Il Digital Omnibus sull'AI ha spostato le scadenze che hanno fatto notizia e ha lasciato intatta quella che influenzerà davvero il tuo lavoro. Gli obblighi ad alto rischio sono slittati di oltre un anno. La trasparenza dell'Articolo 50 non è slittata. Si applica dal 2 agosto 2026, che sono circa tre settimane da ora, ed è la disposizione che colpisce i team ordinari che fanno cose ordinarie: generare testo, immagini, o audio con un modello e mettere l'output davanti a una persona.

Il sollievo era reale, e capisco perché i team abbiano letto la copertura mediatica e si siano rilassati. Era solo sollievo per un problema diverso dal proprio. Se gestisci un summarizer, un assistente di supporto, o una pipeline di contenuti su Amazon Bedrock, quasi niente di ciò che è stato rinviato ti avrebbe mai vincolato. Ciò che ti vincola è ciò che è rimasto.

Cosa è successo davvero

Il Parlamento Europeo ha approvato il Digital Omnibus sull'AI il 16 giugno 2026, e il Consiglio lo ha adottato formalmente il 29 giugno 2026, chiudendo la procedura legislativa. Entra in vigore questo mese con la pubblicazione nella Gazzetta Ufficiale. Quindi questa è legge assodata, non una proposta da monitorare.

Cosa è cambiato:

  • I sistemi ad alto rischio dell'Allegato III (autonomi) passano dal 2 agosto 2026 al 2 dicembre 2027.
  • I sistemi ad alto rischio dell'Allegato I (incorporati in prodotti regolamentati) passano dal 2 agosto 2027 al 2 agosto 2028.
  • Un nuovo divieto sui sistemi che generano immagini intime non consensuali e CSAM, o che mancano di garanzie ragionevoli contro questo, si applica dal 2 dicembre 2026.

Cosa non è cambiato: gli obblighi di trasparenza dell'Articolo 50 si applicano ancora dal 2 agosto 2026.

La confusione da evitare

Due date separate del 2 agosto stanno causando molti danni nelle discussioni interne in questo momento, quindi sii preciso su quale intendi.

Il 2 agosto 2025 era la data GPAI. Gli obblighi sui fornitori di modelli AI general-purpose, Articoli da 51 a 56, sono in vigore da quasi un anno. Questi ricadono su chi fornisce il modello. Se chiami i pesi di Anthropic o Meta o Mistral tramite Bedrock, non sei tu il fornitore GPAI, e quella data non è mai stata tua.

Il 2 agosto 2026 è la data della trasparenza, e ricade su fornitori e deployer di sistemi AI. Quello sei tu. Costruire una funzionalità sul modello di qualcun altro ti rende fornitore del sistema che hai costruito, e gestirlo ti rende deployer. Nessuno di quei ruoli è stato rinviato.

Ho partecipato a più di una riunione in cui "la roba dell'AI Act è già successa lo scorso agosto" e "l'AI Act è stato spostato al 2027" sono state dette a venti minuti di distanza, ed entrambi i relatori avevano parzialmente ragione, che è il tipo peggiore di disaccordo da avere.

Cosa chiede l'Articolo 50

Quattro obblighi, e sono più ristretti e meccanici di quanto suggerisca il dibattito pubblico.

50(1): dì alle persone che stanno parlando con una macchina

Se un sistema interagisce direttamente con le persone, devono essere informate che stanno interagendo con un sistema AI, a meno che non sia ovvio dal contesto per una persona ragionevolmente attenta. Un widget di chat etichettato "assistente AI" è a posto. Un assistente a cui è stato dato un nome proprio umano, inserito in una coda di supporto, e mai dichiarato, non lo è.

50(2): marca l'output sintetico in modo leggibile da macchina

Questo è quello con l'ingegneria dentro. I fornitori di sistemi che generano audio, immagini, video, o testo sintetici devono marcare gli output in un formato leggibile da macchina, rilevabile come generato o manipolato artificialmente. Non un'etichetta visibile per gli umani: una marcatura che una macchina può rilevare, che in pratica significa metadata di provenienza come C2PA per le immagini, watermarking dove si applica, e un approccio documentato per il testo, dove lo stato dell'arte è onestamente più debole di quanto suggerisca il testo normativo. L'Articolo 50(2) chiede che le soluzioni di marcatura siano, nelle sue stesse parole, efficaci, interoperabili, robuste e affidabili per quanto tecnicamente fattibile, e quell'ultima clausola pesa parecchio per il testo.

C'è un dettaglio transitorio degno di nota, ed è l'unico punto in cui l'Omnibus ha toccato l'Articolo 50: i sistemi che generano contenuto sintetico ed erano già stati immessi sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per l'obbligo di marcatura leggibile da macchina. Una proroga di quattro mesi, solo per i sistemi esistenti. Qualsiasi cosa spedisci dopo il 2 agosto rientra nell'ambito dal primo giorno. Se stai leggendo questo come una tregua, nota che compra quattro mesi per i sistemi che hai già spedito e niente per la roadmap.

50(3): riconoscimento delle emozioni e categorizzazione biometrica

I deployer devono informare le persone esposte. Se questo ti riguarda, lo sai già, e hai obblighi più grandi altrove nell'Act.

50(4): deepfake e testo di interesse pubblico

I deployer devono dichiarare il contenuto deepfake come generato artificialmente. E i deployer che pubblicano testo generato o manipolato dall'AI per informare il pubblico su questioni di interesse pubblico devono dichiararlo anch'essi, a meno che un umano non l'abbia revisionato e qualcuno detenga la responsabilità editoriale. Quell'esenzione è l'indizio di design: la revisione umana con responsabilità nominata è un percorso reale, non una scappatoia.

Cosa significa se costruisci su Bedrock

Bedrock non marca l'output per te. Non c'è un flag su Converse che rende conforme il tuo contenuto sintetico, e non dovrebbe esserci, perché la marcatura è una proprietà dell'artefatto che produci e della pipeline che lo produce. AWS ti dà l'inferenza. L'obbligo si attacca al sistema che hai costruito attorno ad essa.

In pratica, quattro cose:

  • Fai l'inventario di cosa generi e dove finisce. La maggior parte dei team non riesce a rispondere in una sola riunione. Ogni chiamata al modello che produce contenuto mostrato a una persona fuori dall'azienda, più la modalità, più se un umano lo revisiona prima della pubblicazione. L'inventario è il lavoro; la classificazione di solito è facile una volta che ce l'hai.
  • Allega la provenienza alla generazione, non alla pubblicazione. Se un'immagine è prodotta da un modello, marcala nel passaggio della pipeline che l'ha prodotta. Marcare dopo significa trovarla dopo, e non la troverai tutta.
  • Metti per iscritto il tuo approccio sul testo e perché. La marcatura del testo è genuinamente irrisolta. Una posizione documentata e difendibile, con il percorso di revisione umana e responsabilità editoriale usato dove si adatta, batte una scommessa non documentata. "Tecnicamente fattibile" è uno standard che puoi soddisfare con prove, non con il silenzio.
  • Controlla la dichiarazione che già spedisci. Il lavoro del 50(1) spesso è già fatto e serve solo confermarlo. Questa è la riga più economica della tabella.

Perché il rinvio non ti aiuta

L'Allegato III riguarda credit scoring, assunzioni, accesso all'istruzione, servizi essenziali, forze dell'ordine, migrazione. Reale, ma una lista specifica. Se il tuo prodotto non c'è dentro, la data del 2 dicembre 2027 è trivia. Il modello mentale che fallisce è trattare "l'AI Act" come un'unica scadenza con un'unica data. È un insieme di obblighi legati a ruoli, ciascuno con il proprio orologio, e l'Omnibus ha regolato alcuni orologi e non altri. Il tuo potrebbe non essersi mosso affatto.

Dal 2 agosto 2026 l'AI Office e le autorità nazionali possono multare le violazioni degli obblighi di fornitori e deployer, incluso l'Articolo 50, fino a 15 milioni di euro o il 3 percento del fatturato annuo mondiale, a seconda di quale sia superiore. La capacità di enforcement nei primi mesi sarà limitata e nessuno sensato si aspetta un'ondata di multe ad agosto. È una ragione per stare calmi, non una ragione per essere impreparati, perché il passaggio dell'inventario è la parte lenta e non accelera sotto pressione.

Il punto chiave

Il Digital Omnibus ha rinviato gli obblighi ad alto rischio a dicembre 2027 e agosto 2028 e ha lasciato la trasparenza dell'Articolo 50 al 2 agosto 2026. Gli obblighi GPAI si applicano da agosto 2025 ed erano sempre di qualcun altro, non tuoi. Se generi contenuto con un modello e lo mostri a persone nell'UE, la tua scadenza è tra tre settimane, con una proroga di marcatura di quattro mesi solo per i sistemi già sul mercato. Fai l'inventario di cosa generi, marcalo dove lo produci, documenta il tuo ragionamento sul testo, e dichiara il bot. È un progetto più piccolo di quanto suggeriscano i titoli, ed è dovuto molto prima.

Leggi questo dopo

Il lato residenza dei dati e confini account della compliance UE vive nelle field notes su ercan.cloud. L'hub è su ercanermis.com.