Il Digital Omnibus sull'IA: che cosa ha cambiato il Regolamento (UE) 2026/1744

La quasi totalità dei commenti sulla prima modifica del Regolamento UE sull'IA si riduce a quattro parole: il Regolamento sull'IA è stato rinviato. È una sintesi errata e, per una funzione di conformità, è concretamente pericolosa, perché induce l'organizzazione a sospendere il lavoro su obblighi che sono già esigibili e già assistiti da sanzioni.

Il quadro corretto ha due facce. Il regime sui sistemi ad alto rischio del Capo III, Sezioni da 1 a 3, è stato differito: di sedici mesi per i sistemi autonomi e di dodici mesi per quelli incorporati in prodotti. Tutto il resto è rimasto fermo. La data di applicazione generale del 2 agosto 2026 non è stata modificata, l'attività di applicazione è iniziata in tale data e i divieti dell'Articolo 5 sono comunque in vigore dal 2 febbraio 2025.

Questo articolo illustra che cosa il regolamento di modifica ha effettivamente cambiato, che cosa ha deliberatamente lasciato intatto e come riallocare di conseguenza lo sforzo di conformità.

Di quale atto si tratta

Il Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio dell'8 luglio 2026 modifica il Regolamento (UE) 2024/1689 per quanto riguarda la semplificazione dell'attuazione delle norme armonizzate sull'intelligenza artificiale. È comunemente denominato «Digital Omnibus sull'IA». Modifica inoltre il Regolamento (UE) 2018/1139 (aviazione civile) e il Regolamento (UE) 2023/1230 (macchine).

È stato pubblicato nella Gazzetta ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026, il terzo giorno successivo alla pubblicazione. Si tratta della prima modifica del Regolamento sull'IA. EUR-Lex riporta ora un testo consolidato del Regolamento sull'IA datato 27 luglio 2026: è questa la versione su cui lavorare.

Che cosa si è spostato

Sono cambiate tre scadenze. Tutte e tre riguardano il regime sui sistemi ad alto rischio.

Il meccanismo giuridico è l'Articolo 1, paragrafo 40, lettera b), del regolamento di modifica, che sostituisce la lettera c) del terzo paragrafo dell'Articolo 113. La disposizione così sostituita applica il Capo III, Sezioni 1, 2 e 3 — con l'espressa eccezione dell'Articolo 6, paragrafo 5 — dal 2 dicembre 2027 per i sistemi di cui all'Articolo 6, paragrafo 2, e all'Allegato III, e dal 2 agosto 2028 per i sistemi di cui all'Articolo 6, paragrafo 1, e all'Allegato I.

Il differimento copre quindi i requisiti sostanziali degli Articoli da 8 a 15 e gli obblighi di fornitori e deployer degli Articoli da 16 a 27. È un rinvio di reale portata per chiunque stia costruendo un programma di conformità per i sistemi ad alto rischio. Non è un rinvio del Regolamento sull'IA.

Il differimento è incondizionato

Su questo punto la ricostruzione corrente è spesso sbagliata. La proposta originaria della Commissione, COM(2025) 836, avrebbe legato le nuove date di applicazione a una decisione della Commissione che confermasse la disponibilità delle norme armonizzate: un meccanismo di sospensione dei termini («stop-the-clock») che avrebbe potuto prolungare ulteriormente il differimento. I colegislatori lo hanno eliminato.

Nel testo adottato non figura alcun criterio di attivazione basato sullo stato della normazione, né alcun ulteriore rinvio automatico. I commenti che descrivono il differimento come condizionato, o che lasciano intendere che le date possano slittare ancora in caso di ritardo dei deliverable del CEN-CENELEC, descrivono una proposta respinta, non il diritto vigente. Il 2 dicembre 2027 e il 2 agosto 2028 vanno pianificati come date fisse.

Che cosa non si è spostato

È la metà della vicenda che sistematicamente sparisce dai commenti, ed è proprio lì che si concentra l'esposizione sanzionatoria.

• Il 2 agosto 2026 è rimasto la data di applicazione generale. Il secondo paragrafo dell'Articolo 113 non è stato modificato. L'Ufficio per l'IA della Commissione e le autorità nazionali hanno avviato in tale data l'attività di applicazione del Regolamento sull'IA.
• Gli obblighi di trasparenza dell'Articolo 50 si applicano dal 2 agosto 2026. L'Articolo 50 si colloca nel Capo IV, al di fuori del differimento del Capo III. Informativa sui chatbot, etichettatura dei deepfake e marcatura leggibile da dispositivo automatico dei contenuti sintetici sono obblighi già operativi.
• La registrazione ai sensi dell'Articolo 49 non è differita. La disposizione appartiene al Capo III, Sezione 5, e resta pertanto fuori dal differimento che riguarda le Sezioni da 1 a 3: si applica dal 2 agosto 2026.
• L'Articolo 6, paragrafo 5, è espressamente escluso dal differimento.
• I divieti dell'Articolo 5 si applicano dal 2 febbraio 2025, invariati.
• Le sanzioni dell'Articolo 99 sono invariate: fino a 35 milioni di EUR o il 7% del fatturato mondiale totale annuo per le violazioni dell'Articolo 5; 15 milioni di EUR o il 3% per gli altri obblighi degli operatori, compreso l'Articolo 50; 7,5 milioni di EUR o l'1% per informazioni inesatte o fuorvianti. Resta invariata anche la regola dell'Articolo 99, paragrafo 6, che applica alle PMI il minore dei due importi.
• Il Capo V sui modelli di IA per finalità generali non è stato modificato nella sostanza. Gli Articoli da 51 a 55 e gli Allegati da XI a XIII restano intatti; l'unico intervento è la soppressione del potere di approvazione mediante atto di esecuzione previsto dall'Articolo 56, paragrafo 6. La soglia di rischio sistemico dell'Articolo 51, paragrafo 2, resta fissata a 10^25 FLOP cumulativi di addestramento, e i modelli GPAI immessi sul mercato prima del 2 agosto 2025 mantengono il termine del 2 agosto 2027 previsto dall'Articolo 111, paragrafo 3.
• L'Allegato III non è stato modificato. Le otto voci restano quelle originarie e nessun atto delegato ai sensi dell'Articolo 7 è stato adottato.
• L'Articolo 6, paragrafo 3, il «filtro» per la qualificazione ad alto rischio, non è stato modificato nella sostanza. Resta in vigore la regola per cui un sistema dell'Allegato III che effettua profilazione di persone fisiche è sempre ad alto rischio.
• Il 2 agosto 2030, termine per i sistemi preesistenti utilizzati dalle autorità pubbliche, è invariato.

Due nuovi divieti dal 2 dicembre 2026

Il regolamento di modifica inserisce due nuove lettere nell'Articolo 5, entrambe applicabili dal 2 dicembre 2026:

• L'Articolo 5, paragrafo 1, lettera ba), vieta i sistemi di IA che generano o manipolano immagini intime realistiche di una persona identificabile senza il suo consenso.
• L'Articolo 5, paragrafo 1, lettera bb), vieta i sistemi di IA che generano o manipolano materiale pedopornografico.

La delimitazione dell'ambito di applicazione di entrambi i divieti è contenuta nei nuovi paragrafi 1 bis e 1 ter dell'Articolo 5. Trattandosi di disposizioni dell'Articolo 5, le violazioni ricadono nella fascia sanzionatoria più elevata. Gli orientamenti della Commissione sulle pratiche vietate del 4 febbraio 2025 restano il riferimento operativo per l'Articolo 5 e non trattano ancora nessuna delle due nuove fattispecie.

Il periodo di tolleranza per la marcatura previsto dall'Articolo 111, paragrafo 4

Il nuovo Articolo 111, paragrafo 4, concede ai sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026 tempo fino al 2 dicembre 2026 per soddisfare l'obbligo di marcatura leggibile da dispositivo automatico di cui all'Articolo 50, paragrafo 2.

L'ambito di questo periodo di tolleranza è circoscritto. Riguarda la sola marcatura dell'Articolo 50, paragrafo 2, e unicamente i sistemi preesistenti. I sistemi immessi sul mercato a partire dal 2 agosto 2026 hanno dovuto soddisfare l'Articolo 50, paragrafo 2, fin dal primo giorno, e per gli altri obblighi dell'Articolo 50 — informativa sull'interazione ai sensi del paragrafo 1, informativa sui deepfake ai sensi del paragrafo 4 — non è stato previsto alcun periodo di tolleranza.

Le altre modifiche

L'Articolo 4 sull'alfabetizzazione in materia di IA è stato riformulato e alleggerito. Oggi va letto come un'aspettativa proporzionata, calibrata sul rischio e sulla complessità dell'uso, e non come un obbligo rigido soggetto ad audit. I programmi di formazione restano una buona pratica, ma il testo modificato non configura più l'alfabetizzazione come un obbligo prescrittivo.

Le macchine sono state spostate all'interno dell'Allegato I, dalla Sezione A alla Sezione B. L'Allegato III, per contro, non è stato modificato.

Il nuovo Articolo 43, paragrafo 3, fissa al 28 gennaio 2028 il termine entro il quale gli organismi già notificati in virtù della legislazione settoriale elencata nell'Allegato I, Sezione A, devono presentare domanda di designazione ai sensi del Capo III, Sezione 4, del Regolamento sull'IA. È un dato rilevante per chiunque preveda un percorso di valutazione della conformità da parte di terzi per un sistema incorporato in un prodotto.

Gli Articoli da 102 a 110 del Regolamento sull'IA sono stati anticipati, con applicazione dal 27 luglio 2026.

Va infine registrato un disallineamento redazionale noto. L'Articolo 111, paragrafo 1, relativo ai sistemi IT su larga scala elencati nell'Allegato X, non è stato riallineato alle nuove date: continua a rinviare internamente al 2 agosto 2027, con termine di conformità al 31 dicembre 2030.

Le date che ora contano

Che cosa significa per il vostro programma di conformità

Proseguite senza interruzioni il lavoro già dovuto. Informativa e marcatura ai sensi dell'Articolo 50, registrazione ai sensi dell'Articolo 49 e screening ai sensi dell'Articolo 5 sono tutti esigibili e nessuno di essi è stato differito. Se la modifica ha innescato una revisione interna, l'esito corretto di quella revisione è la conferma che questi tre filoni di lavoro sono adeguatamente presidiati, non una sospensione.

Inserite il 2 dicembre 2026 nella pianificazione di breve periodo. A quella data si concentrano due cose: i due nuovi divieti dell'Articolo 5 e la scadenza del periodo di tolleranza dell'Articolo 111, paragrafo 4, per la marcatura dei sistemi generativi preesistenti. La seconda richiede interventi di ingegneria sulla marcatura degli output, e non è un'attività che possa iniziare a novembre.

Trattate i sedici mesi aggiuntivi sul fronte alto rischio come capacità produttiva, non come margine. L'impiego naturale è il lavoro che deve necessariamente procedere in sequenza: la classificazione ai sensi dell'Articolo 6 sull'intero portafoglio, il sistema di gestione dei rischi dell'Articolo 9, la governance dei dati ai sensi dell'Articolo 10, la documentazione tecnica dell'Allegato IV, la conservazione delle registrazioni, la progettazione della sorveglianza umana e — laddove si applichi un percorso di valutazione da parte di terzi — il coinvolgimento dell'organismo notificato, che ha ora una propria scadenza al 28 gennaio 2028.

Che cosa resta aperto

Due elementi vengono spesso citati come se fossero diritto vigente, e non lo sono.

Il filone dati del Digital Omnibus, COM(2025) 837 — che modificherebbe il GDPR, le norme ePrivacy, il Data Act, la NIS2 e il DORA — resta una proposta. Solo il filone IA è divenuto il Regolamento (UE) 2026/1744. Nulla di quanto contenuto nella proposta sui dati è vincolante.

Gli orientamenti della Commissione sulla classificazione ad alto rischio ai sensi dell'Articolo 6, paragrafo 5, pubblicati il 19 maggio 2026 in tre documenti, sono una bozza. La consultazione si è chiusa il 23 luglio 2026 e il termine di legge del 2 febbraio 2026 per l'adozione di tali orientamenti non è stato rispettato. Le posizioni desunte da questi documenti vanno registrate internamente come interpretazioni preliminari, non come indicazioni consolidate.

Per la sequenza completa delle date di applicazione dell'intero regolamento, si veda il calendario del Regolamento UE sull'IA; per la struttura complessiva del regolamento, si veda la panoramica del Regolamento UE sull'IA.