Il Consiglio dell’Unione Europea ha approvato in via definitiva, il 29 giugno 2026, il Digital Omnibus AI, il pacchetto che riscrive il calendario di applicazione del Regolamento UE 2024/1689 (AI Act). Il voto del Consiglio chiude l’iter legislativo aperto dalla Commissione a novembre 2025 e passato dal Parlamento europeo il 16 giugno, con 423 voti favorevoli e 57 contrari. Per le imprese la notizia richiede una lettura attenta: alcune scadenze slittano di sedici o dodici mesi, altre restano inchiodate al 2 agosto 2026. Questo articolo ricostruisce la decisione e mette in fila, data per data, il nuovo calendario.
Il voto del 29 giugno e la corsa del pacchetto
La decisione del Consiglio è arrivata senza discussione, come punto approvato in blocco: l’accordo politico era già stato chiuso nel trilogo con Parlamento e Commissione nelle settimane precedenti. Con la firma dei presidenti delle due istituzioni e la pubblicazione nella Gazzetta ufficiale dell’Unione, il regolamento di modifica entra in vigore e il nuovo calendario diventa diritto applicabile in tutti i 27 Stati membri, Italia compresa, senza bisogno di recepimento.
Il percorso era stato rapido per gli standard di Bruxelles. La Commissione aveva presentato il Digital Omnibus a novembre 2025, dentro un pacchetto più ampio di semplificazione delle regole digitali. Il Parlamento aveva definito la propria posizione negoziale a fine maggio, tema che questo blog ha già trattato, e il 16 giugno ha votato in plenaria il testo concordato. Sette mesi dall’annuncio all’approvazione definitiva: per un regolamento che modifica un altro regolamento entrato in vigore da meno di due anni, è una velocità inusuale.
Il dato politico sta nei numeri del voto. 423 sì contro 57 no significa una maggioranza che attraversa quasi tutti i gruppi parlamentari, dai popolari ai socialisti ai liberali. Il rinvio delle scadenze sull’alto rischio, che pure aveva sollevato critiche dure da parte delle organizzazioni per i diritti digitali, è passato come scelta di pragmatismo regolatorio, non come smantellamento. La struttura dell’AI Act, con la sua piramide del rischio e i suoi divieti, esce dal negoziato intatta.
Va ricordato il contesto in cui il pacchetto è nato. Per tutto il 2025 una parte consistente dell’industria europea aveva chiesto pubblicamente una pausa nell’applicazione del regolamento, sostenendo che i tempi originari fossero incompatibili con lo stato di preparazione di standard, autorità e organismi di valutazione. La Commissione ha risposto con una via di mezzo: niente sospensione generalizzata, come qualcuno aveva invocato, ma un riallineamento selettivo delle date sui capitoli dove la macchina attuativa era oggettivamente indietro. È questa selettività a rendere il nuovo calendario più complicato da leggere, e più insidioso per chi lo semplifica in un titolo di giornale.
Che cosa slitta: i sistemi ad alto rischio guadagnano tempo
Il cuore del Digital Omnibus sono due rinvii.
Il primo riguarda i sistemi ad alto rischio dell’Allegato III, quelli usati in ambiti come selezione del personale, valutazione del merito creditizio, istruzione, accesso ai servizi essenziali, giustizia e gestione delle frontiere. Gli obblighi per fornitori e deployer sarebbero scattati il 2 agosto 2026; la nuova data è il 2 dicembre 2027. Sedici mesi in più.
Il secondo rinvio tocca i sistemi ad alto rischio dell’Allegato I, cioè l’AI integrata come componente di sicurezza in prodotti già coperti da normative settoriali europee: macchinari, dispositivi medici, ascensori, giocattoli, veicoli. Qui la scadenza passa dal 2 agosto 2027 al 2 agosto 2028, dodici mesi in più.
La motivazione dichiarata dalle istituzioni è di natura tecnica. Gli standard armonizzati europei che devono tradurre gli obblighi del regolamento in specifiche verificabili sono in ritardo sulla tabella di marcia, e senza standard le imprese non hanno un riferimento certo per dimostrare la conformità. Anche la rete degli organismi notificati, i soggetti terzi che dovranno valutare i sistemi più delicati, è ancora in costruzione in molti Stati membri. Rinviare l’obbligo senza gli strumenti per adempierlo, questo il ragionamento, avrebbe prodotto solo incertezza giuridica e contenzioso.
Per i deployer italiani il rinvio dell’Allegato III ha un effetto concreto immediato: la banca che usa un sistema di scoring creditizio, la società che filtra i curriculum con un software di ranking, l’ateneo che impiega strumenti di proctoring automatizzato non dovranno dimostrare la conformità piena il prossimo agosto. Ma i medesimi sistemi restano classificati ad alto rischio, e la finestra serve a completare inventari, valutazioni e contratti con i fornitori, non a rimandare la domanda se quel sistema si possa usare così com’è.
Che cosa non slitta: il 2 agosto 2026 resta una data piena
Qui sta l’equivoco da evitare. Il Digital Omnibus non ha spostato tutto.
Restano confermati al 2 agosto 2026 tre blocchi di obblighi. Primo: la trasparenza dell’articolo 50, cioè la marcatura dei contenuti sintetici, l’obbligo di dichiarare che si sta interagendo con un chatbot e l’etichettatura dei deepfake. Secondo: il regime sanzionatorio pieno dell’articolo 99, con multe fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate. Terzo: i poteri di enforcement della Commissione europea sui modelli di AI per finalità generali, i GPAI, che da quella data possono tradursi in richieste di informazioni, valutazioni e misure correttive verso i grandi fornitori.
Per i contenuti sintetici già in circolazione il legislatore ha previsto un cuscinetto: un grace period fino al 2 dicembre 2026 per adeguare alla marcatura il materiale generato e pubblicato prima dell’entrata in applicazione. Ma vale solo per l’esistente, non per ciò che viene prodotto da agosto in poi.
Tradotto in situazioni concrete: l’agenzia che pubblica il 10 agosto un video promozionale generato con AI deve marcarlo da subito; l’e-commerce con un assistente virtuale deve dichiarare al cliente che sta parlando con una macchina; l’archivio di immagini sintetiche caricato a giugno ha tempo fino a dicembre per essere etichettato. Tre casi, tre regimi diversi, tutti dentro lo stesso articolo 50.
Nessuna di queste imprese rientra nell’alto rischio. Tutte sono dentro il perimetro di agosto.
Chi opera in Italia trova una ricostruzione operativa di questi obblighi nella guida all’AI Act che AIPIA aggiorna trimestralmente, riallineata dopo l’approvazione del pacchetto.
I due nuovi divieti in vigore dal 2 dicembre 2026
Il Digital Omnibus non si limita a rinviare: aggiunge.
Dal 2 dicembre 2026 l’elenco delle pratiche vietate dell’articolo 5 si allunga con due nuove fattispecie: la generazione tramite AI di contenuti sessuali non consensuali e il materiale sintetico di abuso su minori, il cosiddetto CSAM generato artificialmente. Sono divieti assoluti, colpiti dallo scaglione sanzionatorio più alto. La dimensione etica del fenomeno delle app di nudificazione è già stata trattata su questo blog; sul piano normativo, la novità è che l’Europa sceglie di collocare queste condotte nel livello più severo della piramide del rischio, quello delle pratiche inaccettabili in quanto tali, e non nel regime della semplice trasparenza.
Il nuovo calendario, data per data
Alcune tappe sono già alle spalle: i primi divieti dell’articolo 5 e l’obbligo di alfabetizzazione dell’articolo 4 si applicano dal 2 febbraio 2025, le regole sui modelli GPAI dal 2 agosto 2025. Il calendario che le imprese devono tenere sulla scrivania da oggi in avanti è questo:
- 2 agosto 2026: trasparenza dell’articolo 50 (marcatura contenuti sintetici, chatbot, deepfake), regime sanzionatorio pieno dell’articolo 99, poteri di enforcement della Commissione sui modelli GPAI.
- 2 dicembre 2026: nuovi divieti su CSAM sintetico e contenuti sessuali non consensuali; fine del grace period per i contenuti sintetici già sul mercato.
- 2 agosto 2027: termine di adeguamento per i modelli GPAI immessi sul mercato prima di agosto 2025.
- 2 dicembre 2027: obblighi per i sistemi ad alto rischio dell’Allegato III (nuova data, in origine 2 agosto 2026).
- 2 agosto 2028: obblighi per i sistemi ad alto rischio dell’Allegato I (nuova data, in origine 2 agosto 2027).
Cinque date in ventiquattro mesi. Nessuna delle cinque è facoltativa.
Conviene anche annotare che il rinvio non riapre i capitoli già chiusi: i divieti in vigore da febbraio 2025, dal social scoring al riconoscimento delle emozioni sul posto di lavoro, restano pienamente applicabili e sanzionabili. Su quelli il Digital Omnibus non è intervenuto affatto.
Il fronte italiano: la delega scade il 10 ottobre
Mentre Bruxelles chiudeva il Digital Omnibus, Roma accelerava sul proprio cantiere. La Legge 23 settembre 2025, n. 132 ha designato l’Agenzia per la cybersicurezza nazionale e AgID come autorità nazionali per l’AI e ha conferito al Governo una delega per i decreti legislativi attuativi. A fine giugno il Consiglio dei Ministri ha esaminato in via preliminare gli schemi di decreto, un pacchetto che copre l’allineamento all’AI Act e i capitoli su sanità, dati e algoritmi per l’addestramento, polizia predittiva e responsabilità civile.
La delega scade il 10 ottobre 2026. Significa che i testi devono completare pareri parlamentari e approvazione definitiva entro poco più di tre mesi.
Il punto rilevante per le imprese è che il calendario italiano non segue quello europeo: i rinvii decisi a Bruxelles non spostano la scadenza della delega, né sospendono le competenze già attribuite ad ACN e AgID. Chi opera in settori toccati dagli schemi di decreto, la sanità prima di tutti, avrà un doppio binario normativo da presidiare tra l’estate e l’autunno.
Un doppio binario che può produrre asimmetrie curiose. Un ospedale italiano potrebbe trovarsi vincolato dal decreto nazionale sulla sanità mesi prima che gli obblighi europei sull’alto rischio diventino applicabili al medesimo sistema. Il coordinamento tra i due livelli sarà uno dei temi tecnici più delicati dell’autunno.
Perché il rinvio non è una pausa
La tentazione, davanti a sedici mesi di respiro sull’alto rischio, è archiviare il dossier fino al 2027. Sarebbe un errore di calcolo, per tre ragioni.
La prima è aritmetica. Costruire un sistema di gestione del rischio, una documentazione tecnica completa, procedure di sorveglianza umana e una filiera di dati tracciata richiede, nelle organizzazioni strutturate, dai dodici ai diciotto mesi di lavoro. I sedici mesi guadagnati non sono un margine: sono, all’incirca, il tempo minimo necessario per fare le cose per bene. Chi parte a metà 2027 arriverà tardi.
La seconda ragione è che gli obblighi vivi non aspettano. Tra cinque settimane la trasparenza dell’articolo 50 e le sanzioni dell’articolo 99 diventano pienamente operative, e riguardano una platea molto più ampia dei fornitori di sistemi ad alto rischio: qualunque impresa che pubblichi contenuti generati con AI, usi un chatbot rivolto al pubblico o impieghi strumenti generativi nella comunicazione è dentro il perimetro.
La terza è di posizionamento. Banche, assicurazioni e grandi committenti stanno già inserendo requisiti di conformità all’AI Act nei contratti di fornitura, senza aspettare le scadenze legali. Il mercato, su questo, corre più veloce del legislatore.
Per i professionisti che devono presidiare questa transizione, il confronto tra pari conta quanto lo studio delle norme: l’iscrizione ad AIPIA dà accesso a una comunità professionale che segue l’attuazione dell’AI Act dal punto di vista di chi deve applicarlo, non solo commentarlo.
Il Digital Omnibus ha spostato alcune date. Non ha spostato la direzione: l’Europa continua a essere l’unico mercato al mondo con una regolazione orizzontale dell’AI in vigore, e il 2 agosto 2026 resta il giorno in cui questa regolazione mette i denti. Il tempo guadagnato vale solo per chi lo usa.
