Il 29 giugno il Consiglio dell’Unione europea ha adottato il Digital Omnibus, il regolamento che semplifica l’AI Act e sposta in avanti gli obblighi sui sistemi di intelligenza artificiale ad alto rischio: dal 2 agosto 2026 al 2 dicembre 2027 per i sistemi autonomi, al 2 agosto 2028 per quelli integrati nei prodotti. La notizia ha generato un equivoco: molti imprenditori hanno letto “rinvio” e concluso di aver guadagnato sedici mesi.
Non è così. Il Digital Omnibus interviene su scadenze specifiche, non sull’intero calendario del Regolamento. Il 2 agosto 2026 resta la data in cui entrano in applicazione gli obblighi di trasparenza e diventa operativo il regime sanzionatorio, a livello nazionale ed europeo. E alcune regole sono già in vigore, sanzionabili, da oltre un anno.
«Il rischio è che il rinvio venga letto come un liberi tutti», osserva Daniele Stocco, CEO e CTO di Delta Art&Tech Group. «Non lo è. La trasparenza e le sanzioni partono adesso. L’obbligo di formare le persone che usano questi strumenti è in vigore da febbraio dell’anno scorso e non è mai stato toccato. Quello che è slittato è la parte più pesante, non tutta la partita».
Il fenomeno dell’“uso ombra”
Il paradosso, osserva Delta, è che molte imprese l’AI la usano già, senza saperlo e senza governarla. Il commerciale che incolla un’offerta su ChatGPT. L’ufficio acquisti che carica i contratti dei fornitori su un assistente. Scelte che prese singolarmente sembrano ragionevoli, ma sommate restituiscono un’azienda che usa l’intelligenza artificiale senza averla autorizzata, senza tracciarla e, da agosto, senza poterla rendicontare.
«Dal 2 agosto un’ispezione, un contenzioso con un dipendente o un reclamo di un cliente possono chiedere all’azienda la stessa cosa: le prove della propria diligenza», prosegue Stocco. «E la responsabilità non è scaricabile sul fornitore del software: risponde chi lo usa».
Il vero rischio non è la multa
Con il 2 agosto il regime sanzionatorio diventa operativo. Ma per una piccola impresa, sottolinea Delta, il rischio concreto è un altro: la perdita del cliente enterprise che chiede ai fornitori garanzie esplicite di conformità come prerequisito contrattuale. La responsabilità si propaga lungo la catena del valore. A questo si aggiunge la sovranità dei dati: ogni volta che informazioni sensibili (listini, contratti, dati di produzione) vengono elaborate su server extra-europei, l’impresa perde il controllo su un proprio asset strategico. Un aspetto che, con l’interazione tra AI Act e GDPR, assume un peso crescente. Sullo sfondo si allarga una frattura già evidente: secondo l’ISTAT il divario di adozione tra grandi imprese e PMI si è ampliato (le prime oltre il 50%, le seconde sotto il 16%), e per il Politecnico di Milano il 76% delle PMI non ha investito né prevede di investire in AI, con solo il 7% che ha avviato programmi di formazione strutturati.
Cosa possono fare le PMI adesso Delta indica alcuni passi concreti, alla portata anche delle strutture più piccole:
- Mappare gli strumenti di AI già in uso in azienda, compresi quelli mai autorizzati formalmente;
- Classificarne il livello di rischio secondo le categorie dell’AI Act;
- Formare il personale: è l’obbligo in vigore da febbraio 2025, già sanzionabile e mai rinviato;
- Documentare chi supervisiona i sistemi, con quali competenze e con quali registri;
- Valutare dove i dati aziendali vengono elaborati, e se restano sotto il controllo dell’impresa
