L'Unione Europea ha pubblicato il Regolamento (UE) 2026/1744, il Digital Omnibus sull'IA, nella Gazzetta Ufficiale il 24 luglio 2026, ridefinendo il calendario di conformità dell'AI Act (Regolamento (UE) 2024/1689). Il provvedimento differisce gli obblighi ad alto rischio, modifica i Regolamenti (UE) 2018/1139 e (UE) 2023/1230 ed estende i divieti dell'Articolo 5 ai sistemi di IA che generano immagini intime prive di consenso e materiale pedopornografico. Vincola ogni fornitore e deployer operante nel mercato unico.
Cosa cambia il regolamento
Il Regolamento (UE) 2026/1744 persegue la finalità formale di semplificare le regole armonizzate sull'intelligenza artificiale. Riscrive l'AI Act attraverso diverse disposizioni portanti, e il cambiamento principale riguarda le tempistiche. Gli obblighi per i sistemi autonomi ad alto rischio elencati nell'Allegato III passano dal 2 agosto 2026 al 2 dicembre 2027, un differimento di sedici mesi. Gli obblighi per i sistemi ad alto rischio integrati in prodotti regolamentati ai sensi dell'Allegato I passano dal 2 agosto 2027 al 2 agosto 2028, una proroga di dodici mesi. La Commissione descrive la ricalibrazione come allineamento con la maturità degli standard armonizzati e la disponibilità dell'infrastruttura di valutazione della conformità negli Stati membri. Il Digital Omnibus raggruppa queste revisioni dell'AI Act con adeguamenti paralleli al Regolamento (UE) 2018/1139 sulla sicurezza aerea e al Regolamento (UE) 2023/1230 sulle macchine, allineando tre regimi di sicurezza dei prodotti su un'unica linea temporale coerente.
Il regolamento aggiunge una nuova pratica vietata al vertice della piramide del rischio. L'Articolo 5 modificato vieta i sistemi di IA che generano o manipolano immagini, video e audio intimi che ritraggono una persona in mancanza del consenso di quest'ultima, insieme al materiale pedopornografico. Il divieto raggiunge i fornitori anche laddove tale output ricada oltre la finalità dichiarata, purché la generazione rappresenti un esito ragionevolmente prevedibile e riproducibile ottenibile in mancanza di modifiche tecniche significative. Questa formulazione cattura i generatori di immagini e video generalisti, le applicazioni "nudifier" che le autorità di protezione dati in tutta Europa hanno ripetutamente segnalato come priorità di enforcement. La scelta sull'ambito conta per i fornitori di modelli fondativi, i cui sistemi possono produrre tali contenuti in un ampio spazio di prompt, collocando l'onere di conformità a livello del modello anziché a valle.
Chi deve agire ed entro quando
Il differimento riguarda esclusivamente la classificazione ad alto rischio. Gli obblighi di trasparenza avanzano secondo il calendario originario. Gli obblighi dell'Articolo 50, divulgazione dell'interazione con l'IA, dei contenuti generati automaticamente, dei deepfake e dei sistemi di riconoscimento delle emozioni o categorizzazione biometrica, entrano in vigore il 2 agosto 2026. I fornitori che immettono sistemi generativi sul mercato prima di tale data ricevono una finestra di tolleranza di quattro mesi per il requisito di marcatura dell'Articolo 50(2), finestra che si chiude il 2 dicembre 2026. Questa divisione crea una realtà di conformità a due velocità: gli obblighi di etichettatura e divulgazione vincolano nel giro di settimane, mentre il lavoro ingegneristico guidato dalla classificazione guadagna respiro.
Il nuovo divieto dell'Articolo 5 prevede un periodo transitorio che termina il 2 dicembre 2026, concedendo ai fornitori una pista definita per ritirare o riprogettare le capacità che producono output vietato. A partire da tale data, l'enforcement attiva il livello sanzionatorio più severo dell'AI Act: sanzioni amministrative fino a 35 milioni di euro o al 7% del fatturato mondiale annuo totale, a seconda di quale importo risulti superiore. Le autorità nazionali di vigilanza del mercato e l'Ufficio europeo per l'IA condividono la giurisdizione su queste sanzioni, e il massimale si applica per singola violazione. Il massimale elevato segnala il trattamento da parte dei colegislatori dei contenuti sintetici di abuso sessuale come pratica di linea rossa, alla pari del punteggio sociale e dell'estrazione indiscriminata per il riconoscimento facciale.
Le entità interessate coprono l'intera catena del valore. Gli obblighi raggiungono i fornitori di modelli di IA generalisti, gli sviluppatori di sistemi classificati ad alto rischio, i deployer che integrano modelli di terzi in prodotti regolamentati e i distributori che immettono strumenti di generazione di immagini e video sul mercato europeo. Gli importatori che convogliano modelli extra-UE nel mercato ereditano obblighi di verifica equivalenti a quelli dei fornitori nazionali. Il regolamento affina anche il dovere di alfabetizzazione all'IA dell'Articolo 4 e il regime di sandbox normativa dell'Articolo 57, e consente il trattamento di categorie particolari di dati personali ove necessario per rilevare e mitigare i bias nei modelli di IA, un'apertura mirata all'interno del quadro del GDPR che sblocca i test di equità in precedenza limitati dai vincoli di minimizzazione dei dati.
La decisione a livello di consiglio
Gli amministratori guadagnano margine ingegneristico accanto a un divieto più incisivo, e i due sviluppi richiedono una risposta unica e coordinata. Il traguardo di governance ruota attorno a una ridefinizione documentata della roadmap di conformità all'IA rispetto alle nuove date di riferimento. I consigli dovrebbero incaricare il general counsel e il chief risk officer di riclassificare ogni sistema inventariato, confermando quali ricadano nell'Allegato III (dicembre 2027), nell'Allegato I (agosto 2028) o nel regime di trasparenza vincolante dall'agosto 2026. L'esercizio comporta un secondo mandato: un audit di ogni capacità generativa distribuita o acquisita rispetto al divieto ampliato dell'Articolo 5, completato prima del termine transitorio del 2 dicembre 2026. Le organizzazioni che si affidano a modelli fondativi di terzi dovrebbero ottenere garanzie contrattuali che confermino che il fornitore del modello ha valutato gli output vietati ragionevolmente prevedibili e dispone di controlli adeguati. Il differimento si converte in valore quando gli amministratori reinvestono il tempo recuperato in una solida documentazione di conformità, trattandolo come un'opportunità. Il divieto, al contrario, richiede attenzione legale immediata. Entrambi appartengono al prossimo ordine del giorno del consiglio come un'unica voce d'azione datata e assegnata a un responsabile, con progressi riferiti al comitato di audit ogni trimestre fino al 2027.
Articolo di ATLASGovernance e Conformità
ATLAS analizza la regolamentazione dell'IA a partire dalle fonti giuridiche primarie. Ogni obbligo citato dal documento ufficiale.