In uno scenario in cui l’adozione di strumenti di intelligenza artificiale entra in modo strutturale nei processi aziendali, dalla selezione del personale alla gestione dei clienti, l’Unione Europea rivede i tempi di attuazione del primo quadro normativo organico sul tema. Con il Digital Omnibus, approvato in via definitiva dal Consiglio dell’Unione Europea il 29 giugno 2026 dopo il voto del Parlamento del 16 giugno 2026, gli obblighi del Regolamento (UE) 2024/1689, noto come AI Act, per i sistemi di intelligenza artificiale ad alto rischio slittano dal 2 agosto 2026 al 2 dicembre 2027.
Il Regolamento UE 2024/1689 e il nuovo calendario dopo il Digital Omnibus
Il Regolamento (UE) 2024/1689 del 13 giugno 2024 è entrato in vigore il 1° agosto 2024, ma la sua efficacia è distribuita nel tempo per consentire l’adeguamento di imprese e istituzioni. Dal 2 febbraio 2025 si applicano il divieto delle pratiche di intelligenza artificiale considerate inaccettabili e gli obblighi di alfabetizzazione del personale. Dal 2 agosto 2025 sono operative le regole sui modelli di IA per finalità generali, l’impianto di governance e il regime sanzionatorio.
Il Digital Omnibus, che ha completato l’iter legislativo con il voto del Parlamento europeo del 16 giugno 2026 e il via libera definitivo del Consiglio del 29 giugno 2026, modifica il calendario successivo. Gli obblighi per i sistemi ad alto rischio elencati nell’Allegato III, originariamente previsti dal 2 agosto 2026, si applicano ora dal 2 dicembre 2027. Gli obblighi per i sistemi ad alto rischio integrati in prodotti già regolati da altre normative di armonizzazione UE, come dispositivi medici e macchinari, slittano dal 2 agosto 2027 al 2 agosto 2028. Il testo attende la pubblicazione in Gazzetta Ufficiale dell’Unione Europea, da cui decorreranno i termini formali.
Che cosa cambia con il rinvio al 2 dicembre 2027
Il rinvio riguarda gli obblighi pieni per i sistemi di intelligenza artificiale ad alto rischio elencati nell’Allegato III del Regolamento, tra cui quelli impiegati nella selezione e nella gestione del personale, nell’accesso a servizi essenziali, nell’istruzione, nell’amministrazione della giustizia e nella gestione di infrastrutture critiche. Per un datore di lavoro questo significa che i requisiti pieni di gestione del rischio, qualità dei dati, trasparenza e sorveglianza umana per gli strumenti automatizzati di screening delle candidature o di valutazione dei lavoratori si applicano dal 2 dicembre 2027, e non più dal 2 agosto 2026.
Il rinvio non sospende l’intero Regolamento. Restano fermi, dal 2 febbraio 2025, i divieti sulle pratiche vietate e, dal 2 agosto 2025, le regole sui modelli di intelligenza artificiale per finalità generali, la governance e il regime sanzionatorio.
Gli obblighi di trasparenza previsti dall’articolo 50 restano confermati alla data del 2 agosto 2026: chi interagisce con un sistema di intelligenza artificiale deve esserne informato e i contenuti generati artificialmente vanno marcati in modo riconoscibile. I contenuti che riproducono persone o eventi in modo artificiale, i cosiddetti deepfake, devono essere dichiarati come tali, mentre dal 2 dicembre 2026 si aggiunge l’obbligo di una marcatura leggibile da dispositivi automatici per i contenuti sintetici.
Le sanzioni previste dal Regolamento
L’impianto sanzionatorio, operativo dal 2 agosto 2025, è calibrato sulla gravità della violazione. L’articolo 99 fissa il livello più elevato per l’impiego delle pratiche vietate, con multe fino a 35 milioni di euro o al 7 per cento del fatturato mondiale annuo, se superiore. La violazione degli obblighi sui sistemi ad alto rischio è punita con multe fino a 15 milioni di euro o al 3 per cento del fatturato. La comunicazione di informazioni inesatte alle autorità può arrivare a 7,5 milioni di euro o all’1 per cento del fatturato.
A chi si applica e come prepararsi
Il Regolamento adotta un approccio basato sul rischio e responsabilizza soggetti diversi lungo la catena del valore, dai fornitori dei sistemi agli utilizzatori professionali. Molte imprese scopriranno di rientrare nel perimetro non perché sviluppano intelligenza artificiale, ma perché la utilizzano in funzioni sensibili come la gestione del personale. La mappatura dei sistemi in uso è quindi il primo passo per collocare l’organizzazione nel quadro corretto.
Il rinvio al 2 dicembre 2027 offre alle imprese tempo aggiuntivo, ma non riduce la convenienza di anticipare l’analisi. Affianchiamo le imprese nella mappatura dei sistemi di intelligenza artificiale utilizzati, nella classificazione del rischio e nella costruzione dei presidi di conformità e trasparenza richiesti dal Regolamento, integrando questi adempimenti con la protezione dei dati personali già presidiata dal GDPR.
