AI Act dopo l'AI Omnibus: la conformità è un sistema

Il parere è un documento. La conformità è un sistema

Un parere legale fotografa le norme in vigore a una data precisa. È il suo compito e lo svolge bene. Il problema nasce il giorno dopo la consegna, perché la fotografia invecchia mentre l'azienda continua a muoversi.

Sull'AI Act l'effetto è evidente. Il Regolamento (UE) 2026/1744 dell'8 luglio 2026 (AI Omnibus), pubblicato nella Gazzetta ufficiale dell'Unione europea il 24 luglio 2026 e in vigore dal 27 luglio 2026, ha riscritto il calendario di applicazione del Regolamento (UE) 2024/1689. Chi aveva letto la tabella di marcia nel 2024 ha oggi in mano una mappa sbagliata.

Il rinvio dell'alto rischio è reale, ma sarebbe un errore leggerlo come una pausa.

Che cosa cambia, in sintesi

• Trasparenza (art. 50). Gli obblighi si applicano dal 2 agosto 2026: chi interagisce con un sistema di IA va informato, e i contenuti generati artificialmente vanno segnalati. L'Omnibus non ha spostato questa data.
• Marcatura dei contenuti. I fornitori di sistemi che generano contenuti audio, immagine, video o testuali sintetici già immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per conformarsi all'art. 50, par. 2 (art. 111, par. 4, AI Act, come modificato). Per i sistemi immessi dopo quella data non c'è periodo transitorio.
• Nuovi divieti. Dal 2 dicembre 2026 l'art. 5 vieta i sistemi che generano o manipolano immagini, video e audio realistici di parti intime o di atti sessualmente espliciti di persone riconoscibili, senza il loro consenso (lett. b bis), e i sistemi che generano materiale pedopornografico (lett. b ter, con rinvio all'art. 2, lett. c) ed e), della Direttiva 2011/93/UE). Per i sistemi di uso generale il divieto di immissione sul mercato scatta se la generazione è la finalità prevista, oppure un esito ragionevolmente prevedibile in assenza di misure tecniche di sicurezza adeguate (art. 5, par. 1 bis).
• Alto rischio rinviato. I sistemi dell'Allegato III (art. 6, par. 2) slittano al 2 dicembre 2027. I sistemi incorporati in prodotti regolati dall'Allegato I (art. 6, par. 1) slittano al 2 agosto 2028 (art. 113, terzo comma, lett. c).

Il rinvio dell'alto rischio è reale, ma sarebbe un errore leggerlo come una pausa. Censimento, classificazione e attribuzione delle responsabilità richiedono mesi, e le scadenze del 2026 riguardano già molte imprese.

Un metodo per seguire il contesto che cambia

La conformità a questi adempimenti va gestita in un contesto che si trasforma continuamente. Cambia la norma (applicazione scaglionata, atti delegati, linee guida, prassi delle autorità), cambia l'azienda (nuovi fornitori, nuove funzioni di prodotto, nuovi mercati) e cambiano le persone (chi era responsabile ieri, oggi può non esserlo più). Serve un metodo per seguire questi cambiamenti nel tempo, in base al quale per ogni adempimento si tengano fermi cinque punti, aggiornati a ogni cambiamento.

1. Oggetto: la sintesi di cosa fare.
2. Stato: la fase attuale (in corso, in revisione, a norma).
3. Scadenza: entro quando e in base a quale norma.
4. Responsabile: chi ne risponde, con ruolo e nome.
5. Prossimo passo: l'azione immediata da compiere.

Un esempio: per un software di screening dei CV (sistema ad alto rischio, Allegato III, punto 4) l'oggetto è adeguare l'uso agli obblighi del deployer (art. 26), la scadenza è il 2 dicembre 2027, il responsabile è la direzione HR e il prossimo passo è chiedere al fornitore le istruzioni per l’uso e le informazioni necessarie a sorvegliare il sistema e a valutarne l’impatto sui dati personali. Con questi dati l’adempimento si può aggiornare quando la norma, l’azienda o le persone cambiano.

Tre domande da portare in consiglio

• Sapete quanti sistemi di IA usa oggi l'azienda, compresi quelli dentro software di terzi?
• Per ogni adempimento c'è un referente individuato per nome e ruolo?
• Avete tracciato il piano delle scadenze per i prossimi mesi?

Se anche una sola risposta è incerta, il punto di partenza è sempre lo stesso: prima si censisce, poi si classifica. Ne parliamo nell'articolo dedicato all'inventario dei sistemi di IA.