AI Act e imprese: cosa cambia con il Digital Omnibus e cosa fare dal 2 agosto 2026

Dal 27 luglio 2026 è in vigore il Regolamento UE 2026/1744, il cosiddetto “Digital Omnibus on AI”. La novità è concreta: alcune scadenze dell’AI Act vengono rinviate, soprattutto per i sistemi di IA ad alto rischio, ma non viene sospeso l’obbligo per le imprese di governare l’uso dell’intelligenza artificiale.

Per amministratori, responsabili HR, marketing, compliance, IT e startup che sviluppano o usano strumenti di IA, il punto operativo è questo: c’è più tempo per alcuni adempimenti complessi, ma dal 2 agosto 2026 restano centrali trasparenza, alfabetizzazione sull’IA, controllo dei fornitori e gestione documentata dei rischi.

A chi si applica

La disciplina interessa le imprese che:

• sviluppano, vendono o integrano sistemi di intelligenza artificiale;
• usano chatbot, assistenti virtuali, sistemi generativi o strumenti di automazione nei rapporti con clienti, dipendenti o utenti;
• impiegano IA in selezione del personale, valutazione di candidati, scoring, assicurazioni, credito, servizi essenziali, biometria o riconoscimento delle emozioni;
• producono macchinari, dispositivi o prodotti regolati che incorporano componenti IA con funzione di sicurezza.

Nel linguaggio dell’AI Act, l’impresa può essere “provider” se immette sul mercato o mette in servizio un sistema IA con il proprio nome, oppure “deployer” se lo utilizza nella propria organizzazione. La distinzione è decisiva perché gli obblighi non sono identici.

Il quadro normativo in sintesi

L’AI Act, Regolamento UE 2024/1689, ha introdotto una disciplina europea basata sul rischio. Alcune pratiche sono vietate, i sistemi ad alto rischio sono soggetti a requisiti più stringenti, mentre altri sistemi sono sottoposti soprattutto a obblighi di trasparenza.

Il Digital Omnibus, Regolamento UE 2026/1744, modifica il calendario applicativo. In particolare:

• le regole sui sistemi IA ad alto rischio dell’Allegato III si applicano dal 2 dicembre 2027;
• le regole sui sistemi IA ad alto rischio incorporati in prodotti regolati dall’Allegato I si applicano dal 2 agosto 2028;
• dal 2 agosto 2026 si applicano comunque le regole di trasparenza dell’articolo 50 e l’enforcement per le regole già applicabili;
• per alcuni sistemi già immessi sul mercato prima del 2 agosto 2026 che generano contenuti sintetici, il termine transitorio per adeguarsi all’articolo 50, paragrafo 2, è il 2 dicembre 2026.

Non è quindi corretto leggere il rinvio come un “liberi tutti”. L’effetto pratico è diverso: le imprese devono usare il tempo aggiuntivo per mappare gli strumenti IA, classificare i rischi e aggiornare procedure, contratti e informative.

Cosa devono fare le imprese

La prima azione consigliata è creare un inventario dei sistemi IA utilizzati o forniti. L’elenco dovrebbe indicare: nome dello strumento, fornitore, funzione, dati trattati, utenti coinvolti, area aziendale, presenza di output automatizzati e possibile impatto su persone fisiche.

In secondo luogo, l’impresa deve verificare se usa sistemi che richiedono trasparenza verso utenti, clienti o lavoratori. Dal 2 agosto 2026, ad esempio, occorre prestare attenzione a chatbot, contenuti generati o modificati con IA, deepfake, sistemi di riconoscimento delle emozioni e categorizzazione biometrica.

Terzo passaggio: aggiornare i contratti con i fornitori. Nei contratti SaaS, nei DPA privacy, nei capitolati e nelle policy interne dovrebbero comparire clausole su finalità d’uso, sicurezza, conservazione dei dati, tracciabilità, assistenza in caso di audit, marcature dei contenuti generati e obblighi informativi.

Quarto: organizzare misure di alfabetizzazione sull’IA. Dopo il Digital Omnibus, l’articolo 4 dell’AI Act richiede a provider e deployer di adottare misure per supportare lo sviluppo di competenze IA del personale e di chi usa i sistemi per loro conto. Non si tratta di garantire un livello individuale predeterminato, ma di dimostrare iniziative proporzionate: formazione, istruzioni operative, policy, esempi pratici e controlli interni.

Quinto: coordinare AI Act e GDPR. Quando l’IA tratta dati personali, restano applicabili le regole privacy: base giuridica, informativa, minimizzazione, sicurezza, tempi di conservazione, eventuale DPIA e gestione dei diritti degli interessati.

Documenti utili da predisporre

Sul piano operativo, una PMI dovrebbe almeno valutare questi documenti:

• registro interno degli strumenti IA;
• policy aziendale sull’uso dell’intelligenza artificiale;
• istruzioni per dipendenti e collaboratori;
• checklist per acquisto o attivazione di nuovi strumenti IA;
• clausole contrattuali per fornitori IA;
• informative o avvisi di trasparenza per utenti, clienti e lavoratori;
• valutazione privacy, se vi è trattamento di dati personali;
• piano di adeguamento per eventuali sistemi ad alto rischio.

Gli obblighi di legge vanno distinti dalle buone prassi. Non ogni uso di IA richiede una documentazione complessa, ma un minimo di tracciabilità è oggi prudente, soprattutto se lo strumento incide su clienti, lavoratori, credito, selezione, sicurezza o contenuti pubblici.

L’opinione dello Studio Legale

Il Digital Omnibus offre alle imprese più tempo per gli adempimenti più onerosi sui sistemi ad alto rischio, ma aumenta anche la responsabilità organizzativa: chi aspetta l’ultima scadenza rischia di scoprire troppo tardi di usare strumenti non classificati, contratti incompleti o processi privi di controllo umano.

Per gli amministratori, il tema non è solo tecnologico. È una questione di organizzazione aziendale, gestione del rischio e prevenzione del contenzioso. La scelta più prudente è partire da una mappatura concreta degli usi effettivi dell’IA, senza trasformare ogni strumento in un problema legale, ma senza nemmeno affidarsi alle sole rassicurazioni commerciali dei fornitori.

F.A.Q.

Tutte le imprese devono adeguarsi all’AI Act?
Sì, se sviluppano, vendono o utilizzano sistemi di IA rientranti nel campo di applicazione. Gli obblighi cambiano in base al ruolo dell’impresa e al livello di rischio del sistema.

Il Digital Omnibus ha rinviato tutti gli obblighi?
No. Ha rinviato alcune regole sui sistemi ad alto rischio, ma dal 2 agosto 2026 restano rilevanti le regole di trasparenza, l’alfabetizzazione IA e l’enforcement delle norme già applicabili.

Un chatbot aziendale deve essere segnalato agli utenti?
In molti casi sì: l’utente deve poter comprendere quando sta interagendo con un sistema di IA, salvo casi specifici previsti dalla normativa.

Serve una nuova informativa privacy?
Dipende. Se il sistema IA tratta dati personali o modifica finalità, modalità o rischi del trattamento, occorre verificare informativa, base giuridica, misure di sicurezza ed eventuale DPIA.

Qual è il primo passo pratico?
Preparare un inventario degli strumenti IA già in uso, distinguendo strumenti interni, strumenti rivolti a clienti e strumenti che incidono su decisioni riguardanti persone fisiche.

Conclusioni e Fonti normative

Le imprese hanno ora un calendario più articolato, ma non meno impegnativo. Una verifica preventiva degli strumenti IA, dei contratti e delle informative consente di ridurre rischi legali e organizzativi, evitando interventi frettolosi a ridosso delle scadenze.

Lo Studio Legale Vallini Vaccari può assistere imprese, amministratori e startup nella mappatura degli strumenti IA e nella predisposizione della documentazione contrattuale, privacy e compliance necessaria.

Per una valutazione del caso concreto, è possibile contattare lo Studio e sottoporre la documentazione relativa alla garanzia e alla richiesta ricevuta.

Fonti verificate

• Regolamento UE 2024/1689, AI Act, EUR-Lex: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
• Regolamento UE 2026/1744, Digital Omnibus on AI, EUR-Lex: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ%3AL_202601744
• Commissione europea, “AI Omnibus enters into force”, 27 luglio 2026: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force
• Commissione europea, linee guida su trasparenza AI Act, 20 luglio 2026: https://digital-strategy.ec.europa.eu/en/news/commission-publishes-guidelines-transparency-obligations-providers-and-deployers-certain-ai-systems
• AI Act Service Desk, timeline aggiornata: https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act