AI Act rinviato al 2027, ma le norme sulla trasparenza partono subito

Il Parlamento europeo ha approvato il Digital Omnibus AI il 16 giugno 2026 con 423 voti favorevoli, 57 contrari e 174 astensioni, e il testo sposta le scadenze più dure dell’AI Act sui sistemi ad alto rischio. Gli obblighi per i sistemi autonomi dell’allegato III slittano dal 2 agosto 2026 al 2 dicembre 2027, quelli per i sistemi integrati in prodotti regolati al 2 agosto 2028. Lo conferma il comunicato ufficiale pubblicato dall’Europarlamento il giorno del voto. Sei giorni prima la Commissione aveva pubblicato il Codice di condotta su marcatura ed etichettatura dei contenuti generati dall’AI, volontario ma agganciato a obblighi legali che restano fissi al 2 agosto 2026. La regola di trasparenza dell’articolo 50 non si tocca, e per le imprese significa due mesi per decidere come marcare deepfake, chatbot e testi pubblici generati dall’AI.

Il rinvio sull’alto rischio è la notizia che girerà nelle direzioni IT, mentre la scadenza che pesa sui bilanci di breve riguarda i contenuti generativi. Chi vende o usa AI generativa per produrre contenuti destinati al pubblico deve essere pronto ad agosto, non a dicembre 2027. Il pacchetto Digital Omnibus, chiuso in trilogo il 7 maggio 2026, ha lasciato intatti gli obblighi di trasparenza per i sistemi generativi. Manca l’adozione formale del Consiglio UE, ma il voto della plenaria chiude il percorso politico.

Il rinvio che non rinvia niente

Il Digital Omnibus posticipa di sedici mesi gli obblighi sui sistemi autonomi dell’allegato III, quelli che coprono biometria, infrastrutture critiche, lavoro, giustizia e processi democratici. I sistemi integrati in prodotti già regolati, dai dispositivi medici alle macchine industriali, ricevono due anni di respiro con scadenza al 2 agosto 2028. La logica della Commissione è semplice: gli standard armonizzati non sono pronti, e chiedere conformità senza riferimenti tecnici significava costruire un muro contro cui le imprese avrebbero sbattuto. Già a maggio Tom’s Hardware aveva raccontato come questo movimento somigliasse a una fuga dalle proprie regole.

L’articolo 50 resta intoccato e si applica dal 2 agosto 2026 a tutti i fornitori di sistemi generativi che producono testo, immagine, audio o video. Gli obblighi non negoziabili sono tre: i contenuti generati artificialmente devono essere marcati in formato leggibile da macchina, i deepfake destinati al pubblico devono recare etichetta visibile, i chatbot devono dichiarare la propria natura artificiale all’utente.

Il precedente articolo del 15 giugno aveva già osservato che rendere il quadro più morbido sposta i rischi sui clienti finali, non li elimina. Il rinvio sull’alto rischio replica lo schema: chi compra sistemi di gestione del personale o di selezione algoritmica avrà sedici mesi in più senza protezione regolamentare.

Provider e “soggetti che applicano il modello”, chi marca cosa

Il Codice di condotta pubblicato il 10 giugno divide il lavoro in due tronchi. I fornitori dei modelli applicano la marcatura tecnica, cioè una “filigrana digitale” leggibile da macchina che persiste nel file e sopravvive alle compressioni più comuni. La Commissione ha discusso gli standard di riferimento nei tre studi tecnici pubblicati l’8 maggio 2026, che diventano il riferimento operativo per chi sviluppa modelli.

I “soggetti che applicano il modello” — le imprese che integrano output generativi nei propri prodotti o canali — apporranno l’etichetta visibile. La Commissione raccomanda un’icona UE comune, e la filigrana digitale dovrà essere implementata sui sistemi già sul mercato prima del 2 agosto 2026 entro il 2 dicembre 2026.

La sfida tecnica resta aperta. Tom’s Hardware ha mostrato come cancellare la filigrana sia già possibile con strumenti disponibili al grande pubblico. Le soluzioni esistono, e il vero nodo è se l’icona UE diventerà uno standard riconosciuto o una decorazione grafica.

L’etichetta come canarino, la priorità europea cambia faccia

Il segnale politico del Digital Omnibus emerge con chiarezza nella distribuzione delle scadenze. L’Europa concede tempo sui sistemi industriali e tiene duro sulla difesa dello spazio informativo pubblico. La vicepresidente esecutiva Henna Virkkunen l’ha sintetizzata nel comunicato della Commissione: gli europei hanno il diritto di sapere se ciò che vedono, sentono o leggono è stato creato o modificato dall’AI, soprattutto quando i contenuti possono influenzare il dibattito pubblico.

Virkkunen aveva già escluso aggiornamenti specifici sugli agenti qualche giorno fa: la priorità è proteggere il perimetro informativo in vista delle prossime elezioni. Il Digital Omnibus aggiunge un terzo elemento, il divieto delle app nudifier e del materiale di abuso sessuale su minori sintetico, in vigore dal 2 dicembre 2026. Il regolatore concentra le risorse di enforcement sui contenuti pubblici. Per chi è già alle prese con la doppia conformità imposta dalla legge 132/2025 e dall’AI Act, la pressione regolamentare cambia forma ma non scompare.

Cosa fare entro agosto 2026

Le imprese che usano AI generativa per contenuti destinati al pubblico hanno quattro azioni da chiudere entro luglio.

Inventario dei sistemi AI generativi in uso. Mappare ogni strumento che produce testo, immagini, audio o video, interno o di terzi, e classificarlo per destinazione d’uso: chatbot interattivi che richiedono dichiarazione esplicita, deepfake che impongono etichetta obbligatoria, contenuti su temi di interesse pubblico.

Audit dei fornitori sui meccanismi di marcatura. Chiedere ai fornitori dei modelli se applicano filigrana digitale conforme agli standard discussi dalla Commissione, e inserire la clausola contrattuale che obbliga a mantenerla per tutta la durata del contratto.

Procedura interna di etichettatura visibile. Definire chi appone l’etichetta, in che punto del flusso editoriale, con quale icona. Gestire i contenuti già pubblicati prima del 2 agosto 2026 entro il 2 dicembre 2026. Per i sistemi ad alto rischio può essere utile la roadmap di conformità Tom’s Hardware.

Decisione sulla firma del Codice di condotta. Aderire al codice volontario riduce l’onere probatorio sulla conformità ma non sostituisce gli obblighi dell’articolo 50.

Esistono già esempi operativi: Google integra SynthID in Imagen e Lyria con filigrana resistente a tagli e ricompressioni, Meta ha rilasciato Video Seal come progetto open source nel dicembre 2024, Adobe pubblica i Content Credentials su Photoshop, Firefly e Premiere dal 2023 agganciati allo standard C2PA citato dalla Commissione europea. Per un’impresa italiana che usa modelli generativi di terzi la lista dei fornitori che già marcano in modo conforme è il punto di partenza più rapido per chiudere l’audit dei contratti entro luglio. Sul fronte sanzionatorio le cifre pesano: per le violazioni di trasparenza il tetto è 15 milioni di euro o il 3% del fatturato mondiale annuo, a seconda di quale sia il valore più alto. L’accertamento in Italia spetta ad Agid per i sistemi non riservati e all’Agenzia per la Cybersicurezza Nazionale per quelli che toccano la sicurezza; per un gruppo da un miliardo di ricavi la prima violazione vale fino a 30 milioni di euro.

Il calendario rimodulato sposta le scadenze, non gli obblighi

L’AI Act non si ammorbidisce, si articola in tre direzioni che vanno lette insieme. Alleggerimento sul cuore industriale dove gli standard tecnici mancano, durezza confermata sulla trasparenza dei contenuti generativi, divieto netto sui sistemi nudifier. L’Europa sceglie di proteggere lo spazio informativo prima dei processi industriali, anche se il pacchetto viene venduto come semplificazione. Chi sviluppa sistemi ad alto rischio guadagna sedici mesi che dovrebbero servire a costruire documentazione tecnica, gestione del rischio e supervisione umana, non a rinviare la decisione di farlo. Il rinvio rimodula il calendario senza cancellare la conformità, che arriva comunque insieme agli standard armonizzati che la rendono fattibile.

Sul piano internazionale la mossa europea pesa più di quanto si percepisca a Bruxelles. Gli Stati Uniti non hanno una legge organica sull’etichettatura dei contenuti generativi e l’amministrazione federale resta sui binari morbidi delle linee guida del NIST, mentre il Regno Unito rinvia l’intervento normativo in attesa di Bruxelles. L’icona UE comune, se firmata dai grandi fornitori, diventa lo standard di fatto su cui si allineano le piattaforme globali, perché replicare etichette diverse per mercati diversi costa più che adottarne una unica. L’Europa si conferma ente di normazione di un mercato in cui non è leader tecnologico, lo stesso schema con cui ha esportato il GDPR ben oltre i propri confini.

Il Codice di condotta, lo strumento più innovativo del pacchetto, resta volontario, ed è qui che si gioca il vero discrimine. La Commissione spera nelle firme dei grandi fornitori, come è successo con il Code of Practice GPAI di luglio 2025, dove 26 firmatari tra Amazon, Anthropic, Google, IBM, Microsoft, OpenAI e Mistral hanno dato sostanza al simbolo. Senza firme l’icona UE resta una scelta grafica, con le firme diventa l’infrastruttura di trasparenza dell’ecosistema europeo dell’AI generativa. Chi vuole vendere AI generativa a soggetti pubblici e a settori regolati in Italia firmerà comunque, perché la legge 132/2025 alza l’asticella della trasparenza ben oltre il minimo europeo.