Regolamento (UE) 2026/1744

Regolamento (UE) 2026/1744 sull'Omnibus digitale in materia di IA

Il regolamento interviene in via emendativa sul regolamento (UE) 2024/1689 per renderne più agevole e uniforme l'attuazione, rispondendo ai ritardi nell'adozione di norme tecniche, specifiche comuni, orientamenti e assetti di governance nazionali. La logica dichiarata è di semplificazione, proporzionalità e riduzione degli oneri amministrativi, senza abbassare il livello di tutela della salute, della sicurezza e dei diritti fondamentali.

Contesto e finalità

Il legislatore unionale richiama l'esperienza maturata nella prima fase di applicazione dell'AI Act e constata che, per i sistemi di IA ad alto rischio, la combinazione fra requisiti orizzontali dell'AI Act e disciplina settoriale può generare duplicazioni, incertezze e appesantimenti. Il regolamento mira quindi a chiarire il perimetro delle obbligazioni, a coordinare le autorità coinvolte e a rinviare alcune scadenze applicative per consentire l'adozione degli strumenti di supporto necessari.

Ambito soggettivo e coordinamento con altri atti UE

Le modifiche riguardano anzitutto il regolamento (UE) 2024/1689, ma anche il regolamento (UE) 2018/1139 sull'aviazione civile e il regolamento (UE) 2023/1230 sulle macchine. Il testo insiste sulla complementarità tra AI Act, normativa di armonizzazione dell'Unione e regolamento (UE) 2024/2847 sulla cibersicurezza dei prodotti con elementi digitali, prevedendo che la conformità ai requisiti di cybersecurity possa valere, alle condizioni stabilite, anche ai fini dell'articolo 15 dell'AI Act.

Definizioni e semplificazioni per PMI e mid-cap

Vengono introdotte nel regolamento IA le definizioni di PMI e di piccole imprese a media capitalizzazione, con rinvio alle pertinenti raccomandazioni della Commissione. Numerose disposizioni vengono adattate a tali imprese: documentazione tecnica semplificata, modulo semplificato predisposto dalla Commissione, gestione della qualità proporzionata, accesso prioritario agli spazi di sperimentazione e attenzione specifica negli orientamenti, nei codici di condotta e nel sistema sanzionatorio.

Componente di sicurezza e applicazione ai prodotti

La definizione di "componente di sicurezza" viene resa più precisa per evitare un'estensione eccessiva della classificazione ad alto rischio. Non sono considerati componenti di sicurezza i sistemi di IA usati solo per assistenza, ottimizzazione, efficienza o automazione non legate alla sicurezza; viceversa, lo sono i sistemi il cui guasto o malfunzionamento può mettere a rischio salute e sicurezza. Per i prodotti disciplinati dalla normativa di armonizzazione dell'Unione, si chiarisce inoltre che la classificazione come sistema ad alto rischio non impone automaticamente una valutazione di conformità da parte di terzi, se la normativa settoriale consente una procedura basata su norme armonizzate.

Alfabetizzazione in materia di IA

L'articolo 4 viene sostituito per spostare l'accento da un obbligo di risultato a un obbligo di mezzi. Fornitori e deployer devono adottare misure a sostegno dell'alfabetizzazione in materia di IA del personale e di chi opera i sistemi per loro conto, tenendo conto di competenze, esperienza, istruzione, formazione e contesto d'uso. La Commissione deve pubblicare esempi pratici sulla piattaforma unica di informazione; il consiglio per l'IA deve adottare raccomandazioni e obiettivi comuni.

Trattamento di categorie particolari di dati per il rilevamento delle distorsioni

È introdotto l'articolo 4 bis, che consente il trattamento eccezionale di categorie particolari di dati personali per il rilevamento e la correzione delle distorsioni, sia nei sistemi di IA ad alto rischio sia, in condizioni analoghe, in altri sistemi e modelli di IA. Il trattamento è ammesso solo se strettamente necessario e se il ricorso ad altri dati, inclusi quelli sintetici o anonimizzati, non consente di raggiungere efficacemente l'obiettivo; sono previste garanzie rafforzate su pseudonimizzazione, accesso, riservatezza, divieto di trasferimento a terzi, cancellazione e documentazione nel registro delle attività.

Nuovi divieti: materiale intimo non consensuale e abuso sessuale su minori

L'articolo 5 viene ampliato con un divieto esplicito di immissione sul mercato, messa in servizio o uso di sistemi di IA che generano o manipolano materiale intimo realistico di persone riconoscibili senza consenso, nonché materiale o spettacoli di abuso sessuale su minori, salvo giustificazione prevista dal diritto nazionale. Il regolamento delimita con attenzione la portata del divieto: la mera capacità tecnica del sistema non è vietata; per i fornitori rileva la destinazione del sistema o, in alternativa, la prevedibilità e riproducibilità del risultato in assenza di misure adeguate; per i deployer il divieto colpisce solo l'uso finalizzato alla generazione o manipolazione del materiale vietato.

Rapporti con il diritto penale, la privacy e i rimedi nazionali

Il testo chiarisce che i nuovi divieti non impediscono l'azione penale né pregiudicano i rimedi previsti dal diritto nazionale per la tutela dell'immagine, della vita privata e della dignità. Nei casi di sovrapposizione con fattispecie penali o con sanzioni penali nazionali, gli Stati membri devono rispettare il principio del ne bis in idem. Restano inoltre pienamente applicabili il GDPR, il regolamento (UE) 2018/1725 e la direttiva (UE) 2016/680, nonché la direttiva 2011/93/UE e la direttiva (UE) 2024/1385.

Conformità, organismi notificati e standardizzazione

Il regolamento introduce una procedura di domanda unica e valutazione unificata per gli organismi notificati quando ciò è previsto dalla normativa settoriale, riducendo duplicazioni e costi. Viene rafforzato il raccordo tra la valutazione della conformità AI e quella della normativa di prodotto, con una disciplina più chiara per gli organismi già notificati in ambito settoriale e per i fabbricanti che possono continuare a usare procedure basate su norme armonizzate. La Commissione deve inoltre sollecitare senza ritardo le organizzazioni europee di normazione a produrre norme armonizzate e altri prodotti di normazione per agevolare la conformità congiunta.

Registro UE, codici AIP/AIB/AIH e allegato XIV

La registrazione dei sistemi di cui all'articolo 6, paragrafo 3, viene semplificata, mantenendo la finalità di vigilanza del mercato e responsabilità pubblica. È aggiunto l'allegato XIV, che classifica i sistemi di IA tramite codici verticali e orizzontali: AIP per i sistemi soggetti alla normativa di armonizzazione di prodotto, AIB per i sistemi biometrici dell'allegato III, punto 1, e AIH per le tecnologie di IA. L'elenco serve a delimitare l'ambito di designazione degli organismi notificati.

Spazi di sperimentazione normativa e prove in condizioni reali

Gli Stati membri devono disporre almeno di uno spazio di sperimentazione normativa operativo entro il 2 agosto 2027; il Garante europeo della protezione dei dati può istituire uno spazio per le istituzioni e gli organismi dell'Unione; l'ufficio per l'IA può istituire uno spazio a livello dell'Unione per i sistemi soggetti all'articolo 75, paragrafo 1, con accesso prioritario per PMI, start-up e piccole imprese a media capitalizzazione. Le prove in condizioni reali vengono ampliate: oltre ai sistemi dell'allegato III, possono riguardare anche i sistemi disciplinati dalla normativa di armonizzazione dell'allegato I, sezione A, e, con un apposito articolo 60 bis, quelli dell'allegato I, sezione B, previo quadro nazionale notificato alla Commissione.

Governance dell'ufficio per l'IA e poteri di enforcement

Il regolamento rafforza in modo significativo il ruolo dell'ufficio per l'IA, attribuendogli competenza esclusiva su specifiche categorie di sistemi basati su modelli di IA per finalità generali sviluppati nello stesso gruppo, nonché sui sistemi integrati in piattaforme online o motori di ricerca online di dimensioni molto grandi. L'ufficio riceve poteri equivalenti a quelli delle autorità di vigilanza del mercato, compresi richiesta di informazioni, accesso ai sistemi, ispezioni, adozione di impegni vincolanti, sanzioni pecuniarie e penalità di mora, con termini di prescrizione quinquennali e garanzie procedurali rafforzate.

Cooperazione con autorità nazionali, diritti fondamentali e DSA

Le autorità di vigilanza del mercato, le autorità che tutelano i diritti fondamentali e le autorità di protezione dei dati devono cooperare strettamente con l'ufficio per l'IA. Per i sistemi che ricadono anche nel regolamento sui servizi digitali, la Commissione acquisisce un ruolo di vigilanza coordinata, con scambio di informazioni solo nei limiti consentiti e, ove necessario, previo consenso dell'impresa. Le norme sono costruite per salvaguardare le competenze nazionali e l'indipendenza delle autorità specializzate.

Rinvio dell'applicazione e regime transitorio

Le sezioni 1, 2 e 3 del capo III dell'AI Act diventano applicabili dal 2 dicembre 2027 per i sistemi dell'allegato III e dal 2 agosto 2028 per quelli dell'allegato I. È previsto un periodo transitorio per i sistemi generativi immessi sul mercato prima del 2 agosto 2026, che devono adeguarsi all'obbligo di marcatura entro il 2 dicembre 2026. Il periodo di tolleranza per i sistemi già immessi sul mercato viene chiarito: conta la prima immissione del tipo e modello, e modifiche progettuali significative successive fanno scattare la piena applicazione delle regole sui sistemi ad alto rischio.

Macchine e aviazione civile

Per il regolamento sulle macchine, la Commissione dovrà adottare atti delegati per integrare nell'allegato III requisiti di sicurezza e salute relativi ai sistemi di IA ad alto rischio usati come componenti di sicurezza o come prodotto in sé, con applicazione entro il 2 agosto 2028. Viene anche chiarito che, fino all'adozione di norme armonizzate o specifiche comuni sul versante IA, il rispetto di quelle adottate ai sensi dell'AI Act può fondare la presunzione di conformità ai requisiti di sicurezza del regolamento macchine. Sul versante aviazione, gli atti delegati ed esecutivi dell'Unione dovranno tenere conto dei requisiti del capo III, sezione 2, dell'AI Act quando i sistemi di IA sono componenti di sicurezza.

Decorrenza e applicazione

Il regolamento entra in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri. Alcune disposizioni si applicano dal 2 febbraio 2025, altre dal 27 luglio 2026, altre ancora dal 2 dicembre 2026, dal 2 agosto 2027 o dal 2 agosto 2028, secondo la disciplina transitoria dettata dal testo.