Digital Omnibus: l'alto rischio slitta al 2027, cosa resta live ad agosto 2026

Il Digital Omnibus di giugno 2026 ha fatto una cosa semplice e una cosa fraintesa.

La cosa semplice: ha proposto di rinviare gli obblighi ad alto rischio dell’Allegato III fino a fine 2027. La cosa fraintesa: mezza newsletter di consulenza AI l’ha letta come “l’AI Act è slittato, potete rilassarvi fino al 2027”.

Non è vero. Ad agosto 2026 restano vivi obblighi che riguardano molte più PMI dell’alto rischio. Ecco la mappa onesta di cosa slitta e cosa no.

In breve:

• Il Digital Omnibus rinvia gli obblighi dell’Allegato III (alto rischio) fino a fine 2027, non tutto l’AI Act.
• Ad agosto 2026 restano obbligatori: i divieti (rischio inaccettabile), la trasparenza dell’art. 50 (dire all’utente che parla con un’AI) e l’AI literacy dell’art. 4 (formare il team).
• Se hai un chatbot o un agente client-facing, l’adeguamento all’art. 50 va fatto comunque: è un intervento di ore, non di mesi.
• Il rinvio dell’alto rischio non è una scusa per rimandare l’audit log: costruirlo ora costa poco, aggiungerlo dopo costa molto.
• Per il 90% delle PMI il lavoro reale resta piccolo: una policy, una formazione base, una nota di trasparenza.

Cosa slitta davvero: l’Allegato III

L’Allegato III elenca i sistemi ad alto rischio: recruitment automatico, scoring credito, gestione di infrastrutture critiche, valutazioni scolastiche, alcuni usi in ambito sanitario.

Per questi sistemi la proposta di Digital Omnibus sposta più avanti (fino a fine 2027, in base al testo in discussione) gli obblighi pesanti: risk assessment formale, logging strutturato, documentazione tecnica, registrazione nel database UE.

Se usi AI per decidere o influenzare significativamente assunzioni o valutazioni, ricadi qui. Il rinvio ti dà respiro, non un’assoluzione.

Cosa NON slitta: i tre pezzi live ad agosto 2026

1. I divieti (rischio inaccettabile)

Social scoring, manipolazione subliminale, sfruttamento di vulnerabilità, alcune forme di riconoscimento biometrico. Sono vietati e restano vietati. Per la PMI media non è un tema, ma va detto: qui non c’è proroga.

2. Trasparenza, art. 50

Questo tocca tante PMI. Se hai un chatbot, un assistente vocale o un agente che parla con clienti esterni, l’utente deve sapere in modo chiaro che sta interagendo con un sistema di AI, non con una persona.

Anche i contenuti generati o manipolati dall’AI (immagini, audio, testi client-facing) vanno etichettati dove appropriato.

L’intervento pratico è piccolo: una frase esplicita nel chatbot, la possibilità di chiedere un umano, un’etichetta sui contenuti generati. Ore di lavoro, non settimane.

3. AI literacy, art. 4

Chi sviluppa o usa sistemi di AI deve garantire che il personale che li opera abbia un livello adeguato di competenza. Non è rinviato dal Digital Omnibus ed è già applicabile.

In concreto per una PMI significa: una policy interna di 1 pagina (cosa è permesso, cosa no, come si segnalano problemi) e una formazione base per chi usa gli strumenti. Nulla di eroico, ma va documentato.

La trappola: usare la proroga come scusa

Il rischio più concreto che vediamo nelle call non è la multa. È il rinvio mentale: “l’alto rischio slitta al 2027, quindi l’audit log lo mettiamo dopo”.

È un errore economico, non solo di compliance. Aggiungere logging immutabile, tracciamento delle decisioni e supervisione umana a un agente già in produzione costa molto di più che progettarli dall’inizio.

Nei nostri sprint queste cose sono di default, non perché siamo eroici, ma perché senza di esse non possiamo lavorare su settori regolamentati:

• audit log immutabile su ogni decisione dell’agente
• umano sempre nel loop sui casi critici (per il recruitment: sempre sull’offer finale)
• DPA art. 28 GDPR incluso nel contratto
• nessun training degli LLM sui tuoi dati

Se lo costruisci ora, la proroga diventa un margine di sicurezza. Se lo rimandi, il 2027 arriva prima di quanto pensi.

Cosa fare adesso, in ordine

1. Mappa i tuoi sistemi AI per livello di rischio. Chatbot client-facing = limitato (art. 50). Recruitment automatico = alto (Allegato III, con proroga). Automazione interna di fatture = minimo.
2. Sistema l’art. 50 su tutto ciò che parla con l’esterno. Ore di lavoro.
3. Scrivi la policy e forma il team (art. 4). Già dovuto, non rinviato.
4. Non rimandare l’audit log anche se l’alto rischio slitta.

Per la mappa dettagliata livello per livello, abbiamo una guida sull’AI Act per le aziende. Per la formazione e la policy interna, il percorso di AI Adoption. Se il tema è un chatbot client-facing da mettere in regola, partiamo da customer support.

Se vuoi capire in quale livello ricadono i tuoi sistemi e cosa serve davvero fare, parliamone, 20 minuti, senza pitch.