Il Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio, dell'8 luglio 2026, modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 quanto alla semplificazione dell'attuazione delle regole armonizzate sull'intelligenza artificiale. È il testo che gli operatori chiamano Digital Omnibus sull'IA, ed è il documento che ha chiuso il dibattito sulle scadenze dell'AI Act.
La lettura che ne ha dato buona parte del mercato è stata sbrigativa: le date si sono spostate, quindi c'è tempo. È una lettura sbagliata, e il costo dell'errore non è teorico.
Le quattro date
2 agosto 2026. L'AI Act si applica in via generale ai sensi dell'articolo 113. Da questa data operano gli obblighi di trasparenza dell'articolo 50, la vigilanza di mercato e i poteri delle autorità nazionali. Non è una data di preparazione: è la data a partire dalla quale le violazioni diventano contestabili.
2 dicembre 2026. Finestra di transizione limitata prevista per l'articolo 50, paragrafo 2. I fornitori di sistemi che generano contenuti sintetici già immessi sul mercato prima di agosto hanno tempo fino a questa data per conformarsi all'obbligo di marcatura leggibile dalla macchina. È una transizione stretta e circoscritta, non un rinvio dell'articolo 50 nel suo complesso.
2 dicembre 2027. Obblighi sostanziali per i sistemi ad alto rischio elencati nell'Allegato III: biometria, infrastrutture critiche, istruzione, occupazione, accesso ai servizi essenziali, forze dell'ordine, migrazione e amministrazione della giustizia.
2 agosto 2028. Obblighi sostanziali per i sistemi ad alto rischio incorporati in prodotti coperti dalla legislazione settoriale di sicurezza dell'Allegato I.
Il rinvio, quindi, riguarda esclusivamente le ultime due righe. Le prime due sono già in corso.
Perché il rinvio non è una pausa
Un differimento degli obblighi non differisce la preparazione: sposta il momento in cui la conformità diventa esigibile, non quello in cui va costruita. La differenza appare astratta finché non si prova a mettere insieme, in poche settimane, l'inventario di tutti i sistemi di intelligenza artificiale che un'impresa di media dimensione ha acquistato negli ultimi tre anni — spesso incorporati dentro software comprati per tutt'altra ragione, e mai censiti come tali perché nessuno lo aveva mai chiesto.
Inventario, allocazione dei ruoli, garanzie sui fornitori, qualità dei dati, registrazioni e governance devono esistere prima della scadenza. Il 2027 è la data di maturità, non il punto di partenza.
L'articolo 111 e l'illusione della clausola di salvaguardia
L'articolo 111, paragrafo 2, a una lettura veloce sembra offrire una via d'uscita: i sistemi ad alto rischio immessi sul mercato o messi in servizio prima del 2 agosto 2026 rientrano negli obblighi soltanto se, a partire da quella data, sono soggetti a modifiche significative nei loro design.
Chi si ferma qui tira un sospiro. Chi legge anche il resto smette di respirare. Una modifica qualifica come sostanziale quando non era prevista o pianificata nella valutazione di conformità iniziale e quando, per effetto di essa, risulta compromessa la conformità ai requisiti del Capo III, Sezione 2, oppure viene modificata la finalità prevista del sistema. E l'articolo 43, paragrafo 4, impone una nuova valutazione di conformità in caso di modifica sostanziale, indipendentemente dal fatto che il sistema modificato venga ulteriormente distribuito o continui a essere utilizzato dal medesimo utilizzatore.
Tradotto: quasi ogni aggiornamento non pianificato rilasciato dal fornitore può far rientrare il sistema nel perimetro. La domanda da porsi non è se il fornitore aggiorni il modello — lo fa quando ritiene — ma se esista, nel contratto, un obbligo di notifica preventiva degli aggiornamenti e della loro portata. Nella grande maggioranza dei contratti di fornitura in circolazione, quell'obbligo non c'è.
Chi è dentro senza saperlo
La Commissione, nella propria comunicazione istituzionale sul quadro regolatorio, indica espressamente fra i casi ad alto rischio i sistemi che determinano l'accesso a servizi essenziali, con l'esempio del credit scoring che nega a un cittadino la possibilità di ottenere un prestito. La stessa categoria comprende i sistemi impiegati nella selezione del personale.
Tradotto per il mercato italiano: banche, servicer, società di recupero, intermediari finanziari e chiunque valuti il merito creditizio con un modello. Più ogni impresa che abbia acquistato un software di selezione dei curriculum senza domandarsi che cosa fosse, dal punto di vista del regolamento.
Nessuno di questi soggetti si considera un'impresa di intelligenza artificiale, ed è esattamente il punto. Il regolamento non chiede come ci si definisce: chiede che cosa si usa, per quale finalità e con quale ruolo — fornitore o utilizzatore. Sono due posizioni giuridiche distinte, con obblighi distinti, e il contratto firmato quasi certamente non le qualifica.
Le sanzioni
Il quadro sanzionatorio è articolato su fasce. Per le pratiche vietate dall'articolo 5 le fonti di settore indicano un massimo di 35 milioni di euro o del 7% del fatturato mondiale annuo; per la violazione degli altri obblighi un massimo di 15 milioni o del 3%; una terza fascia, più contenuta, riguarda le informazioni inesatte fornite alle autorità. Sono importi che, applicati a una media impresa, non si assorbono con un accantonamento.
Che cosa si può fare adesso
Non la conformità piena: quella richiede mesi e, per i sistemi dell'Allegato III, ha una scadenza che è stata spostata proprio per consentirla. Si può fare l'unica cosa che serve subito, cioè sapere che cosa si ha in casa.
L'elenco dei sistemi in uso, compresi quelli arrivati dentro un altro software. Per ciascuno: fornitore, finalità d'uso, chi lo ha autorizzato. La classificazione del rischio, con motivazione scritta — anche «rischio minimo» va motivato, perché è la risposta che si darà a chi chiederà. Il ruolo dell'impresa, sistema per sistema. Le clausole nei contratti di fornitura: notifica degli aggiornamenti, documentazione tecnica, cooperazione in caso di controllo, ripartizione delle responsabilità. Le regole di pubblicazione dei contenuti generati e la marcatura, per la scadenza di dicembre. La sorveglianza umana: chi controlla, che cosa può fermare, con quale registro.
Sette voci. Per una piccola impresa è il lavoro di qualche giornata. Il problema non è la difficoltà tecnica: è che finora nessuno lo aveva chiesto, e quindi nessuno lo aveva fatto.
Questo scritto ha finalità divulgative e non costituisce parere legale.