Digital Omnibus e AI Act: le novità per le imprese

Il quadro normativo in materia di intelligenza artificiale è stato recentemente interessato da rilevanti novità, tanto a livello europeo quanto nazionale. Tra queste spicca il regolamento Regolamento (UE) 2026/1744 (c.d. Digital Omnibus on AI, nel seguito “Omnibus IA”) – che interviene direttamente sul Regolamento (UE) 2024/1689 (“AI Act”) ed incide sul percorso di adeguamento delle imprese alla disciplina europea sull’intelligenza artificiale.

A tali novità si affiancano, i decreti legislativi attuativi della legge 23 settembre 2025, n. 132 (la legge italiana sull’intelligenza artificiale), pubblicati in Gazzetta Ufficiale nelle ultime settimane: il D.Lgs. 9 settembre 2026, n. 160, in vigore dal 30 settembre 2026, e il D.Lgs. 7 ottobre 2026, n. 179, che entrerà in vigore il 23 ottobre 2026. Tali decreti introducono disposizioni di particolare interesse per le imprese sotto il profilo della responsabilità, del diritto del lavoro e della governance dei sistemi di IA.

Nella presente newsletter esaminiamo le novità introdotte dal Digital Omnibus. Nella successiva, esaminiamo le novità portate dai decreti attuativi della Legge 132/2025 (I decreti attuativi della legge sull’intelligenza artificiale: le novità per le imprese – %

1. Il Digital Omnibus: cosa cambia per l’AI Act

Il Regolamento (UE) 2026/1744 è entrato in vigore il 27 luglio 2026 e modifica, oltre all’AI Act, il regolamento (UE) 2018/1139 in materia di aviazione civile e il regolamento (UE) 2023/1230 relativo alle macchine.

È bene chiarire sin da subito che la struttura dell’AI Act non viene alterata: restano immutati l’approccio basato sul rischio (risk based approach), le quattro categorie di rischio – inaccettabile, alto, limitato e minimo – e i relativi obblighi, già illustrati nella nostra precedente newsletter (disponibile qui: Intelligenza artificiale e imprese: gli obblighi introdotti dall’AI ACT – Fasola & Partners).

Vengono invece modificati: (i) il calendario applicativo; (ii) il novero delle pratiche vietate; (iii) l’obbligo di alfabetizzazione; (iv) la nozione di componente di sicurezza; (v) il perimetro soggettivo delle semplificazioni per le PMI.

1.1. Il nuovo calendario applicativo

La novità di maggiore impatto pratico è il rinvio dell’applicazione degli obblighi relativi ai sistemi ad alto rischio, come di seguito illustrato:

Il rinvio, tuttavia, non riguarda l’intero Regolamento: dal 2 agosto 2026 rimangono infatti applicabili tutte le disposizioni non soggette a termini speciali, compresi gli obblighi di trasparenza dell’art. 50 per i sistemi che interagiscono con le persone (es. chatbot) e per i contenuti generati o manipolati (es. deepfake). Si ricorda inoltre che i divieti dell’art. 5 (c.d. pratiche vietate) sono invece già applicabili sin dal 2 febbraio 2025.

1.2 Nuove pratiche di IA vietate

L’Omnibus IA amplia l’elenco delle pratiche vietate dall’art. 5 dell’AI Act, introducendo due nuovi divieti che si applicheranno dal 2 dicembre 2026.

È vietata l’immissione sul mercato, la messa in servizio o l’uso di sistemi di IA che:

• generano o manipolano immagini, video e audio realistici delle parti intime di una persona fisica riconoscibile, o che la ritraggano mentre partecipa ad atti sessualmente espliciti, senza il consenso liberamente prestato, specifico, informato e inequivocabile di tale persona (art. 5 lett. b-bis);
• generano o manipolano materiale pedopornografico (art. 5 lett. b-ter).

Si segnala che tali sistemi sono vietati non solo quando la generazione di tali contenuti è la finalità specificamente prevista, ma anche quando la generazione dei contenuti vietati costituisce un risultato ragionevolmente prevedibile e il sistema non dispone di misure di sicurezza adeguate a prevenirla.

1.3. Alfabetizzazione: da obbligo di risultato a obbligo di mezzi

L’Omnibus IA ricalibra gli obblighi previsti dall’art. 4 per le imprese in materia di alfabetizzazione: se nella formulazione precedente dell’articolo, l’alfabetizzazione era intesa come un obbligo di formazione in capo alle imprese nei confronti del proprio personale, tenuto conto delle conoscenze tecniche, dell’esperienza e dell’istruzione e del contesto in cui i sistemi di IA devono essere utilizzati, nell’attuale formulazione il legislatore ha precisato che “tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona”.

In sostanza quindi l’obbligo di formazione, lungi dall’essere soppresso, impone a fornitori e deployer di continuare a formare i propri dipendenti, ribadendo e ampliando, tuttavia, la possibilità di modulare in modo specifico la formazione sulla base delle mansioni svolte e sul contesto operativo in cui i singoli operatori agiscono.

Il nuovo art. 4 prevede infine che la Commissione offra spunti operativi, tramite la pubblicazione di esempi pratici di literacy sulla piattaforma unica di informazione.

1.4. La nuova nozione di componente di sicurezza

Nell’ambito dei sistemi considerati ad alto rischio, l’Omnibus AI semplifica la nozione di componente di sicurezza.

In base all’AI Act, un sistema di intelligenza artificiale viene considerato ad alto rischio se opera come componente di sicurezza di un prodotto disciplinato dalla normativa di armonizzazione elencata nell’Allegato I (o che sia esso stesso tale prodotto), quando il prodotto è soggetto a una valutazione della conformità da parte di terzi.

L’Omnibus IA – pur mantenendo invariato il concetto di fondo – stabilisce che un componente IA svolge una funzione di sicurezza solamente nel caso in cui la “la sua finalità prevista è prevenire o attenuare i rischi per la salute e la sicurezza di persone o beni”; viceversa, qualora il sistema sia utilizzato esclusivamente per aspetti non legati alla sicurezza (es. assistenza agli utenti, ottimizzazione delle prestazioni, efficienza dei servizi, automazione, praticità o controllo qualità), il sistema non rappresenta un componente di sicurezza e non rientra nell’ambito dei sistemi ad alto rischio.

Inoltre, il prodotto sottoposto a valutazione di conformità di terzi solo per rischi diversi da salute e sicurezza (es. uso dello spettro radio, compatibilità elettromagnetica) non rientra nella definizione di componente di sicurezza (par. 1-quater).

Tale restrizione del perimetro applicativo trova delle eccezioni per i sistemi il cui guasto o malfunzionamento metterebbe a rischio la salute e la sicurezza, i quali continuano ad essere componenti di sicurezza (par. 1-ter).

1.5. Semplificazioni estese alle piccole imprese a media capitalizzazione

L’Omnibus IA introduce per la prima volta nell’AI Act la nozione di piccola impresa a media capitalizzazione (small mid-cap, “SMC”), mediante l’estensione a tale tipologia di imprese delle semplificazioni previste per PMI e microimprese. Tale estensione risulta motivata dalla circostanza che tali imprese, pur mostrando un ritmo di crescita e un livello di innovazione superiori a quelli delle PMI, affrontano oneri amministrativi analoghi.

Ai sensi della raccomandazione (UE) 2025/1099, rientrano tra le SMC le imprese che:

• non sono PMI ai sensi della raccomandazione 2003/361/CE;
• occupano meno di 750 persone;
• hanno un fatturato annuo non superiore a 150 milioni di euro oppure un totale di bilancio annuo non superiore a 129 milioni di euro.

Alle SMC vengono quindi estese diverse agevolazioni, quali:

• la possibilità di predisporre la documentazione tecnica in forma semplificata, sulla base di un modello predisposto dalla Commissione che gli organismi notificati sono tenuti ad accettare;
• la possibilità di adottare un sistema di gestione della qualità proporzionato alle dimensioni dell’organizzazione;
• la possibilità di accedere con priorità agli spazi di sperimentazione istituiti a livello di Unione e attenzione specifica negli orientamenti della Commissione e nella consulenza delle autorità nazionali;
• l’erogazione di sanzioni di importo inferiore.

In generale, le semplificazioni rappresentano una riduzione dell’onere documentale e organizzativo, senza tuttavia modifiche sostanziali dei requisiti che i sistemi devono soddisfare.

1.5. Le altre novità: art. 4-bis, sandbox e AI Office

Tra le ulteriori modifiche apportate dall’Omnibus IA, si segnalano:

• il nuovo art. 4-bis, applicabile dal 2 agosto 2026, che costituisce una specifica base normativa per il trattamento, in via eccezionale e nel rispetto delle condizioni previste, di categorie particolari di dati personali quando strettamente necessario per individuare e correggere distorsioni (bias) nei sistemi;
• l’obbligo in capo agli Stati membri di rendere operativo uno spazio di sperimentazione normativa (regulatory sandbox), ovvero ambienti digitali controllati nei quali imprese e autorità sperimentano sistemi innovativi e affrontano in anticipo le criticità di conformità entro il 2 agosto 2027; l’AI Office dovrà rendere operativa una sandbox a livello europeo;
• il rafforzamento dell’AI Office della Commissione, che da organismo di supporto e coordinamento diviene autorità di enforcement con competenza esclusiva su due famiglie di sistemi: quelli basati su modelli di IA per finalità generali sviluppati dallo stesso fornitore (o da società del medesimo gruppo) e quelli che costituiscono o sono integrati in piattaforme online e motori di ricerca di dimensioni molto grandi ai sensi del Digital Services Act. All’AI Office sono inoltre attribuiti poteri mutuati dalla disciplina antitrust (indagini d’ufficio, ispezioni, accettazione di impegni).

2. Come affrontare le novità in azienda

Il differimento di alcune scadenze disposto dal Digital Omnibus non deve indurre le imprese a rinviare l’adeguamento: numerosi obblighi dell’AI Act sono infatti già applicabili, a partire dai divieti di cui all’art. 5 (dal 2 febbraio 2025) e dagli obblighi per i fornitori di modelli di IA per finalità generali (dal 2 agosto 2025). Sul piano interno si aggiunge l’entrata in vigore dei decreti attuativi della Legge 23 settembre 2025, n. 132 (esaminati qui: I decreti attuativi della legge sull’intelligenza artificiale: le novità per le imprese – %), che introducono rilevanti profili di responsabilità penale, civile e giuslavoristica.

l suggerimento per le imprese è quindi quello di provvedere sin da ora a:

1. mappare i sistemi di IA in uso e, per ciascuno, il ruolo ricoperto dall’impresa (fornitore, deployer, importatore o distributore);
2. classificare i sistemi secondo le categorie previste dall’AI Act (pratiche vietate, sistemi ad alto rischio, sistemi soggetti a obblighi di trasparenza);
3. definire una roadmap di adeguamento coerente con il nuovo calendario introdotto dal Digital Omnibus;
4. per chi sviluppa o utilizza sistemi di IA generativa, verificare entro il 2 dicembre 2026 l’adeguatezza delle misure volte a impedire la generazione dei contenuti oggetto dei nuovi divieti, nonché il rispetto degli obblighi di marcatura dei contenuti sintetici;
5. aggiornare il piano di formazione sull’IA, differenziandolo per ruoli e mansioni e documentando le iniziative svolte;
6. per i fabbricanti di macchine e dispositivi, rivalutare alla luce della nuova definizione se i sistemi integrati costituiscano effettivamente componenti di sicurezza, e siano quindi da considerare ad alto rischio;
7. verificare se l’impresa rientri tra le small mid-cap (SMC) e possa beneficiare delle relative semplificazioni;
8. in ambito HR, garantire che le decisioni su assunzione, gestione e cessazione del rapporto di lavoro restino in capo a una persona fisica, aggiornare le informative ai lavoratori e adottare una procedura per motivare le decisioni assunte con il supporto di sistemi di IA;
9. aggiornare il Modello 231, mappando i rischi connessi agli artt. 437-bis e 612-quater c.p., e documentare le misure di sorveglianza umana adottate sui sistemi potenzialmente ad alto rischio;
10. rivedere i contratti con i fornitori di sistemi di IA, con particolare attenzione alla disponibilità dei log e della documentazione tecnica (di cui il giudice può ordinare l’esibizione), alle garanzie di conformità e alle coperture assicurative.

Restano ferme, infine, le numerose interconnessioni con il Regolamento (UE) 2016/679 (GDPR) e con il D.Lgs. 231/2001: l’adeguamento all’AI Act e alla normativa nazionale richiede, in sostanza, una stretta collaborazione tra le diverse funzioni aziendali (IT, risorse umane, compliance, ufficio legale) e un’integrazione dell’utilizzo dell’IA nel sistema di gestione aziendale.

Lo studio è a disposizione per qualsiasi chiarimento.

Leggi qui i nostri ultimi approfondimenti

• Digital Omnibus e AI Act: le novità per le imprese
• I decreti attuativi della legge sull’intelligenza artificiale: le novità per le imprese
• Revisione degli statuti societari dopo il d.lgs. 47/2026: quando è necessaria?
• Reati agroalimentari: la riforma è legge e impone nuovi presidi 231 per le imprese
• Riforma dei reati ambientali: nuove fattispecie 231 nel D.Lgs. 81/2026