Il 24 luglio 2026 scorso è stato pubblicato nella Gazzetta ufficiale dell'Unione europea il Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio dell'8 luglio 2026, che modifica, tra gli altri, il regolamento (UE) 2024/1689 (l’ormai famoso AI Act). Prima di questa modifica, era previsto che il 2 di agosto entrassero in vigore delle norme onerose e di complessa attuazione da parte delle aziende che avevano bisogno di un quadro di norme tecniche, procedure di valutazione e quadri di governance che erano arrivati in ritardo. Di conseguenza, è stato deciso di posticipare alcune scadenze, seguendo questo specchietto.
La modifica ha generato un po’ di confusione in alcune aziende, portate a pensare a uno spostamento in avanti di tutti gli obblighi connessi all’AI Act. In realtà, la situazione è più articolata e, per moltissimi, il calendario della compliance non cambia affatto.
Cosa cambia davvero con il Digital Omnibus. Spoiler: non l'obbligo di trasparenza!
La modifica più significativa, infatti, riguarda gli obblighi relativi ai sistemi classificati come ad alto rischio. Le applicazioni autonome comprese nell'Allegato III dovranno adeguarsi entro dicembre 2027, mentre i sistemi AI incorporati nei prodotti disciplinati dall'Allegato I avranno tempo fino ad agosto 2028.
Questi rinvii, però, non riguardano tutte le disposizioni del regolamento: rimane, infatti, confermata la piena applicazione dell'articolo 50, dedicato agli obblighi di trasparenza, che sono diventati operativi dal 2 agosto 2026. Il punto è particolarmente rilevante perché gli obblighi di trasparenza non dipendono dalla classificazione del sistema come "ad alto rischio". Anche un semplice chatbot per l'assistenza clienti, un assistente AI integrato in un sito web o uno strumento capace di generare contenuti rientrano infatti nel perimetro delle nuove disposizioni.
Le aziende, quindi, dovranno informare chiaramente gli utenti quando stanno interagendo con un sistema di intelligenza artificiale oppure quando un contenuto è stato generato o manipolato attraverso tecnologie AI, secondo quanto previsto dal regolamento europeo. Per la stragrande maggioranza delle imprese, quindi, il 2 agosto rappresenta comunque una scadenza da tenere ben presente, indipendentemente dal fatto che utilizzino o meno sistemi classificati come ad alto rischio.
L'AI mette fine alla compliance "a compartimenti stagni"
Un’analisi di Iubenda, azienda specializzata in temi di normative hi-tech, sottolinea come alla base della nuova governance dovrebbe esserci un cambiamento culturale che va oltre il semplice rispetto delle nuove norme. Per anni la compliance è stata gestita attraverso percorsi separati: da una parte il GDPR, dall'altra la normativa ePrivacy, mentre l'adozione di strumenti di intelligenza artificiale veniva spesso affrontata esclusivamente dai dipartimenti IT. Con la diffusione dell'AI questo approccio non è più sostenibile. I sistemi intelligenti utilizzano infatti dati personali, interagiscono con gli utenti, alimentano modelli predittivi e automatizzano decisioni. Separare la governance dell'intelligenza artificiale dalla gestione dei dati significa rischiare incoerenze normative e aumentare l'esposizione ai controlli. L'entrata in funzione dell'AI Office europeo e delle autorità nazionali competenti complica ulteriormente questo scenario, attribuendo nuovi poteri di vigilanza e sanzione fino a rasentare, a nostro parere, la sovrapposizione di ruoli.
Lo stesso dato è soggetto a regole diverse
Uno degli aspetti più complessi riguarda il diverso modo in cui AI Act e GDPR osservano gli stessi dati. L'AI Act si concentra sul comportamento del sistema di intelligenza artificiale, imponendo obblighi di trasparenza quando gli utenti interagiscono con algoritmi o contenuti generati automaticamente. Il GDPR, invece, continua a disciplinare il trattamento dei dati personali, chiedendo alle organizzazioni di definire finalità, basi giuridiche e modalità di utilizzo delle informazioni raccolte. Ne deriva che lo stesso dato è soggetto contemporaneamente a due discipline differenti, ciascuna con obblighi dedicati. Un consenso raccolto per finalità di analisi del traffico, ad esempio, potrebbe non essere sufficiente se gli stessi dati vengono utilizzati anche per alimentare sistemi di profilazione basati sull'intelligenza artificiale. E ricordiamoci che ogni autorizzazione deve essere esplicita. Secondo iubenda, il modo corretto di affrontare questa evoluzione consiste nel ripensare l'intero modello di governance, introducendo il concetto di continuous readiness, ovvero una preparazione continua basata su tre principi.
Il primo consiste in una mappatura completa degli strumenti digitali, identificando sia i sistemi di tracciamento sia tutte le applicazioni AI presenti nell'organizzazione, comprese quelle introdotte autonomamente dai dipendenti. In quest’ultimo compito bisogna necessariamente tenere in considerazione il fenomeno della Shadow AI e agire di coseguenza.
Il secondo riguarda una governance dinamica dell'intelligenza artificiale, capace di aggiornare continuamente informative, registri dei trattamenti e procedure interne man mano che i modelli evolvono.
Infine, il terzo principio consiste nell'integrare trasparenza e privacy by design direttamente nella progettazione dei servizi digitali, evitando che la compliance venga affrontata soltanto al termine dello sviluppo o, peggio, dopo la delivery al cliente.
Una questione di fiducia, non solo di sanzioni
Sappiamo tutti che l'entrata in vigore di nuove disposizioni viene spesso interpretata dalle aziende soprattutto come un rischio sanzionatorio. In realtà, il cambiamento introdotto dall'AI Act sembra avere un'ambizione più ampia: costruire un ecosistema digitale nel quale gli utenti possano comprendere quando stanno interagendo con sistemi di intelligenza artificiale e in che modo vengono utilizzati i loro dati, in modo da ridurre la loro resistenza nell’abbracciare i sistemi più avanzati e più vantaggiosi anche per le aziende.