AI Act 2026: cosa cambia con il Digital Omnibus UE

In breve

• L'AI Act è il regolamento europeo sull'intelligenza artificiale: pienamente applicabile dal 2 agosto 2026 per la maggior parte degli obblighi.
• Il pacchetto "Digital Omnibus" annunciato ad aprile 2026 punta a semplificare alcuni adempimenti per le PMI.
• Per la maggior parte delle aziende italiane gli obblighi sono leggeri: trasparenza verso gli utenti (sapere quando si parla con un'AI) e registro interno degli AI usati.
• Diventano pesanti se sviluppate o usate AI in HR, credito, sicurezza, infrastrutture critiche.
• Sanzioni fino a 35 milioni di euro o 7% del fatturato globale per violazioni gravi.

Cosa è l'AI Act, in breve

L'AI Act (Regolamento UE 2024/1689) è il primo regolamento al mondo che classifica i sistemi di intelligenza artificiale per livello di rischio e impone obblighi proporzionati.

Quattro categorie:

1. Rischio inaccettabile (vietati): social scoring, riconoscimento emotivo sul lavoro, sorveglianza biometrica massiva.
2. Rischio alto: AI in HR, credito, esami scolastici, infrastrutture critiche, sicurezza pubblica.
3. Rischio limitato: chatbot, generazione di contenuti, deepfake. Solo obblighi di trasparenza.
4. Rischio minimo: filtri spam, raccomandazioni e-commerce. Nessun obbligo specifico.

Fonte: Regolamento UE 2024/1689.

Il calendario reale

• 2 febbraio 2025: divieti per AI a rischio inaccettabile, obblighi di alfabetizzazione AI.
• 2 agosto 2025: regole per i modelli "general-purpose" (GPT, Claude, Gemini, ecc.).
• 2 agosto 2026: la maggior parte degli obblighi diventa applicabile (rischio alto e limitato).
• 2 agosto 2027: applicazione completa, anche per AI già sul mercato.

Cosa è il Digital Omnibus

Ad aprile 2026 la Commissione UE ha annunciato il pacchetto "Digital Omnibus", che mira a:

• Semplificare gli adempimenti per le PMI sotto certi parametri.
• Coordinare AI Act, GDPR, NIS2, Data Act, DGA: oggi sono leggi che a volte si sovrappongono e generano confusione.
• Ridurre la burocrazia documentale per chi usa AI a rischio limitato.

Non cancella l'AI Act, lo rende più digeribile per chi non è una multinazionale. Le PMI italiane sono tra i beneficiari diretti.

Cosa cambia per la maggior parte delle aziende

Se siete una PMI italiana che usa AI in modo "normale" (chatbot per il sito, scrittura testi, supporto interno), siete in rischio limitato. Dovete:

1. Dichiarare la natura AI dell'interazione: il chatbot deve dire "sono un assistente AI".
2. Etichettare contenuti generati da AI (immagini, video, audio).
3. Mantenere un registro interno degli AI in uso.
4. Garantire alfabetizzazione AI: il personale deve essere formato sul funzionamento e sui limiti.

Niente di drammatico. Si fa con una policy interna e qualche ora di formazione.

Quando diventa serio

Se siete un'azienda che usa AI in rischio alto, le cose cambiano. Esempi tipici:

• Software che valuta CV per assunzioni o promozioni.
• Sistemi di scoring per credito al consumo.
• AI che assiste decisioni mediche.
• Controllo accessi con biometria.
• AI in sistemi di sicurezza pubblica.

Per questi serve:

• Sistema di gestione del rischio documentato (vicino alla ISO 42001).
• Dataset di qualità verificabile (rappresentatività, bias).
• Documentazione tecnica completa.
• Supervisione umana obbligatoria.
• Trasparenza completa verso utenti e autorità.
• Registrazione del sistema in un database europeo.

Costi tipici per arrivare a compliance: 50-300 mila euro a seconda del sistema. Tempi: 6-18 mesi.

Sanzioni

• Fino a 35 milioni di euro o 7% del fatturato globale per AI vietati o violazioni gravi.
• Fino a 15 milioni o 3% per violazioni di obblighi specifici.
• Fino a 7,5 milioni o 1,5% per informazioni false.

Le PMI hanno qualche tutela proporzionale, ma le multe possono diventare esistenziali.

Cosa fare nei prossimi 6 mesi

Per qualunque PMI che oggi usa o vuole usare AI:

1. Mappa dei sistemi AI in uso (anche tool che pensavate non lo fossero: Microsoft Copilot in Excel, traduttori automatici, antispam intelligenti).
2. Classificazione del rischio per ognuno: minimo / limitato / alto.
3. Aggiornare la policy interna: cosa è permesso, cosa no, chi è il referente.
4. Formazione AI literacy per tutto il personale: 2-4 ore, anche online.
5. Verifica con i fornitori: chi vi fornisce software AI deve dirvi cosa fa per essere compliant.

Costo tipico per una PMI: 5-25 mila euro tra consulenza, formazione e adeguamento.

E gli sviluppatori AI italiani?

Se siete una software house o un system integrator che vende soluzioni AI, l'AI Act vi tocca direttamente come "deployer" o "provider". Obblighi pesanti su:

• Documentazione tecnica.
• Marcatura CE (per AI a rischio alto).
• Procedure di gestione qualità.
• Notifica incidenti.

Si sovrappone in parte al Cyber Resilience Act, di cui parliamo in un altro articolo. Vale la pena affrontare i due insieme.

Approfondimenti

• Regolamento UE 2024/1689 (AI Act)
• Commissione UE — Digital Omnibus
• AgID — Risorse AI Act

In sintesi

L'AI Act non è la fine del mondo per le PMI italiane. Per la maggior parte significa: dichiara che usi AI, fai un registro, forma il personale. Diventa serio solo se sviluppate AI per HR, credito, sanità, sicurezza. Sei mesi di lavoro vi mettono al sicuro fino al 2027 e oltre.