L'omnibus sull'AI Act rinvia le regole per i sistemi ad alto rischio al 2027 e al 2028

Cosa cambia l'omnibus

Il Digital Omnibus sull'AI è stato pubblicato nella Gazzetta ufficiale e si applica dal 27 luglio 2026. Modifica l'AI Act, il regolamento (UE) 2024/1689 del 13 giugno 2024, entrato in vigore il 1° agosto 2024. Secondo Mayer Brown le modifiche puntano a semplificare l'attuazione e a ridurre le sovrapposizioni con la normativa già in vigore.

Gli obblighi per i sistemi di AI ad alto rischio elencati nell'allegato III si applicano ora dal 2 dicembre 2027. Tra questi usi rientrano la biometria, le infrastrutture critiche, l'istruzione, il lavoro, le attività di polizia e la gestione delle frontiere. I sistemi ad alto rischio usati come componenti di sicurezza in prodotti coperti dalla legislazione settoriale dell'UE si applicano dal 2 agosto 2028. Il rinvio serve a dare tempo al comitato europeo di normazione per pubblicare gli standard dell'AI Act. Questi standard indicano come i fornitori possono conformarsi e, una volta pubblicati nella Gazzetta ufficiale, creano una presunzione di conformità, ha riferito il Data Protection Report.

L'omnibus sposta anche il regolamento macchine dell'UE, 2023/1230, nell'allegato I sezione B. Così i requisiti per l'AI delle macchine abilitate all'AI passano attraverso quel regolamento invece che direttamente dall'AI Act. La Commissione deve adottare atti delegati che integrino questi obblighi entro il 2 agosto 2028, secondo Mayer Brown.

Per i sistemi ad alto rischio già in servizio prima delle nuove date, la legge si applica agli operatori solo se quei sistemi subiscono modifiche significative al progetto a partire da quella data. Per gli operatori che sono autorità pubbliche non è chiaro se le date di applicazione saranno rinviate, ha detto Mayer Brown.

Nuovo divieto per le app nudifier

L'omnibus aggiunge il divieto dei sistemi di AI che producono materiale di abuso sessuale su minori, o che raffigurano le parti intime o attività sessuali di una persona identificabile senza consenso. Riguarda l'immissione di questi sistemi sul mercato dell'UE, l'immissione sul mercato senza misure di sicurezza ragionevoli e gli utilizzatori che li impiegano per creare quel contenuto. I fornitori hanno tempo fino al 2 dicembre 2026 per adeguarsi, ha detto Mayer Brown.

Le regole di trasparenza mantengono la data

L'omnibus non ha rinviato gli altri requisiti di trasparenza. Gli obblighi dell'articolo 50, come informare le persone che stanno interagendo con un'AI e dichiarare i deepfake, si applicano dal 2 agosto 2026 per i sistemi di AI immessi sul mercato dopo quella data. Per i fornitori che generano audio, immagini, video o testi sintetici, l'obbligo di marcatura leggibile da macchina ha una finestra limitata fino al 2 dicembre 2026 per i sistemi immessi sul mercato prima del 2 agosto 2026, e vale solo per quell'obbligo.

La Commissione ha pubblicato il 20 luglio 2026 gli orientamenti definitivi sulla trasparenza dell'articolo 50 e un primo elenco di oltre 180 organizzazioni che hanno firmato il codice di condotta sulla trasparenza dei contenuti generati dall'AI.

Parte l'applicazione

I poteri di applicazione dell'AI Office valgono dal 2 agosto 2026, si legge nella pagina della Commissione dedicata. Riguardano i fornitori di modelli di AI per uso generale, i sistemi di AI sviluppati dallo stesso fornitore o da un fornitore dello stesso gruppo e i sistemi di AI integrati in piattaforme online di grandi dimensioni o motori di ricerca designati ai sensi del Digital Services Act. Le autorità nazionali fanno rispettare le regole per gli altri sistemi di AI. Le violazioni che riguardano pratiche vietate possono arrivare a 35.000.000 di euro o al 7% del fatturato annuo mondiale, se superiore. Le altre violazioni, compresi gli obblighi sui modelli di AI per uso generale, possono arrivare a 15.000.000 di euro o al 3%. La gestione scorretta di una richiesta di informazioni può essere sanzionata fino a 7.500.000 di euro o all'1% per i sistemi di AI.

Cosa succede adesso

Il nuovo divieto è la scadenza più vicina: fornitori e utilizzatori dei sistemi interessati hanno tempo fino al 2 dicembre 2026 per adeguarsi. Dopo di che si aggiunge ai divieti già presenti nell'AI Act, in vigore dal 2 febbraio 2025. A far rispettare quei divieti sono le autorità nazionali di vigilanza del mercato, e alcuni Stati membri stavano ancora approvando la legislazione di attuazione dopo la scadenza del 2 agosto 2025 per la designazione, ha riferito il Data Protection Report.