Digital Omnibus IA: cosa è cambiato per le aziende

Cos’è il Digital Omnibus sull’IA?

Il regolamento (UE) 2026/1744 dell’8 luglio 2026 ha il titolo «regolamento Digital Omnibus sull’IA». È stato pubblicato nella Gazzetta ufficiale il 24 luglio 2026 ed è entrato in vigore il terzo giorno successivo, cioè il 27 luglio 2026. Modifica soprattutto l’EU AI Act in breve (regolamento (UE) 2024/1689) e mira a semplificarne l’attuazione. La versione modificata dell’AI Act è disponibile come testo consolidato su EUR-Lex.

Due termini ricorrono spesso: i fornitori sviluppano un sistema di IA o lo immettono sul mercato con il proprio nome. I deployer utilizzano un sistema di IA a titolo professionale; un’azienda che si limita a usare strumenti di IA è deployer. Le piccole imprese a media capitalizzazione sono più grandi delle PMI, ma più piccole delle grandi imprese.

Le modifiche in sintesi

La tabella mette a confronto la situazione precedente e quella nuova, con riferimento normativo, data e ciò che dovrebbe fare un’azienda che utilizza l’IA. Le prime sei righe riguardano la maggior parte delle imprese, le ultime quattro soprattutto i fornitori e i casi ad alto rischio.

La base è il testo del regolamento (UE) 2026/1744, letto il 3 novembre 2026.

Alfabetizzazione IA ai sensi dell’art. 4: attenuata, non eliminata

I fornitori e i deployer di sistemi di IA continuano ad adottare misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA del proprio personale e di altre persone che operano con l’IA per loro conto (art. 4, paragrafo 1). La seconda frase è nuova: l’obbligo non richiede di garantire a nessuna persona un determinato livello di alfabetizzazione IA. In precedenza le aziende dovevano assicurare un livello sufficiente nella misura del possibile.

Si aggiungono due nuovi paragrafi. La Commissione e gli Stati membri sostengono le imprese, in particolare le PMI, e la Commissione pubblica esempi pratici (paragrafo 2). Il Comitato per l’IA formula raccomandazioni su obiettivi comuni (paragrafo 3). La modifica è motivata dall’onere che obblighi rigorosi comportano soprattutto per le imprese più piccole (considerando 8). La Commissione raccoglie già esempi dalla pratica nel suo repository delle pratiche di alfabetizzazione IA. Secondo la Commissione, adottare una pratica ivi elencata non soddisfa automaticamente l’art. 4.

In pratica: l’art. 4 non prescrive né un formato né una prova. Un corso di formazione è una misura possibile, così come una policy interna o un workshop. Conviene documentare chi ha fatto cosa e quando. Come attuare l’ obbligo di alfabetizzazione IA ai sensi dell’art. 4 è spiegato nella pagina dedicata.

Nuovi divieti dal 2 dicembre 2026

Dal 2 dicembre 2026 sono vietate altre due pratiche di IA (art. 5, paragrafo 1, lettere ba) e bb), art. 113, paragrafo 3, lettera a)):

• Sistemi di IA che generano o manipolano immagini, video o registrazioni audio realistici in cui sono rappresentate parti intime o atti sessuali di una persona identificabile senza il suo consenso esplicito.
• Sistemi di IA che generano o manipolano rappresentazioni di abusi sessuali su minori ai sensi della direttiva 2011/93/UE.

Per le aziende che si limitano a usare simili strumenti, vale quanto segue: l’uso è vietato solo se il deployer impiega il sistema a tale scopo (art. 5, paragrafo 1 bis, lettera b). Chi usa un generatore di immagini per foto di prodotto o grafiche non rientra nel divieto. Una regola chiara sull’uso di generatori di immagini e video va comunque inserita nella policy IA. Le violazioni dei divieti rientrano nella fascia di sanzione più alta; la nuova regola per le imprese a media capitalizzazione qui non vale. Dettagli nella pagina Sanzioni per le violazioni.

Scadenze: prima e adesso

Slittano soprattutto gli obblighi per l’IA ad alto rischio: di 16 mesi per l’allegato III (occupazione, istruzione, valutazione del merito creditizio e altri ambiti) e di 12 mesi per l’allegato I (IA in prodotti regolamentati). Si aggiunge un periodo transitorio fino al 2 dicembre 2026 per la marcatura ai sensi dell’art. 50, paragrafo 2, solo per i fornitori di sistemi generativi immessi sul mercato prima del 2 agosto 2026. Le altre date restano invariate. Le date dal 2024 al 2028 sono nel calendario delle scadenze dell’EU AI Act.

Cosa vale per le PMI e per le piccole imprese a media capitalizzazione?

L’AI Act definisce ora le PMI (art. 3, punto 14 bis, secondo la raccomandazione 2003/361/CE) e le piccole imprese a media capitalizzazione (art. 3, punto 14 ter, secondo la raccomandazione (UE) 2025/1099). Per le piccole imprese a media capitalizzazione, nelle sanzioni per violazioni ai sensi dell’art. 99, paragrafi 4 e 5, vale il più basso dei due importi, come già per le PMI (paragrafo 6 bis), come già per le PMI (paragrafo 6). Per le pratiche vietate (paragrafo 3) questa regola non vale per le imprese a media capitalizzazione. La vigilanza spetta alle autorità nazionali di vigilanza del mercato.

Cosa non è cambiato

• I divieti esistenti dell’art. 5 si applicano dal 2 febbraio 2025.
• Gli obblighi per i modelli di IA per finalità generali si applicano dal 2 agosto 2025.
• Gli obblighi dei deployer ai sensi dell’art. 50, paragrafi 3 e 4, si applicano dal 2 agosto 2026, senza periodo transitorio. Maggiori informazioni nella pagina etichettatura IA.
• L’art. 4 resta un obbligo di adottare misure, per aziende di ogni dimensione.

Cosa dovrebbero fare adesso le aziende

1. Creare un inventario IA: chi usa quale strumento e per cosa?
2. Verificare se un impiego rientra nell’alto rischio di cui all’allegato III, ad esempio nella selezione del personale. In tal caso, segnarsi il 2 dicembre 2027.
3. Stabilire regole d’uso per i generatori di immagini e video prima che i nuovi divieti scattino il 2 dicembre 2026.
4. Definire misure di alfabetizzazione IA e documentare volontariamente chi ha fatto cosa e quando; l’art. 4 non richiede alcuna prova. Una formazione IA per i team è una misura possibile.
5. Tenere d’occhio gli esempi pratici della Commissione sull’art. 4.

Domande frequenti sul Digital Omnibus sull’IA

Il Digital Omnibus sull’IA si applica già?

Sì. Il regolamento (UE) 2026/1744 è stato pubblicato nella Gazzetta ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026. Alcune modifiche si applicano più tardi, ad esempio i nuovi divieti dal 2 dicembre 2026.

L’obbligo di formazione sull’IA è stato abolito dal Digital Omnibus?

No. L’art. 4 obbliga ancora fornitori e deployer ad adottare misure di alfabetizzazione IA. La novità è che non devono garantire un determinato livello di competenza. L’art. 4 continua a non prescrivere una formazione; è una misura possibile. Maggiori informazioni nella pagina obbligo di alfabetizzazione IA.

Qual è la differenza tra l’omnibus sull’IA e l’omnibus sui dati?

Sono due pacchetti legislativi distinti. L’omnibus sull’IA modifica l’EU AI Act e si applica dal 27 luglio 2026. L’omnibus su dati, GDPR e cookie è ancora in corso di iter legislativo (stato al 3 novembre 2026).

Fino al 2027 non dobbiamo fare nulla?

Invece sì. L’art. 4 si applica dal 2 febbraio 2025, i divieti esistenti pure, e il 2 dicembre 2026 se ne aggiungono due nuovi. Sono slittati soprattutto gli obblighi per l’IA ad alto rischio. Per la marcatura dei sistemi generativi preesistenti (art. 50, paragrafo 2) vale un periodo transitorio fino al 2 dicembre 2026, solo per i fornitori.

Vale anche per le piccole aziende?

Sì. L’art. 4 non prevede una dimensione minima. Ci sono agevolazioni per le sanzioni: per le PMI vale l’importo più basso e, per le piccole imprese a media capitalizzazione, nelle violazioni dell’art. 99, paragrafi 4 e 5, ma non per le pratiche vietate.

Forma il tuo team Tutte le scadenze

Nota: questo articolo è a scopo informativo e non costituisce consulenza legale.