Una guida aggiornata per trasformare l’incertezza normativa in un vantaggio competitivo
A due mesi dall’entrata in vigore degli obblighi di trasparenza dell’AI Act, il quadro normativo europeo sull’intelligenza artificiale è ormai una realtà operativa. Il Digital Omnibus on AI (Regolamento UE 2026/1744) ha definitivamente ridisegnato il calendario di applicazione dell’AI Act, introducendo un rinvio significativo per gli obblighi relativi ai sistemi ad alto rischio .
Per molte imprese, questa notizia è stata accolta con sollievo. Tuttavia, interpretare il rinvio come una pausa sarebbe un errore strategico. Il periodo di proroga non è un tempo di attesa, ma un’opportunità per costruire le fondamenta di una governance AI solida e prepararsi con metodo alle nuove scadenze.
Cosa è cambiato con il Digital Omnibus: il nuovo calendario
Il Digital Omnibus ha modificato l’articolo 113 dell’AI Act, spostando le date di applicazione degli obblighi per i sistemi ad alto rischio. Il Parlamento europeo ha adottato la sua posizione con 569 voti favorevoli, introducendo date precise per garantire prevedibilità e certezza giuridica . Ecco il calendario aggiornato al 17 settembre 2026:
La distinzione tra le due categorie è fondamentale. I sistemi dell’Allegato III sono applicazioni autonome che rientrano in specifici casi d’uso critici. I sistemi dell’Allegato I sono componenti di sicurezza integrati in prodotti già soggetti a normative settoriali europee, per i quali la conformità AI sarà gestita all’interno del quadro normativo di prodotto esistente .
Cosa è già operativo: il 2 agosto 2026 non è un rinvio
Il Digital Omnibus non ha sospeso l’intero regolamento. Dal 2 agosto 2026, gli obblighi di trasparenza (art. 50) sono pienamente operativi per tutti i 27 Stati membri, senza necessità di recepimento nazionale .
In Italia, il decreto legislativo attuativo è stato approvato in via definitiva il 4 agosto 2026, due giorni dopo l’entrata in vigore degli obblighi. Il decreto assegna la vigilanza a due agenzie:
I quattro obblighi dell’articolo 50 (e cosa è stato prorogato)
L’articolo 50 raggruppa quattro obblighi distinti. La proroga al 2 dicembre 2026 tocca solo un comma :
|
Comma |
Obbligo |
Scadenza |
|---|---|---|
|
Comma 1 |
I fornitori devono segnalare che un sistema parla con l’utente attraverso un’interfaccia artificiale |
2 agosto 2026 |
|
Comma 3 |
Chi usa sistemi di riconoscimento delle emozioni o categorizzazione biometrica deve informare le persone coinvolte |
2 agosto 2026 |
|
Comma 4 |
Chi diffonde deepfake (testo, audio, immagini, video sintetici) deve dichiararli tali |
2 agosto 2026 |
|
Comma 2 |
Marcatura tecnica dei contenuti sintetici (watermarking) per sistemi già sul mercato prima del 2 agosto 2026 |
2 dicembre 2026 (prorogato) |
Chi usa un chatbot acquistato da terzi è già “deployer” ai sensi dell’articolo 3 del Regolamento, anche senza aver scritto una riga di codice. Un’agenzia di comunicazione che integra un chatbot nel proprio sito, o uno studio legale che genera bozze contrattuali con un abbonamento, sono entrambi deployer e devono rispettare gli obblighi di trasparenza dal 2 agosto 2026 .
I sistemi ad alto rischio: quali sono e come classificarli
La Commissione Europea ha pubblicato le bozze di Linee Guida sulla classificazione dei sistemi ad alto rischio, aprendo una consultazione pubblica chiusa il 23 giugno 2026 . Sebbene non ancora adottate in via definitiva e non vincolanti, queste linee guida rappresentano il primo documento in cui la Commissione prende posizione con centinaia di esempi concreti sulla domanda più temuta dell’intero Regolamento: quando un sistema entra nel regime ad alto rischio e quando ne resta fuori .
Percorso 1: Sistemi dell’Allegato III (standalone)
Rientrano in questa categoria i sistemi utilizzati in 8 aree critiche :
Per le PMI italiane, le aree più frequenti sono due: la selezione del personale e lo scoring dei clienti .
La Commissione ha chiarito che rientrano nell’alto rischio anche sistemi che influenzano apprezzabilmente il processo decisionale, anche senza determinarlo direttamente. Ad esempio, sistemi di job matching che attribuiscono punteggi o classificazioni, strumenti di targeted job advertising, sistemi che monitorano performance lavorative .
Percorso 2: Sistemi dell’Allegato I (integrati in prodotti)
Questi sono sistemi di IA utilizzati come componente di sicurezza di prodotti già regolamentati da normative europee di armonizzazione .
Un sistema è classificato ad alto rischio ai sensi dell’articolo 6 quando soddisfa due condizioni cumulative:
La definizione di “componente di sicurezza” è stata chiarita dal Digital Omnibus: comprende solo i sistemi il cui scopo è prevenire o mitigare rischi per la salute e la sicurezza delle persone o dei beni. Sono esclusi la mera assistenza all’utente, l’ottimizzazione delle prestazioni e il controllo di qualità .
Il meccanismo di esclusione (art. 6): quando un sistema NON è ad alto rischio
L’AI Act prevede un meccanismo di esclusione (filter mechanism) che consente di non classificare come ad alto rischio sistemi che, pur rientrando formalmente in un caso d’uso dell’Allegato III, non influenzano materialmente l’esito del processo decisionale .
Le quattro condizioni alternative per l’esclusione sono :
- Il sistema svolge un compito limitato e preparatorio
- Il sistema migliora il risultato di una valutazione umana già completata
- Il sistema rileva pattern decisionali senza sostituire o influenzare la valutazione umana
- Il sistema svolge attività preparatorie rispetto a una valutazione successiva
Tuttavia, l’esclusione non si applica se il sistema effettua profilazione ai sensi del GDPR, ossia qualsiasi trattamento automatizzato di dati personali per valutare aspetti personali (prestazioni lavorative, affidabilità, comportamento, preferenze, situazione economica) .
La valutazione dell’esclusione è responsabilità del fornitore, ma le autorità di vigilanza possono verificarla e contestarla. Se un sistema è stato erroneamente classificato come non ad alto rischio per eludere gli obblighi, possono essere adottate misure correttive .
Cosa fare adesso: una roadmap operativa
Il periodo di proroga è un’opportunità per prepararsi con metodo. Ecco i passaggi operativi consigliati:
Fase 1: Mappatura e classificazione (da subito)
Il primo passo è censire tutti i sistemi di IA in uso, inclusi quelli integrati in software commerciali o SaaS, e verificare in quale categoria di rischio ricadono.
Molte aziende usano IA in customer care, marketing, HR, compliance, cybersecurity o produttività individuale senza un inventario aggiornato e senza sapere se agiscono da fornitore, deployer o semplice utilizzatore. Questo espone a violazioni degli obblighi di trasparenza già operativi e, per i casi ad alto rischio, di logging, supervisione umana e documentazione .
Fase 2: Governance e responsabilità (entro fine 2026)
Costruire una cabina di regia tra legal, IT, privacy, cyber, HR, compliance e audit. Non serve per legge un AI Officer, ma serve un presidio organizzativo con responsabilità chiaramente attribuite.
Fase 3: Sistema di gestione del rischio (2027)
Per i sistemi classificati ad alto rischio, implementare:
Fase 4: Adeguamento dei contratti e procurement (2027)
Integrare clausole contrattuali che affrontino:
- Protezione dei dati
- Proprietà intellettuale
- Responsabilità in caso di incidenti
- Obblighi di cooperazione con le autorità
Fase 5: Formazione e cultura (continuo)
L’obbligo di AI literacy è già in vigore dal febbraio 2025. Il Digital Omnibus ha attenuato il requisito: ora è sufficiente adottare misure a sostegno dello sviluppo dell’alfabetizzazione in materia di IA tra il personale, senza dover garantire un livello specifico .
Sanzioni: cosa rischiano le imprese
Le sanzioni previste dall’articolo 99 del Regolamento sono graduate in base alla gravità della violazione :
|
Livello |
Violazione |
Sanzione massima |
|---|---|---|
|
1 |
Pratiche vietate (art. 5) |
35 milioni € o 7% del fatturato globale |
|
2 |
Violazioni obblighi sistemi alto rischio e GPAI |
15 milioni € o 3% del fatturato globale |
|
3 |
Informazioni inesatte o fuorvianti alle autorità |
7,5 milioni € o 1% del fatturato globale |
Per le PMI e le startup, il tetto più basso tra i due si applica, ma l’ordine dei controlli non cambia. Il primo controllo, in un sistema di vigilanza appena avviato, arriva più facilmente su chi non si aspettava di doverne rispondere .
In Italia, la Legge 132/2025 aggiunge un ulteriore livello di sanzioni: fino a 1.549.000 euro e, nei casi più gravi, misure interdittive ai sensi del D.Lgs. 231/2001, con sospensione di licenze ed esclusione da contratti pubblici per un massimo di due anni .
Come DGE Group accompagna le imprese
Il nostro approccio alla compliance AI non si limita a checklist e adempimenti. Costruiamo un sistema di AI Governance che integra gli obblighi normativi con la strategia aziendale, trasformando la conformità in un vantaggio competitivo.
Progettazione della governance AI
Definiamo ruoli, responsabilità e flussi decisionali per la gestione dei sistemi AI, integrando la compliance nella struttura organizzativa e nei processi aziendali. Per le PMI e le startup, l’AI Act prevede un regime semplificato, con accesso prioritario e gratuito alle sandbox regolamentari .
Conclusione
Il rinvio delle scadenze per i sistemi ad alto rischio non è un segnale di allentamento, ma un’opportunità per prepararsi con metodo. Le aziende che utilizzeranno il periodo di proroga per mappare i sistemi, costruire la governance e formare il personale arriveranno al 2027 e al 2028 in una posizione di vantaggio competitivo.
Il 2 agosto 2026 è già passato: gli obblighi di trasparenza sono operativi, e le autorità di vigilanza italiane (AgID e ACN) hanno un perimetro definito e una scadenza di dicembre da presidiare. Il rischio più concreto è non avere il controllo degli strumenti già in uso. Il tempo per agire è adesso.
Il tuo percorso verso una governance AI all’altezza delle sfide del futuro inizia con una consulenza. Contattaci per valutare insieme la tua strategia.
