La parte piu' temuta dell'AI Act non entrera' in vigore il 2 agosto 2026 come previsto. Il 7 maggio 2026 Consiglio dell'UE e Parlamento europeo hanno raggiunto un'intesa politica sul cosiddetto Digital Omnibus, il pacchetto di semplificazione che rinvia di oltre un anno gli obblighi sui sistemi di intelligenza artificiale ad alto rischio e riscrive alcune scadenze chiave del regolamento approvato nel 2024.
E' un cambio di rotta sostanziale. Per mesi imprese, fornitori di modelli e pubbliche amministrazioni hanno lavorato sul calendario originario; ora la Commissione, sotto la pressione dell'industria e di una parte dei governi, sceglie di concedere piu' tempo. Il testo fa parte del piano "Omnibus VII" e deve ancora essere adottato formalmente, ma l'accordo politico fissa gia' le nuove date.
Quali scadenze slittano e di quanto
Il rinvio piu' pesante riguarda i sistemi ad alto rischio dell'Allegato III, quelli definiti "in base all'uso": software per selezione del personale, valutazione scolastica, accesso a servizi essenziali, gestione di lavoratori. Gli obblighi, attesi per il 2 agosto 2026, slittano al 2 dicembre 2027, sedici mesi piu' tardi.
Per i sistemi ad alto rischio dell'Allegato I, cioe' l'IA incorporata in prodotti gia' regolati come dispositivi medici, macchinari e giocattoli, l'applicazione passa dal 2 agosto 2027 al 2 agosto 2028. Slittano anche due adempimenti collegati: l'obbligo di marcatura leggibile dalla macchina per i contenuti sintetici (watermarking), spostato dal 2 agosto 2026 al 2 dicembre 2026, e l'obbligo per gli Stati membri di istituire almeno una sandbox normativa nazionale, rinviato al 2 agosto 2027.
I nuovi divieti: app "nudifier" e materiale pedopornografico
Non e' solo una proroga. L'intesa introduce due nuove pratiche vietate, che scatteranno il 2 dicembre 2026: l'uso di sistemi di IA per generare o manipolare materiale intimo non consensuale, comprese le app cosiddette "nudifier" che spogliano una persona nelle foto, e la produzione di materiale pedopornografico (CSAM). E' una risposta diretta all'esplosione dei deepfake sessuali, un fenomeno che ha colpito anche scuole e minori in diversi Paesi europei.
Le sanzioni restano severe: la violazione delle pratiche proibite puo' costare fino a 15 milioni di euro o il 7% del fatturato annuo mondiale, la fascia piu' alta prevista dal regolamento.
Perche' Bruxelles ha rallentato
Dietro la frenata c'e' una doppia spinta. Da un lato la pressione competitiva: l'Europa teme di restare indietro rispetto a Stati Uniti e Cina e ha raccolto le lamentele di aziende e startup sui costi di conformita'. Dall'altro un dato pratico: a pochi mesi dalla scadenza mancavano ancora standard tecnici armonizzati e linee guida operative, rendendo difficile per le imprese sapere come rispettare gli obblighi.
La scelta non e' priva di critiche. Diverse organizzazioni per i diritti digitali parlano di un indebolimento mascherato da semplificazione, e temono che il rinvio dell'alto rischio lasci scoperti per oltre un anno settori sensibili come lavoro e istruzione. Bruxelles risponde che le tutele restano e che alcune, come i divieti sui deepfake intimi, vengono addirittura anticipate.
Cosa devono fare ora imprese e fornitori
L'accordo deve essere ratificato da Parlamento e Consiglio, con l'adozione formale attesa entro il 2 agosto 2026, cioe' prima della data in cui sarebbero scattate le vecchie regole. Per chi sviluppa o impiega IA cambiano le priorita': gli obblighi per i modelli di IA per finalita' generali (GPAI), gia' in vigore, restano; gli obblighi sull'alto rischio guadagnano tempo, ma le aziende che vendono in settori regolati farebbero bene a non rimandare la documentazione tecnica e la gestione del rischio, perche' le nuove date sono comunque vincolanti.
Resta poi il fronte trasparenza: dal 2 dicembre 2026 i contenuti generati o modificati dall'IA dovranno essere marcati in modo leggibile dalle macchine, un tema che si intreccia con gli standard di provenienza come C2PA. Per chi pubblica immagini, audio o video sintetici, e' la scadenza da segnare in agenda.
