Il contributo analizza le novità del Regolamento (UE) 2026/1744 (c.d. Digital Omnibus), in vigore dal 27 luglio 2026, che, pur non modificando l’impianto basato sul rischio dell’AI Act, interviene sul calendario applicativo e sulla formulazione di alcuni obblighi, tra cui quello di alfabetizzazione in materia di IA, introducendo una specifica disciplina per il trattamento di categorie particolari di dati finalizzato alla rilevazione e correzione dei bias, amplia l’elenco delle pratiche vietate e prevede ulteriori misure di proporzionalità e sostegno per le imprese.
1. Premessa e finalità del Digital Omnibus
Il 19 novembre 2025 la Commissione europea ha presentato la proposta COM(2025) 836, nell’ambito del settimo pacchetto di semplificazione, con l’obiettivo di rendere più proporzionata e prevedibile l’attuazione delle regole armonizzate sull’intelligenza artificiale. Il procedimento legislativo si è concluso con l’adozione del Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio dell’8 luglio 2026 (di seguito, “Digital Omnibus”).
Il Digital Omnibus è stato pubblicato nella Gazzetta ufficiale dell’Unione europea il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026. Esso modifica il Regolamento (UE) 2024/1689 (“AI Act”), il Regolamento (UE) 2018/1139 in materia di aviazione civile e il Regolamento (UE) 2023/1230 relativo alle macchine.
Le modifiche non alterano l’impianto dell’AI Act basato sul rischio, ma intervengono su quattro direttrici principali: (i) il calendario applicativo, (ii) la formulazione e il perimetro di alcuni obblighi, (iii) le misure di proporzionalità e sostegno e (iv) il coordinamento con la normativa settoriale.
Il Digital Omnibus introduce, inoltre, nuove pratiche vietate e specifici regimi transitori.
Le organizzazioni dispongono pertanto di tempi più ampi per alcuni adempimenti, ma dovrebbero proseguire senza ritardi le attività di mappatura, classificazione e governance dei sistemi, verificando caso per caso il ruolo assunto e gli obblighi concretamente applicabili.
2. Modifiche al calendario applicativo
2.1 Sistemi di IA ad alto rischio
La modifica di maggiore impatto operativo riguarda il differimento delle Sezioni 1, 2 e 3 del capo III dell’AI Act, relative alla classificazione, ai requisiti e agli obblighi degli operatori dei sistemi di IA ad alto rischio. Il rinvio mira a consentire la predisposizione di standard, specifiche comuni, orientamenti e altri strumenti di supporto alla conformità.
Le disposizioni relative ai sistemi ad alto rischio indipendenti, in particolare quelli riconducibili all’art. 6, par. 2, e all’allegato III, si applicano dal 2 dicembre 2027. Le disposizioni relative ai sistemi integrati come componenti di sicurezza in prodotti disciplinati dalla normativa settoriale dell’Unione, ai sensi dell’art. 6, par. 1, e dell’allegato I, si applicano dal 2 agosto 2028.
Il testo definitivo ha sostituito il meccanismo variabile inizialmente proposto – collegato a una decisione della Commissione sulla disponibilità degli strumenti di supporto alla conformità – con date certe. Il differimento non esonera gli operatori dall’avviare la mappatura dei sistemi, la qualificazione dei ruoli, la pre-classificazione, la revisione dei contratti e la definizione dei presidi di governance.
2.2 Trasparenza dei contenuti sintetici: un rinvio circoscritto
Restano centrali gli obblighi dell’art. 50 dell’AI Act.
Tuttavia, l’art. 111, par. 4, ha introdotto un regime transitorio circoscritto ai fornitori di sistemi di IA, compresi quelli basati su modelli di IA per finalità generali, che generano contenuti sintetici audio, immagini, video o testi e che siano stati immessi sul mercato prima del 2 agosto 2026.
Per tali sistemi, il termine per adottare le soluzioni tecniche richieste dall’art. 50, par. 2 – affinché gli output siano marcati in un formato leggibile meccanicamente e siano rilevabili come generati o manipolati artificialmente – è fissato al 2 dicembre 2026.
Il termine non costituisce un rinvio generalizzato degli obblighi di trasparenza. Restano, tra gli altri, gli obblighi di informare le persone quando interagiscono direttamente con un sistema di IA e quelli posti a carico dei deployer in relazione ai deep fake e ai testi generati o manipolati artificialmente pubblicati per informare il pubblico su questioni di interesse pubblico.
3. Spazi di sperimentazione normativa: Sandbox regolatorie operative entro dicembre 2027
Un’altra modifica riguarda gli spazi nazionali di sperimentazione normativa, le cosiddette regulatory sandbox.
Le sandbox rappresentano ambienti controllati nei quali imprese e autorità possono sperimentare sistemi innovativi, confrontarsi sugli obblighi applicabili e affrontare in anticipo eventuali criticità di conformità.
Il termine entro il quale deve essere operativo almeno uno spazio nazionale di sperimentazione normativa ai sensi dell’art. 57 è differito al 2 dicembre 2027. Il rinvio incide sul calendario imposto agli Stati membri, senza impedire l’istituzione o l’operatività anticipata delle regulatory sandbox.
4. Modifiche sostanziali agli obblighi
4.1 Alfabetizzazione in materia di IA (AI literacy)
Il Digital Omnibus riformula anche l’art. 4 dell’AI Act, dedicato all’alfabetizzazione in materia di intelligenza artificiale (AI literacy). Il nuovo testo dell’art. 4 mantiene in capo a fornitori e deployer il compito di adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione in materia di IA del personale e degli altri soggetti che operano per loro conto. L’obbligo era originariamente applicabile dal 2 febbraio 2025, mentre la formulazione modificata è applicabile dal 27 luglio 2026, data di entrata in vigore del Digital Omnibus.
Fornitori e deployer non devono garantire che ciascun individuo raggiunga un livello predeterminato di competenza, ma devono adottare misure effettive e proporzionate. Tali misure devono essere calibrate sulle mansioni, sulle conoscenze tecniche e sull’esperienza dei destinatari, sul contesto di utilizzo del sistema e sulle persone o categorie di persone sulle quali il sistema può produrre effetti.
In concreto, le misure possono comprendere formazione differenziata per ruolo, istruzioni operative, regole interne sull’uso dei sistemi, aggiornamenti periodici e presidi specifici per gli utilizzatori di sistemi ad alto rischio o impiegati in processi decisionali.
4.2 Trattamento di categorie particolari di dati per la rilevazione dei bias
Il nuovo art. 4-bis, applicabile dal 2 agosto 2026, introduce una base normativa specifica che consente, in via eccezionale e nel rispetto di condizioni rigorose, il trattamento di categorie particolari di dati personali quando ciò sia strettamente necessario per individuare e correggere distorsioni. La norma mira a gestire uno dei principali problemi dei sistemi algoritmici, ossia il rischio che dati incompleti, sbilanciati o non rappresentativi producano risultati discriminatori o comunque distorti.
La disposizione non configura un’autorizzazione generale al trattamento, ma richiede il rispetto delle condizioni e delle garanzie previste dalla norma. Per le organizzazioni, ciò implica la necessità di documentare la stretta necessità del trattamento e di coordinare questa possibilità con i principi e gli obblighi previsti dalla disciplina in materia di protezione dei dati personali.
4.3 Nuove pratiche vietate
Il Digital Omnibus amplia l’elenco delle pratiche vietate dall’AI Act.
L’elenco delle pratiche vietate è integrato dalle disposizioni di cui all’art. 5, par. 1, lett. b-bis e b-ter, e parr. 1-bis e 1-ter, relative alla generazione o manipolazione di contenuti sessuali o intimi non consensuali e di materiale di abuso sessuale su minori.
Tali nuove disposizioni si applicano dal 2 dicembre 2026, mentre le pratiche vietate originarie rimangono applicabili dal 2 febbraio 2025.
La modifica richiede particolare attenzione alle policy interne sull’utilizzo degli strumenti generativi e ai controlli sugli output messi a disposizione del personale o degli utenti.
4.4 Registrazione nella banca dati dell’Unione
Il Digital Omnibus ripristina l’obbligo di registrazione nella banca dati dell’Unione per i fornitori che ritengano che un sistema ricompreso nell’allegato III non debba essere classificato come ad alto rischio. La modifica rafforza la tracciabilità delle valutazioni effettuate dai fornitori e la possibilità di controllo da parte delle autorità competenti.
L’obbligo assume rilievo anche per le organizzazioni che sviluppano internamente sistemi di IA o li immettono in servizio con il proprio nome o marchio, potendo in tali casi assumere il ruolo di fornitore ai sensi dell’AI Act.
5. Misure di semplificazione e coordinamento
5.1 Proporzionalità e sostegno alle imprese
Il Digital Omnibus estende alle piccole imprese a media capitalizzazione talune misure di proporzionalità e sostegno precedentemente previste per le PMI, secondo quanto stabilito dalle singole disposizioni modificate.
La modifica si inserisce nell’obiettivo generale di graduare gli adempimenti in funzione delle dimensioni e delle capacità organizzative degli operatori, senza alterare i requisiti essenziali di tutela previsti dall’AI Act.
L’estensione non determina, infatti, una riduzione generalizzata degli obblighi, ma incide su specifici adempimenti, misure di sostegno e limiti sanzionatori, senza alterare i requisiti essenziali di tutela previsti dall’AI Act.
5.2 Coordinamento con la normativa settoriale
Il regolamento rafforza il coordinamento tra l’AI Act e la normativa settoriale relativa alle macchine e all’aviazione civile, anche attraverso la modifica dei regolamenti (UE) 2023/1230 e (UE) 2018/1139.
L’obiettivo è ridurre sovrapposizioni e assicurare un’applicazione coerente delle regole sull’IA nei settori già assoggettati a specifiche procedure di conformità e vigilanza.
6. Implicazioni operative generali
In conclusione, sul piano operativo, le società dovrebbero aggiornare il proprio calendario di adeguamento sulla base delle nuove date, senza sospendere le attività preparatorie. Restano prioritarie la mappatura dei casi d’uso, la verifica delle pratiche vietate e degli obblighi di trasparenza, nonché la qualificazione del ruolo assunto rispetto a ciascun sistema come fornitore, deployer, importatore o distributore.
Devono, inoltre, essere considerati la governance dei dati, la supervisione umana, la gestione degli incidenti e l’aggiornamento di procurement, contratti e policy interne. Particolare attenzione va riservata agli strumenti generativi già in uso, ai sistemi impiegati nei processi decisionali e ai casi nei quali un’organizzazione possa assumere il ruolo di fornitore, ad esempio sviluppando internamente un sistema o immettendolo in servizio con il proprio nome o marchio.
Il differimento delle disposizioni sui sistemi ad alto rischio consente una pianificazione più graduale, ma non rende opportuno rinviare la classificazione preliminare dei sistemi e la predisposizione dei presidi organizzativi e documentali necessari.
Il Digital Omnibus rende l’attuazione dell’AI Act più graduale e sostenibile, ma non ne modifica la logica di fondo.
La concreta applicabilità dei singoli obblighi deve essere verificata caso per caso, in funzione dei sistemi utilizzati, del ruolo assunto dall’organizzazione nella relativa catena del valore dell’IA e delle specifiche finalità d’uso.
Per le imprese, la priorità resta, quindi, trasformare le nuove scadenze in un programma di adeguamento realistico: completare la mappatura, chiarire responsabilità e ruoli, aggiornare contratti e procedure interne e predisporre presidi coerenti con il livello di rischio dei sistemi impiegati.
Il maggiore tempo concesso dal Digital Omnibus deve essere utilizzato per prepararsi, non per rinviare l’adeguamento.
7. Calendario applicativo consolidato
La tabella seguente riepiloga le principali date richiamate nell’analisi, ordinate cronologicamente.
| Data | Riferimento | Contenuto / nota |
| 2 febbraio 2025 | Art. 4, nella formulazione originaria | Applicazione originaria dell’obbligo di AI literacy. |
| 2 febbraio 2025 | Capo II | Applicazione delle pratiche vietate originarie. |
| 2 agosto 2025 | Capo III, sezione 4 | Autorità di notifica e organismi notificati. |
| 2 agosto 2025 | Capo V | Modelli di IA per finalità generali, salvi i regimi transitori specifici. |
| 27 luglio 2026 | Reg. (UE) 2026/1744 e art. 4 modificato | Entrata in vigore del Digital Omnibus e applicazione della nuova formulazione dell’AI literacy. |
| 2 agosto 2026 | Art. 4-bis e art. 113 | Applicazione del nuovo art. 4-bis e data generale per le disposizioni non soggette a termini speciali. |
| 2 dicembre 2026 | Art. 5, par. 1, lett. b-bis e b-ter, e parr. 1-bis e 1-ter | Applicazione delle nuove pratiche vietate. |
| 2 dicembre 2026 | Art. 111, par. 4, in relazione all’art. 50, par. 2 | Termine per la marcatura e rilevabilità dei contenuti sintetici generati da sistemi immessi sul mercato prima del 2 agosto 2026. |
| 2 dicembre 2027 | Capo III, sezioni 1–3 | Applicazione delle disposizioni sui sistemi ad alto rischio indipendenti di cui all’art. 6, par. 2, e all’allegato III. |
| 2 dicembre 2027 | Art. 57 | Termine per rendere operativo almeno uno spazio nazionale di sperimentazione normativa. |
| 2 agosto 2028 | Capo III, sezioni 1–3 | Applicazione delle disposizioni sui sistemi ad alto rischio integrati in prodotti di cui all’art. 6, par. 1, e all’allegato I. |
