AI ACT: Le scadenze del Digital Omnibus richiedono una revisione dei processi di Imprese ed Enti Pubblici

📌Il Reg. UE 2026/1744 “Omnibus Digitale sull’IA”, in vigore dal 27 luglio 2026, è intervenuto modificando alcune disposizioni e scadenze previste dal Reg. UE 2024/1689 “AI ACT”.

▶️Dal 2 agosto 2026 è applicabile l’art. 50 dell’AI ACT, che ha imposto obblighi di trasparenza sull’utilizzo di sistemi IA, sia in capo ai fornitori/produttori che agli utilizzatori degli stessi in un contesto professionale (c.d. deployers).

💰La violazione degli obblighi prescritti comporta per le imprese l’irrogazione di sanzioni amministrative pecuniarie fino a 15 milioni di euro o, in alternativa, fino al 3% del fatturato mondiale totale annuo relativo all’esercizio precedente, se superiore, salve eccezioni.

Di seguito un breve riepilogo degli obblighi di cui all’art. 50 dell’AI ACT.

👉Fornitori di Sistemi IA:

*Garantire che i sistemi di IA destinati a interagire direttamente con le persone fisiche siano progettati e sviluppati in modo tale che le persone fisiche interessate siano informate del fatto che stanno interagendo con un sistema di IA;

* Garantire che gli output generati da Sistemi di IA (audio, immagini, video o testuali sintetici) siano contrassegnati in un formato leggibile da dispositivo automatico e rilevabili come generati o manipolati artificialmente.

👉Deployers di Sistemi di IA:

*Rendere noto che il contenuto è stato generato o manipolato artificialmente, in caso di generazione di immagini o contenuti audio o video che costituiscono un «deep fake»;

*Rendere noto che il testo è stato generato o manipolato artificialmente, in caso di generazione o manipolazione di testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico;

*Rendere noto il funzionamento del sistema di IA alle persone fisiche interessate, nei casi di utilizzo di un sistema di riconoscimento delle emozioni o di un sistema di categorizzazione biometrica e trattare detti dati in conformità alle normative applicabili in materia protezione dati personali.

Si tratta di scadenze (quelle già applicabili dal 2 febbraio 2025 dell’art. 4 “AI literacy” e quelle di nuova applicazione dell’art. 50, IA ACT), che non costituiscono meri adempimenti, ma sottendono la necessità di sottoporre a nuovo esame i processi aziendali di Imprese e Enti Pubblici.

L’utilizzo professionale di Sistemi di IA da parte di un’Organizzazione richiede, infatti, l’effettuazione di un risk assessment che valuti puntualmente le conseguenze, in termini di rischio, che derivano all’interno dei propri processi aziendali e la possibile compromissione di diritti e libertà degli interessati.

Dovranno essere quindi elaborate procedure di dettaglio sull’utilizzo di Sistemi di IA, che disciplinino anche i rapporti con i fornitori di detti Sistemi. È necessario, inoltre, prevedere istruzioni chiare per dipendenti e collaboratori sulla gestione degli output generati da IA, garantendo il controllo umano su qualsiasi contenuto generato ed assicurando la trasparenza richiesta dall’art. 50, AI ACT.

Per far ciò non si può prescindere da una puntuale formazione (la cosiddetta “alfabetizzazione” già richiesta dall’art. 4, IA) del personale dell’Organizzazione in materia di IA, che dovrà fornire indicazioni e limitazioni precise, anche in merito agli input utilizzati nei Sistemi di IA, in modo da evitare utilizzi non conformi alle normative applicabili in materia di dati personali e in materia diritto d’autore.]