L'AI Omnibus è entrato in vigore il 27 luglio 2026 e ha spostato gli obblighi ad alto rischio del Regolamento UE sull'IA dal 2 agosto 2026 al 2 dicembre 2027 [1][2]. I sistemi nelle aree sensibili dell'Allegato III — biometria, infrastrutture critiche, istruzione, occupazione, migrazione, asilo, controllo delle frontiere — hanno guadagnato 16 mesi. Le organizzazioni che avevano costruito una timeline di approvvigionamento IA basata sulla data di agosto 2026 hanno perso la loro leva sei giorni prima che entrasse in vigore. La nostra posizione: si tratta di un ritardo nella preparazione degli standard piuttosto che di un cambiamento in ciò che sarà richiesto, e interpretarlo come 16 mesi di margine è la lettura più costosa.

Cosa è effettivamente cambiato il 27 luglio

L'Omnibus è stato proposto il 19 novembre 2025, ha raggiunto un accordo politico il 7 maggio 2026 ed è entrato in vigore il 27 luglio 2026 [2]. Cambia due date. I sistemi ad alto rischio nelle aree sensibili dell'Allegato III si applicano ora dal 2 dicembre 2027. L'IA ad alto rischio integrata in prodotti regolamentati — esempi del Regolamento sono ascensori e giocattoli — viene posticipata ulteriormente, al 2 agosto 2028 [1].

Tre elementi non sono cambiati. Le pratiche vietate e l'obbligo di alfabetizzazione sull'IA si applicano dal 2 febbraio 2025. Gli obblighi relativi ai modelli GPAI e il quadro di governance si applicano dal 2 agosto 2025. E il 2 agosto 2026 rimane la data in cui l'Ufficio IA e le autorità degli Stati membri hanno iniziato a supervisionare e far rispettare il Regolamento [1].

Il Regolamento è attivo e viene applicato. Un capitolo inizia più tardi del previsto.

Il ritardo riguarda gli standard, non la sostanza

CEN e CENELEC sono stati incaricati di produrre gli standard armonizzati a supporto dei requisiti per i sistemi ad alto rischio con una scadenza ad agosto 2025, ma non li hanno consegnati [3]. Questa lacuna è il meccanismo. Senza standard armonizzati non esiste una base tecnica definita a cui un deployer possa conformarsi e nulla di concreto su cui effettuare una valutazione, motivo per cui la Commissione ha dichiarato che le regole procedevano più velocemente degli standard necessari a supportarle [3].

Il pacchetto è arrivato dopo la pressione pubblica di ASML, Airbus, Ericsson, Nokia, SAP, Siemens e Mistral AI, che sostenevano che l'Europa si stava regolamentando fuori dalla corsa globale all'IA. Ma ha introdotto nuovi divieti invece di rimuovere solo oneri: sono stati aggiunti nel medesimo strumento il divieto di sistemi IA che producono deepfake sessuali non consensuali e materiale di abuso sessuale su minori [3]. Definire l'Omnibus come un allentamento generale è una lettura errata.

Le linee guida restano incomplete insieme agli standard. La pagina della Commissione sulle linee guida per i sistemi ad alto rischio, aggiornata l'ultima volta il 6 luglio 2026, copre la classificazione — come un'organizzazione determina se un sistema è ad alto rischio — e afferma che le linee guida sugli obblighi stessi devono ancora arrivare [4]; i deployer che si preparano oggi lavorano su materiale in bozza.

Quanto valgono realmente 16 mesi

Gli obblighi in attesa alla fine dell'estensione sono gli stessi. La supervisione umana, il monitoraggio, la conservazione dei log e la capacità di dimostrare ciascuno di essi su richiesta ricadono ancora sul deployer — la banca, l'ospedale, l'agenzia — e non sul fornitore del modello. Abbiamo mappato questi obblighi sulle architetture di deployment in Regolamento UE sull'IA nel 2026: cosa cambia nel deployment on-premise riguardo alla conformità.

La trappola è una discrepanza nei tempi di consegna. Un documento di policy, un registro dei rischi e un insieme di procedure interne possono essere redatti in un trimestre. Cambiare il luogo in cui avviene l'inferenza no. Spostare un flusso di lavoro di produzione da un'API gestita a un'inferenza operata dal deployer, indirizzare l'audit nel proprio SIEM del deployer e mettere l'identità dietro l'IdP del deployer è un ciclo di approvvigionamento seguito da un ciclo di distribuzione, e nei settori regolamentati il solo ciclo di approvvigionamento dura da nove a dodici mesi. Il schema che lo consuma è ben documentato: il pilota tecnico passa, poi il fascicolo resta con la compliance.

Sedici mesi comprano un cambiamento architetturale. Non ne comprano due, e non comprano uno più un anno di attesa che gli standard si stabilizzino.

Il fattore che ignora il calendario dell'Atto

I requisiti di residenza vengono scritti nei progetti indipendentemente da qualsiasi data di conformità. Il principal analyst di Forrester Dario Maisto descrive acquirenti che specificano la residenza dei dati e l'architettura AI sovrana nella fase di pianificazione piuttosto che aggiungerla come controllo successivo [5]. I fornitori europei detengono circa il 15% del mercato dell'infrastruttura cloud della regione, e Gartner prevede che la spesa per il cloud sovrano europeo più che triplicherà tra il 2025 e il 2027 [5].

Questi sono dati di mercato, non scadenze legali, ed è proprio questo il punto. Nulla nell'Omnibus ha cambiato il luogo in cui un'organizzazione vuole che i suoi prompt vengano elaborati.

Cosa faremmo con la finestra

Effettueremmo ora il cambiamento architetturale, su un carico di lavoro che non è ad alto rischio, dove un errore costa una ricostruzione anziché una contestazione. Lasceremmo accumulare la traccia di audit sotto un uso reale. Quando un carico di lavoro dell'Allegato III dovrà essere dimostrato, il percorso delle prove sarà in funzione da un anno e il memo di conformità descriverà qualcosa che esiste già.

AI Suite di Software Tailor esegue l'inferenza su hardware operato dal deployer, e AI Admin Console è dove vengono gestite policy, licenze e audit senza contenuti. Sei clienti Fortune Global 500 nei settori pharma, finanza, governo, legale, difesa ed energia utilizzano questa configurazione (clienti passati).

Un pilota di una settimana sull'hardware del deployer è sufficiente per rispondere alla domanda che conta prima di dicembre 2027: se le prove richieste a un team di conformità possono effettivamente essere prodotte.

Riferimenti

  1. Commissione Europea. "AI Act — Quadro normativo sull'IA." https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai. Accesso 2026-08-04. Pagina aggiornata l'ultima volta il 3 agosto 2026.
  2. Commissione Europea. "Entrata in vigore dell'AI Omnibus." https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force. Consultato il 04-08-2026. Pagina aggiornata l'ultima volta il 31 luglio 2026.
  3. The Register. "L'UE rimanda le regole sull'AI Act dopo la reazione dell'industria." https://www.theregister.com/ai-and-ml/2026/05/07/eu-hits-snooze-on-ai-act-rules-after-industry-backlash/5234530. Pubblicato il 7 maggio 2026. Consultato il 04-08-2026.
  4. Commissione Europea. "Linee guida per fornitori e implementatori di sistemi AI ad alto rischio." https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-high-risk-systems. Consultato il 04-08-2026. Pagina aggiornata l'ultima volta il 6 luglio 2026.
  5. The Register. "Gli acquirenti tecnologici integrano la sovranità fin dal primo giorno, dice Forrester." https://www.theregister.com/ai-and-ml/2026/07/31/tech-buyers-are-baking-in-sovereignty-from-day-one-says-forrester/5281208. Pubblicato il 31 luglio 2026. Consultato il 04-08-2026.