Cosa cambia l'Omnibus digitale sull'IA per le aziende che usano l'IA (regolamento (UE) 2026/1744)

Il regolamento (UE) 2026/1744 modifica l'AI Act, il regolamento (UE) 2024/1689, in 43 punti. La tabella elenca le modifiche che contano per un'azienda che usa sistemi di IA e non produce prodotti ad alto rischio.

L'articolo 5, paragrafo 1, lettera b bis), vieta «l'immissione sul mercato, la messa in servizio o l'uso di un sistema di IA che genera o manipola immagini, video e audio realistici o materiale analogo delle parti intime di una persona fisica riconoscibile, o di una persona fisica riconoscibile che partecipi ad atti sessualmente espliciti senza il consenso liberamente prestato, specifico, informato e inequivocabile di tale persona per tale generazione o manipolazione».

La lettera b ter) vieta «l'immissione sul mercato, la messa in servizio o l'uso di un sistema di IA che genera o manipola materiale o spettacoli ai sensi dell'articolo 2, lettere c) ed e), della direttiva 2011/93/UE, salvo nei casi in cui sussista una causa di giustificazione ai sensi del diritto nazionale». La direttiva 2011/93/UE è la direttiva dell'UE relativa alla lotta contro l'abuso e lo sfruttamento sessuale dei minori.

Per un'azienda che usa l'IA, la regola che si applica al deployer è quella dell'articolo 5, paragrafo 1 bis, lettera b): «l'uso di un sistema di IA che genera o manipola il materiale o gli spettacoli di cui al paragrafo 1, primo comma, lettere b bis) e b ter), è vietato solo se il deployer utilizza il sistema al fine di generare o manipolare tale materiale o tali spettacoli». Il paragrafo 1 ter aggiunge che non costituisce manipolazione, ai fini della lettera b bis), quella che non aumenta l'esposizione di parti intime ritratte né altera la natura di atti sessualmente espliciti ritratti.

La data è nell'articolo 113, terzo comma, lettera a), modificato: «i capi I e II si applicano a decorrere dal 2 febbraio 2025, ad eccezione dell'articolo 5, paragrafo 1, primo comma, lettere b bis) e b ter), e dell'articolo 5, paragrafi 1 bis e 1 ter, che si applicano a decorrere dal 2 dicembre 2026». La violazione di un divieto dell'articolo 5 comporta sanzioni fino a 35 milioni di euro o al 7 % del fatturato mondiale totale annuo, se superiore (articolo 99, paragrafo 3, non modificato). Per le PMI, e ora anche per le piccole imprese a media capitalizzazione, vale l'importo più basso.

Un obbligo collegato si applica già. Dal 2 agosto 2026 l'articolo 50, paragrafo 4, prevede: «I deployer di un sistema di IA che genera o manipola immagini o contenuti audio o video che costituiscono un «deep fake» rendono noto che il contenuto è stato generato o manipolato artificialmente.»

L'articolo 4 è stato sostituito. Fornitori e deployer continuano ad adottare misure per sostenere l'alfabetizzazione in materia di IA del loro personale e delle altre persone che agiscono per loro conto, e l'articolo 4, paragrafo 1, ora si chiude così: «Tale obbligo non impone ai fornitori o ai deployer di garantire un livello specifico di alfabetizzazione in materia di IA per alcuna persona.» La formula precedente, «garantire nella misura del possibile un livello sufficiente di alfabetizzazione in materia di IA», è scomparsa.

Cosa chiede oggi l'obbligo, cosa si aspettano le domande e risposte della Commissione e una checklist con registro della formazione sono nella pagina sull'alfabetizzazione in materia di IA secondo l'articolo 4. I nuovi divieti vanno inseriti in quella formazione: chi genera immagini, video o audio deve sapere cosa è vietato.

L'articolo 26, gli obblighi dei deployer di sistemi di IA ad alto rischio. Nessun punto del regolamento 2026/1744 lo modifica. I deployer usano il sistema secondo le istruzioni per l'uso, affidano la sorveglianza umana a persone con la competenza, la formazione e l'autorità necessarie (articolo 26, paragrafo 2), monitorano il sistema, conservano i log sotto il loro controllo per almeno sei mesi (articolo 26, paragrafo 6) e informano i lavoratori prima di usare un sistema ad alto rischio sul luogo di lavoro. Si è spostata solo la data di inizio, tramite l'articolo 113.

Gli obblighi di trasparenza dell'articolo 50. È stato sostituito solo l'articolo 50, paragrafo 7, sui codici di buone pratiche. La comunicazione dei deep fake del paragrafo 4 e l'obbligo di marcatura del paragrafo 2 restano formulati come prima.

Le pratiche vietate originarie dell'articolo 5, paragrafo 1, lettere da a) a h), applicabili dal 2 febbraio 2025, le definizioni di deployer (articolo 3, punto 4) e di alfabetizzazione in materia di IA (articolo 3, punto 56), l'elenco degli usi ad alto rischio dell'allegato III e il tetto delle sanzioni per le pratiche vietate dell'articolo 99, paragrafo 3.

Come questi obblighi si applicano a un'azienda che usa LLM è spiegato nella pagina sugli obblighi del deployer secondo l'AI Act.

I nuovi divieti si applicano dal 2 dicembre 2026. Questi passi rientrano nei documenti che la maggior parte delle aziende già tiene.

Le regole d'uso sono più facili da rispettare quando l'accesso ai modelli passa da un unico punto. Standard Compute è un modo per farlo per API di modelli, Claude Code e Claude Desktop: ogni persona e ogni applicazione riceve la propria chiave, tutto sotto un unico account aziendale. Decidete quali modelli può usare ogni chiave, così ogni applicazione e ogni membro del team ottiene esattamente i modelli che approvate.

Scegliete con precisione quali fornitori di inferenza possono trattare i vostri dati, per tutta l'azienda, un team o una singola chiave. Ogni modifica amministrativa viene registrata con il valore prima e dopo, così la traccia di chi poteva usare quale modello sta accanto alla vostra policy.

Questi controlli decidono quali modelli e fornitori si possono usare. Non esaminano prompt né output e non rendono lecito alcun uso.