Normativa su AI, dati e sicurezza per chi opera in Italia

Il GDPR si applica in tutti gli Stati membri

Entrata in vigore del regolamento

Entra in vigore il D.Lgs. 138/2024 di recepimento

Il regolamento si applica

Si applicano i divieti (art. 5) e l’obbligo di alfabetizzazione (art. 4)

Entrata in vigore del regolamento

Si applicano gli obblighi per i modelli di AI per finalità generali, la governance e le sanzioni (tranne quelle per i fornitori di questi modelli, art. 101)

Il regolamento si applica

Pubblicazione in Gazzetta Ufficiale (Serie generale n. 223)

Entrata in vigore della legge

Rettifica: la direttiva si applica ai prodotti immessi sul mercato dopo l’8 dicembre 2026

La Commissione presenta la proposta COM(2026) 502

Si applica il capo IV (artt. 35-51): notifica degli organismi di valutazione della conformità (art. 71)

L’EDPB adotta le linee guida 02/2026 sull’anonimizzazione e 03/2026 sul web scraping per l’AI generativa

Pubblicazione del Reg. (UE) 2026/1744 nella Gazzetta ufficiale dell’UE

Entra in vigore il Digital Omnibus sull’AI (Reg. (UE) 2026/1744), che sposta le date dell’alto rischio

Entra in vigore il Reg. (UE) 2026/1744: nuove date per l’alto rischio dell’AI Act

Dichiarazione congiunta di EBA, EIOPA ed ESMA sui rischi ICT dei modelli di AI di frontiera

Si applicano gli obblighi di trasparenza dell’art. 50

Esame preliminare dello schema di decreto italiano in Consiglio dei ministri

Si applicano gli obblighi di segnalazione dei fabbricanti (art. 14): preallerta 24 ore, notifica 72 ore, tramite la piattaforma unica ENISA

Accesso ai dati fin dalla progettazione (art. 3(1)) per i prodotti connessi immessi sul mercato dopo questa data

Pubblicazione in Gazzetta Ufficiale (n. 214)

Annuncio in plenaria del deferimento alle commissioni ITRE e IMCO del Parlamento europeo

Parere del Comitato economico e sociale europeo (CESE)

Il Garante sanziona per 7 milioni di euro dati sanitari ritenuti non anonimi (provv. n. 710)

Entrata in vigore: art. 437-bis c.p., art. 25-vicies D.Lgs. 231/2001, nuove regole sulla responsabilità civile

Esame preliminare in Consiglio dei ministri dello schema di decreto italiano di adeguamento (comunicato n. 191)

Pubblicazione in Gazzetta Ufficiale (n. 234)

Pubblicata la prima norma armonizzata, EN 18286:2026 sul sistema di gestione della qualità (Dec. di esecuzione (UE) 2026/2274)

Orientamento generale del Consiglio sulla proposta COM(2025) 837 (dati, GDPR, ePrivacy)

Entrata in vigore: autorità nazionali, sanzioni, regole su lavoro e IA

Si applica la Determinazione ACN 314287/2026 (piattaforma, aggiornamenti entro 14 giorni, fornitori rilevanti NIS), che sostituisce la 127437/2026

Il Consiglio dei ministri approva in via definitiva il decreto di recepimento (comunicato n. 195)

Termine fissato dal Garante per adeguare l’uso dei pixel di tracciamento nelle email

Chiude la consultazione pubblica sulle linee guida EDPB 02/2026 e 03/2026

Termine per adottare le misure di sicurezza di base per i soggetti della prima elencazione (18 mesi dalla comunicazione di inserimento, Determinazione ACN 379907/2025)

Nuovi divieti dell’art. 5, par. 1, lettere b bis) e b ter); marcatura dei contenuti (art. 50(2)) per i sistemi già sul mercato prima del 2 agosto 2026

Nuovi divieti dell’art. 5, par. 1, lett. b bis) e b ter) e marcatura (art. 50, par. 2) per i sistemi già sul mercato

Termine di recepimento (art. 22); nuove regole per i prodotti immessi sul mercato dopo l’8 dicembre 2026

Nessuna tariffa di passaggio fra fornitori di servizi di trattamento dei dati (cambio di fornitore cloud, art. 29)

Il regolamento si applica in via generale (art. 105); si applicano i regolamenti di esecuzione (UE) 2026/2083 (MyHealth@EU) e 2026/2099

Data calcolata, non indicata nel decreto: termine di «sei mesi dalla data di entrata in vigore» (23 ottobre 2026) per l’adeguamento dei regolamenti di formazione degli ordini professionali (art. 47), l’accordo Stato-Regioni sull’ECM (art. 47 c.6), la quota IA dell’ECM e i programmi AGENAS (art. 51)

Termine per lo spazio di sperimentazione normativa (sandbox) nazionale

Termine per gli spazi di sperimentazione normativa nazionali (art. 57)

Le regole sulle clausole contrattuali abusive (capo IV) si estendono ai contratti conclusi entro il 12 settembre 2025, se a tempo indeterminato o con scadenza ad almeno dieci anni dall’11 gennaio 2024

Data calcolata, non indicata nel decreto: termine di dodici mesi dall’entrata in vigore per integrare i parametri dell’equo compenso modulato sulla classe di rischio dell’AI (art. 49)

Si applicano gli obblighi per i sistemi ad alto rischio dell’Allegato III (art. 6(2))

Obblighi per i sistemi ad alto rischio dell’Allegato III

Applicazione piena del regolamento

Si applicano gli obblighi per i sistemi ad alto rischio dell’Allegato I (art. 6(1)), per esempio nei dispositivi medici

Obblighi per i sistemi ad alto rischio dell’Allegato I (es. dispositivi medici)

Si applicano l’uso secondario (capo IV) e le regole sulle prime categorie prioritarie di dati (art. 14(1), lettere a-c); si applica il regolamento di esecuzione (UE) 2026/2098 sui metadati per l’uso secondario

Scambio transfrontaliero anche per immagini diagnostiche, risultati di esami e lettere di dimissione (art. 105)