AI Act, tra semplificazione e tutele: l’Europa sceglie il pragmatismo

Cosa cambia con l’Omnibus VII

L’accordo politico provvisorio siglato il 7 maggio 2026 tra Parlamento europeo e Consiglio nell’ambito dell’Omnibus VII ridisegna il calendario e alcuni ingranaggi chiave dell’AI Act. L’Unione introduce un chiaro divieto per i cosiddetti nudifier e, più in generale, per i sistemi che generano contenuti sessualmente espliciti senza consenso, mentre allenta e rinvia una parte degli obblighi sui sistemi ad alto rischio. In concreto, gli obblighi scatteranno dal 2 dicembre 2027 per gli impieghi più sensibili (biometria, infrastrutture critiche, istruzione, occupazione, law enforcement e gestione delle frontiere) e dal 2 agosto 2028 per i sistemi usati come safety component all’interno di prodotti già regolati a livello settoriale.
Sul fronte della governance, l’AI Office viene rafforzato nella supervisione dei sistemi basati su modelli general purpose sviluppati dallo stesso provider del sistema finale, mentre restano prerogative nazionali per ambiti delicati come giustizia, forze dell’ordine, frontiere e servizi finanziari. Viene inoltre reintrodotto l’obbligo di registrazione nel database europeo anche per i provider che ritengano di poter escludere la classificazione high-risk, così da arginare zone grigie di trasparenza. Confermata anche la possibilità di trattare categorie particolari di dati per rilevazione e correzione dei bias, con il vincolo della “stretta necessità”.

Meno oneri, più chiarezza: le semplificazioni utili

La nuova intesa si inserisce nella strategia UE per una regolazione più chiara e proporzionata, in linea con l’obiettivo dichiarato di “ridurre i costi amministrativi ricorrenti” e consolidare la “sovranità digitale europea”. Il compromesso interviene dove la prassi stava già evidenziando attriti: sovrapposizioni tra l’AI Act e normative armonizzate (dispositivi medici, macchinari, ascensori, giocattoli, imbarcazioni e altri prodotti industriali), duplicazioni documentali e possibili incoerenze tra percorsi di conformità. Limitare gli overlap regolatori e restringere la definizione di safety component ai soli casi con impatti diretti su salute e sicurezza evita che mere funzionalità di ottimizzazione facciano scattare oneri sproporzionati.
Nell’ottica di una competitività sostenibile, alcune esenzioni vengono estese alle small mid-cap, per non penalizzare gli attori meno strutturati. Slitta inoltre al 2 agosto 2027 l’avvio dei regulatory sandbox nazionali, così da prepararne meglio il funzionamento e garantire maggiore uniformità. Sul capitolo trasparenza, i provider avranno tre mesi in meno rispetto alla proposta iniziale per introdurre watermarking e strumenti di identificazione dei contenuti generati dall’AI: la scadenza è fissata al 2 dicembre 2026.

Deepfake e nudifier: un divieto che fa scuola

Il capitolo più immediatamente percepibile riguarda il contrasto ai deepfake pornografici non consensuali. L’accordo vieta l’immissione sul mercato di sistemi progettati per generare immagini, video e audio sessualmente espliciti senza consenso e sanziona l’uso di strumenti privi di adeguate misure per prevenirne l’abuso, con un’attenzione particolare alla tutela dei minori. È un passaggio di forte valenza etica e di protezione dell’identità digitale, che risponde all’escalation di modelli generativi sempre più accessibili e realistici. Per un ecosistema improntato all’innovazione responsabile, la linea è netta: favorire la creatività e i nuovi servizi, ma impedire che la tecnologia legittimi violazioni della dignità, della privacy e dei diritti. In questo quadro, l’intervento UE si affianca agli sforzi nazionali, contribuendo a uno standard europeo che chiarisce confini e responsabilità lungo tutta la value chain dell’AI.

Impatto per le imprese e traiettoria europea

Per il mercato, il messaggio è duplice. Da un lato, l’UE rende l’AI Act più prevedibile e gestibile nel breve periodo, allineando le scadenze alla maturità degli standard tecnici e alla capacità operativa di imprese e autorità. Dall’altro, mantiene presidi di accountability su trasparenza, registrazione e mitigazione dei bias, a tutela di diritti e concorrenza leale. Le principali milestone sono:

• 2 dicembre 2026: implementazione di watermarking e identificazione dei contenuti AI-generated.
• 2 agosto 2027: avvio dei regulatory sandbox nazionali.
• 2 dicembre 2027: obblighi per gli use case ad alto rischio più sensibili.
• 2 agosto 2028: obblighi per i safety component incorporati in prodotti regolati.

In una fase segnata da pressioni competitive e geopolitiche, la scelta europea punta a un equilibrio pragmatico: alleggerire dove la burocrazia intralcia davvero, rafforzare i divieti dove sono in gioco diritti e sicurezza, e dare tempo al tessuto produttivo di adeguarsi. Per le aziende, significa impostare ora programmi di conformità scalabili, investire su data governance, documentazione tecnica e supervisione umana dei sistemi critici, sfruttando da subito i futuri sandbox per innovare in modo controllato. È un passo che, se accompagnato da standard chiari e un enforcement coerente, può tradursi in competitività senza arretrare sull’etica dell’AI.