Due scadenze nello stesso giorno
Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’AI, ha modificato l’AI Act a luglio 2026. Tra le date che ha fissato, la prossima è il 2 dicembre 2026. Quel giorno:
- si applicano i nuovi divieti sui sistemi che generano contenuti intimi non consensuali e materiale pedopornografico;
- finisce il periodo transitorio per la marcatura dei contenuti generati dai sistemi immessi sul mercato prima del 2 agosto 2026.
Per la maggior parte delle aziende che usano l’AI per lavoro d’ufficio non cambia molto. Cambia invece per chi sviluppa o vende prodotti con funzioni generative.
I nuovi divieti
L’Omnibus aggiunge alle pratiche vietate i sistemi AI che generano o manipolano immagini, video o audio realistici delle parti intime o di attività sessuali di una persona identificabile senza il suo consenso (le cosiddette app “nudifier”), e quelli che generano materiale pedopornografico. Il divieto riguarda anche i sistemi privi di misure tecniche adeguate a impedire questi risultati, quando sono ragionevolmente prevedibili e riproducibili.
Per un’azienda manifatturiera o di servizi il rischio diretto è basso. Chi però integra la generazione di immagini o video in un’applicazione per clienti deve verificare che il modello e i filtri del fornitore impediscano questi usi, e documentarlo.
Marcatura dei contenuti generati: articolo 50, paragrafo 2
L’articolo 50 chiede ai fornitori di sistemi che generano audio, immagini, video o testo sintetici di marcare i contenuti in un formato leggibile dalle macchine, così che siano riconoscibili come generati artificialmente. Per i sistemi immessi sul mercato dal 2 agosto 2026 l’obbligo vale già. Per quelli immessi prima, il Digital Omnibus concede tempo fino al 2 dicembre 2026.
L’obbligo è del fornitore. Se un’azienda usa ChatGPT, Copilot, Gemini o Claude, la marcatura tecnica è compito di chi fornisce il servizio. Se invece ha sviluppato o fatto sviluppare un proprio generatore di testi, immagini o video e lo mette a disposizione di clienti con il proprio nome, può essere considerata fornitore e deve occuparsene.
Cosa è già in vigore dal 2 agosto 2026
Gli altri obblighi dell’articolo 50 si applicano già:
- chi interagisce con un chatbot o un assistente vocale deve sapere che parla con un sistema AI, salvo che sia evidente;
- chi pubblica deepfake deve dichiararlo;
- i testi generati e pubblicati per informare il pubblico su temi di interesse generale vanno dichiarati, salvo revisione editoriale umana.
Restano poi l’alfabetizzazione AI del personale (articolo 4) e i divieti in vigore dal 2025. Il quadro completo è nella guida AI Act: cosa deve fare una PMI nel 2026.
Le altre novità del Digital Omnibus
- Alto rischio rinviato: 2 dicembre 2027 per i sistemi dell’Allegato III, 2 agosto 2028 per quelli integrati in prodotti dell’Allegato I.
- Small mid-cap: le semplificazioni previste per le PMI si estendono alle imprese con meno di 750 dipendenti e fatturato fino a 150 milioni di euro (o totale di bilancio fino a 129 milioni). Riguardano documentazione tecnica semplificata, sistema qualità proporzionato, accesso prioritario alle sandbox e sanzioni commisurate.
- Macchine: per l’AI nei prodotti coperti dal Regolamento Macchine il raccordo con l’AI Act cambia. Ne parliamo nell’articolo sul Regolamento Macchine 2027.
Checklist entro il 2 dicembre
- Inventario: elencare gli strumenti AI usati in azienda e quelli integrati in prodotti o servizi per clienti.
- Ruolo: per ogni sistema, stabilire se l’azienda è fornitore o utilizzatore.
- Funzioni generative per clienti: verificare marcatura dei contenuti e filtri contro gli usi vietati, con evidenza scritta dal fornitore del modello.
- Chatbot e assistenti: controllare che l’utente sia informato di parlare con un sistema AI.
- Policy interna: aggiornare le regole d’uso dell’AI e l’informativa a lavoratori e clienti.
- Formazione: documentare le attività di alfabetizzazione AI del personale.
Per una prima verifica in pochi minuti c’è l’AI Act Quick Check. Per inventario, classificazione dei sistemi e documentazione lavoriamo con il servizio di compliance AI Act.
Domande frequenti
Cosa cambia con l’AI Act dal 2 dicembre 2026?
Si applicano i nuovi divieti introdotti dal Regolamento (UE) 2026/1744 sui sistemi che generano immagini intime non consensuali di persone identificabili e materiale pedopornografico. Finisce inoltre il periodo transitorio per la marcatura dei contenuti generati dai sistemi immessi sul mercato prima del 2 agosto 2026.
La mia azienda usa ChatGPT o Copilot: devo fare qualcosa entro il 2 dicembre?
Per chi usa strumenti di terzi la marcatura dei contenuti spetta al fornitore del sistema. Restano gli obblighi già in vigore: informare le persone quando parlano con un chatbot, dichiarare i deepfake, formare il personale e tenere un inventario degli strumenti AI.
Chi è fornitore e chi è utilizzatore secondo l’AI Act?
Il fornitore sviluppa un sistema AI o lo fa sviluppare e lo immette sul mercato con il proprio nome. L’utilizzatore (deployer) lo usa nella propria attività. Un’azienda che integra un modello generativo in un prodotto venduto ai clienti può diventare fornitore di quel sistema.
Gli obblighi per i sistemi ad alto rischio sono stati rinviati?
Sì. Dopo il Digital Omnibus si applicano dal 2 dicembre 2027 per i sistemi dell’Allegato III e dal 2 agosto 2028 per quelli integrati in prodotti regolamentati dell’Allegato I.
Fonti: Regolamento (UE) 2026/1744 su EUR-Lex; analisi di Orrick, Freshfields e Loyens & Loeff. Questo articolo non costituisce consulenza legale.