Il 29 giugno 2026 è stato approvato ilpacchetto “Digital Omnibus”, che ha comportato alcune modifiche mirate alla legge dell’UE sull’intelligenza artificiale. In particolare, il pacchetto “Omnibus” ha posticipato al dicembre 2027 il termine di conformità per alcuni sistemi di intelligenza artificiale ad alto rischio (la categoria che comprende strumenti legali, di gestione delle risorse umane e simili), ha attenuato l’obbligo di alfabetizzazione in materia di intelligenza artificiale e ha introdotto un periodo di tolleranza fino a dicembre 2026 per l’apposizione di filigrane sui contenuti generati dall’intelligenza artificiale. 

L'estensione relativa all'IA ad alto rischio, sebbene positiva, rappresenta solo una parte del quadro complessivo. Diversi obblighi sono già in vigore, tra cui i requisiti di trasparenza per i contenuti generati dall'IA, entrati in vigore lo scorso agosto. Le organizzazioni che utilizzano l'IA oggi dovrebbero concentrarsi sull'utilizzo del tempo aggiuntivo a disposizione per costruire o rafforzare le basi di governance che saranno richieste quando l'AI Act entrerà pienamente in vigore.  

Cosa è già in vigore e cosa ci aspetta 

La legge sull'intelligenza artificiale (AI Act) è stata introdotta in più fasi a partire dalla sua entrata in vigore il 1° agosto 2024. Il calendario successivo all'adozione del Digital Omnibus è il seguente: 

Il percorso verso il dicembre 2027 

La proroga di 16 mesi per gli obblighi relativi all’IA ad alto rischio rappresenta un vero e proprio sollievo. Tuttavia, gli obblighi di fondo non sono cambiati ed è opportuno impiegare questo tempo per gettare le basi di governance che saranno necessarie nel dicembre 2027.  

• Fate un inventario di tutti gli strumenti di IA in uso. Nonsolo quelli acquistati ufficialmente dal reparto IT, ma tutti gli strumenti utilizzati dai dipendenti, compresi quelli adottati in modo informale al di fuori del processo di approvvigionamento standard. Gli obblighi previsti dall’AI Act si applicano a tutti gli strumenti attivamente utilizzati, non solo a quelli approvati. 
• Classificare ogni strumento in base ai livelli di rischio previsti dall’AI Act. Pergli strumenti che riguardano l’interpretazione giuridica, l’analisi dei documenti o qualsiasi altro aspetto che influisca sulla consulenza fornita ai clienti, la questione della classificazione merita particolare attenzione. La categoria “amministrazione della giustizia” dell’Allegato III è più ampia di quanto possa sembrare a prima vista, e il livello di rischio in cui rientra uno strumento determina l’insieme completo degli obblighi che saranno applicabili entro dicembre 2027.  
• Realizzare un'infrastruttura per la tracciabilità. L'AI Actrichiede la registrazione automatica dell'utilizzo dei sistemi ad alto rischio: input, output, azioni degli utenti e timestamp, da conservare per almeno sei mesi. Molti strumenti di IA generici non forniscono questo tipo di registro per impostazione predefinita. La realizzazione di tale infrastruttura richiede tempo e non dovrebbe essere rimandata al 2027. 

C'è anche un vantaggio meno evidente. I requisiti di audit, infatti, costituiscono un meccanismo che impone quel tipo di visibilità sull'utilizzo dell'IA di cui la maggior parte delle organizzazioni attualmente non dispone. Questa infrastruttura può aiutare le organizzazioni a comprendere come viene utilizzata l'IA, da chi e per quale scopo, in modi che favoriscono sia la governance che la trasparenza nei confronti dei clienti. 

• Assicurarsi che la supervisione umana sia significativa.Una supervisione efficaceai sensi dell’AI Act richiede ben più della semplice revisione umana dei risultati dell’IA. Richiede che i revisori comprendano i limiti del sistema, siano in grado di interpretarne i risultati, possano ignorarli senza difficoltà e, soprattutto, che la progettazione del flusso di lavoro contrasti attivamente i pregiudizi dell’automazione. In pratica, ciò significa che non dovrebbe essere più facile accettare i risultati dell’IA piuttosto che metterli in discussione. Si tratta di un requisito di progettazione e vale la pena valutare se gli strumenti attuali lo supportino. 
• Sviluppare un programma di alfabetizzazione all’IA. L’obbligodi promuovere l’alfabetizzazione all’IA tra coloro che utilizzano strumenti di IA è già in vigore. In pratica, ciò significa garantire che i dipendenti comprendano cosa fanno effettivamente gli strumenti di IA che utilizzano, in quali casi ci si può affidare ai loro risultati e in quali casi è necessario il giudizio umano. Un programma documentato che copra gli strumenti in uso, i ruoli coinvolti e i rischi specifici in un contesto giuridico soddisfa i requisiti normativi e fornisce le basi per una politica sull’IA a livello aziendale. 
• Creare un quadro di riferimento per la valutazione degli strumenti di IA. Con l’evolversi del panorama tecnologico dell’IA, le organizzazioni si troveranno di fronte a un flusso costante di nuovi strumenti e fornitori. Un quadro di riferimento dettagliato per la valutazione, che comprenda la classificazione, la residenza dei dati, le capacità di supervisione e la conformità dei fornitori, applicato in fase di approvvigionamento, garantisce che la conformità sia integrata fin dall’inizio. 

Per le organizzazioni al di fuori dell’UE, l’ambito di applicazione dell’AI Act è più ampio di quanto possa sembrare. Esso si applica ovunque i risultati di un sistema di intelligenza artificiale vengano utilizzati all’interno dell’UE. Ciò significa che le organizzazioni extra-UE con clienti nell’UE o che dispongono di strumenti destinati all’UE potrebbero rientrare nel suo ambito di applicazione. Le organizzazioni che si trovano in tale situazione dovrebbero chiedere consulenza per verificare se e in che modo l’AI Act si applichi al loro caso.