Il regolamento sull'intelligenza artificiale è stato modificato prima ancora di applicarsi per intero. Il Parlamento europeo ha approvato il Digital Omnibus sull'IA il 16 giugno 2026 e il Consiglio il 29 giugno: il pacchetto sposta in avanti gli obblighi più pesanti, quelli sui sistemi ad alto rischio. Il titolo che ne è uscito — «l'AI Act slitta» — è però fuorviante.
Cosa si applica davvero dal 2 agosto 2026
Gli obblighi di trasparenza dell'art. 50 non sono stati rinviati. Da questo mese chi fornisce un sistema che interagisce con le persone deve far capire che dall'altra parte c'è un'intelligenza artificiale, salvo che sia evidente dal contesto; i contenuti sintetici — audio, immagini, video, testo — vanno marcati in modo leggibile da una macchina; chi usa l'IA per produrre un deepfake deve dichiararlo; e chi impiega sistemi di riconoscimento delle emozioni o di categorizzazione biometrica deve informare le persone esposte.
Un punto che sfugge quasi sempre: l'obbligo di etichettare i deepfake si applica anche senza intento ingannevole. Se il contenuto somiglia a una persona reale va etichettato, quale che sia lo scopo — anche una campagna pubblicitaria, anche un video interno di formazione.
Cosa è slittato, e di quanto
I sistemi ad alto rischio autonomi dell'allegato III — selezione del personale, istruzione, infrastrutture critiche, valutazione del credito, forze dell'ordine — passano al 2 dicembre 2027. L'IA incorporata nei prodotti regolati dall'allegato I, come macchinari, dispositivi medici e veicoli, va al 2 agosto 2028. C'è poi una sola finestra transitoria sulla trasparenza: i sistemi generativi immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per adeguarsi alla marcatura dell'art. 50, par. 2.
Cosa ne ricava chi fa il DPO
Le sanzioni non sono tutte uguali e la fascia sbagliata è un errore costoso: le violazioni della trasparenza stanno nel livello da 15 milioni di euro o 3% del fatturato mondiale, le pratiche vietate dell'art. 5 nel livello da 35 milioni o 7% — un tetto più alto di quello del GDPR.
L'azione concreta di questa settimana non è studiare l'alto rischio: è chiedere a ogni cliente quali sistemi con interfaccia verso l'utente contengono IA. Il chatbot sul sito, l'assistente nel portale, le immagini generate per i social, la voce sintetica del centralino. Sono quelli in scadenza adesso, e quasi sempre nessuno li ha censiti perché sembravano troppo banali per finire in un registro.
E una nota sul rinvio: due anni in più sull'alto rischio non sono una pausa. Sono il tempo per costruire la documentazione di conformità, che è la parte lenta. Chi tratta il 2027 come una data lontana ripeterà esattamente la situazione che ha reso necessario l'Omnibus.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
