rinvio al 2027 sui rischi, ma da domenica via ai controlli

Il Digital Omnibus sposta al 2027 le regole sui sistemi ad alto rischio. Dal 2 agosto partono però la vigilanza sulle aziende e le sanzioni europee.

Il 2 agosto 2026 doveva segnare l’ingresso definitivo dell’Europa nell’era dell’intelligenza artificiale con l’applicazione totale delle nuove regole di mercato. Il Consiglio dell’Unione europea ha però cambiato le carte in tavola con l’approvazione definitiva del Digital Omnibus, un testo normativo che modifica il calendario originario dell’AI Act (Regolamento Ue 2024/1689). Le regole più severe per i sistemi tecnologici ad alto rischio slittano al 2027 e al 2028. Le imprese, tuttavia, non hanno tempo per rilassarsi. Da domenica prossima entrano in funzione le autorità di vigilanza, scattano gli obblighi di trasparenza verso i cittadini e la Commissione europea assume il potere di sanzionare le irregolarità con multe milionarie.

Slittano le scadenze per i sistemi ad alto rischio

Il testo originario della normativa europea prevedeva una partenza rapida. Il Digital Omnibus concede invece un respiro più lungo per i settori più delicati. I sistemi di intelligenza artificiale inseriti all’interno dell’Allegato III della direttiva, impiegati in ambiti sensibili come la selezione del personale, la concessione di crediti, l’istruzione e la biometria, dovranno rispettare i vincoli più stringenti solo a partire dal 2 dicembre 2027. Un rinvio ancora più marcato interessa le tecnologie dell’Allegato I, come i dispositivi medici e i macchinari industriali, con l’applicazione effettiva spostata al 2 agosto 2028. La pubblicazione ufficiale del testo di rinvio nella Gazzetta Ufficiale dell’Unione europea avverrà entro la fine del mese di luglio.

Formazione in azienda: la prima prova per le imprese

Nonostante i rinvii, il 2 agosto 2026 segna il debutto operativo delle autorità nazionali di vigilanza. Il primo faro delle istituzioni si accende sulla formazione aziendale. L’articolo 4 dell’AI Act impone a chi sviluppa sistemi di intelligenza artificiale, definiti fornitori, e a chi li utilizza per scopi professionali, i cosiddetti deployer, di fornire al personale un livello adeguato di alfabetizzazione tecnologica. Questo vincolo esiste sulla carta dal 2 febbraio 2025, ma fino a oggi le autorità non possedevano il potere di verificarlo con ispezioni dirette.

Il Digital Omnibus ammorbidisce il testo di legge. Non è più obbligatorio “garantire” il risultato finale in maniera assoluta, ma le imprese devono adottare misure per “sostenere lo sviluppo” delle competenze interne. Una violazione di questo articolo non comporta sanzioni pecuniarie dirette, ma espone le aziende a conseguenze civili devastanti.

Per comprendere la gravità del rischio, si immagini un addetto alle risorse umane di una grande azienda. Il dipendente utilizza un software di intelligenza artificiale per scartare i curriculum dei candidati e, per imperizia, commette una discriminazione legata all’età o al sesso. L’azienda finisce in tribunale per rispondere del danno. In sede civile, la direzione aziendale può difendersi in un solo modo: dimostrare con documenti tracciabili di aver formato quel lavoratore in maniera specifica sui rischi etici del software. L’impresa ha il dovere di mappare i programmi informatici in uso, registrare le ore di studio e differenziare i corsi in base alle diverse mansioni lavorative. Senza un piano di alfabetizzazione dimostrabile, il datore di lavoro paga per intero i danni causati dalle scelte della macchina.

Obblighi di trasparenza su chatbot e foto alterate

L’articolo 50 dell’AI Act non subisce sconti sui tempi per quanto riguarda la tutela immediata del cittadino. A partire da domenica prossima, le aziende devono rispettare rigidi doveri informativi. Chi mette a disposizione del pubblico sistemi virtuali ha l’obbligo di rendere palese la loro natura artificiale. L’utente deve sempre sapere con certezza se dialoga con un operatore umano o con un chatbot, a meno che il contesto di utilizzo non renda la finzione del tutto ovvia. La legge impone comunicazioni trasparenti anche per chi utilizza sistemi di riconoscimento delle emozioni o tecnologie di categorizzazione biometrica a distanza.

Le stesse regole stringenti si applicano a chi crea contenuti video alterati, i famosi deepfake, o genera testi in modo artificiale per influenzare l’opinione pubblica su questioni di rilevanza generale. Il legislatore europeo concede un alleggerimento formale solo sull’obbligo di marcatura digitale, il cosiddetto watermarking. Per i sistemi già presenti sul mercato, l’adozione di un marchio leggibile dalle macchine per identificare i contenuti sintetici slitta al 2 dicembre 2026.

Dalla medesima data di dicembre scatta un divieto assoluto e insuperabile. La legge mette al bando i software concepiti per generare immagini intime non consensuali, noti come nudifier, e ogni applicativo capace di produrre materiale pedopornografico, in assenza di salvaguardie tecniche adeguate a inibirne l’abuso.

Multe europee per i giganti tecnologici

Le regole mutano in modo radicale anche per i modelli di intelligenza artificiale per finalità generali, indicati con l’acronimo Gpai. Si tratta dei grandi motori algoritmici che alimentano i principali servizi generativi sul mercato mondiale. Questi colossi tecnologici rispettano già dallo scorso anno i vincoli basilari legati ai diritti d’autore e alla documentazione tecnica. Dal 2 agosto 2026, la Commissione europea assume però i pieni poteri per reprimere e punire le infrazioni sul nascere.

Tramite un ufficio specializzato, l’Ai Office, Bruxelles ottiene la facoltà di richiedere dati riservati, ordinare aggiustamenti tecnici ai server e infliggere multe senza precedenti. Le sanzioni per le irregolarità ordinarie raggiungono i 15 milioni di euro o il 3% del fatturato mondiale annuo della multinazionale colpevole. I numeri lievitano fino a 35 milioni di euro, o al 7% del fatturato globale, in caso di pratiche tassativamente vietate dai regolamenti comunitari. L’Europa accentra la gestione dei grandi modelli globali, ma lascia alle autorità nazionali il controllo diffuso sulle singole imprese locali.

Nuovi illeciti e responsabilità per le imprese italiane

In Italia, la vigilanza operativa sul campo spetta all’Agenzia per la cybersicurezza nazionale (Acn). Questo ente lavora in sinergia con il Garante per la protezione dei dati personali, la Banca d’Italia, la Consob e l’Ivass per presidiare ogni singolo settore di competenza. Lo scorso 10 giugno, il Consiglio dei ministri ha approvato due decreti attuativi fondamentali per delineare i poteri di indagine e le sanzioni sul territorio nazionale.

La direzione impressa dall’esecutivo appare severa. Il diritto italiano si arricchisce a breve con l’introduzione del nuovo articolo 437-bis del Codice penale. La norma punisce in maniera dura chi omette le necessarie misure di sicurezza sui sistemi ad alto rischio, generando di conseguenza un pericolo reale e concreto per l’incolumità delle persone.

Questo nuovo illecito entra a pieno titolo nel catalogo normativo che innesca la responsabilità diretta degli enti (Decreto Legislativo n. 231 del 2001). Un’azienda finisce sotto processo e subisce sanzioni patrimoniali dirette qualora un proprio manager commetta questo delitto al fine di generare un vantaggio o un risparmio per le casse aziendali. Lo stesso meccanismo si applica per la diffusione illecita di deepfake, fattispecie già prevista dall’articolo 612-quater del Codice penale. I consigli di amministrazione hanno l’obbligo inderogabile di aggiornare i propri Modelli Organizzativi 231 per intercettare i rischi legati ai nuovi software.

I passi obbligati per consulenti e aziende

Il rinvio delle scadenze principali non autorizza alcun tipo di inerzia aziendale. Le società di consulenza invitano le imprese a sfruttare i mesi a disposizione per censire ogni singolo strumento algoritmico in uso tra i dipendenti. Il Digital Omnibus impone una regola severa per far valere le eccezioni di legge.

Se un fornitore immette sul mercato un software teoricamente inquadrato nell’Allegato III, ma valuta in totale autonomia di non rientrare nella categoria ad alto rischio per assenza di impatti diretti su salute e sicurezza, ha un dovere documentale preciso. L’azienda deve redigere un’autovalutazione scritta ed estremamente dettagliata. Quando il regime normativo completo entrerà in vigore a fine 2027, la società dovrà obbligatoriamente registrare questa dichiarazione all’interno della banca dati europea. Si tratta di un registro pubblico, su cui le autorità di garanzia andranno a leggere i nomi di chi si tira fuori dalle regole per pianificare controlli a sorpresa. Un inventario interno e accurato rappresenta oggi l’unico scudo legale per evitare sanzioni future e rispettare gli obblighi informativi sui clienti.