Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Il 19 novembre 2025 la Commissione europea ha presentato il „Digital Omnibus”-pacchetto. L'obiettivo è semplificare e armonizzare il quadro normativo digitale dell'UE. Tra le altre cose, si prevede di snellire le norme esistenti in materia di intelligenza artificiale (IA), sicurezza informatica e utilizzo dei dati, in modo da ridurre gli oneri burocratici per le imprese e offrire loro maggiore spazio per l'innovazione. Vi presentiamo le modifiche più importanti.
Proroga dei termini di attuazione per i sistemi ad alto rischio
Il regolamento sull’IA adotta un approccio basato sul rischio e definisce i sistemi di IA ad alto rischio utilizzati, ad esempio, in settori critici per la sicurezza, nell’istruzione, nella gestione delle risorse umane o nel campo dei dispositivi medici. La proposta «Omnibus» prevede che gli obblighi relativi a tali applicazioni ad alto rischio entrino in vigore più tardi rispetto a quanto inizialmente previsto. In particolare, l’entrata in vigore degli obblighi per i sistemi di IA di cui all’allegato III del regolamento sull’IA (ad esempio nei settori delle infrastrutture critiche, dell’istruzione o della gestione delle risorse umane) dovrebbe essere posticipata di quasi un anno e mezzo: dal 2 agosto 2026 al 2 dicembre 2027. Per i sistemi di IA ad alto rischio di cui all’allegato I (IA integrata in prodotti già regolamentati come macchinari, dispositivi medici o veicoli a motore), l’applicazione viene posticipata di un anno – dal 2 agosto 2027 al 2 agosto 2028.
Queste proroghe hanno lo scopo di concedere alle imprese più tempo per l'attuazione. Tuttavia, sono possibili anche scadenze anticipate: non appena saranno disponibili strumenti di supporto adeguati (standard, Linee guida) e la Commissione lo decide, le disposizioni relative all'alto rischio entreranno in vigore prima (dopo un periodo transitorio di 6 mesi per i sistemi dell'allegato III e di 12 mesi per i sistemi dell'allegato I). In ogni caso, si applicano date di scadenza fisse: al più tardi a partire dal Dicembre 2027 rispettivamente. Agosto 2028 È necessario rispettare tutti gli obblighi relativi ai rischi elevati.
Rilevanza pratica: giuristi e Conformità-I team dovrebbero adeguare di conseguenza i piani di implementazione dei progetti di IA. Le proroghe concordate su richiesta di diversi Stati membri (in particolare Germania e Francia) dovrebbero concedere un po’ di respiro ai fornitori europei nella corsa all’IA e nella standardizzazione.
Allo stesso tempo, si crea incertezza nella pianificazione, poiché è possibile un’applicazione anticipata non appena saranno disponibili gli standard tecnici. Le imprese devono quindi seguire attentamente l’evoluzione della normativa e reagire con flessibilità nel caso in cui la Commissione attivi in anticipo le norme relative ai rischi elevati. Nel complesso, la proroga allevia la pressione di attuazione a breve termine senza compromettere il livello di protezione. Infatti, tutti i requisiti dovranno essere soddisfatti entro e non oltre il 2028.
Armonizzazione della classificazione dei rischi
Il pacchetto normativo mira inoltre a integrare meglio la classificazione dei rischi legati all’IA con i principi della protezione dei dati. In particolare, si intende definire una linea coerente per quanto riguarda la gestione dei set di dati di addestramento, i requisiti di qualità dei dati, i controlli sui pregiudizi e la tracciabilità dei sistemi di IA. L’idea guida è che gli sviluppatori e gli operatori dell’IA possano orientarsi a un quadro normativo coerente, anziché dover soddisfare parallelamente requisiti potenzialmente contraddittori derivanti dalla normativa sull’IA e da quella sulla protezione dei dati. In pratica, si sta anche valutando di esentare i componenti di IA in settori già sottoposti a una rigorosa regolamentazione dalla doppia regolamentazione. In questo modo, le applicazioni di IA che fanno parte di un dispositivo medico o di una macchina potrebbero essere esentate da determinati obblighi relativi agli alti rischi o essere classificate in modo diverso. Ciò riconoscerebbe il fatto che questi settori dispongono già di regimi di vigilanza e sicurezza propri.
Rilevanza pratica: per l’attività di consulenza ciò significa che gli aspetti specifici del settore Conformità-I requisiti (ad esempio quelli previsti dalla normativa sui dispositivi medici o dalla direttiva sulle macchine) potrebbero in futuro sovrapporsi in parte agli obblighi previsti dal regolamento sull’IA o soddisfarli. Ciò ridurrebbe la duplicazione del lavoro. D’altra parte, cresce l’importanza della classificazione dei dati: le aziende dovrebbero distinguere chiaramente se lavorano con dati anonimi, pseudonimizzati o personali. Da ciò dipende, infatti, quali norme si applicano. Una chiara Anonimizzazione può ridurre notevolmente i rischi e gli obblighi. Infatti, una distinzione più precisa tra dati anonimi e dati personali è considerata fondamentale. Chi pseudonimizza o anonimizza i dati in modo rigoroso riduce notevolmente i rischi legali. I responsabili della protezione dei dati saranno quindi coinvolti ancora più da vicino nei progetti di IA, al fine di garantire il rispetto dei principi di protezione dei dati quali Minimizzazione dei dati, Stanziamento di fondi e la qualità dei dati siano integrate sin dall'inizio nella valutazione e nella classificazione dei rischi dei sistemi di IA.
Contrassegno dei contenuti generati dall'intelligenza artificiale
Uno dei requisiti fondamentali in materia di trasparenza previsti dal regolamento sull’IA consiste nell’identificare come tali i contenuti sintetici o generati dall’IA. Ciò può avvenire, ad esempio, tramite avvertenze o filigrane su immagini, video o testi generati dall’IA. Tale obbligo (art. 50, comma 2, del regolamento sull’IA) rimane in linea di principio in vigore. La proposta «Omnibus», tuttavia, concede un periodo transitorio. In base a tale disposizione, fino al 2 febbraio 2027 le autorità di vigilanza del mercato non potranno infliggere sanzioni per la mancata identificazione. Ciò crea di fatto un periodo di grazia per i fornitori di IA generativa. Ciò riguarda anche gli operatori di IA a uso generico (LLM), che generano, ad esempio, testi, immagini o contenuti audio. Le aziende hanno così più tempo per implementare soluzioni tecniche di etichettatura, come filigrane digitali o marcatori di metadati, che indicano in modo leggibile da una macchina che un contenuto è stato generato o manipolato artificialmente.
Rilevanza pratica: grazie alla proroga del termine, i fornitori e gli utenti dell’IA generativa (ad esempio, le aziende che utilizzano strumenti di IA per la creazione di contenuti) ottengono una proroga per adempiere ai propri obblighi di trasparenza. Conformità-Persone responsabili dovrebbero approfittare di questo periodo per implementare e testare procedure di identificazione adeguate, prima che a partire dal 2027 si rischi di incorrere in sanzioni. Per i giuristi, la proroga riduce nel breve termine il rischio di responsabilità civile relativo ai contenuti generati dall'intelligenza artificiale. Tuttavia, è consigliabile agire già da ora in modo proattivo per Trasparenza per conquistare la fiducia degli utenti e dei partner commerciali.
Eliminazione dell'obbligo di formazione interna
Finora l’articolo 4 del regolamento sull’IA prevedeva che i fornitori e gli utenti di sistemi di IA dovessero garantire che i propri dipendenti disponessero di competenze sufficienti in materia di IA. Tale obbligo di formazione dovrebbe ora essere completamente abolito. Di conseguenza, l’articolo 4 del regolamento sull’IA, già in vigore dalla data di pubblicazione del regolamento stesso, verrebbe abrogato. Al posto dell’obbligo, ci sarebbe semplicemente un invito agli Stati membri a incoraggiare le imprese a fornire volontariamente ai propri dipendenti una formazione in materia di IA. In altre parole: la legge non prescrive più programmi interni di formazione sull’IA, ma si limita a formulare raccomandazioni non vincolanti.
Rilevanza pratica: l’abolizione di tale obbligo comporta un immediato alleggerimento per le aziende. Non sussiste quindi più il rischio di essere perseguiti legalmente a causa della mancanza di formazione dei dipendenti in materia di IA. Conformità-I reparti possono ridurre l'onere legato ai corsi di formazione obbligatori e destinare le risorse ad altre Conformità-trasferire le responsabilità. Tuttavia, dal punto di vista pratico è necessario prestare attenzione. Infatti, anche in assenza di un obbligo di legge, le autorità di vigilanza si aspettano implicitamente che il personale chiave comprenda i rischi e i requisiti operativi dei sistemi di IA. Le aziende dovrebbero quindi continuare a investire nella formazione continua dei propri dipendenti. Non come un rigoroso Conformità-non come un requisito, ma come parte integrante di una buona governance, al fine di evitare un uso improprio dell'IA.
Suggerimento di lettura: Competenza in materia di IA e obblighi aziendali ai sensi dell'art. 4 del regolamento sull'IA
Semplificazioni in materia di documentazione e gestione della qualità
Il regolamento sull’IA impone ai fornitori di IA ad alto rischio una documentazione tecnica esaustiva, valutazioni dei rischi e un sistema di gestione della qualità (SGQ) per dimostrare la conformità. Già nella versione originale del regolamento erano previste alcune agevolazioni per le piccole e medie imprese (PMI). Il pacchetto „Omnibus digitale“ estende ora tali eccezioni alle cosiddette «Small Mid-Cap Companies» (SMC). Si tratta di imprese con un massimo di 749 dipendenti e un fatturato annuo non superiore a 150 milioni di euro. In futuro, quindi, anche le medie imprese di fascia alta potranno beneficiare di obblighi di documentazione e monitoraggio ridotti. Inoltre, è previsto che, in caso di violazioni, le sanzioni pecuniarie per tali imprese possano essere calcolate in misura inferiore rispetto a quelle previste per le grandi imprese (una sorta di scala mobile dell’entità della sanzione in base alle dimensioni dell’impresa).
Rilevanza pratica: questa estensione dei privilegi concessi alle PMI comporta per molte imprese una gradita riduzione del Conformità-onere amministrativo. In particolare, le aziende tecnologiche di medie dimensioni che hanno superato la soglia delle PMI non sono tenute ad adempiere immediatamente e in modo rigoroso a tutti gli obblighi di documentazione. Per ConformitàPer i team ciò comporta un minor onere burocratico nella redazione della documentazione tecnica e nell’implementazione di processi di qualità simili a quelli ISO. Le aziende che si avvalgono delle deroghe dovrebbero tuttavia verificare e documentare con cura il rispetto delle soglie (numero di dipendenti, fatturato/totale di bilancio). Tale classificazione potrebbe dover essere comprovata in caso di verifica. Inoltre, per le aziende che beneficiano di tali agevolazioni rimane l’obiettivo fondamentale di fornire un sistema di IA sicuro e conforme alle norme. Le agevolazioni non modificano in alcun modo la responsabilità di soddisfare sostanzialmente tutti i requisiti relativi ai rischi elevati, sebbene in forma semplificata.
Chiarimenti in materia di trasparenza e informazione (RGPD)
Parallelamente al regolamento sull’IA, il pacchetto omnibus introduce alcune modifiche agli obblighi di trasparenza in materia di protezione dei dati, con ripercussioni indirette sui progetti di IA, poiché molte applicazioni di IA si basano su dati personali. Pertanto, è consentito Persone responsabili In base alla bozza, in futuro sarà possibile respingere le richieste manifestamente infondate o eccessive da parte degli interessati oppure richiedere il pagamento di una tariffa. L’onere della prova per dimostrare che si tratti, ad esempio, di richieste abusive di informazioni in massa spetta sì al titolare del trattamento, ma questa possibilità di difesa è una risposta alla pratica delle lettere tipo automatizzate, che in alcuni casi vengono utilizzate come strumento di pressione.
Inoltre, è prevista un'eccezione alle Obbligo di informazione agire quando Dati personali sono stati raccolti nell’ambito di un rapporto chiaramente definito tra l’interessato e il titolare del trattamento e si può presumere che l’interessato disponga già delle informazioni essenziali (ad esempio nel contesto lavorativo o nel caso di clienti già informati).
Rilevanza pratica: per i responsabili della protezione dei dati e gli uffici legali ciò significa un alleggerimento del carico di lavoro nell'elaborazione delle richieste degli interessati. In futuro le aziende potranno difendersi meglio dai „troll delle informazioni” o dalle richieste ripetute e irrilevanti, risparmiando così risorse preziose. Ciò è particolarmente rilevante nei progetti di IA, che spesso elaborano grandi quantità di dati. L'attenzione può concentrarsi su aspetti sostanziali. Trasparenza anziché dover soddisfare incondizionatamente ogni richiesta formalmente possibile. È tuttavia importante motivare e documentare chiaramente un rifiuto o l'obbligo di pagare i costi, al fine di poter resistere in caso di dubbio dinanzi alle autorità di vigilanza. L'eccezione alle Obbligo di informazione impedisce inoltre doppie istruzioni in situazioni in cui Parti interessate conoscono già lo scopo del trattamento dei dati. Ciò può essere rilevante, ad esempio, nel caso di applicazioni di IA di piccole dimensioni e facilmente gestibili nell'ambito di un rapporto di lavoro. Nel complesso, questi adeguamenti promuovono una maggiore efficienza. Trasparenza, che continua a fornire informazioni utili alle persone interessate senza sovraccaricare le aziende di formalità.
Prospettive: quando entreranno in vigore le nuove norme sull'IA?
La proposta formale della Commissione europea è stata presentata il 19 novembre 2025. Successivamente, la proposta seguirà l’iter legislativo ordinario dell’UE: il Parlamento europeo e il Consiglio degli Stati membri discuteranno il progetto di legge e lo approveranno infine. È probabile che le proposte subiscano ulteriori modifiche, poiché sono già in corso discussioni controverse e i garanti della privacy mettono in guardia contro un indebolimento della protezione dei dati.
Al momento non è possibile indicare con certezza una data precisa a partire dalla quale entreranno in vigore le nuove norme. Gli scenari più ottimistici prevedono che la riforma possa essere approvata entro la fine del 2026. Potrebbe quindi entrare in vigore non prima del 2027, a seconda dell’andamento dei negoziati.
Fonte: Omnibus digitale sulla proposta di regolamentazione dell'IA
Ailance KI-Governance è pronta per la conformità in materia di IA
Anche se il “Digital Omnibus” posticipa alcune scadenze e alleggerisce determinati obblighi di documentazione, il nucleo del regolamento sull’IA rimane invariato.
Le aziende devono sapere che, dove L'IA è in funzione, Quali dati essere trattati, quali rischi esistono e come modelli vengono monitorati. Proprio questi Trasparenza non può essere recuperato all'ultimo minuto.
Ailance KI-Governance aiuta a soddisfare questi requisiti in modo strutturato e senza perdite di efficienza: Un inventario AI centralizzato, valutazioni automatizzate dei rischi, mappe modello integrate e approvazioni a prova di revisione. Il tutto in un flusso di lavoro che alleggerisce il carico di lavoro dei team e rende pianificabili gli audit.
Saremo lieti di illustrarvi come Ailance KI-Governance aiuti le aziende a gestire l'intelligenza artificiale in modo sicuro e conforme alle normative.
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French