TL;DR per il DPO
Molti articoli in circolazione riportano ancora il vecchio calendario. Il 2 agosto 2026 NON e' piu' l'avvio degli obblighi sui sistemi ad alto rischio: quelli sono stati rinviati al 2 dicembre 2027 e al 2 agosto 2028. Il 2 agosto scattano trasparenza (art. 50), governance e sanzioni. Chi ha gia' detto ai clienti che ad agosto arriva tutto, deve correggere il tiro.
Cosa diventa applicabile il 2 agosto 2026
- Obblighi di trasparenza (art. 50): chi rende disponibili sistemi che interagiscono direttamente con le persone - chatbot, assistenti vocali, agenti conversazionali - deve renderne riconoscibile la natura artificiale. I contenuti sintetici (testi, immagini, audio, video) devono essere identificabili come tali. La Commissione europea ha pubblicato le linee guida definitive su questo articolo.
- Governance e sanzioni: le autorita' nazionali di vigilanza diventano pienamente operative e acquisiscono i poteri sanzionatori.
- Per i sistemi GIA' presenti sul mercato il periodo transitorio per adeguarsi alla trasparenza e' stato ridotto da sei a tre mesi: chi ha chatbot o generatori di contenuti in produzione ha meno tempo di quanto potesse aspettarsi.
Cosa e' stato spostato
- Sistemi ad alto rischio autonomi (Allegato III): 2 dicembre 2027. Sono quelli usati in selezione del personale, merito creditizio, biometria, istruzione, giustizia, migrazione.
- Sistemi ad alto rischio incorporati in prodotti gia' regolati da normativa settoriale, come dispositivi medici e macchinari: 2 agosto 2028.
- Due nuovi divieti assoluti si aggiungono dal 2 dicembre 2026: l'uso dell'IA per creare o manipolare senza consenso immagini o video intimi realistici, e la generazione di materiale pedopornografico.
Cosa fare adesso, in pratica
1) Verifica se i clienti hanno strumenti che parlano con le persone o generano contenuti: chatbot sul sito, assistenti nell'area riservata, testi o immagini prodotti con IA. Sono i casi dell'art. 50 e vanno resi riconoscibili; 2) controlla le informative e le interfacce: la dichiarazione deve essere visibile all'utente, non nascosta in fondo a una pagina; 3) NON archiviare i fascicoli alto rischio: il rinvio non e' un annullamento, e censire sistemi, definire responsabilita' e formare il personale resta lavoro da fare ora, con piu' tempo per farlo bene; 4) aggiorna i documenti che citavano il vecchio calendario, a partire dai registri dei sistemi IA gia' consegnati.
Il punto che interessa direttamente il DPO
Il Digital Omnibus introduce una base giuridica che consente ai fornitori di sistemi ad alto rischio di trattare categorie particolari di dati ai sensi dell'art. 9 GDPR per correggere le distorsioni algoritmiche, e prevede il coordinamento tra la valutazione d'impatto sui diritti fondamentali (FRIA) e la valutazione d'impatto sulla protezione dei dati (DPIA). L'obiettivo dichiarato e' evitare duplicazioni documentali mantenendo lo stesso livello di tutela. E' esattamente il terreno su cui il DPO viene chiamato a dire la sua.
Una nota sull'alfabetizzazione
L'obbligo di alfabetizzazione del personale (art. 4), in vigore da febbraio 2025, e' stato attenuato nella formulazione: da misure per GARANTIRE un livello sufficiente di alfabetizzazione a misure volte a SOSTENERE lo sviluppo dell'alfabetizzazione. L'adempimento resta, ma cambia l'intensita' dell'obbligo. Chi ha gia' erogato formazione e conservato gli attestati non deve rifare nulla.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
