AI Act, arriva l'Omnibus digitale: cosa cambia con il Regolamento (UE) 2026/1744

AI Act e Digital Omnibus. Pubblicato in Gazzetta Ufficiale UE l’8 luglio 2026 (in vigore dal 27 luglio), il nuovo regolamento modifica in profondità l’AI Act: rinviate le scadenze per i sistemi ad alto rischio, nuovi divieti su deepfake intimi e materiale pedopornografico generato da IA, più poteri all’Ufficio IA e semplificazioni per PMI e piccole imprese a media capitalizzazione.

Perché un “Omnibus digitale” sull’IA

A due anni dall’entrata in vigore del Regolamento (UE) 2024/1689 il cosiddetto AI Act, l’Unione europea interviene con un https://digital-strategy.ec.europa.eu/it/news?page=1, il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale del 24 luglio 2026 ed entrato in vigore il terzo giorno successivo alla pubblicazione, come previsto dall’articolo 4.

L’obiettivo dichiarato dal legislatore è affrontare le difficoltà emerse nell’attuazione pratica del regolamento.

E cioè ritardi nella predisposizione delle norme tecniche, nella definizione dei quadri di governance nazionali.

Ma anche un onere di conformità più gravoso del previsto, soprattutto per le imprese di minori dimensioni.

Il testo modifica:

• l’AI Act,
• il Regolamento (UE) 2018/1139 sull’aviazione civile,
• il Regolamento (UE) 2023/1230 sulle macchine.

Scadenze slittano, alto rischio rinviato al 2027-2028

La novità più rilevante per gli operatori riguarda il calendario di applicazione del Capo III, sezioni 1, 2 e 3, dedicato ai sistemi di IA ad alto rischio.

Le nuove date, fissate dall’articolo 113 come modificato:

• 2 dicembre 2027 per i sistemi ad alto rischio classificati ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III (casi d’uso “orizzontali”: accesso a servizi essenziali, giustizia, lavoro, istruzione, biometria, ecc.);
• 2 agosto 2028 per i sistemi ad alto rischio come componenti di sicurezza di prodotti disciplinati dalla normativa di armonizzazione UE (allegato I, sezione A) ai sensi dell’articolo 6, paragrafo 1.

Restano confermate al 2 agosto 2026 le disposizioni generali già note, mentre gli articoli 102-110 (sanzioni e governance) si applicano dal 27 luglio 2026.

Nuovi divieti, deepfake intimi non consensuali e CSAM generati da IA

L’articolo 5 dell’AI Act viene ampliato con due nuove pratiche vietate, che entreranno in applicazione dal 2 dicembre 2026:

– divieto di sistemi di IA che generano o manipolano materiale intimo non consensuale (app di “nudificazione”), salvo consenso libero, specifico, informato e inequivocabile della persona ritratta;

– divieto di sistemi che generano o manipolano materiale di abuso sessuale su minori, anche parzialmente sintetico, salvo cause di giustificazione previste dal diritto nazionale (ad esempio attività di polizia giudiziaria o red teaming).

Il divieto per i fornitori scatta quando la generazione di tale materiale costituisce la finalità prevista del sistema, oppure quando è un risultato ragionevolmente prevedibile in assenza di misure tecniche adeguate (filtri, guardrail, restrizioni d’uso).

Per i deployer il divieto si applica solo all’uso effettivo del sistema per generare quel tipo di contenuti.

Alfabetizzazione in materia di IA, obbligo “attenuato”

L’articolo 4 viene riscritto: fornitori e deployer devono adottare misure per sostenere l’alfabetizzazione in materia di IA del proprio personale.

Il nuovo testo chiarisce che non è imposto il raggiungimento di un livello specifico di competenza.

Commissione e Stati membri dovranno supportare questo processo con materiali pratici e raccomandazioni del consiglio per l’IA.

Più margine per PMI e piccole imprese a media capitalizzazione

Il regolamento introduce nell’AI Act le definizioni di:

• PMI (rinvio alla raccomandazione 2003/361/CE),
• piccola impresa a media capitalizzazione (rinvio alla raccomandazione (UE) 2025/1099).

Estese a queste ultime le semplificazioni già previste per le microimprese:

• documentazione tecnica semplificata,
• procedure agevolate per il sistema di gestione della qualità (art. 63),
• sanzioni pecuniarie calmierate (nuovo art. 99, par. 6 bis).

Rafforzati i poteri dell’Ufficio per l’IA

Tra le modifiche più tecniche, ma di grande impatto sistemico, spicca l’introduzione di tre nuovi articoli (75 bis, 75 ter, 75 quater) che attribuiscono all’Ufficio per l’IA della Commissione poteri equiparabili a quelli di un’autorità di vigilanza del mercato:

• richieste di informazioni,
• ispezioni in loco,
• possibilità di rendere vincolanti gli impegni degli operatori e di irrogare sanzioni pecuniarie e penalità di mora.

La competenza esclusiva dell’Ufficio riguarda in particolare i sistemi di IA basati su modelli per finalità generali sviluppati dallo stesso fornitore, e i sistemi integrati in piattaforme online o motori di ricerca di dimensioni molto grandi ai sensi del Digital Services Act.

Macchine, cambia il regime normativo

Il Regolamento (UE) 2023/1230 sulle macchine viene spostato dalla sezione A alla sezione B dell’allegato I dell’AI Act: un passaggio a un approccio settoriale, che integrerà direttamente nel regolamento macchine i requisiti di sicurezza propri dei sistemi di IA ad alto rischio, tramite futuri atti delegati della Commissione applicabili entro il 2 agosto 2028.

Le altre novità in sintesi

– Nuova base giuridica (art. 4 bis) per il trattamento eccezionale di categorie particolari di dati personali ai fini del rilevamento e correzione delle distorsioni algoritmiche (bias), estesa anche ai deployer.

– Componente di sicurezza: la definizione viene circoscritta per evitare estensioni improprie della classificazione “alto rischio”.

– Procedura di domanda unica per gli organismi notificati che operano sotto più normative di armonizzazione UE.

– Nuovo allegato XIV con la codifica dei sistemi di IA (codici AIP, AIB, AIH) ai fini della designazione degli organismi notificati.

– Spazi di sperimentazione normativa (sandbox): possibile istituzione di una sandbox a livello UE gestita dall’Ufficio per l’IA, con accesso prioritario per PMI e start-up.