Se la tua organizzazione sviluppa, distribuisce o utilizza IA nella selezione del personale, nella valutazione del merito creditizio, nelle infrastrutture critiche o in contesti di frontiera e di contrasto, hai passato gran parte del 2026 a prepararti per il 2 agosto 2026. Quella scadenza è passata senza che gli obblighi per i sistemi ad alto rischio entrassero in gioco. Ora hai tempo fino al 2 dicembre 2027: una proroga di 16 mesi, concessa in larga parte perché le norme tecniche armonizzate che avrebbero dovuto rendere praticabile la conformità sono arrivate in ritardo.
È un sollievo reale, ed è più circoscritto di quanto sembri. La proroga ha spostato un insieme di obblighi. Non ha spostato il GDPR, non ha spostato l'impianto sanzionatorio del regolamento IA e non ha spostato due nuovi divieti che scattano già a dicembre, senza alcun periodo transitorio. La sovrapposizione tra le due normative — dove si scontrano, e dove gli stessi fatti possono essere valutati due volte con due criteri diversi — è esattamente dov'era.
Che cosa si è spostato davvero e che cosa no
L'Omnibus IA ha riorganizzato il calendario, non la sostanza. Le date che ora contano:
Che cosa non si è spostato. Gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026, come previsto: se il tuo chatbot parla con i clienti, questi devono esserne informati, e nessuna proroga copre questo aspetto. I divieti già in vigore dell'articolo 5 si applicano da febbraio 2025. E due nuovi divieti dell'articolo 5 hanno effetto dal 2 dicembre 2026: i sistemi di IA che generano o manipolano materiale pedopornografico e quelli che generano immagini intime realistiche di una persona identificabile senza il suo consenso esplicito. Il secondo va oltre le app di «denudamento» costruite a tale scopo: raggiunge i fornitori di modelli generativi per finalità generali quando un simile esito è ragionevolmente prevedibile e non sono state predisposte garanzie adeguate.
A che cosa serve il tempo guadagnato. I sistemi di IA ad alto rischio dell'allegato III — selezione e gestione del personale, valutazione del merito creditizio, accesso ai servizi essenziali, categorizzazione biometrica, valutazione in ambito educativo — dovranno comunque avere tutto questo entro dicembre 2027:
- Un sistema di gestione dei rischi mantenuto lungo l'intero ciclo di vita del sistema
- Standard di governance dei dati per i set di addestramento e convalida, compreso il rilevamento dei bias
- Documentazione tecnica abbastanza solida da reggere un controllo dell'autorità
- Registrazione automatica delle operazioni del sistema
- Disposizioni di trasparenza che consentano a deployer e persone interessate di capire che cosa fa il sistema
- Meccanismi di sorveglianza umana che permettano di intervenire o arrestare il sistema in qualsiasi momento
- Standard di accuratezza, robustezza e cibersicurezza adeguati alla finalità del sistema
Entro quella data i fornitori dovranno aver completato le valutazioni di conformità, finalizzato la documentazione tecnica, apposto la marcatura CE ed effettuato la registrazione nella banca dati dell'UE. L'Omnibus ha inoltre ristretto la definizione di «componente di sicurezza» — un componente porta un sistema nell'ambito dell'alto rischio solo se la sua finalità è prevenire o attenuare rischi per la salute e la sicurezza, per cui l'IA usata unicamente per ottimizzazione, assistenza all'utente o comodità ne resta fuori — e ha attenuato l'alfabetizzazione in materia di IA dell'articolo 4, che passa dal dovere di garantire un livello di competenza del personale a quello di sostenerne lo sviluppo.
Se diversi di questi obblighi ti suonano familiari, è giusto così. Il GDPR imponeva già valutazioni d'impatto sulla protezione dei dati, analisi del rischio documentata, trasparenza verso gli interessati e garanzie sulle decisioni automatizzate. Il regolamento IA non sostituisce nulla di tutto ciò: vi si aggiunge, con una propria base giuridica, propri requisiti documentali e proprie sanzioni. Niente di tutto questo è stato rinviato, perché il GDPR non ha mai fatto parte della proroga.
Dove le due normative si sovrappongono davvero
Questa è la parte su cui la proroga non incide. La sovrapposizione è strutturale, non dipende dal calendario: il GDPR si applica già oggi ai dati personali presenti nel tuo sistema di IA, e gli obblighi del regolamento IA colpiranno gli stessi sistemi a dicembre 2027. I punti di collisione più netti:
Governance dei dati. L'articolo 10 del regolamento IA impone la governance dei set di addestramento e convalida: pertinenza, rappresentatività, rilevamento dei bias. I principi di minimizzazione ed esattezza del GDPR (articolo 5) governano già i dati personali contenuti in quegli stessi set. Da dicembre 2027 un set di addestramento viziato potrà costituire violazione di entrambi i quadri contemporaneamente, valutata con due criteri diversi; e ai soli fini del GDPR può esserlo già oggi.
Valutazioni d'impatto. Il GDPR richiede una valutazione d'impatto sulla protezione dei dati (DPIA) per i trattamenti ad alto rischio. Il regolamento IA richiede una valutazione d'impatto sui diritti fondamentali (FRIA) per determinati impieghi ad alto rischio, in particolare da parte di organismi pubblici e in settori sensibili. Non sono lo stesso documento, ma attingono in larga misura alla stessa analisi del rischio sottostante: ed è esattamente per questo che vale la pena spendere il tempo guadagnato sulle fondamenta della DPIA su cui la FRIA dovrà poggiare.
Trasparenza. Gli articoli da 12 a 14 del GDPR impongono informazioni chiare agli interessati sul trattamento. Il regolamento IA impone separatamente ai fornitori di fornire ai deployer istruzioni per l'uso sicuro e informazioni su accuratezza e limiti del sistema, e impone che le persone siano informate quando interagiscono con un sistema di IA. Due regimi di trasparenza, due destinatari, due insiemi di obblighi informativi.
Sorveglianza umana e decisioni automatizzate. L'articolo 22 del GDPR limita le decisioni esclusivamente automatizzate che producono effetti giuridici o similmente significativi. Il requisito di sorveglianza umana del regolamento IA è più ampio e si applica a prescindere dal fatto che la decisione sia «esclusivamente» automatizzata: un sistema che supera l'asticella dell'articolo 22 del GDPR perché formalmente un essere umano esamina gli output può comunque non superare l'asticella più alta del regolamento IA su che cosa sia una sorveglianza effettiva.
Il conto delle sanzioni
L'Omnibus ha spostato scadenze. Non ha toccato l'articolo 99, che mantiene una struttura a tre livelli; e nota quale è già operativo: quello più alto, che copre le pratiche vietate in vigore da febbraio 2025 e le due nuove in arrivo a dicembre 2026.
- Fino a 35 milioni di euro o il 7 % del fatturato annuo mondiale per violazioni delle pratiche vietate (articolo 5)
- Fino a 15 milioni di euro o il 3 % del fatturato per violazioni relative ai sistemi ad alto rischio
- Fino a 7,5 milioni di euro o l'1 % del fatturato per informazioni inesatte o fuorvianti fornite alle autorità
Il livello più alto supera ora il massimo previsto dal GDPR di 20 milioni di euro o il 4 % del fatturato mondiale, il che rende il regolamento IA il più severo dei due regimi al suo tetto.
Punto cruciale: l'articolo 99, paragrafo 8, contiene una regola «una condotta, una sanzione». Se un'unica violazione fattuale infrange sia il regolamento IA sia un'altra norma dell'UE come il GDPR, le autorità irrogano soltanto la più elevata delle due sanzioni applicabili. Ma questa tutela è più stretta di quanto sembri. Se un sistema di IA viola le regole di governance dei dati del regolamento IA attraverso un set di addestramento distorto e viola separatamente i principi di esattezza o minimizzazione del GDPR per come quegli stessi dati sono stati raccolti o conservati, si tratta di violazioni distinte e possono essere sanzionate separatamente.
Giuridicamente non è il «ne bis in idem» nel senso che molti team compliance immaginano. È una valutazione fatta violazione per violazione, e più le pratiche di trattamento dati del tuo sistema di IA sono intrecciate con dati personali soggetti al GDPR, più superficie offri perché quella separazione giochi contro di te.
Che cosa fare con 16 mesi in più
Una scadenza rinviata non è un rischio rinviato, e non sono certo sedici mesi di inattività. L'istinto di trattare regolamento IA e GDPR come due check-list da percorrere in sequenza resta l'errore più costoso a disposizione. Alcune cose che invece vale la pena fare:
- Metti in calendario le date di dicembre 2026 prima di ogni altra cosa. I due nuovi divieti dell'articolo 5 e le regole di marcatura dei media sintetici dell'articolo 50, paragrafo 2, arrivano senza alcun margine. Se generi o manipoli immagini, video o audio in qualsiasi forma rivolta al cliente, è una questione di questo trimestre, non del 2027.
- Classifica ora i tuoi sistemi e documenta il ragionamento, anche quando la risposta è «non ad alto rischio». La definizione più stretta di componente di sicurezza fa sì che alcuni sistemi che nel 2025 sembravano rientrare ne siano usciti: metti per iscritto il perché. La classificazione stessa devi poterla dimostrare, e non diventa più facile rimandandola al 2027.
- Collega tra loro DPIA e FRIA invece di commissionarle separatamente. Se un sistema le richiede entrambe, l'analisi del rischio sottostante dovrebbe essere una base condivisa e non due esercizi scollegati che si contraddicono in silenzio. Se non hai ancora alcun processo di DPIA, parti da lì: la FRIA è molto più difficile da costruire sul nulla.
- Confronta le informative di trasparenza GDPR esistenti con i requisiti informativi del regolamento IA. Coprono informazioni diverse, ma un'informativa costruita solo per il GDPR con ogni probabilità omette ciò che il regolamento IA richiede in più, e gli obblighi dell'articolo 50 relativi all'IA rivolta ai clienti non sono mai stati rinviati. Tutto ciò arriva mentre l'EDPB ha fatto della trasparenza degli articoli da 12 a 14 la sua priorità di azione coordinata per il 2026. Quest'anno entrambe le autorità guardano le stesse informative, per ragioni diverse.
- Tratta la sorveglianza umana come un requisito di progettazione, non come una dichiarazione d'intenti. Le autorità di entrambi i regimi chiederanno la prova che una persona possa intervenire in modo significativo, non solo che figuri nominalmente nel processo. La nostra check-list sulla sorveglianza umana dell'IA mostra come si presenta questa prova nella pratica.
- Fai parlare fin da ora i team legali e quelli della documentazione tecnica. I requisiti di documentazione tecnica e registrazione del regolamento IA saranno sempre più la base probatoria con cui le autorità valuteranno anche la conformità al GDPR, perché entrambi dipendono dal poter dimostrare — non solo affermare — come un sistema tratta effettivamente i dati personali.
Perché la proroga non ti regala un anno tranquillo
La proroga riguarda un insieme di obblighi del regolamento IA. Non riguarda il contesto sanzionatorio in cui quegli obblighi atterrano, e quel contesto non si è calmato.
Le sanzioni GDPR hanno già superato i 7,1 miliardi di euro complessivi, con oltre 600 milioni irrogati nel solo primo semestre 2026. Le notifiche giornaliere di violazione dei dati sono salite del 22 % su base annua a 443 al giorno: la prima volta che questa cifra supera quota 400 da quando il GDPR è entrato in applicazione nel 2018. E l'attività sanzionatoria è andata decisamente oltre le grandi piattaforme: da gennaio 2023 sono state irrogate più sanzioni a piccole e medie imprese che nei cinque anni precedenti messi insieme.
Sovrapponi a questa traiettoria un secondo regime sanzionatorio con un tetto più alto — da dicembre 2027, con due divieti un anno intero prima — e il messaggio per i team compliance è semplice: il regolamento IA non ha soltanto aggiunto una norma in più da seguire. Ha aggiunto una seconda autorità, con una propria idea di che cosa il tuo sistema di IA debba alle persone i cui dati tocca, che agirà nello stesso momento, sugli stessi sistemi e spesso sugli stessi fatti. La proroga ha cambiato quando tutto questo comincia. Non ha cambiato nulla di quanto costa farsi trovare impreparati.
Se non sei sicuro da che parte della linea dell'alto rischio si collochino i tuoi sistemi, è la prima domanda a cui rispondere: gli obblighi sopra descritti mordono solo all'interno dell'allegato III, ma la classificazione in sé devi averla documentata. Prenota una consulenza gratuita con GDPRGard →
Fonti
- Regolamento IA dell'UE — articolo 99, sanzioni
- Regolamento IA dell'UE — allegato III, sistemi di IA ad alto rischio
- Commissione europea — calendario di attuazione del regolamento IA
- CMS GDPR Enforcement Tracker
- Comitato europeo per la protezione dei dati — quadro di azione coordinata
Da leggere anche:
- Dentro l'Omnibus digitale dell'UE: che cosa cambia davvero per il GDPR
- Il rinvio del regolamento IA non copre il tuo chatbot
- Perché ogni azienda SaaS ha bisogno di una DPIA prima di lanciare funzioni di IA