Il 29 giugno 2026 il Consiglio dell'Unione europea ha adottato il Regolamento di modifica del Regolamento (UE) 2024/1689 (cd. AI Act), meglio noto come Digital Omnibus on AI. Il Parlamento europeo aveva approvato il testo il 16 giugno 2026 all'esito di un iter legislativo avviato con la proposta della Commissione del 19 novembre 2025 e conclusosi con l'accordo in trilogo del 7 maggio 2026. La pubblicazione in Gazzetta Ufficiale dell'UE è attesa entro fine luglio 2026 — e in ogni caso prima del 2 agosto 2026, termine originario di applicazione degli obblighi per i sistemi ad alto rischio — con entrata in vigore il terzo giorno successivo.
Il Digital Omnibus on AI è parte del programma di semplificazione normativa avviato dalla Commissione europea il 19 novembre 2025 nell'ambito dell'agenda "Omnibus VII" e risponde a difficoltà applicative emerse nella prima fase di attuazione dell'AI Act: il ritardo degli standard tecnici armonizzati che gli organismi europei di normazione — incaricati dalla Commissione di elaborare le specifiche tecniche necessarie per dimostrare la conformità all'AI Act — non sono riusciti a completare nei tempi previsti e la mancata designazione delle autorità nazionali competenti in diversi Stati membri.
Le principali modifiche
Il rinvio delle scadenze per i sistemi ad alto rischio
Gli obblighi per i sistemi classificati ad alto rischio ai sensi dell'Allegato III dell'AI Act — che comprende, tra gli altri, i sistemi impiegati in ambito occupazionale (selezione del personale, valutazione delle performance, decisioni sul rapporto di lavoro), nella valutazione del merito creditizio, nell'accesso a servizi pubblici essenziali, nel law enforcement e nell'amministrazione della giustizia — sono posticipati dal 2 agosto 2026 al 2 dicembre 2027. Per i sistemi ad alto rischio integrati in prodotti soggetti alla normativa UE di armonizzazione in materia di salute e sicurezza elencata all’Allegato I (tra cui dispositivi medici, macchinari e componenti per veicoli), la scadenza slitta dal 2 agosto 2027 al 2 agosto 2028.
Gli obblighi di trasparenza
Gli obblighi di trasparenza previsti dall'articolo 50 dell'AI Act non sono oggetto di proroga e restano applicabili dal 2 agosto 2026. L'unica eccezione riguarda la marcatura machine-readable degli output dei sistemi di intelligenza artificiale generativa già immessi sul mercato prima di tale data: per questi soltanto, il Digital Omnibus on AI riconosce una finestra transitoria fino al 2 dicembre 2026. Tutti gli altri obblighi dell'articolo 50 — disclosure dell'interazione con sistemi AI, informativa nei casi di riconoscimento delle emozioni e categorizzazione biometrica, etichettatura dei deepfake e dei testi di interesse pubblico generati dall'IA — trovano applicazione dal 2 agosto 2026.
La AI literacy
In materia di AI literacy, il Digital Omnibus on AI non sposta la scadenza — l'articolo 4 dell'AI Act è infatti operativo dal 2 febbraio 2025 — ma ne riformula la struttura. L'obbligo di "garantire" un adeguato livello di alfabetizzazione in materia di IA al proprio personale, originariamente in capo a provider e deployer, diventa un impegno promozionale della Commissione e degli Stati membri; provider e deployer conservano l'obbligo di adottare misure concrete, ma il testo esclude che questo implichi garantire un livello specifico di alfabetizzazione a ciascun individuo e introduce un criterio di proporzionalità rispetto ai rischi dei sistemi impiegati e alle caratteristiche dell'organizzazione.
Il nuovo divieto: sistemi di nudificazione e CSAM
Il Regolamento aggiunge al catalogo delle pratiche di IA vietate dall'articolo 5 dell'AI Act — anch’esso già in vigore dal 2 febbraio 2025 — il divieto di sistemi che generano materiale di abuso sessuale di minori (CSAM) o che ritraggono, senza il consenso dell'interessato, parti intime di una persona identificabile in qualunque formato audiovisivo. In questo caso, l'obbligo di adeguamento decorre dal 2 dicembre 2026.
Altre modifiche
Il Digital Omnibus introduce ulteriori modifiche che riguardano specifiche categorie di operatori e sistemi.
Le semplificazioni già previste per le PMI — documentazione tecnica semplificata, requisiti ridotti per i sistemi di gestione della qualità, accesso prioritario ai sandbox regolamentari — vengono estese alle small mid-cap enterprises (indicativamente, imprese con meno di 750 dipendenti e meno di 150 milioni di euro di fatturato).
In secondo luogo, i prodotti rientranti nel Regolamento Macchine vengono esclusi dall'applicazione diretta dell'AI Act: per questi prodotti, gli obblighi restano limitati alla normativa settoriale di sicurezza. Per altri settori in cui la normativa settoriale contenga già requisiti equivalenti in materia di IA, la Commissione potrà restringere l'ambito applicativo dell'AI Act tramite atti di esecuzione.
Inoltre, la facoltà di trattare categorie particolari di dati ai fini del de-biasing algoritmico viene estesa a tutti i provider e deployer, non più ai soli provider di sistemi ad alto rischio. Restano ferme però le condizioni stringenti: stretta necessità, previo tentativo con dati sintetici o anonimi, pseudonimizzazione e divieto di condivisione dei dati con terzi.
Sul piano istituzionale, il Digital Omnibus on AI attribuisce all'AI Office vigilanza diretta sui sistemi basati su modelli per finalità generali sviluppati dallo stesso provider e su quelli integrati nelle piattaforme online e nei motori di ricerca di dimensioni molto grandi designati ai sensi del DSA.
Da ultimo, viene rinviato al 2 agosto 2027 il termine per l'operatività dei sandbox regolamentari nazionali; in parallelo, è istituito un sandbox europeo gestito dall'AI Office, con accesso prioritario per PMI e small mid-cap, operativo dal 2028.
In attesa della pubblicazione
Il Digital Omnibus on AI è adottato ma non ancora pubblicato in Gazzetta Ufficiale: fino alla pubblicazione, il calendario originario dell'AI Act resta formalmente in vigore.
Sul fronte della trasparenza, fornitori di sistemi interattivi o generativi a contatto con utenti finali (chatbot, assistenti vocali, agenti conversazionali, strumenti di generazione automatica di contenuti) sono soggetti agli obblighi dell'articolo 50 dal 2 agosto 2026, indipendentemente dall'entrata in vigore del Digital Omnibus. Per i sistemi generativi già sul mercato, la finestra transitoria per l'implementazione delle soluzioni di marcatura machine-readable si chiude il 2 dicembre 2026 ma, tenuto conto dei tempi di implementazione e validazione delle soluzioni disponibili (watermarking, metadati firmati, standard C2PA), è opportuno avviare le attività sin da ora.
Per quanto riguarda i sistemi ad alto rischio, il rinvio degli obblighi al 2027 e al 2028 non giustifica la sospensione dei programmi di adeguamento già avviati: i tempi tecnici per concludere un processo di messa in conformità sono mediamente stimati tra 8 e 14 mesi. Vale inoltre la pena riesaminare la classificazione dei sistemi già in uso alla luce della revisione della nozione di safety component e del nuovo regime di coordinamento con la normativa settoriale.
