Il regolamento IA dell'UE nel 2026: cosa si applica realmente, dopo l'omnibus digitale

Il regolamento (UE) 2024/1689, il regolamento IA dell'UE, è entrato in vigore il 1° agosto 2024. Si applica per fasi. Le pratiche vietate e gli obblighi di alfabetizzazione IA sono entrati in applicazione il 2 febbraio 2025. Gli obblighi relativi ai modelli di IA per finalità generali, alla governance e alle sanzioni sono entrati in applicazione il 2 agosto 2025.

La tappa successiva, gli obblighi per i sistemi di IA ad alto rischio previsti dal capitolo III del regolamento, doveva applicarsi il 2 agosto 2026. Non è successo in quella data. Il 24 luglio 2026, l'omnibus digitale sull'IA, il regolamento (UE) 2026/1744, è stato pubblicato nella Gazzetta ufficiale ed è entrato in vigore tre giorni dopo, sei giorni prima della scadenza originaria.

Cosa è cambiato, e cosa no

L'omnibus rinvia gli obblighi ad alto rischio in due fasi. I sistemi ad alto rischio autonomi elencati nell'allegato III, che coprono usi come reclutamento, gestione dei lavoratori, valutazione del merito creditizio, biometria e istruzione, rientrano ora nel capitolo III dal 2 dicembre 2027 anziché dal 2 agosto 2026. I sistemi ad alto rischio integrati in prodotti regolamentati dell'allegato I, come dispositivi medici o macchinari, sono rinviati al 2 agosto 2028.

• Le pratiche vietate dell'articolo 5, in vigore dal 2 febbraio 2025, restano invariate.
• Gli obblighi relativi ai modelli di IA per finalità generali, la documentazione di trasparenza e la valutazione del rischio sistemico per i modelli più potenti, in vigore dal 2 agosto 2025, restano invariati.
• Gli obblighi di trasparenza dell'articolo 50, rivelare l'interazione con un'IA e contrassegnare i contenuti sintetici, sono entrati in applicazione come previsto il 2 agosto 2026 e non sono stati rinviati.
• Un nuovo divieto sugli strumenti IA che generano immagini intime non consensuali o materiale pedopornografico, aggiunto dallo stesso omnibus, si applica dal 2 dicembre 2026.

Perché il rinvio non significa assenza di esposizione

Un obbligo rinviato non è un obbligo cancellato. Le organizzazioni che immettono un sistema di IA sul mercato dell'UE, ovunque siano stabilite, compresi i fornitori svizzeri e altri fornitori extra UE, restano vincolate dagli obblighi già in vigore: pratiche vietate, trasparenza verso gli utenti che interagiscono con un sistema di IA e, per i fornitori di modelli per finalità generali, documentazione e valutazione del rischio. I diciotto mesi supplementari concessi per i sistemi ad alto rischio sono tempo di preparazione, non tempo di esenzione.

La domanda di classificazione a cui ogni organizzazione che usa l'IA deve ancora rispondere

Indipendentemente dal calendario, il regolamento IA impone a ogni fornitore o utilizzatore di classificare ogni sistema di IA che sviluppa o utilizza: vietato, ad alto rischio, a rischio limitato con obblighi di trasparenza, o a rischio minimo. Questo esercizio di classificazione, e le prove che lo accompagnano, sono ciò che un acquirente, un assicuratore o un investitore chiederà ben prima di dicembre 2027. Il rinvio ha spostato la scadenza di conformità. Non ha spostato quella della due diligence.

“Le organizzazioni che sanno già quale dei loro sistemi di IA è ad alto rischio, e perché, non sono quelle per cui l'omnibus è stato scritto.”

— Aegryn

Aegryn Advisory affianca le organizzazioni nella classificazione dei loro sistemi di IA ai sensi del regolamento IA dell'UE, nella documentazione della governance e della valutazione del rischio, e certifica il risultato nell'ambito della dimensione Sicurezza & Sovranità del CIFSO, prima del momento in cui un acquirente, un assicuratore o un regolatore ne chiede la prova.