AI Act dopo l'Omnibus: cosa resta obbligatorio per le aziende (aggiornato novembre 2026)

Il 27 luglio 2026 è entrato in vigore il Regolamento (UE) 2026/1744 (il cosiddetto "Digital Omnibus on AI"), che modifica il Regolamento (UE) 2024/1689 (AI Act). La modifica principale è lo spostamento di alcune scadenze, ma non tutte: diversi obblighi restano vigenti e si applicano già oggi.

Questo articolo spiega cosa è cambiato, cosa resta obbligatorio e cosa devono fare le aziende — con fonti primarie e senza allarmismi.

Cosa ha cambiato l'Omnibus (Reg. 2026/1744)

L'Omnibus ha introdotto "misure di semplificazione amministrativa" e ha spostato due scadenze chiave:

Obbligo	Scadenza originale	Nuova scadenza (post-Omnibus)
Obblighi per sistemi ad alto rischio (Allegato III)	2 agosto 2026	2 dicembre 2027
Obblighi per modelli di IA per scopi generali (GPAI)	2 agosto 2026	2 agosto 2028

Fonte: Regolamento (UE) 2026/1744, Gazzetta Ufficiale UE, AI Act Service Desk - Commissione UE.

Cosa resta obbligatorio oggi (novembre 2026)

Nonostante il rinvio, tre blocchi di obblighi sono già in vigore:

1. Divieti (art. 5) — in vigore dal 2 febbraio 2025

Alcune pratiche sono vietate in ogni caso:

Sistemi di IA che manipolano il comportamento in modo da causare danni significativi
Sfruttamento di vulnerabilità di persone con disabilità, età o situazione sociale
Scoring sociale da parte delle autorità pubbliche
Categorizzazione biometrica per inferire razza, opinioni politiche, orientamento sessuale
Raccolta indiscriminata di immagini per il riconoscimento facciale da fonti non mirate

Se un'azienda usa un sistema che rientra in questi divieti, è già in violazione.

2. Trasparenza (art. 50) — in vigore dal 2 agosto 2026

Chi usa sistemi di IA deve informare le persone coinvolte:

Chatbot e assistenti virtuali: l'utente deve sapere che sta interagendo con un'IA, non con un umano
Contenuti generati da IA (deepfake, immagini sintetiche): devono essere etichettati come generati artificialmente
Sistemi di riconoscimento delle emozioni: l'interessato deve essere informato
Sistemi di categorizzazione biometrica: informativa obbligatoria

Questo vale per tutte le aziende che usano chatbot, assistenti AI, o generano contenuti con IA — indipendentemente dalla dimensione.

Fonte: AI Act Service Desk - Articolo 50.

3. Alfabetizzazione in materia di IA (art. 4) — in vigore dal 2 febbraio 2025

Fornitori e utilizzatori (deployer) di sistemi di IA devono adottare misure per garantire che il proprio personale sia alfabetizzato in materia di IA, tenendo conto delle conoscenze, dell'esperienza e del contesto d'uso.

Cosa significa in pratica:

Non serve un certificato specifico
Non è definito un livello "sufficiente" di formazione
L'azienda può tenere un registro interno delle iniziative di alfabetizzazione svolte
Per i sistemi ad alto rischio resta l'obbligo di formare il personale che garantisce la sorveglianza umana

Fonte: Regolamento (UE) 2024/1689, art. 4, FAQ Commissione UE.

4. Governance e autorità di vigilanza — in vigore dal 2 agosto 2026

Dal 2 agosto 2026 le autorità nazionali di vigilanza del mercato sono operative. In Italia, la vigilanza è affidata a più autorità competenti per settore (AGCM, Garante privacy, Ministero delle Imprese, ecc.).

Questo significa che i controlli possono iniziare, anche se gli obblighi high-risk sono stati rinviati.

Le scadenze aggiornate (timeline completa)

Data	Cosa succede
1 agosto 2024	Entrata in vigore del Regolamento (UE) 2024/1689
2 febbraio 2025	Si applica l'art. 4 (alfabetizzazione IA)
2 agosto 2026	Entrata in vigore dell'Omnibus; vigilanza autorità nazionali; obblighi di trasparenza (art. 50)
2 dicembre 2027	Nuova scadenza: obblighi per sistemi ad alto rischio (Allegato III)
2 agosto 2028	Obblighi per modelli di IA per scopi generali (GPAI)

Fonte: AI Act Service Desk - Timeline, Commissione UE - AI Omnibus enters into force.

Cosa devono fare le PMI oggi

Anche se gli obblighi high-risk sono stati rinviati al dicembre 2027, le aziende che usano sistemi di IA dovrebbero già:

1. Mappare i sistemi di IA in uso

Quali strumenti di IA usa l'azienda? Chatbot? Assistenti per la scrittura? Strumenti di analisi dati? Sistemi di recruiting automatizzato?

Per ogni sistema, identificare:

Ruolo: l'azienda è fornitore (sviluppa/vende) o utilizzatore (deployer)?
Categoria: rientra nei divieti (art. 5)? È ad alto rischio (Allegato III)? Richiede trasparenza (art. 50)?

2. Verificare la conformità all'art. 50 (trasparenza)

Se l'azienda usa chatbot o assistenti AI che interagiscono con clienti o dipendenti:

L'utente è informato che sta parlando con un'IA?
I contenuti generati da IA sono etichettati?

Se la risposta è no, l'azienda è già in violazione — non serve aspettare il 2027.

3. Documentare l'alfabetizzazione (art. 4)

Anche se non serve un certificato, è utile tenere traccia delle iniziative di formazione sull'AI svolte dal personale. Questo dimostra la conformità in caso di controlli.

Il generatore di piano di formazione AI Act aiuta a costruire il piano e il registro interno in pochi minuti.

4. Prepararsi per il dicembre 2027

Se l'azienda usa sistemi di IA che rientrano nell'Allegato III (es. recruiting automatizzato, valutazione del credito, gestione delle infrastrutture critiche), ha tempo fino al 2 dicembre 2027 per conformarsi agli obblighi high-risk. Ma la preparazione conviene iniziarla prima:

Valutazione di conformità
Sistema di gestione della qualità
Documentazione tecnica
Sorveglianza umana
Registri di attività

La formazione finanziata

L'alfabetizzazione in materia di IA (art. 4) è un obbligo di mezzi: l'azienda decide come soddisfarlo. Se l'azienda è aderente a un fondo interprofessionale, la formazione può essere finanziata.

Fondi verificati:

Fondimpresa (aziende di qualunque settore)
For.Te. (terziario: commercio, turismo, servizi)
FonARCom (CIFA e CONFSAL)
Fondoprofessioni (studi professionali)

La formazione AI finanziata per aziende e studi copre analisi dei ruoli, piano formativo, domanda al fondo e rendicontazione.

Per il lato dati personali — ruoli GDPR, DPIA, trasferimenti — la guida è AI e privacy in azienda: sono valutazioni distinte da quelle dell'AI Act. Quando poi si passa a mettere in funzione un'automazione, il perimetro è nella consulenza AI per PMI.

Domande frequenti

L'AI Act si applica anche alle piccole imprese?

Sì. Il Regolamento non fa distinzioni per dimensione aziendale. I divieti (art. 5) e gli obblighi di trasparenza (art. 50) si applicano a tutte le imprese. Gli obblighi high-risk (Allegato III) si applicano solo a chi usa sistemi specifici, indipendentemente dalla dimensione.

Cosa succede se non mi conformo?

Le sanzioni dell'AI Act prevedono multe fino a 35 milioni di euro o il 7% del fatturato mondiale per le violazioni dei divieti (art. 5). Per le violazioni degli altri obblighi, le sanzioni sono proporzionate. Dal 2 agosto 2026 le autorità nazionali di vigilanza sono operative.

Devo fare un corso certificato?

No. L'art. 4 non richiede un certificato specifico. L'azienda può organizzare iniziative interne (sessioni di formazione, documentazione, registri). L'importante è che il personale sia alfabetizzato in materia di IA in proporzione al contesto d'uso.

Cosa cambia per i chatbot?

I chatbot rientrano nell'obbligo di trasparenza (art. 50): l'utente deve sapere che sta interagendo con un'IA. Questo è in vigore dal 2 agosto 2026. Se il chatbot è usato per recruiting, valutazione del credito o altri usi dell'Allegato III, si aggiungono gli obblighi high-risk (dal 2 dicembre 2027).

L'Omnibus ha cancellato l'AI Act?

No. L'Omnibus ha spostato alcune scadenze, ma non ha cancellato il Regolamento. I divieti, la trasparenza e l'alfabetizzazione restano obbligatori. Gli obblighi high-risk sono solo rinviati al dicembre 2027.

Fonti primarie

Articolo aggiornato al 5 novembre 2026. Le informazioni si basano sui testi ufficiali dei Regolamenti (UE) 2024/1689 e 2026/1744 e sulle FAQ della Commissione Europea. Questo articolo non costituisce parere legale.