Digital Omnibus e AI Act: gli obblighi da rispettare prima del 2 agosto 2026

Aggiornato al 20 luglio 2026

Il 2 agosto 2026 resta la prossima scadenza cardine del Regolamento (UE) 2024/1689, l’AI Act, ma non tutto scatta a quella data. Il Digital Omnibus, il pacchetto di semplificazione che modifica l’AI Act, ha concluso il proprio iter legislativo e ha spostato in avanti gli obblighi più onerosi per i sistemi ad alto rischio. Restano invece confermati, senza alcun rinvio, gli obblighi di trasparenza dell’articolo 50 e l’avvio del regime sanzionatorio.

AI Act 2026: cosa slitta e cosa no, in sintesi

• Cosa slitta: l’applicazione delle norme sui sistemi di IA ad alto rischio, dal 2 agosto 2026 al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I).

• Cosa non slitta: gli obblighi di trasparenza dell’articolo 50, l’avvio dell’enforcement e del regime sanzionatorio, la maggior parte delle norme del Regolamento, tutti confermati al 2 agosto 2026.

• Cosa slitta solo in parte: la marcatura tecnica dei contenuti sintetici (art. 50, par. 2) per i sistemi già sul mercato prima del 2 agosto 2026 ha un termine transitorio fino al 2 dicembre 2026.

• Il Digital Omnibus è stato adottato definitivamente dal Consiglio UE il 29 giugno 2026; manca solo la pubblicazione in Gazzetta Ufficiale, attesa entro fine luglio 2026, prima della scadenza del 2 agosto.

Digital Omnibus AI Act: a che punto è l’iter legislativo

Il Digital Omnibus ha completato il percorso legislativo tra Parlamento e Consiglio UE. Ecco le tappe, ricostruite con precisione perché le date sono cambiate più volte nel corso della procedura:

Punto importante per chi pianifica la compliance: fino alla pubblicazione in Gazzetta Ufficiale, sul piano strettamente giuridico continua formalmente ad applicarsi il calendario originario dell’AI Act del 2024. Le nuove scadenze sono ormai politicamente e tecnicamente definite, ma non ancora produttive di effetti legali. La pubblicazione è comunque attesa prima del 2 agosto 2026, quindi in tempo utile.

Digital Omnibus: l’effetto sulle scadenze dell’AI Act

Cosa slitta: i sistemi di IA ad alto rischio (2027-2028)

Il cuore della riforma riguarda i sistemi ad alto rischio (credit scoring, selezione del personale, biometria, infrastrutture critiche, istruzione, lavoro, migrazione, giustizia): l’entrata in applicazione delle relative norme slitta dal 2 agosto 2026 al:

• 2 dicembre 2027 per i sistemi ad alto rischio autonomi (Allegato III);

• 2 agosto 2028 per i sistemi ad alto rischio integrati in prodotti già regolamentati da normativa di sicurezza europea (Allegato I).

Questo slittamento rappresenta la modifica più rilevante introdotta dal Digital Omnibus rispetto al calendario originario del 2024. Per un quadro completo delle ulteriori modifiche procedurali di dettaglio, che riguardano aspetti più tecnici (registrazione, documentazione, rapporti con altre normative di settore), si raccomanda di fare riferimento al testo del regolamento non appena pubblicato in Gazzetta Ufficiale UE.

Cosa non slitta: gli obblighi confermati al 2 agosto 2026

Il Digital Omnibus non tocca questa scadenza per gli aspetti che seguono, i quali restano pienamente confermati e vanno preparati entro il 2 agosto 2026:

• Gli obblighi di trasparenza dell’articolo 50 (dettagliati nella sezione successiva), che si applicano indipendentemente dall’entrata in vigore del Digital Omnibus.

• L’avvio dell’applicazione delle sanzioni a livello nazionale e dell’Unione: le autorità di vigilanza designate dagli Stati membri diventano pienamente operative. Le sanzioni raggiungono fino a 35 milioni di euro o il 7% del fatturato globale annuo per le violazioni più gravi.

• L’ingresso in vigore della maggior parte delle norme del Regolamento non oggetto di modifica da parte dell’Omnibus.

Articolo 50 AI Act: gli obblighi di trasparenza da preparare prima di agosto

L’articolo 50 impone quattro distinti obblighi di trasparenza, rivolti a fornitori (chi sviluppa e immette sul mercato un sistema di IA con il proprio nome o marchio) e deployer (chi utilizza il sistema nell’ambito della propria attività professionale). La stessa organizzazione può ricoprire entrambi i ruoli per sistemi diversi.

1. Interazione con sistemi di IA (art. 50, par. 1)

I fornitori di sistemi destinati a interagire direttamente con persone fisiche devono garantire che queste sappiano di interagire con un’IA, salvo che ciò sia già evidente dal contesto per una persona ragionevolmente informata e attenta, o nei casi di sistemi autorizzati per l’accertamento di reati.

2. Marcatura dei contenuti sintetici (art. 50, par. 2) — l’unico obbligo che slitta in parte

I fornitori di sistemi che generano contenuti sintetici (audio, immagini, video, testo, inclusi i modelli GPAI) devono garantire output marcati in formato leggibile meccanicamente e riconoscibili come artificiali (filigrane, metadati, impronte digitali). Nota operativa confermata: per i sistemi già sul mercato prima del 2 agosto 2026, la scadenza effettiva per adeguarsi a questo specifico obbligo è il 2 dicembre 2026, grazie alla modifica dell’art. 111, par. 4, introdotta dal Digital Omnibus. È l’unica eccezione all’interno dell’art. 50: tutti gli altri obblighi restano fissati al 2 agosto 2026.

3. Riconoscimento delle emozioni e categorizzazione biometrica (art. 50, par. 3)

I deployer devono informare le persone esposte e trattare i dati personali nel rispetto del GDPR. Questi sistemi restano generalmente classificati come ad alto rischio.

4. Deepfake e testi di interesse pubblico (art. 50, par. 4)

I deployer che generano o manipolano contenuti che costituiscono un deepfake devono dichiararne la natura artificiale (obbligo attenuato per opere artistiche, satiriche o di finzione). Obbligo analogo per i testi generati dall’IA e pubblicati per informare il pubblico su temi di interesse pubblico, salvo revisione editoriale umana.

Regola trasversale (art. 50, par. 5)

L’informazione va fornita in modo chiaro, distinguibile e accessibile, al più tardi al momento della prima interazione o esposizione. Non bastano rimandi a termini e condizioni o documentazione esterna.

Le riserve di EDPB ed EDPS sul Digital Omnibus

Il percorso di semplificazione non è stato privo di tensioni. Il parere congiunto EDPB-EDPS 1/2026 del 20 gennaio 2026 aveva avvertito che alleggerire le regole non deve tradursi in un arretramento delle tutele, contestando in particolare la cancellazione dell’obbligo di registrazione per i sistemi auto-esclusi dall’art. 6(3) e chiedendo di mantenere lo standard di “stretta necessità” per il trattamento di dati sensibili nella bias detection.

AI Act in Italia: la Legge 132/2025

Accanto al percorso europeo, resta pienamente operativa la Legge 132/2025, che ha recepito l’AI Act nell’ordinamento italiano introducendo il reato di deepfake (art. 613-quater c.p.) e rafforzando il collegamento con il Modello 231. Le imprese italiane devono quindi tenere in considerazione un doppio binario di compliance, europeo e nazionale, indipendentemente da cosa slitta a livello europeo.

Cosa va fatto prima di agosto 2026: 5 passaggi operativi

Il percorso di adeguamento in vista del 2 agosto 2026 può essere strutturato in cinque passaggi:

• Censire i sistemi di IA in uso — Mappare ogni strumento impiegato (chatbot, assistenti alla scrittura, strumenti di generazione contenuti, componenti IA di terze parti) e identificare il proprio ruolo per ciascuno (fornitore, deployer, importatore, distributore).

• Classificare il livello di rischio — Distinguere gli strumenti a basso impatto da quelli che richiedono un presidio più stringente, per dimensionare correttamente le priorità, tenendo conto delle nuove scadenze 2027-2028 per l’alto rischio.

• Verificare gli obblighi di trasparenza dell’art. 50 — Controllare ogni touchpoint automatizzato e predisporre le informative richieste, evitando soluzioni insufficienti come la sola menzione nei termini e condizioni. Per i fornitori di contenuti sintetici già sul mercato, avviare da subito la valutazione delle soluzioni tecniche di marcatura (watermarking, metadati, standard come C2PA), in vista della scadenza del 2 dicembre 2026 — i tempi di implementazione e validazione non sono immediati.

• Integrare la governance AI con la compliance GDPR — Quando i sistemi di IA trattano dati personali, coordinare la valutazione della base giuridica, la minimizzazione dei dati e le eventuali valutazioni d’impatto con gli obblighi dell’AI Act, per evitare duplicazioni.

• Documentare le misure adottate — Dal 2 agosto 2026 le autorità di vigilanza possono richiedere evidenza concreta delle procedure interne: conservare la documentazione su inventario, classificazione, informative e marcatura è un presidio essenziale in caso di controllo.

Domande frequenti su cosa slitta e cosa va fatto prima di agosto 2026

Cosa slitta esattamente con il Digital Omnibus? L’applicazione delle norme sui sistemi di IA ad alto rischio, dal 2 agosto 2026 al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I). Slitta anche, ma solo per i sistemi già sul mercato prima del 2 agosto 2026, il termine per la marcatura tecnica dei contenuti sintetici (art. 50, par. 2), fino al 2 dicembre 2026.

Cosa non slitta e va preparato entro il 2 agosto 2026? Gli obblighi di trasparenza dell’articolo 50 (per tutti i sistemi non già sul mercato prima di quella data), l’avvio dell’applicazione delle sanzioni a livello nazionale e UE, e la maggior parte delle altre norme del Regolamento.

Il Digital Omnibus è già in vigore? È stato adottato definitivamente dal Consiglio UE il 29 giugno 2026, dopo l’approvazione del Parlamento del 16 giugno. Manca solo la pubblicazione in Gazzetta Ufficiale UE, attesa entro fine luglio 2026, con entrata in vigore il terzo giorno successivo. Fino a quel momento, formalmente resta in vigore il calendario originario del 2024.

Il Digital Omnibus ha eliminato gli obblighi sui sistemi ad alto rischio? No. Ne ha posticipato l’applicazione al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I), senza eliminarne il contenuto sostanziale.

Cosa succede se un’azienda non si adegua entro agosto 2026? Dal 2 agosto 2026 le autorità nazionali di vigilanza sono pienamente operative e possono sanzionare le violazioni degli obblighi non slittati. Per l’art. 50 in particolare, la fascia sanzionatoria prevista dall’art. 99 del Regolamento è fino a 15 milioni di euro o il 3% del fatturato globale, a seconda di quale importo sia più alto — la fascia più severa (35 milioni o 7%) resta riservata alle sole pratiche vietate dell’art. 5.

Fonti

• AI Act Service Desk, Commissione europea, “Calendario per l’attuazione della normativa dell’UE sull’IA”, https://ai-act-service-desk.ec.europa.eu/it/ai-act/timeline/calendario-lattuazione-della-normativa-dellue-sullia

• Agenda Digitale, Adriano Bertolino, “Digital Omnibus e AI Act: cosa può slittare e cosa va fatto prima di agosto 2026” https://www.agendadigitale.eu/industry-4-0/digital-omnibus-e-ai-act-cosa-puo-slittare-e-cosa-va-fatto-prima-di-agosto-2026/

• AI Act Service Desk, Commissione europea, “Article 50: Transparency obligations for providers and deployers of certain AI systems”, https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50

• Agenda Digitale, Giacomo Borgognone, Anna Cataleta, “Obblighi di trasparenza AI Act: cosa devono fare le aziende dal 2 agosto 2026”, (5 giugno 2026) https://www.agendadigitale.eu/sicurezza/obblighi-di-trasparenza-ai-act-cosa-devono-fare-le-aziende-dal-2-agosto-2026/

• Consiglio dell’Unione europea, comunicato stampa, “Artificial Intelligence: Council gives final green light to simplify and streamline rules”, (29 giugno 2026) https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/

• Consiglio dell’Unione europea, comunicato stampa, “Artificial Intelligence: Council and Parliament agree to simplify and streamline rules”, (7 maggio 2026) https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/

• Parlamento europeo, ‘Legislative Train Schedule, scheda “Digital Omnibus on AI’”, https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-omnibus-on-ai

Questo articolo ha finalità informative e non sostituisce una valutazione legale o di compliance specifica. Il quadro normativo è in evoluzione: in particolare si segnala che, alla data di pubblicazione di questo articolo, il Digital Omnibus risulta adottato ma non ancora pubblicato in Gazzetta Ufficiale UE. Per gli adempimenti formali si raccomanda il confronto con un consulente qualificato e la verifica del testo pubblicato non appena disponibile.