IL 2 AGOSTO RESTA. PERCHÉ IL RINVIO DELL’AI ACT NON È IL VIA LIBERA CHE SEMBRA
In questi giorni i titoli raccontano una cosa sola: gli obblighi sui sistemi di intelligenza artificiale ad alto rischio slittano al 2027. È vero, ed è una notizia importante. Ma c’è una data che nessuno ha spostato e che è molto più vicina di quanto la narrazione lasci intendere. Il 2 agosto 2026.
Facciamo ordine. Il 16 giugno il Parlamento europeo ha approvato in via definitiva, con 423 voti a favore, 57 contrari e 174 astenuti, le modifiche all’AI Act contenute nel cosiddetto Digital Omnibus, il settimo pacchetto di semplificazione presentato dalla Commissione il 19 novembre 2025. Gli obblighi più pesanti per i sistemi ad alto rischio cambiano calendario: dal 2 dicembre 2027 per i sistemi indipendenti elencati nell’Allegato III, dal 2 agosto 2028 per quelli integrati come componenti di sicurezza in prodotti già regolati dalla normativa settoriale. Anche gli obblighi di marcatura ed etichettatura dei contenuti generati dall’AI scivolano al 2 dicembre 2026. Nel mezzo, un nuovo divieto entra direttamente nell’articolo 5: stop ai sistemi che generano materiale di abuso sessuale su minori o immagini intime non consensuali, le cosiddette app di nudificazione, anch’esso operativo entro fine anno.
Quello che è facile perdere, leggendo solo i titoli, è ciò che non è cambiato. L’architettura dell’AI Act è intatta: l’approccio basato sul rischio, le quattro categorie, il regime per i modelli di uso generale (GPAI), il ruolo dell’Ufficio europeo per l’AI. E soprattutto resta in piedi la scadenza del 2 agosto 2026, quando inizia ad applicarsi la maggior parte delle disposizioni non toccate da questo iter, dagli obblighi di trasparenza per chi distribuisce e utilizza i sistemi fino all’impianto di governance e sanzioni affidato alle autorità nazionali. È anche la finestra entro cui lo stesso Omnibus deve essere formalmente adottato dal Consiglio e pubblicato per produrre effetti. In altre parole, il 2 agosto non è una scadenza scomparsa. È il momento in cui la macchina operativa del regolamento si accende.
Qui sta il punto che, da chi lavora ogni giorno sulla sicurezza e sull’innovazione regolata, mi sento di sottolineare. Il rinvio non nasce da un ripensamento sul merito, ma da un dato concreto: gli standard armonizzati e gli strumenti di conformità non erano pronti, e penalizzare le imprese per il mancato rispetto di norme tecniche ancora inesistenti non aveva senso. È un esercizio di sequenza, non un’amnistia. Chi legge “2027” e mette in pausa la propria governance dell’AI rischia di ritrovarsi a fare in pochi mesi un lavoro che richiede trimestri: mappare gli usi dell’intelligenza artificiale in azienda, classificarne il rischio reale, definire la supervisione umana, mettere in ordine la qualità dei dati e il loro trattamento.
C’è anche una lettura industriale che non va sottovalutata. L’Omnibus estende alle piccole imprese a media capitalizzazione alcune semplificazioni pensate per le PMI, e ridefinisce il concetto di componente di sicurezza, così che le funzioni di AI che si limitano ad assistere l’utente o a ottimizzare le prestazioni non finiscano automaticamente nel perimetro ad alto rischio quando un malfunzionamento non mette a repentaglio salute o sicurezza. È un alleggerimento mirato, pensato per non spegnere l’innovazione europea. Ma è proprio per questo che diventa decisivo capire dove ci si colloca davvero, invece di dare per scontato di esserne esentati.
Per chi ha già costruito un sistema di gestione dell’AI strutturato, e penso a chi lavora con riferimenti come la ISO/IEC 42001, gran parte di questo lavoro è una conferma più che una sorpresa: la governance adottata in modo volontario diventa l’impalcatura su cui poggiare ciò che il regolatore finalizzerà. La domanda utile, da qui ad agosto, non è quanto tempo ci hanno concesso. È se i mesi guadagnati li stiamo usando per costruire un vantaggio competitivo o solo per rimandare la corsa.
Con Zeus diventa tutto più facile. La compliance a portata di mano.