione deve essere progettata nei sistemi mentre vengono costruiti. Inserire a posteriori la raccolta delle evidenze in un agente operativo da un anno è la versione più costosa dello stesso progetto.

La guida ai requisiti dell’EU AI Act contiene la mappa completa degli obblighi e la cronologia delle scadenze mostra le date per fasi rispetto al profilo del tuo sistema.