Digital Omnibus AI

Dopo l’approvazione del Parlamento europeo del 16 giugno, il 26 giugno è arrivato anche il via libera del Consiglio dell’Unione europea al Digital Omnibus AI, il pacchetto di misure volto a semplificare l’attuazione dell’AI Act e a migliorare il coordinamento con il restante quadro normativo digitale europeo. L’obiettivo è ridurre gli oneri amministrativi per imprese e operatori economici, senza modificare l’impianto dell’AI Act basato sul rischio né abbassare il livello di tutela dei diritti fondamentali.

Di seguito le principali novità.

a) Rinvio delle scadenze per i sistemi di IA ad alto rischio. L’applicazione degli obblighi per i sistemi classificati come ad alto rischio viene posticipata, anche per consentire il completamento degli standard armonizzati e degli altri strumenti tecnici necessari all’attuazione della disciplina. I nuovi termini sono:

– 2 dicembre 2027 per i sistemi di IA “stand-alone” classificati ai sensi dell’art. 6, par. 2 e dell’Allegato III dell’AI Act;

– 2 agosto 2028 per i sistemi disciplinati dall’art. 6, par. 1 e dall’Allegato I, integrati in prodotti soggetti a normativa settoriale (es. macchine, dispositivi, ecc.).

b) Proroga degli obblighi di watermarking. È differita al 2 dicembre 2026 l’applicazione degli obblighi di marcatura dei contenuti generati dall’IA per i sistemi già immessi sul mercato.

c) Divieto delle app “Nudifier”. Viene introdotto un divieto espresso per i sistemi di IA destinati a generare materiale pedopornografico o immagini e video intimi di persone identificabili senza il loro consenso. Per i sistemi già in commercio è previsto un periodo transitorio fino al 2 dicembre 2026.

d) Eliminazione delle sovrapposizioni normative. Per alcune categorie di prodotti, tra cui le macchine disciplinate dalla normativa settoriale, vengono ridotte le duplicazioni tra AI Act e legislazione di prodotto, evitando ripetizioni nelle procedure di valutazione della conformità e nella documentazione tecnica.

e) AI Literacy. Viene chiarito che l’obbligo di garantire un adeguato livello di alfabetizzazione sull’IA deve essere attuato secondo un criterio di proporzionalità, tenendo conto dei rischi connessi ai sistemi utilizzati e delle caratteristiche dell’organizzazione. L’adempimento è quindi valutato sulla base delle misure concretamente adottate, piuttosto che sul raggiungimento di un determinato livello di competenza da parte di ogni singolo lavoratore.

1. f) Estensione delle misure di sostegno alle SMC. Le semplificazioni già previste per le PMI (documentazione tecnica semplificata, accesso prioritario agli AI Regulatory Sandbox ed eventuali riduzioni degli oneri amministrativi) vengono estese anche alle Small Mid-Cap Enterprises (SMC), ossia alle piccole imprese a media capitalizzazione, favorendo le realtà che, pur avendo superato le soglie dimensionali delle PMI, non dispongono ancora delle risorse organizzative e finanziarie tipiche delle grandi imprese.

Il Digital Omnibus introduce inoltre alcune disposizioni volte a rafforzare il coordinamento tra AI Act e GDPR, con l’obiettivo di evitare sovrapposizioni e favorire una gestione più coerente degli adempimenti.

1. Trattamento dei dati per la rilevazione dei bias (art. 4a). Viene prevista una specifica base giuridica che consente, in via eccezionale, il trattamento di categorie particolari di dati personali ai sensi dell’art. 9 del GDPR quando ciò sia strettamente necessario per individuare e correggere bias nei sistemi di IA, purché non siano disponibili alternative meno invasive e siano adottate adeguate misure di salvaguardia, quali pseudonimizzazione, limitazione degli accessi e misure tecniche e organizzative idonee. La possibilità è estesa ai provider e ai deployer dei sistemi di IA nei casi espressamente previsti dal Regolamento.
2. Legittimo interesse nello sviluppo dei sistemi di IA. Il legislatore europeo valorizza il ricorso al legittimo interesse quale possibile base giuridica per alcune attività di sviluppo e addestramento dei sistemi di IA, ferma restando la necessità di rispettare integralmente le condizioni previste dall’art. 6, par. 1, lett. f), del GDPR, compreso il necessario bilanciamento con i diritti e le libertà fondamentali degli interessati.
3. Ricerca scientifica. Viene chiarito che, nell’ambito del nuovo quadro normativo, la nozione di ricerca scientifica comprende anche attività di ricerca industriale e commerciale, favorendo, nei casi consentiti dal GDPR, l’applicazione delle deroghe agli obblighi di informativa quando la loro osservanza risulti impossibile o richieda uno sforzo sproporzionato.
4. Maggiore coordinamento tra DPIA e AI Act. Per evitare duplicazioni documentali, il Regolamento chiarisce che la valutazione d’impatto sulla protezione dei dati (DPIA) già effettuata ai sensi dell’art. 35 del GDPR potrà essere richiamata o integrata nella Fundamental Rights Impact Assessment (FRIA) prevista dall’AI Act, quando i contenuti risultino pertinenti.
5. Coinvolgimento delle Autorità privacy negli AI Regulatory Sandbox. Il coordinamento tra AI Act e GDPR viene ulteriormente rafforzato prevedendo il coinvolgimento delle Autorità di protezione dei dati nei programmi di sperimentazione regolamentata (AI Regulatory Sandbox) ogniqualvolta i progetti comportino il trattamento di dati personali.
6. Rafforzamento del principio di accountability. Il ricorso a categorie particolari di dati personali per finalità di bias detection dovrà essere adeguatamente giustificato e documentato, dimostrando la stretta necessità del trattamento, l’assenza di alternative meno invasive e l’adozione di adeguate misure di salvaguardia, in linea con il principio di accountability previsto dal GDPR.

Il pacchetto entrerà in vigore dopo la pubblicazione nella Gazzetta Ufficiale dell’Unione europea.

Sul piano istituzionale, il dibattito resta aperto.

L’EDPB (Comitato europeo per la protezione dei dati), nel Parere congiunto n. 1/2026 con il Garante europeo della protezione dei dati (GEPD), ha espresso un giudizio complessivamente favorevole all’obiettivo di semplificazione, richiamando tuttavia l’attenzione sul rischio che alcune modifiche possano incidere sull’effettività delle garanzie previste dal GDPR.

Anche Confindustria, nel proprio Position Paper, valuta positivamente l’impostazione del pacchetto europeo, evidenziando tuttavia la necessità di ulteriori interventi di semplificazione per rendere il nuovo quadro regolatorio maggiormente coerente con le esigenze operative delle imprese.

Per le organizzazioni, il rinvio di alcuni obblighi non rappresenta un motivo per interrompere i percorsi di adeguamento già avviati. Al contrario, il tempo aggiuntivo dovrebbe essere utilizzato per consolidare la governance dell’IA, completare il censimento dei sistemi impiegati, definire le procedure interne e programmare le attività di formazione, così da arrivare alle nuove scadenze con un assetto organizzativo già maturo.

Leggi altre news