Il Digital Omnibus sull'IA è legge: pubblicato in Gazzetta Ufficiale dell'Unione il 24 luglio come Regolamento (UE) 2026/1744, in vigore dal 27 luglio, con una deroga ai venti giorni ordinari, per battere il 2 agosto. I titoli hanno raccontato un rinvio, e nei nostri audit di luglio troviamo clienti convinti che non resti niente da fare.
Cosa slitta davvero
Il rinvio riguarda i sistemi ad alto rischio. Quelli autonomi dell'Allegato III (selezione del personale, scoring creditizio, supporto alle forze dell'ordine) passano dal 2 agosto 2026 al 2 dicembre 2027; quelli incorporati in prodotti regolati dell'Allegato I dal 2 agosto 2027 al 2 agosto 2028; le sandbox nazionali al 2 agosto 2027.
A giugno scrivevamo che per la PMI media l'AI Act si riduce quasi sempre agli obblighi di trasparenza. L'omnibus non cambia quella conclusione: chi legge "rinviato" e chiude la pratica sta leggendo la parte del regolamento che non lo riguarda.
Cosa scatta comunque il 2 agosto
L'articolo 50 non è stato toccato nella sostanza, e il 20 luglio la Commissione ne ha adottato le linee guida definitive: non vincolanti, ma sono quello che leggeranno le autorità di vigilanza.
- Chatbot: l'utente deve sapere di parlare con un'IA non oltre la prima interazione. L'eccezione dell'"ovvio dal contesto" è più stretta di come viene letta: una disclosure sepolta nelle FAQ o nei termini non arriva alla prima interazione.
- Contenuti sintetici: chi fornisce il sistema generativo deve marcare l'output in formato leggibile a macchina, senza che la norma imponga una tecnica (watermark, metadati di provenienza, metodi crittografici). I sistemi già sul mercato prima del 2 agosto hanno tempo fino al 2 dicembre 2026.
- Deepfake e testi di interesse pubblico: l'obbligo è di chi li pubblica; per il testo c'è una via d'uscita, la revisione umana con responsabilità editoriale documentata.
- Riconoscimento delle emozioni e categorizzazione biometrica: chi vi è esposto va informato.
Il codice di buone pratiche sulla marcatura, pubblicato il 10 giugno, resta volontario.
Quanto costa sbagliare
Dal 2 agosto si applicano anche le sanzioni degli articoli 99 e 101. L'articolo 50 sta nella fascia fino a 15 milioni di euro o 3% del fatturato mondiale, non nei 35 milioni riservati alle pratiche vietate, e per le PMI vale il minore tra importo fisso e percentuale. Cifre fuori scala rispetto al costo di rimediare.
In Italia chi controlla
La legge 132/2025 assegna ad ACN la vigilanza di mercato, con poteri ispettivi e sanzionatori, e ad AgID il ruolo di autorità di notifica. Non è Bruxelles: è l'agenzia che già conoscete da NIS2. C'è poi il livello penale, che quasi nessuno collega all'articolo 50: dal 10 ottobre 2025 l'articolo 612-quater del codice penale punisce con la reclusione da uno a cinque anni chi diffonde senza consenso, causando un danno ingiusto, immagini o voci alterate con l'IA. E dal 2 dicembre 2026 l'omnibus vieta i sistemi che generano contenuti intimi non consensuali o materiale pedopornografico.
Verdetto
Per la PMI media non è un progetto, è mezza giornata di lavoro: una riga nel messaggio di benvenuto del chatbot, una nota sui contenuti generati, una clausola nel contratto SaaS su chi possiede l'obbligo di marcatura del 50(2). Fatelo prima del 2 agosto, perché la parte costosa non è la sanzione: è scoprire a settembre che il vostro fornitore pensava che l'obbligo fosse vostro.