Digital Omnibus: cosa cambia nell'AI Act con il regolamento 2026/1744

Il Digital Omnibus sull'IA è il regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, che modifica l'AI Act. Rinvia gli obblighi per l'alto rischio al 2 dicembre 2027 (allegato III) e al 2 agosto 2028 (allegato I), aggiunge due divieti, riformula l'alfabetizzazione in materia di IA ed estende le agevolazioni per le PMI.

In sintesi

• Non è più una proposta: il regolamento (UE) 2026/1744 è stato pubblicato nella Gazzetta ufficiale dell'UE il 24 luglio 2026 ed è in vigore dal 27 luglio 2026.
• Il «rinvio dell'AI Act» riguarda solo i sistemi ad alto rischio. Divieti, alfabetizzazione, modelli GPAI e trasparenza dell'articolo 50 non sono slittati.
• Dal 2 dicembre 2026 sono vietate le app che «spogliano» persone reali senza consenso e l'IA che genera materiale pedopornografico.
• L'articolo 4 chiede ora di adottare misure per promuovere l'alfabetizzazione, non più di garantirne un livello sufficiente.
• Le agevolazioni per le PMI valgono anche per le piccole imprese a media capitalizzazione, fino a 750 dipendenti.

Che cos'è il Digital Omnibus e perché è nato

Alla fine del 2025 la Commissione europea ha presentato un pacchetto «omnibus» per semplificare diverse norme digitali. La parte dedicata all'intelligenza artificiale è diventata il regolamento (UE) 2026/1744, che modifica direttamente il regolamento (UE) 2024/1689. In Italia lo trovate citato sia come «Digital Omnibus» sia come «Omnibus digitale»: è la stessa cosa.

Il motivo principale era il calendario. Gli obblighi per l'alto rischio sarebbero scattati il 2 agosto 2026, ma le norme armonizzate che i fornitori usano per dimostrare la conformità e diverse linee guida della Commissione non erano pronte. Le imprese si sarebbero trovate con obblighi vincolanti e nessun modo condiviso per rispettarli. Ne è uscita una modifica mirata, non una riscrittura: impianto basato sul rischio, ruoli e massimali delle sanzioni restano gli stessi.

Il funzionamento generale del regolamento è spiegato nella guida all'AI Act. Se volete invece vedere subito quali date modificate toccano i vostri sistemi, la valutazione gratuita della governance AI di Opsio tiene già conto dell'Omnibus.

Prima e dopo: le modifiche in una tabella

L'AI Act è stato rinviato? Cosa non è slittato

È l'equivoco più diffuso. I titoli sul «rinvio dell'AI Act» si riferiscono al capo sull'alto rischio. Tutto il resto ha mantenuto la propria data.

• Pratiche vietate: si applicano dal 2 febbraio 2025 e sono state ampliate, non rinviate.
• Alfabetizzazione in materia di IA: dal 2 febbraio 2025; è cambiata la formulazione, non la data.
• Modelli di IA per finalità generali: obblighi dal 2 agosto 2025.
• Trasparenza dell'articolo 50: applicabile come previsto dal 2 agosto 2026.
• Governance e sanzioni: in vigore dal 2 agosto 2025; in Italia le procedure sono state completate dal d.lgs. 179/2026.

Il calendario completo, con le tappe italiane accanto a quelle europee, è nella pagina sulle scadenze dell'AI Act.

Le modifiche nel dettaglio

Alto rischio: più tempo, stessi obblighi

L'Omnibus sposta le date ma lascia quasi intatto il capo III. I fornitori di sistemi dell'allegato III devono comunque predisporre sistema di gestione dei rischi, governance dei dati, documentazione tecnica, registrazione automatica degli eventi, istruzioni per il deployer, sorveglianza umana, accuratezza e robustezza, sistema di gestione della qualità, valutazione della conformità e registrazione nella banca dati UE. I deployer conservano gli obblighi dell'articolo 26 e, quando previsto, la valutazione d'impatto dell'articolo 27. I sedici mesi in più servono a far arrivare le norme tecniche, non a rimandare il lavoro.

Due nuovi divieti

L'articolo 5 vieta ora anche l'immissione sul mercato, la messa in servizio e l'uso di sistemi di IA per generare immagini intime non consensuali di persone identificabili (le cosiddette app «nudifier») e materiale pedopornografico. Valgono dal 2 dicembre 2026 e ricadono nella fascia di sanzioni più alta. In Italia il tema si somma al reato di diffusione illecita di deepfake introdotto dalla legge 132/2025.

Articolo 50: stessa data, breve proroga

Gli obblighi di informazione su chatbot, riconoscimento delle emozioni, categorizzazione biometrica e deep fake si applicano dal 2 agosto 2026. L'unica concessione riguarda i fornitori di sistemi generativi già sul mercato prima di quella data, che hanno tempo fino al 2 dicembre 2026 per la marcatura dei contenuti leggibile da macchina. Esempi pratici nella pagina sull'articolo 50 dell'AI Act sulla trasparenza.

Articolo 4: l'alfabetizzazione riformulata

Nella versione modificata, fornitori e deployer adottano misure per promuovere l'alfabetizzazione in materia di IA del personale e delle altre persone che usano i sistemi per loro conto. Il testo precisa che non serve garantire un livello specifico per ogni individuo e affida a Commissione e Stati membri un ruolo di supporto, in particolare per le PMI. Il rischio di essere giudicati su uno standard indefinito si riduce, ma l'obbligo resta: un programma proporzionato, con formazione per ruoli, una policy e traccia di quanto fatto, rimane la base sensata. Lo approfondiamo in AI literacy e formazione. Per la formulazione esatta, fate sempre riferimento al testo consolidato.

Le piccole mid-cap si uniscono alle PMI

Le imprese con meno di 750 dipendenti e fatturato fino a 150 milioni di euro o totale di bilancio fino a 129 milioni hanno ora documentazione tecnica semplificata, un sistema di gestione della qualità proporzionato, accesso prioritario agli spazi di sperimentazione e massimali di sanzione adattati. Per molte aziende manifatturiere italiane che integrano IA nei propri prodotti è un alleggerimento concreto.

Bias e categorie particolari di dati

Il nuovo articolo 4 bis sostituisce l'articolo 10, paragrafo 5, e offre una base giuridica più ampia per trattare categorie particolari di dati (per esempio origine etnica o salute) quando è strettamente necessario per individuare e correggere distorsioni. Riguarda ora anche i deployer e altri sistemi e modelli. È un permesso, non un obbligo, e il GDPR continua ad applicarsi integralmente: garanzie, minimizzazione, accessi limitati e cancellazione a scopo raggiunto.

Più vigilanza centrale

L'ufficio per l'IA della Commissione vigila in via esclusiva sui sistemi costruiti su un modello GPAI dallo stesso fornitore o gruppo e sull'IA integrata nelle grandissime piattaforme online e nei motori di ricerca. Per chi usa questi strumenti cambia poco nel quotidiano. Per tutto il resto, in Italia, la vigilanza è dell'ACN e, nel settore finanziario, di Banca d'Italia, CONSOB e IVASS.

Cosa significa l'Omnibus per il vostro piano di conformità

1. Non fermate il programma: riordinatelo. Verifica delle pratiche vietate, alfabetizzazione e informative dell'articolo 50 sono già esigibili.
2. Aggiornate l'inventario. Per ogni sistema indicate la nuova data e il vostro ruolo, fornitore o deployer.
3. Verificate la vostra dimensione. Se siete una piccola mid-cap potete accedere a documentazione più leggera e massimali ridotti.
4. Usate il tempo per le parti lunghe. Due diligence sui fornitori, clausole contrattuali, log e sorveglianza umana richiedono mesi: avviateli nel 2026.
5. Rivedete le policy. Molte policy scritte nel 2025 citano ancora il vecchio articolo 4 e la data del 2 agosto 2026 per l'alto rischio.

Per un metodo strutturato, la gap analysis per l'AI Act mostra come confrontare situazione attuale e requisiti dopo l'Omnibus.

Domande frequenti

Il Digital Omnibus è ancora una proposta?

No. È stato adottato come regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell'UE il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026. Modifica direttamente l'AI Act, quindi le nuove date e formulazioni sono vincolanti. Fate riferimento al testo consolidato, non alla proposta della Commissione del 2025, che in alcuni punti è diversa.

Quali obblighi sono stati rinviati?

Solo quelli per i sistemi ad alto rischio: allegato III al 2 dicembre 2027, allegato I al 2 agosto 2028. Restano invariati divieti, alfabetizzazione, obblighi sui modelli per finalità generali, sanzioni e trasparenza dell'articolo 50. In più, dal 2 dicembre 2026 si applicano due nuovi divieti.

L'Omnibus elimina l'obbligo di alfabetizzazione?

No. L'articolo 4 continua ad applicarsi a fornitori e deployer. Il testo modificato chiede di adottare misure per promuovere l'alfabetizzazione, anziché garantirne un livello sufficiente, e chiarisce che non serve garantire un livello specifico per ogni persona. Formazione, istruzioni e registrazioni restano il modo pratico per dimostrare di averlo fatto.

Il Digital Omnibus ha cambiato le sanzioni?

I massimali dell'articolo 99 sono rimasti: 35 milioni di euro o 7%, 15 milioni o 3%, 7,5 milioni o 1% del fatturato mondiale annuo. La novità è che i massimali adattati per le PMI valgono anche per le piccole mid-cap. In Italia il d.lgs. 179/2026 ha recepito questi tetti e ne ha aggiunto uno specifico per la FRIA.

Conviene aspettare altre modifiche prima di iniziare?

No. L'Omnibus ha fissato le date per i prossimi anni e diversi obblighi sono già esigibili. Aspettare significa concentrare il lavoro sull'alto rischio nel 2027, quando fornitori, consulenti e organismi notificati saranno più occupati. Un inventario e una gap analysis fatti oggi costano poco e rendono più semplici le scelte successive.

Aggiornate i documenti di governance dopo l'Omnibus

L'Omnibus ha cambiato il calendario, non il bisogno di governance. Con l'assessment gratuito di Opsio per AI policy e governance rispondete in circa 40 minuti, in 14 passi, e all'invio ricevete quattro documenti scritti sulle vostre risposte: framework di governance AI, AI policy aziendale sull'uso accettabile, checklist per la due diligence dei fornitori AI e modello di valutazione dei rischi, oltre a un quadro di maturità su dieci ambiti. Le domande sono in italiano, i documenti arrivano in inglese come file Word modificabili. Gratis, senza carta di credito né impegno.

Questo articolo è un'informazione generale e non costituisce consulenza legale. Verificate il testo consolidato del regolamento (UE) 2024/1689, come modificato dal regolamento (UE) 2026/1744. Situazione aggiornata a ottobre 2026.