Il 27 luglio 2026 è entrato in vigore il Digital Omnibus sull’intelligenza artificiale. La novità più visibile è il calendario: l’applicazione delle regole per alcuni sistemi ad alto rischio viene spostata al 2 dicembre 2027, mentre l’AI incorporata in prodotti soggetti alla normativa di armonizzazione seguirà il 2 agosto 2028. Per le imprese, però, leggere il provvedimento come un semplice rinvio sarebbe un errore di gestione.
L’AI Omnibus introduce semplificazioni, amplia alcune misure di sostegno e chiarisce il coordinamento tra norme europee. Non elimina la necessità di sapere quali sistemi AI sono utilizzati, chi li fornisce, quali dati trattano e quali decisioni influenzano. Il tempo guadagnato serve quindi a rendere più solido il governo dell’AI, non a rimandarlo.
Che cosa cambia davvero con l’AI Omnibus
Il Regolamento (UE) 2026/1744 modifica il quadro di attuazione del Regolamento (UE) 2024/1689. La Commissione europea descrive l’intervento come una semplificazione mirata, accompagnata da garanzie per sicurezza e diritti fondamentali.
La prima conseguenza pratica riguarda le scadenze dei sistemi ad alto rischio. La nuova data del 2 dicembre 2027 offre alle aziende più tempo per preparare documentazione, valutazioni, controlli e rapporti con i fornitori. Per i sistemi AI incorporati in prodotti fisici coperti da altra legislazione europea, il riferimento diventa il 2 agosto 2028.
La seconda riguarda la proporzionalità. Alcune misure pensate per le PMI vengono estese alle small mid-cap, cioè imprese di dimensione intermedia che non rientrano più nella definizione tradizionale di piccola o media impresa. Il provvedimento amplia inoltre le possibilità di test in ambienti regolamentati e rafforza il ruolo dei regulatory sandbox, compreso un livello europeo.
La terza riguarda l’assetto istituzionale. L’AI Office vede chiarito e ampliato il proprio perimetro di supervisione per alcuni sistemi costruiti su modelli di uso generale o integrati in grandi piattaforme e motori di ricerca. Per un’impresa che acquista servizi AI, questo significa che la catena di responsabilità non finisce nel contratto con il fornitore.
Il rinvio non sospende tutta la preparazione
Il nuovo calendario non cancella gli obblighi già applicabili. Le proibizioni e le disposizioni sull’alfabetizzazione AI sono entrate nel quadro applicativo dal 2 febbraio 2025, mentre governance e obblighi sui modelli di uso generale si applicano dal 2 agosto 2025. Inoltre, le regole di trasparenza dell’articolo 50 sono diventate operative dal 2 agosto 2026.
Per questo un’azienda non dovrebbe costruire il proprio piano partendo solo dalla data del 2027. Deve separare almeno quattro livelli:
- ciò che è già applicabile al proprio caso d’uso;
- ciò che riguarda il fornitore del modello o della piattaforma;
- ciò che riguarda l’azienda come deployer, cioè soggetto che utilizza il sistema;
- ciò che richiede preparazione in vista della futura classificazione ad alto rischio.
La distinzione è decisiva. Un chatbot interno per il supporto alle vendite, un sistema che seleziona candidature e un modello inserito in un dispositivo industriale possono avere rischi, soggetti responsabili e documentazione molto diversi. Chiamarli tutti semplicemente “strumenti di AI” non è una governance.
Dall’elenco degli strumenti al registro dei casi d’uso
Il primo lavoro concreto è creare un registro dei casi d’uso AI, non un inventario basato soltanto sui nomi dei software acquistati. Ogni riga dovrebbe collegare almeno:
- processo aziendale e funzione responsabile;
- fornitore, modello, versione e modalità di accesso;
- dati utilizzati, inclusi eventuali dati personali o riservati;
- output prodotto e decisione che può essere influenzata;
- presenza di supervisione umana e possibilità di contestazione;
- dipendenze tecniche, conservazione dei dati e condizioni di uscita;
- classificazione preliminare del rischio e prove disponibili.
Questo registro deve vivere insieme ai processi di procurement, sicurezza e compliance. Se un nuovo servizio AI entra dalla porta dell’ufficio acquisti senza passare da una valutazione minima, l’impresa perde visibilità proprio quando l’AI Omnibus le offre tempo per costruirla.
Il rapporto con fornitori e sistemi ERP
Per molte imprese il rischio non sta in un modello sviluppato internamente, ma in funzioni AI incorporate nell’ERP, nel CRM, nel software HR o nella piattaforma cloud. La verifica deve quindi riguardare gli aggiornamenti automatici, le subforniture, l’uso dei dati per addestramento, i log, la disponibilità di documentazione e la reversibilità del servizio.
Un contratto utile non promette genericamente “conformità AI”. Specifica invece chi svolge la valutazione del rischio, quali informazioni il fornitore mette a disposizione, come vengono segnalati incidenti o modifiche sostanziali e quali evidenze restano accessibili all’azienda. Anche quando il fornitore sostiene di essere responsabile come provider, il deployer deve sapere come il sistema entra nel proprio processo.
La stessa logica vale per l’ERP: dati anagrafici, workflow autorizzativi e ruoli devono essere coerenti con le decisioni supportate dall’AI. Un modello con buone prestazioni tecniche non corregge dati incompleti, deleghe sbagliate o assenza di tracciabilità.
Una roadmap utile nei prossimi mesi
Il tempo aggiuntivo può essere organizzato in tre cicli.
Nel primo, l’impresa censisce i casi d’uso, blocca gli acquisti non valutati e assegna un responsabile per ogni processo. Nel secondo, definisce controlli minimi: qualità dei dati, logging, revisione umana, gestione degli errori, sicurezza, privacy e formazione degli utenti. Nel terzo, esegue prove e raccoglie evidenze: test, approvazioni, versioni del modello, incidenti, reclami e modifiche.
La domanda da portare al comitato di direzione non è “siamo già conformi?”. È più utile chiedere: “se domani il fornitore cambia modello o un output produce un danno, possiamo ricostruire che cosa è successo, chi ha deciso e quali controlli erano attivi?”.
L’AI Omnibus rende il percorso più graduale, ma non sostituisce questa capacità organizzativa. Le aziende che iniziano ora possono trasformare il rinvio in un vantaggio: meno corse documentali, più scelte consapevoli, contratti migliori e processi digitali più controllabili.
_Nota di trasparenza: questo contenuto, testuale e visivo, è stato realizzato in parte con l’utilizzo dell’intelligenza artificiale e verificato e curato editorialmente da una persona._