AI Act, obblighi per i sistemi ad alto rischio rinviai al 2 dicembre 2027

Il calendario originale metteva in vigore la maggior parte degli obblighi per i sistemi ad alto rischio il 2 agosto 2026. Per i sistemi dell'allegato I la data era successiva, il 2 agosto 2027. L'Omnibus divide in due il calendario dell'alto rischio.

I sistemi autonomi elencati nell'allegato III passano al 2 dicembre 2027, con un rinvio di 16 mesi. L'elenco comprende selezione del personale, scoring creditizio, istruzione e controllo delle frontiere. Per le imprese l'effetto pratico sono 16 mesi in più per preparare i sistemi autonomi e 12 in più per quelli integrati. RTÉ ha scritto che lavoratori, candidati e mutuatari dovranno aspettare più a lungo la supervisione umana e le verifiche di rischio che la legge avrebbe imposto. L'IA che è un prodotto, o un componente di sicurezza di un prodotto, disciplinata dalla normativa UE sulla sicurezza dei prodotti rientra nell'allegato I.

Dispositivi medici, giocattoli, ascensori e radio sono in questa categoria. La loro scadenza slitta al 2 agosto 2028 dal 2 agosto 2027, con un rinvio di 12 mesi.

L'accordo provvisorio restringe anche la definizione di componente di sicurezza. Una funzione di IA che si limita ad assistere l'utente o a ottimizzare le prestazioni, senza creare rischi per la salute o la sicurezza, non sarà soggetta agli obblighi per l'alto rischio. È slittata anche la scadenza per il watermarking, al 2 dicembre 2026 dal 2 agosto 2026, per i fornitori i cui sistemi generativi erano sul mercato prima del 2 agosto 2026.

Il pacchetto ha richiesto circa otto mesi dalla proposta all'entrata in vigore. La Commissione europea ha pubblicato il Digital Omnibus sull'IA il 19 novembre 2025. I legislatori hanno raggiunto un accordo provvisorio il 7 maggio 2026 e il Parlamento europeo lo ha votato il 16 giugno 2026. Il testo finale è stato pubblicato il 24 luglio 2026 come regolamento (UE) 2026/1744 ed è entrato in vigore tre giorni dopo.

Perché Bruxelles si è mossa

La ragione indicata dalla Commissione è l'ordine di applicazione. Le norme tecniche e le linee guida che spiegano come adempiere erano rimaste indietro rispetto alle scadenze che avrebbero dovuto sostenere.

Henna Virkkunen, vicepresidente esecutiva della Commissione, ha presentato la modifica come un adeguamento attuativo. L'obiettivo era «rendere più facile innovare senza abbassare l'asticella della sicurezza», ha detto. La Commissione ha legato il rinvio anche alla sua agenda per la competitività. Ha citato il rapporto Draghi del 2024, secondo cui il peso normativo frenava la crescita. L'accordo provvisorio ha spostato l'obbligo di alfabetizzazione all'IA verso un sostegno della Commissione e degli Stati membri; secondo Travers Smith resta poco chiaro se il dovere dell'articolo 4 sarà eliminato o mantenuto. La Confederazione europea dei sindacati si è opposta alla modifica, sostenendo che indebolisce l'obbligo di garantire l'alfabetizzazione all'IA del personale.

La lacuna della non retroattività

L'articolo 111 fissa la regola di non retroattività. I sistemi immessi sul mercato prima delle nuove scadenze non devono essere conformi, a meno che non vengano modificati in modo sostanziale.

I sistemi usati dalle autorità pubbliche hanno tempo fino al 31 dicembre 2030.

L'eurodeputato Sergey Lagodinsky, dei Verdi tedeschi, ha definito quella disposizione «una scappatoia» e «un punto debole» della legge. Laura Caroli, ex co-negociatrice dell'AI Act, ha portato un caso concreto. Un sistema di selezione del personale immesso sul mercato prima del 2 dicembre 2027 «può restare fuori dall'AI Act a tempo indefinito, se non viene modificato in modo sostanziale dopo quella data», ha detto. Bram Vranken di Corporate Europe Observatory ha argomentato in modo simile. «Una gran parte dei sistemi di IA ad alto rischio immessi sul mercato prima di dicembre 2027 non dovrà mai rispettare le regole», ha detto a Tech Policy Press. Lagodinsky ha avvertito che il calendario crea «un incentivo a mettere le cose sul mercato prima dell'entrata in vigore della legge». Vranken ha detto che alcune aziende «potrebbero approfittare di questo calendario e spingere rapidamente sul mercato sistemi di IA rischiosi», risparmiando sui costi di conformità.

Cosa si applica ancora

Il rinvio non è una pausa sull'intera legge. Gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026.

I chatbot devono dichiarare di essere IA, i contenuti sintetici devono avere una marcatura leggibile dalla macchina e i sistemi di riconoscimento delle emozioni devono informare le persone che sono oggetto di trattamento. Le sanzioni per la violazione di questi obblighi arrivano a 15.000.000 di euro o al 3% del fatturato annuo mondiale, se superiore. I sistemi ad alto rischio restano coperti dal GDPR e dalle norme di settore mentre il capitolo dell'AI Act sull'alto rischio resta in attesa. I fornitori che si avvalgono dell'esenzione dell'articolo 6, paragrafo 3, devono comunque registrare il sistema nella banca dati UE. La procedura è semplificata.

Il pacchetto ha anche riportato il trattamento dei dati di categorie particolari per individuare i bias a un test di stretta necessità, invertendo una proposta precedente più flessibile. Ha esteso alle piccole imprese a media capitalizzazione i massimali sanzionatori ridotti, prima riservati alle PMI.

Cosa succede ora

La prossima data vincolante è il 2 dicembre 2026.

Da quel momento si applica l'obbligo di watermarking e scatta un nuovo divieto per gli strumenti di IA che creano immagini intime non consensuali e materiale di abuso sessuale su minori. Poi il calendario corre al 2 dicembre 2027 per l'allegato III e al 2 agosto 2028 per l'allegato I. Le indicazioni stanno ancora arrivando. La Commissione ha pubblicato linee guida provvisorie sulla classificazione dei sistemi ad alto rischio, tra cui un documento di 148 pagine sull'allegato III. Le linee guida non sono esaustive e possono essere aggiornate.