Digital Omnibus Reg. (UE) 2026/1744 · COM(2025) 837

«Digital Omnibus» indica due interventi distinti, e confonderli è l’errore più comune: uno è legge, l’altro è una proposta.

Il Regolamento (UE) 2026/1744, pubblicato nella Gazzetta ufficiale dell’UE il 24 luglio 2026 e in vigore dal 27 luglio, modifica l’AI Act su date, alfabetizzazione, divieti, sanzioni e sandbox. Le nuove date sono fisse: non dipendono dalla disponibilità delle norme tecniche.

Oltre alle date, il regolamento cambia alcune regole di sostanza:

• Alfabetizzazione (art. 4). Fornitori e deployer non devono più «garantire» l’alfabetizzazione del personale, ma adottare misure volte a sostenerla. L’obbligo resta.
• Nuovi divieti (art. 5). Vietati i sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile, o che la ritraggono in atti sessualmente espliciti, senza il suo consenso, e quelli che generano materiale pedopornografico. Per l’immissione sul mercato il divieto scatta se questa è la finalità prevista o se il sistema lo rende un risultato prevedibile senza misure di sicurezza ragionevoli per impedirlo.
• Dati particolari per correggere le distorsioni (art. 4 bis). I fornitori di sistemi ad alto rischio possono trattare eccezionalmente categorie particolari di dati personali per rilevare e correggere le distorsioni, solo se non bastano dati sintetici o anonimizzati e con garanzie precise. Il GDPR continua ad applicarsi.
• Small mid-cap (art. 99, par. 6 bis). Le piccole imprese a media capitalizzazione ottengono lo stesso favore delle PMI sulle sanzioni: si applica il minore fra percentuale e importo fisso.

Resta invece, riformulata per le nuove date, la regola dell’art. 111, par. 2, sui sistemi già sul mercato: i sistemi ad alto rischio immessi prima della data di applicazione vi sono soggetti solo se, da quella data, la loro progettazione cambia in modo significativo; quelli destinati alle autorità pubbliche vanno adeguati comunque entro il 2 agosto 2030, come nel testo originale.

Cosa non è cambiato: i divieti originari e l’alfabetizzazione si applicano dal 2 febbraio 2025, gli obblighi sui modelli per finalità generali dal 2 agosto 2025, la trasparenza dell’art. 50 dal 2 agosto 2026. Il quadro completo è nella pagina sull’AI Act.

La proposta COM(2025) 837 interviene su GDPR, direttiva ePrivacy, Data Act e obblighi di segnalazione degli incidenti cyber. Il 21 ottobre 2026 il Consiglio ha adottato il suo orientamento generale. Per diventare legge servono ancora la posizione del Parlamento europeo, l’accordo nei triloghi, l’adozione formale e la pubblicazione.

Secondo quanto riportato sull’orientamento del Consiglio, i punti principali sono tre. Nessuno è definitivo e il testo può cambiare:

Finché la proposta non è adottata, chi subisce una violazione di dati personali deve notificarla entro 72 ore, e le regole sui cookie restano quelle di oggi. Progettare procedure su una proposta significa rifarle se il testo finale cambia. Le regole in vigore sono nella pagina sul GDPR.

La proroga sposta le scadenze, non le decisioni. Un sistema che entra in produzione nel 2027 si progetta nel 2026: la classificazione, la sorveglianza umana, i log e la documentazione tecnica si decidono nella specifica, non a ridosso della scadenza. Il tempo guadagnato serve a farle bene, non a rimandarle.

Le altre norme non si sono spostate. In Italia il reato dell’art. 437-bis c.p. (D.Lgs. 160/2026) è in vigore dal 30 settembre 2026 e richiama le misure di sicurezza e la sorveglianza umana sui sistemi ad alto rischio; le regole su lavoro e AI del D.Lgs. 179/2026 si applicano dal 23 ottobre 2026; la Direttiva prodotti difettosi vale per il software immesso sul mercato dopo l’8 dicembre 2026.

Attenzione ai sistemi già in esercizio. L’art. 111, par. 2, esenta i sistemi ad alto rischio già sul mercato solo finché la loro progettazione non cambia in modo significativo. Una riprogettazione dopo il 2 dicembre 2027 li porta dentro gli obblighi: conviene sapere fin d’ora quali interventi lo farebbero.

Se generi contenuti, la scadenza è vicina. Chi fornisce sistemi che generano testo, immagini, audio o video immessi sul mercato prima del 2 agosto 2026 deve applicare la marcatura leggibile da una macchina dell’art. 50(2) entro il 2 dicembre 2026.

• AI Act — è il regolamento modificato: va letto nella versione consolidata con il Reg. (UE) 2026/1744.
• GDPR — oggi invariato; l’art. 4 bis dell’AI Act si aggiunge alle sue condizioni per i dati particolari, non le sostituisce.
• Data Act e NIS2 — toccati dalla proposta sui dati e sulle segnalazioni, si applicano oggi nella versione vigente.
• Legge 132/2025 — integra l’AI Act come modificato; le date europee valgono anche in Italia.

• «L’AI Act è stato rinviato». Sono stati rinviati gli obblighi per l’alto rischio. Divieti, alfabetizzazione, modelli per finalità generali e trasparenza si applicano già, e i nuovi divieti partono il 2 dicembre 2026.
• «Le date possono slittare ancora». Il regolamento le fissa: 2 dicembre 2027 e 2 agosto 2028, senza meccanismi legati alle norme tecniche.
• «L’Omnibus ha semplificato il GDPR». La parte sui dati è una proposta. Oggi valgono il GDPR e il Codice privacy come sono.
• «L’alfabetizzazione non è più obbligatoria». È cambiata la formulazione, non l’esistenza dell’obbligo; in Italia il D.Lgs. 179/2026 aggiunge obblighi di formazione.
• «Abbiamo tempo fino al 2027, iniziamo nel 2027». Un sistema che arriva in produzione a ridosso della scadenza è stato progettato prima: le decisioni che contano si prendono adesso.