Il Digital Omnibus non ha rinviato l’AI Act nel suo complesso, come si è diffusamente creduto nelle ultime settimane, ma è intervenuto in modo mirato sugli obblighi legati ai sistemi ad alto rischio, lasciando intatto il resto dell’impianto sanzionatorio e di vigilanza. Il Consiglio dell’Unione Europea ha adottato in via definitiva il regolamento di modifica il 29 giugno scorso, dopo l’accordo politico con il Parlamento europeo del 7 maggio e il voto in plenaria del 16 giugno. Per le piccole e medie imprese, spesso senza un ufficio legale interno capace di monitorare la normativa in tempo reale, la distinzione conta più di quanto sembri.
Il 2 agosto 2026 restano pienamente applicabili gli obblighi di trasparenza dell’articolo 50 dell’AI Act, la disclosure (l’obbligo di dichiarare apertamente che si sta interagendo con un sistema artificiale): chi utilizza chatbot o assistenti virtuali dovrà rendere riconoscibile la natura artificiale dell’interazione, salvo casi già evidenti dal contesto. Diventa inoltre operativo il regime sanzionatorio, con le autorità di vigilanza nazionali attive e la Commissione già in grado di sanzionare i fornitori dei modelli generalisti più diffusi. Il Digital Omnibus introduce però una precisazione tecnica rilevante per chi gestisce comunicazione digitale: l’obbligo di marcatura tecnica leggibile automaticamente, il watermarking, che rende identificabile come sintetico un contenuto generato dall’AI, slitta al 2 dicembre 2026 per i sistemi già immessi sul mercato prima del 2 agosto. La disclosure verso l’utente resta dunque legata al 2 agosto, mentre la marcatura dei contenuti già in circolazione ha una finestra più ampia. Va ricordato che l’obbligo di alfabetizzazione dell’articolo 4 non è mai stato oggetto di rinvio: è in vigore dal 2 febbraio 2025 ed è già sanzionabile, il che rende fragile l’adozione informale e non tracciata di AI generativa da parte del personale, la cosiddetta shadow AI aziendale.
Ciò che effettivamente slitta riguarda i sistemi ad alto rischio dell’allegato III (la lista che classifica per settore d’uso i sistemi soggetti agli obblighi più stringenti), impiegati in ambiti come biometria, selezione del personale, istruzione, accesso a servizi essenziali e giustizia: per questi la piena applicazione passa dal 2 agosto 2026 al 2 dicembre 2027. Per i sistemi ad alto rischio integrati come componenti di sicurezza in prodotti già disciplinati da normativa settoriale, macchinari e dispositivi medici, la nuova scadenza è il 2 agosto 2028, mentre l’obbligo per gli Stati membri di istituire uno spazio di sperimentazione normativa, il sandbox regolatorio, slitta al 2 agosto 2027. La Commissione giustifica il rinvio con la necessità di completare standard armonizzati ancora mancanti, ma il Comitato europeo per la protezione dei dati e il Garante europeo hanno criticato proprio questo rinvio, ricordando che il panorama dell’intelligenza artificiale evolve più rapidamente della capacità normativa di adeguarsi. Per le imprese che utilizzano sistemi di selezione del personale, valutazione delle prestazioni o gestione di infrastrutture critiche, il messaggio resta trattare il rinvio come finestra utile a prepararsi, non come autorizzazione a rimandare la valutazione di rischio.
Il Digital Omnibus tocca da vicino anche i costruttori di macchinari, finora esposti a due percorsi di conformità paralleli tra Regolamento Macchine (UE) 2023/1230 e AI Act. Il testo appena approvato sposta i prodotti coperti dal Regolamento Macchine fuori dall’applicabilità diretta dell’AI Act, collocandoli nella sezione B dell’allegato I, e affida alla Commissione il compito di integrare direttamente nella legislazione sulle macchine, tramite atti delegati, i requisiti di sicurezza previsti per l’alto rischio, oltre a linee guida per i fabbricanti. Non è una semplificazione immediata: il Regolamento Macchine tratta ormai software e intelligenza artificiale come possibile componente di sicurezza, soggetto a marcatura CE e, nei casi più delicati, alla valutazione di un organismo notificato. Dal 2027 la stessa macchina potrà rispondere insieme al Regolamento Macchine, al Cyber Resilience Act e, se presente un sistema ad alto rischio, all’AI Act, con scadenze non coincidenti e norme tecniche ancora in completamento. Per le imprese manifatturiere il rinvio dei termini non riduce la complessità di fondo, la sposta più avanti nel tempo.
L’Italia è tra i primi Paesi membri a dotarsi di un pacchetto attuativo nazionale. Il Consiglio dei ministri ha approvato in esame preliminare, il 10 giugno scorso, due schemi di decreto legislativo attuativi della legge 132 del 2025, ancora in attesa dei pareri di Commissioni parlamentari, Conferenza delle Regioni e Autorità competenti ma con direzione già tracciata. La novità che ha attirato più attenzione riguarda il lavoro: le decisioni su costituzione, modifica o cessazione di un rapporto di lavoro, compresi provvedimenti disciplinari e licenziamenti, non potranno essere adottate sulla base del solo trattamento automatizzato. La decisione finale resta riservata a una persona fisica con effettivi poteri decisionali, il datore di lavoro dovrà assolvere precisi obblighi informativi prima di ogni trattamento algoritmico sul personale, e il lavoratore avrà diritto a una spiegazione intelligibile con il coinvolgimento di un operatore umano; il licenziamento in violazione sarebbe nullo di diritto. Gli altri due fronti riguardano il divieto di identificazione biometrica in tempo reale, salvo casi eccezionali con autorizzazione giudiziaria, e l’alfabetizzazione nella formazione degli ordini professionali, chiamati ad aggiornare i regolamenti entro sei mesi: per chi opera nelle libere professioni, come molti lettori di iNews, l’obbligo formativo diventa un requisito verificabile, non più una dichiarazione di principio.
L’equivoco più diffuso tra le PMI è pensare che l’AI Act riguardi solo chi sviluppa modelli di intelligenza artificiale. Il regolamento si applica anche a chi quei sistemi li utilizza, dal software di selezione del personale ai chatbot per il servizio clienti fino agli strumenti di generazione di contenuti. Gli adempimenti restano gestibili per la maggior parte delle PMI italiane, ma richiedono un passaggio che troppe aziende non hanno ancora compiuto: un inventario reale degli strumenti già in uso, spesso adottati informalmente da singoli reparti senza che la direzione ne abbia consapevolezza. Segue la verifica di ruolo, perché la stessa impresa può essere insieme fornitore e utilizzatore, con obblighi diversi a seconda della posizione nella catena del valore, da cui la necessità di una policy interna che stabilisca quali strumenti sono autorizzati, quali dati possono essere trattati e chi risponde delle decisioni assistite dall’intelligenza artificiale, in particolare nelle funzioni HR e nei rapporti con clienti e pubblico.
Sul territorio lucano e pugliese la questione si intreccia con un divario di adozione tecnologica ancora ampio, a fronte di un buon livello di digitalizzazione sul cloud ma di un utilizzo dell’intelligenza artificiale ancora marginale rispetto alla media nazionale. Il divario si affianca però a risorse già disponibili: il polo di innovazione digitale europeo CETMA-DIHSME, attivo su Puglia e Basilicata con il Digital Europe Programme, ENEA, CETMA e altri tredici partner locali; l’EDIH Heritage Smart Lab, con sede anche a Matera e dedicato ai beni culturali e alle industrie creative; gli avvisi pubblici della Regione Puglia tramite il PR Puglia 2021-2027 per l’adozione di sistemi di intelligenza artificiale da parte degli enti locali. Per le PMI lucane e pugliesi la scadenza di agosto diventa quindi anche l’occasione per intercettare queste risorse invece di rincorrere la conformità in solitudine.
Le imprese, comprese quelle di dimensioni contenute, dovrebbero verificare fin da subito dove e come utilizzano strumenti di intelligenza artificiale generativa nei rapporti con clienti, dipendenti e pubblico, aggiornare informative e policy formative alla luce dell’obbligo di alfabetizzazione già vigente, e rivedere i processi di selezione e gestione del personale automatizzati, in previsione della supervisione umana in arrivo con i decreti italiani. Chi produce macchinari farà bene a mappare già ora quali sistemi rientrano nella definizione di componente di sicurezza, in attesa degli atti delegati che la Commissione dovrà adottare in raccordo con il Regolamento Macchine.
Enzo Fontanarosa
Direttore iNews
Comments are closed.