AI Act e normativa
Digital Omnibus: cosa è cambiato davvero nell'AI Act
Sonia Milan · Autrice per Il Sole 24 Ore · Pubblicato il 11 agosto 2026
L'obbligo di formazione resta. Il Regolamento (UE) 2026/1744, capitolo sull'intelligenza artificiale del pacchetto Digital Omnibus, è in vigore dal 27 luglio 2026 e ha riscritto l'articolo 4: fornitori e deployer devono adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione del personale, dove prima dovevano garantirne un livello sufficiente. Il testo precisa che l'obbligo non impone di garantire un livello specifico per alcuna persona. Sono slittate anche le scadenze sull'alto rischio: Allegato III al 2 dicembre 2027, prodotti regolamentati al 2 agosto 2028.
Il 24 luglio 2026 è stato pubblicato in Gazzetta ufficiale dell'Unione europea il Regolamento (UE) 2026/1744, noto come Digital Omnibus sull'intelligenza artificiale. È in vigore dal 27 luglio, e modifica l'AI Act su due fronti: uno riguarda chiunque usi l'intelligenza artificiale al lavoro, l'altro riguarda chi usa sistemi ad alto rischio.
Su cosa sia successo circolano due letture, entrambe sbagliate e per ragioni opposte. Questo articolo prova a dire cosa dice il testo.
Le due modifiche, in sintesi
| Cosa | Prima | Dopo il 27 luglio 2026 |
|---|---|---|
| Contenuto dell'articolo 4 | «adottano misure per garantire nella misura del possibile un livello sufficiente» | «adottano misure volte a sostenere lo sviluppo» |
| Livello garantito per persona | non escluso dal testo | «non impone di garantire un livello specifico per alcuna persona» |
| Alto rischio, Allegato III | 2 agosto 2026 | 2 dicembre 2027 |
| Nuove pratiche vietate (art. 5) | non previste | aggiunte, dal 2 dicembre 2026 |
| Alto rischio in prodotti regolamentati | 2 agosto 2027 | 2 agosto 2028 |
| Sandbox nazionali operative | 2 agosto 2026 | 2 agosto 2027 |
Come è stato riscritto l'articolo 4
Nella formulazione originaria, applicabile dal 2 febbraio 2025, l'articolo 4 imponeva a fornitori e deployer di adottare misure per garantire, nella misura del possibile, un livello sufficiente di alfabetizzazione in materia di AI del proprio personale.
La formulazione in vigore dal 27 luglio 2026 chiede invece di adottare misure volte a sostenere lo sviluppo dell'alfabetizzazione, e aggiunge una frase che prima non c'era: «Tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona».
Il nuovo paragrafo 2 aggiunge poi un dovere di supporto in capo alla Commissione e agli Stati membri, che «sostengono e agevolano gli sforzi» di fornitori e deployer, in particolare delle PMI. È un dovere che si aggiunge, non un obbligo che si trasferisce.
Cosa resta invariato
Tre cose, e sono quelle che contano per chi deve decidere se fare qualcosa.
L'obbligo resta vincolante. Non è una raccomandazione. Fornitori e deployer devono adottare misure, e "effettive" è un aggettivo che significa qualcosa: un'organizzazione che non fa nulla non ha adottato misure inefficaci, non ne ha adottate.
Non ci sono soglie dimensionali. Vale per la microimpresa come per la multinazionale. Quello che cambia è lo standard di misure attese, non l'esistenza dell'obbligo.
Vale a prescindere dalla classe di rischio. L'articolo 4 non si applica solo ai sistemi ad alto rischio: si applica a chiunque utilizzi sistemi di intelligenza artificiale nell'esercizio di un'attività professionale, compreso chi usa un assistente generativo per riformulare una mail.
Le due letture sbagliate
«L'obbligo è stato svuotato, non c'è più niente da fare.» Non regge. Le misure restano dovute, e restano dovute in forma effettiva e proporzionata. È cambiato il parametro rispetto a cui si valuta, non l'esistenza del dovere.
«Non è cambiato niente.» Nemmeno questa, e chi la sostiene di solito vende qualcosa. Prima si poteva sostenere che servisse dimostrare un livello raggiunto dalle persone. Ora il testo dice il contrario in modo esplicito.
Il criterio di calibrazione non è nuovo, ed è quello che resta
Qui va corretta una lettura che circola, e che è comoda per chi vende formazione: che l'Omnibus abbia introdotto un criterio di proporzionalità prima assente. Non è così.
La proposizione che elenca i criteri era già nell'articolo 4 del 2024, alla lettera:
«prendendo in considerazione le loro conoscenze tecniche, la loro esperienza, istruzione e formazione, nonché il contesto in cui i sistemi di IA devono essere utilizzati, e tenendo conto delle persone o dei gruppi di persone su cui i sistemi di IA devono essere utilizzati»
L'Omnibus non l'ha toccata: è identica nelle due versioni. Quello che è stato tolto è il parametro del «livello sufficiente».
La conseguenza è questa: venuto meno il livello, i criteri di calibrazione restano l'unico metro di giudizio disponibile. Non perché siano cambiati, ma perché sono rimasti soli. Una misura si valuta guardando se tiene conto di chi la riceve e del contesto in cui lavora, e non più guardando quanto quella persona ha imparato.
Sul piano pratico questo non rende un corso uniforme meno difendibile di ieri: lo era già, con gli stessi identici criteri. Rende però più difficile sostenere il contrario, perché il parametro alternativo non esiste più.
Cosa significa in pratica, per reparto
| Reparto | Cosa usa | Cosa serve in più |
|---|---|---|
| Marketing e comunicazione | Generazione di testi e immagini, analisi di dati | Obblighi di trasparenza dell'articolo 50, verifica dei contenuti prima della pubblicazione, diritti sulle immagini |
| Amministrazione | Assistenza su documenti contabili, riconciliazioni | Trattamento di dati economici su piani contrattuali adeguati, verifica degli output numerici |
| Commerciale | Redazione di offerte, ricerca su clienti | Dati di clienti e prospect, affermazioni contrattuali generate e non verificate |
| Personale | Screening di candidature, valutazioni | Il caso di alto rischio che si incontra più spesso in un'azienda ordinaria, insieme allo scoring creditizio e alla formazione professionale: sorveglianza umana, informazione ai lavoratori prima della messa in servizio, conservazione dei log per almeno sei mesi |
Il nuovo calendario
La tabella completa delle scadenze
| Data | Cosa si applica |
|---|---|
| 1 agosto 2024 | L'AI Act entra in vigore |
| 2 febbraio 2025 | Pratiche vietate (art. 5) e prima formulazione dell'art. 4 |
| 2 agosto 2025 | Governance, autorità nazionali, regime delle sanzioni, modelli per finalità generali |
| 27 luglio 2026 | Entra in vigore il Digital Omnibus: l'art. 4 è riscritto |
| 2 agosto 2026 | Obblighi di trasparenza dell'art. 50 |
| 2 dicembre 2026 | Due nuove pratiche vietate all'art. 5, e marcatura dei contenuti sintetici per i sistemi immessi sul mercato dai fornitori prima del 2 agosto 2026 |
| 2 agosto 2027 | Sandbox regolamentari nazionali operative |
| 2 dicembre 2027 | Sistemi ad alto rischio autonomi, Allegato III |
| 2 agosto 2028 | Sistemi ad alto rischio integrati in prodotti regolamentati, Allegato I |
Le due date che cambiano i piani
Le ultime due righe della tabella sono quelle che cambiano i piani. Chi aveva impostato l'adeguamento sull'idea che il 2 agosto 2026 fosse la scadenza generale ha adesso un calendario sbagliato, e con esso priorità sbagliate.
Cosa il regolamento continua a non dire
Su questi tre punti circola parecchia disinformazione commerciale, e nessuno dei tre è cambiato con l'Omnibus.
Non esiste una certificazione obbligatoria
L'AI Act non prevede né certificazioni obbligatorie né enti accreditati per l'alfabetizzazione AI. Chi vende un attestato presentandolo come requisito di legge sta dicendo una cosa falsa.
Non esiste un monte ore
Nessuna disposizione indica un numero minimo di ore. Il criterio è la proporzionalità, non la quantità.
L'articolo 4 non ha una sanzione autonoma
Non ne ha una con importo predeterminato, a differenza di altre disposizioni del regolamento. Le cifre da capogiro che si leggono, quelle a percentuali del fatturato mondiale, appartengono ad altre norme e riguardano altro. Chi le cita a proposito della formazione sta mescolando disposizioni diverse.
Questo non significa che non ci sia nulla in gioco. L'assenza di misure pesa come elemento di valutazione della diligenza complessiva, e funziona da aggravante quando emerge un problema diverso: un trattamento illecito di dati, una decisione automatizzata contestata, un danno a terzi. La domanda «che misure avevate adottato?» arriva sempre, e non avere risposta peggiora ogni posizione.
La legge italiana
Chi controlla in Italia
Sul versante nazionale la norma di riferimento è la legge 23 settembre 2025, n. 132, che ha individuato le autorità competenti a livello nazionale e definito alcune disposizioni di settore. È il pezzo della storia che quasi nessuno racconta, e che vale la pena leggere accanto al regolamento europeo: il regolamento dice cosa va fatto, la legge italiana dice chi controlla e come.
Cosa fare adesso
Se non è mai stato fatto nulla
Se in azienda non è mai stato fatto nulla, l'Omnibus non cambia il punto di partenza. Resta quello di sempre: censire cosa si sta già usando. Senza quella fotografia qualsiasi misura è generica per costruzione, e la genericità è esattamente ciò che non regge se qualcuno fa domande.
Se un piano esiste già
Ci sono tre cose da rivedere:
- Le date. Le scadenze sull'alto rischio si sono spostate di sedici mesi e di dodici mesi. Le attività programmate per il 2026 su quei sistemi possono essere ricalibrate.
- La formazione già progettata. Se era pensata come corso unico per dimostrare un livello, va ripensata come percorso differenziato per dimostrare proporzionalità.
- La documentazione. Non perché la norma la prescriva, ma perché resta l'unico modo di rispondere alla domanda su quali misure siano state adottate.
Fonti
- Regolamento (UE) 2024/1689, testo pubblicato in Gazzetta ufficiale · testo originario: l'articolo 4 va letto insieme al Reg. (UE) 2026/1744, che lo ha sostituito. EUR-Lex non pubblica una versione consolidata
- Regolamento (UE) 2026/1744, Digital Omnibus sull'intelligenza artificiale · pubblicato in GUUE il 24 luglio 2026, in vigore dal 27 luglio
- AI Act Service Desk della Commissione europea · lo sportello ufficiale con le domande frequenti
- Legge 23 settembre 2025, n. 132, su Normattiva · la norma italiana in materia di intelligenza artificiale
- Politiche digitali della Commissione europea, sezione AI Act
Questo articolo descrive un quadro normativo in evoluzione e non costituisce un parere legale. Per stabilire se una specifica attività o un sistema ricadono in una determinata classe di rischio conviene rivolgersi a un legale.