Il 27 luglio 2026 l’AI Omnibus è entrato in vigore in tutta l’UE, introducendo termini più lunghi per la semplificazione amministrativa. Il regolamento di semplificazione, approvato ha spostato in avanti il cuore degli obblighi sull’alto rischio: il 2 dicembre 2027 per i sistemi stand-alone dell’Allegato III — selezione del personale, gestione del rapporto di lavoro, merito creditizio, istruzione, accesso ai servizi essenziali, giustizia — e il 2 agosto 2028 per l’IA incorporata nei prodotti disciplinati dall’Allegato I. Sedici mesi in più, motivati dalla mancata maturazione degli standard armonizzati.
Si tratta di una proroga che non impatta su tutti gli obblighi, infatti a partire dal 2 agosto 2026 tre cose accadono comunque.
Primo: gli obblighi di trasparenza
L’articolo 50 non è stato toccato dalla proroga. Da domenica, chi fornisce sistemi destinati a interagire con persone fisiche deve renderne riconoscibile la natura artificiale, salvo che ciò sia evidente per un utente mediamente avveduto. Chi impiega sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare gli interessati. Chi genera deepfake o pubblica testi destinati a informare il pubblico su questioni di interesse pubblico deve dichiararlo. E i fornitori di sistemi generativi devono marcare i contenuti sintetici in formato leggibile dalla macchina: qui una disciplina transitoria concede tempo fino al 2 dicembre 2026 per i sistemi già immessi sul mercato, mentre i contenuti anteriori al 2 agosto non vanno etichettati retroattivamente.
Le Linee guida della Commissione sull’articolo 50, pubblicate il 20 luglio, e il Codice di condotta sulla marcatura non sono vincolanti, ma è ingenuo trattarli come letteratura. Chi sceglie di non aderire dovrà dimostrare misure alternative equivalenti e, nel frattempo, sopportare un onere informativo più gravoso davanti all’autorità. Il rischio è quantificato: fino a 15 milioni di euro o il 3% del fatturato mondiale, se superiore.
Secondo: il controllore arriva
Fino a ieri l’AI Act era un regolamento senza vigilanza operativa. Dal 2 agosto le autorità nazionali entrano in funzione e la Commissione acquisisce il potere sanzionatorio sui fornitori di modelli per finalità generali. In Italia l’architettura è definita: la legge 132/2025 e i decreti attuativi approvati dal Consiglio dei ministri il 10 giugno affidano ad AgID il ruolo di autorità di notifica e ad ACN quello di vigilanza del mercato, con poteri ispettivi e sanzionatori e funzione di punto di contatto unico con l’Unione. Accanto, Banca d’Italia, CONSOB e IVASS per il perimetro finanziario e il Garante per i sistemi ad alto rischio in ambito law enforcement e giustizia, con un comitato di coordinamento presso la Presidenza del Consiglio a comporre le inevitabili sovrapposizioni.
Terzo: la formazione diventa esigibile
Il primo banco di prova sarà l’adempimento più antico e più trascurato. L’articolo 4 impone a fornitori e deployer — chiunque usi l’IA a scopo professionale — di assicurare al personale un livello adeguato di alfabetizzazione, proporzionato al ruolo e ai rischi. È in vigore dal 2 febbraio 2025 e nessuno ha mai potuto verificarlo. Da domenica sì. Chi non è in grado di esibire un programma documentato, con destinatari, contenuti tecnici e giuridici e tracciabilità della partecipazione, parte con uno svantaggio in qualunque interlocuzione ispettiva.
Cosa fare adesso
L’agenda minima: inventario dei sistemi in uso, con classificazione per Allegato; revisione dei touchpoint conversazionali e delle policy editoriali per l’etichettatura; clausole contrattuali che ribaltino sui fornitori gli obblighi di marcatura; verifica del watermarking entro dicembre; formazione documentata. E, sull’alto rischio, nessuna sospensione dei programmi già avviati: un ciclo di adeguamento richiede in media dagli otto ai quattordici mesi.
Dicembre 2027 è più vicino di quanto il calendario suggerisca.
