La risposta breve
Il 29 giugno 2026 il Consiglio dell'UE ha dato l'approvazione finale al Digital Omnibus, rinviando gli obblighi ad alto rischio della legge sull'IA per i sistemi autonomi dal 2 agosto 2026 al 2 dicembre 2027, e al 2 agosto 2028 per l'IA ad alto rischio integrata in prodotti regolamentati. Ha fatto seguito al via libera del Parlamento europeo del 16 giugno. La legge non è abrogata e i divieti e le regole per l'IA per finalità generali già in vigore non sono stati toccati. Le nuove date vincolano solo dopo la pubblicazione del testo nella Gazzetta ufficiale, attesa entro poche settimane.
Per i team che costruiscono o acquistano software per i mercati statunitense ed europeo, il messaggio chiave è respiro: la corsa ad agosto 2026 è finita, ma gli obblighi arrivano comunque. Il vantaggio ora va ai team che usano questi diciotto mesi aggiuntivi per integrare la governance dell'IA nel prodotto, invece di trattare il 2027 come un problema lontano.
Cosa ha approvato davvero l'UE
La misura è il Digital Omnibus — un pacchetto di semplificazione che modifica la legge sull'IA invece di riscriverla, ed è la prima modifica sostanziale della legge dalla sua adozione nel 2024. Ha raggiunto un accordo provvisorio di trilogo il 7 maggio 2026, è stato approvato dal Parlamento europeo il 16 giugno e ha ottenuto il via libera finale del Consiglio il 29 giugno. Dopo la pubblicazione nella Gazzetta ufficiale dell'UE, il pacchetto entra in vigore il terzo giorno successivo; fino ad allora, le vecchie date restano tecnicamente in vigore, motivo per cui il Consiglio ha segnalato l'adozione «in anticipo rispetto alla scadenza del 2 agosto 2026».
Il cuore del pacchetto è il sollievo sulle tempistiche per l'IA ad alto rischio — i sistemi che la legge considera più rilevanti, come quelli usati nella selezione del personale, nel credit scoring, nell'istruzione, nei servizi essenziali e nelle infrastrutture critiche. Anziché un'unica scadenza netta al 2 agosto 2026, gli obblighi per i sistemi autonomi dell'Allegato III partono ora il 2 dicembre 2027, e gli obblighi per l'IA integrata in prodotti già regolati dall'Allegato I — dispositivi medici, macchine, veicoli — il 2 agosto 2028. Oltre al rinvio, il pacchetto riduce la burocrazia per i sistemi che si autovalutano come non ad alto rischio ed estende il regime PMI più leggero della legge alle «piccole imprese a media capitalizzazione» fino a 750 dipendenti, ampliando la platea di aziende che ottengono documentazione semplificata e sanzioni ridotte.
Le nuove scadenze in una tabella
Ecco la forma del calendario dopo l'Omnibus. Le due date ad alto rischio si sono spostate; gli obblighi precedenti no.
| Obbligo | Data originaria | Nuova data |
|---|---|---|
| IA ad alto rischio — autonoma (Allegato III) | 2 ago 2026 | 2 dic 2027 |
| IA ad alto rischio — integrata in prodotti regolamentati (Allegato I) | 2 ago 2026 | 2 ago 2028 |
| Divieti sulle pratiche vietate | 2 feb 2025 | Invariato (in vigore) |
| Obblighi IA per finalità generali (GPAI) | 2 ago 2025 | Invariato (in vigore) |
| Marcatura dei contenuti generati dall'IA (tolleranza 6→3 mesi) | — | 2 dic 2026 |
| Istituzione degli spazi di sperimentazione normativa nazionali | 2 ago 2026 | 2 ago 2027 |
| Nuovo divieto: immagini intime non consensuali & materiali pedopornografici | — | Transitorio fino al 2 dic 2026 |
Un'avvertenza da mettere in ogni documento di pianificazione: queste date dipendono dalla pubblicazione nella Gazzetta ufficiale. Il Consiglio ha approvato il testo, ma non diventa legge vincolante finché non compare lì. Pianificate intorno alle nuove date, ma confermate la pubblicazione prima di ridefinire formalmente un programma di conformità.
Cosa non si è mosso
Il rinvio è più stretto di quanto suggeriscano i titoli, e leggerlo come «la legge sull'IA è sospesa» è l'errore che costa caro. Le pratiche vietate — social scoring, alcune categorizzazioni biometriche, sistemi manipolativi — sono applicabili da febbraio 2025. Gli obblighi di trasparenza e documentazione per l'IA per finalità generali, che i fornitori di modelli affrontano da agosto 2025, sono altrettanto intatti. Se mettete a punto o distribuite un modello di base, o se il vostro prodotto rientra in una categoria vietata, nulla di ciò è cambiato il 29 giugno.
Due voci avvicinano addirittura il lavoro. Il periodo di tolleranza per la marcatura dei contenuti generati dall'IA è passato da sei a tre mesi, cadendo il 2 dicembre 2026, e un nuovo divieto sulle immagini intime non consensuali generate dall'IA e sui materiali pedopornografici è stato aggiunto con una finestra transitoria alla stessa data. Qualsiasi team che rilasci funzioni generative nell'UE — immagini, audio o testo — dovrebbe trattare la marcatura di provenienza dei contenuti come un compito del 2026, non del 2027.
Cosa significa per i team negli Stati Uniti & in Italia
Tolta la procedura di Bruxelles, resta un segnale di pianificazione. La corsa d'emergenza di agosto 2026, con team di prodotto e legali a classificare i sistemi di fretta, è finita — ma l'obbligo sottostante di inventariare, classificare, documentare, registrare i log e aggiungere sorveglianza umana all'IA ad alto rischio è esattamente lo stesso, solo dovuto a dicembre 2027. Vincono i team che convertono il sollievo in lavoro di base, invece di deprioritizzare in silenzio l'intero dossier.
La portata extraterritoriale ne fa anche un problema statunitense, non solo europeo. Un fornitore SaaS statunitense rientra nell'ambito nel momento in cui immette un sistema di IA sul mercato dell'UE o l'output del suo modello è usato nell'UE — alla legge non importa dove l'azienda è costituita. Per questo i team che vendono in Europa dovrebbero classificare i sistemi ora e trattare la governance dei dati come inseparabile dalla governance dell'IA; la stessa disciplina alla base della conformità al GDPR — mappatura dei dati, base giuridica, minimizzazione, tracciabilità — è il fondamento su cui la legge sull'IA si costruisce.
La distinzione dell'IA integrata conta soprattutto nei settori regolamentati. Nella HealthTech, una funzione di IA all'interno di un dispositivo medico segue il percorso dell'Allegato I fino al 2 agosto 2028 e si aggiunge al lavoro di conformità MDR esistente; nella FinTech, un modello di IA per il credit scoring è un classico alto rischio autonomo dell'Allegato III con data al 2 dicembre 2027. La stessa azienda può affrontare due orologi diversi a seconda di dove risiede il modello, quindi un'unica riga «scadenza legge IA» in una roadmap è di solito sbagliata. Mappate ogni sistema sul proprio percorso e integrate i controlli — gestione del rischio, log, sorveglianza umana, documentazione tecnica — nella progettazione invece di adattarli sotto pressione nel 2027.
Come usare il margine aggiuntivo
Trattate i diciotto mesi aggiuntivi come tempo di ingegneria e governance a budget, non come slack. Una sequenza pratica:
- Inventariate ogni sistema di IA. Elencate ciò che costruite, integrate, mettete a punto e acquistate, inclusi i modelli di terze parti nel vostro prodotto. Non potete classificare ciò che non avete catalogato.
- Classificate rispetto ai livelli di rischio. Ordinate ciascun sistema in vietato, alto rischio (Allegato III vs Allegato I), rischio limitato o minimo — e registrate le motivazioni. È il passaggio che fissa ogni scadenza a valle.
- Rilasciate prima le voci del 2026. La marcatura di provenienza dei contenuti e il nuovo divieto sulle immagini intime sono obblighi al 2 dicembre 2026. Non lasciate che la data del 2027 sposti l'attenzione da esse.
- Predisponete i controlli per l'alto rischio. Gestione del rischio, governance dei dati, log, sorveglianza umana e documentazione tecnica sono lavoro di ingegneria. Integrateli ora, così che il 2027 sia un checkpoint e non una ricostruzione.
- Collegatelo al vostro programma di protezione dei dati. Governance dell'IA e GDPR si sovrappongono ampiamente; gestiteli come un unico flusso di lavoro per riutilizzare prove, mappature e controlli invece di duplicarli.
- Nominate un responsabile e confermate la pubblicazione. Assegnate la responsabilità del dossier legge IA e ridefinite il piano solo dopo che l'Omnibus compare nella Gazzetta ufficiale.
Nulla di ciò è consulenza legale, e gli obblighi esatti dipendono dai vostri sistemi, dai vostri mercati e dal testo finale pubblicato. Ma il segnale strategico è chiaro: l'UE ha ceduto sulle tempistiche, non sulla sostanza. Le regole per l'IA ad alto rischio arrivano, i primi obblighi sono già qui, e il vantaggio appartiene ai team che progettano per la governance ora anziché sprintare verso una scadenza a fine 2027.
Domande frequenti
L'UE ha rinviato la legge sull'IA?
L'UE ne ha rinviato una parte, non tutta la legge. Il 29 giugno 2026 il Consiglio ha dato l'approvazione finale al Digital Omnibus, che rinvia il termine di conformità per l'alto rischio e semplifica alcuni obblighi. La legge sull'IA resta in vigore e i divieti e le regole per l'IA per finalità generali già applicabili non sono stati rinviati.
Qual è il nuovo termine ad alto rischio della legge IA dell'UE?
I sistemi ad alto rischio autonomi dell'Allegato III si applicano ora dal 2 dicembre 2027 anziché dal 2 agosto 2026; l'IA ad alto rischio integrata in prodotti regolamentati dell'Allegato I dal 2 agosto 2028. Le date vincolano solo dopo la pubblicazione del regolamento nella Gazzetta ufficiale.
Quali regole della legge IA restano in vigore nel 2026?
I divieti sulle pratiche vietate di febbraio 2025 e gli obblighi per l'IA per finalità generali di agosto 2025 non sono stati rinviati. È stato aggiunto un nuovo divieto sulle immagini intime non consensuali generate dall'IA e sui materiali pedopornografici con periodo transitorio fino al 2 dicembre 2026, e il periodo di tolleranza per la marcatura dei contenuti IA è passato da sei a tre mesi, fissando il 2 dicembre 2026.
La legge IA dell'UE si applica alle aziende statunitensi?
Sì. La legge si applica in modo extraterritoriale: un'azienda statunitense rientra nell'ambito se immette un sistema di IA sul mercato dell'UE o se l'output del suo sistema è usato nell'UE, indipendentemente da dove ha sede. Il termine spostato non cambia questa portata.
Cosa dovrebbero fare i team software con il tempo aggiuntivo?
Inventariate i vostri sistemi di IA, classificate ciascuno rispetto ai livelli di rischio e costruite la governance dei dati, i log, la gestione del rischio e la sorveglianza umana che i sistemi ad alto rischio richiedono. Rilasciate prima le voci al 2 dicembre 2026 e integrate la conformità nel prodotto invece di adattarla nel 2027.
Fonti
Consiglio dell'UE — Artificial Intelligence: Council gives final green light to simplify and streamline rules, 29 giugno 2026 (fonte primaria)
Gibson Dunn — EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes, 2026
White & Case — EU agrees Digital Omnibus deal to simplify AI rules, 2026