Luca Frabboni – Maat Srl
Il calendario applicativo dell’AI Act è stato oggetto di un rilevante intervento di correzione attraverso il pacchetto noto come Digital Omnibus on AI. L’obiettivo dichiarato delle istituzioni europee è quello di rendere più sostenibile l’attuazione del Regolamento (UE) 2024/1689, evitando che imprese, autorità nazionali, organismi notificati e professionisti si trovino a dover applicare obblighi complessi in assenza di standard armonizzati, linee guida operative e strumenti tecnici sufficientemente maturi.
Il punto essenziale, tuttavia, deve essere chiarito subito: il Digital Omnibus non sospende l’AI Act e non ne modifica l’impianto generale. Il Regolamento europeo sull’intelligenza artificiale resta fondato su un approccio basato sul rischio, con divieti per le pratiche considerate inaccettabili, obblighi specifici per i sistemi ad alto rischio, regole di trasparenza per determinate applicazioni e prescrizioni particolari per i modelli di IA per finalità generali.
La modifica incide soprattutto sul calendario degli obblighi relativi ai sistemi ad alto rischio, rinviando alcune scadenze originariamente previste per il 2026 e il 2027. Rimangono invece centrali le scadenze già maturate e quelle confermate in materia di trasparenza, alfabetizzazione sull’intelligenza artificiale, modelli GPAI, responsabilità professionale, protezione dei dati e corretto utilizzo degli strumenti di IA nei rapporti con clienti, utenti e pubblico.
Per avvocati, studi professionali, imprese e consulenti, il messaggio operativo è quindi chiaro: alcune attività di compliance potranno essere pianificate con maggiore gradualità, ma l’adeguamento all’AI Act non può essere rinviato in blocco.
1. Lo stato dell’iter legislativo: attenzione alla pubblicazione in GUUE
Il Parlamento europeo ha approvato il testo del Digital Omnibus on AI il 16 giugno 2026, nell’ambito della procedura legislativa ordinaria relativa alla proposta COM(2025) 836, presentata dalla Commissione europea il 19 novembre 2025.
L’approvazione parlamentare rappresenta un passaggio politico e legislativo di assoluto rilievo, ma non coincide ancora con l’entrata in vigore definitiva delle modifiche. Alla data di aggiornamento del presente articolo, il provvedimento deve essere ancora formalmente adottato dal Consiglio dell’Unione europea e pubblicato nella Gazzetta Ufficiale dell’Unione europea.
Questa precisazione è importante sul piano pratico. Fino alla pubblicazione in GUUE, le nuove scadenze devono essere considerate come il contenuto del testo approvato dal Parlamento europeo, ma non ancora come disciplina definitivamente vigente. È quindi corretto pianificare la compliance tenendo conto del nuovo calendario, ma è opportuno mantenere una formulazione prudente nei documenti interni, nelle informative ai clienti e nelle valutazioni di rischio.2.
2. Il quadro originario dell’AI Act
Il Regolamento (UE) 2024/1689, noto come AI Act, è stato pubblicato nella Gazzetta Ufficiale dell’Unione europea il 12 luglio 2024 ed è entrato in vigore il 1° agosto 2024. L’articolo 113 ha previsto un’applicazione progressiva della disciplina, distribuita su più fasi.
Il calendario originario può essere sintetizzato come segue:
| Data | Disposizioni applicabili |
| 1° agosto 2024 | Entrata in vigore del Regolamento (UE) 2024/1689 |
| 2 febbraio 2025 | Applicazione dei Capi I e II: disposizioni generali, obbligo di alfabetizzazione in materia di IA e pratiche vietate |
| 2 agosto 2025 | Applicazione di alcune disposizioni su autorità di notifica, organismi notificati, modelli di IA per finalità generali, governance, riservatezza e sanzioni |
| 2 agosto 2026 | Applicazione generale dell’AI Act, salvo le disposizioni con decorrenza differita |
| 2 agosto 2027 | Applicazione dell’art. 6, par. 1, e degli obblighi corrispondenti per sistemi di IA ad alto rischio integrati in prodotti disciplinati dalla normativa settoriale UE |
Questa struttura progressiva era stata pensata per consentire agli operatori economici e alle autorità competenti di prepararsi all’applicazione di una disciplina particolarmente complessa. Tuttavia, l’evoluzione tecnica e istituzionale ha evidenziato criticità significative, in particolare per quanto riguarda la disponibilità degli standard armonizzati e degli strumenti necessari per dimostrare la conformità dei sistemi ad alto rischio.
3. Perché interviene il Digital Omnibus
Il Digital Omnibus nasce dall’esigenza di correggere alcune difficoltà applicative emerse prima ancora della piena operatività dell’AI Act.
La ragione principale riguarda i sistemi di IA ad alto rischio. La disciplina europea richiede valutazioni di conformità, sistemi di gestione del rischio, documentazione tecnica, registrazione dei log, sorveglianza umana, accuratezza, robustezza, cybersecurity e procedure di monitoraggio post-commercializzazione. Si tratta di obblighi molto rilevanti, che presuppongono un quadro tecnico sufficientemente definito.
In assenza di standard armonizzati completi e tempestivamente disponibili, l’applicazione immediata di tali obblighi avrebbe rischiato di generare incertezza giuridica, disomogeneità interpretative tra Stati membri e costi di compliance difficilmente sostenibili, soprattutto per piccole e medie imprese, imprese innovative e operatori che utilizzano sistemi di IA all’interno di prodotti o servizi già soggetti ad altre normative settoriali.
Il Digital Omnibus si inserisce quindi in una più ampia strategia europea di semplificazione regolatoria. Il suo scopo non è eliminare le tutele dell’AI Act, ma rendere più ordinata e realistica la fase di attuazione.
4. Il rinvio degli obblighi per i sistemi di IA ad alto rischio
La modifica più rilevante riguarda il rinvio degli obblighi applicabili ai sistemi di IA ad alto rischio.
Nel testo approvato dal Parlamento europeo, l’applicazione degli obblighi viene differita:
- al 2 dicembre 2027 per i sistemi di IA ad alto rischio cosiddetti “stand-alone”, ossia quelli elencati nell’Allegato III dell’AI Act;
- al 2 agosto 2028 per i sistemi di IA utilizzati come componenti di sicurezza di prodotti disciplinati da normativa settoriale dell’Unione europea in materia di sicurezza dei prodotti e vigilanza del mercato.
Il primo rinvio interessa, tra gli altri, i sistemi utilizzati nei settori della biometria, delle infrastrutture critiche, dell’istruzione, dell’accesso all’occupazione, della gestione dei lavoratori, dell’accesso a servizi essenziali, dell’attività di contrasto, della migrazione, dell’asilo, del controllo delle frontiere, dell’amministrazione della giustizia e dei processi democratici.
Il secondo rinvio riguarda invece i sistemi di IA integrati in prodotti come dispositivi medici, giocattoli, ascensori, apparecchiature radio, veicoli e altri prodotti già assoggettati a normative europee specifiche.
Per gli studi legali e i consulenti che assistono imprese tecnologiche, produttori, software house, enti pubblici o operatori regolati, questo rinvio ha un impatto notevole. Non elimina la necessità di classificare i sistemi e valutare se rientrino tra quelli ad alto rischio, ma consente di impostare percorsi di adeguamento meno emergenziali e più coerenti con l’evoluzione degli standard tecnici.
5. Cosa resta fermo al 2 agosto 2026
Il rinvio degli obblighi per i sistemi ad alto rischio non comporta il rinvio generalizzato dell’AI Act. La data del 2 agosto 2026 resta centrale.
Da tale data continua infatti ad applicarsi il Regolamento nella sua disciplina generale, fatte salve le parti espressamente differite. In particolare, assumono rilievo gli obblighi di trasparenza previsti dall’art. 50, le regole applicabili ai sistemi non rientranti nei rinvii, le responsabilità degli operatori e il collegamento tra AI Act, GDPR, disciplina consumeristica, normativa sulla sicurezza dei prodotti e regole nazionali sulle professioni.
Per i professionisti, il tema principale non è soltanto capire quali obblighi siano formalmente rinviati, ma individuare quali usi dell’intelligenza artificiale siano già oggi rilevanti sul piano organizzativo, informativo, deontologico e contrattuale.
6. Gli obblighi di trasparenza dell’art. 50
L’art. 50 dell’AI Act disciplina specifici obblighi di trasparenza relativi a determinati sistemi e contenuti generati o manipolati mediante intelligenza artificiale.
Si tratta di una delle disposizioni di maggiore impatto pratico per studi legali, imprese, pubbliche amministrazioni e soggetti che utilizzano strumenti di IA nelle relazioni con utenti, clienti o pubblico.
Gli obblighi riguardano, in particolare:
- Sistemi destinati a interagire direttamente con persone fisiche.
Quando un sistema di IA interagisce direttamente con una persona, l’utente deve essere informato del fatto che sta interagendo con un sistema artificiale, salvo che ciò sia evidente dal contesto. È il caso, ad esempio, di chatbot, assistenti virtuali, sistemi di prima risposta o strumenti automatizzati presenti sui siti web degli studi professionali o delle imprese. - Contenuti sintetici generati dall’IA.
I fornitori di sistemi che generano contenuti sintetici in forma di audio, immagini, video o testo devono adottare soluzioni tecniche idonee a rendere tali contenuti rilevabili come generati o manipolati mediante IA. - Sistemi di riconoscimento delle emozioni e categorizzazione biometrica.
I soggetti che utilizzano tali sistemi devono informare le persone esposte al loro impiego. - Deepfake e contenuti destinati a informare il pubblico.
I deployer che generano o manipolano immagini, audio o video costituenti deepfake devono rendere nota la natura artificiale o manipolata del contenuto. Analogo obbligo riguarda, in determinate condizioni, testi generati o manipolati mediante IA e pubblicati allo scopo di informare il pubblico su questioni di interesse generale.
Quest’ultimo profilo merita particolare attenzione per gli avvocati e i professionisti che pubblicano articoli, newsletter, commenti giuridici o post divulgativi. L’AI Act prevede infatti un’esenzione quando il contenuto sia stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica assuma la responsabilità editoriale della pubblicazione.
Ne deriva che l’utilizzo dell’IA come strumento di supporto alla redazione non impone automaticamente una dichiarazione pubblica dell’uso dell’IA, purché il contenuto sia effettivamente controllato, verificato e assunto come proprio dal professionista. Diverso è il caso della pubblicazione automatica o non verificata di contenuti generati da sistemi di IA.
7. Watermarking e marcatura dei contenuti generati dall’IA
Il Digital Omnibus interviene anche sugli obblighi di marcatura tecnica dei contenuti generati dall’intelligenza artificiale.
Nel testo approvato dal Parlamento europeo, l’applicazione degli obblighi di watermarking viene differita al 2 dicembre 2026. Da tale data, i contenuti generati dall’IA dovranno essere etichettati in modo leggibile da macchina, al fine di aumentarne la tracciabilità e la riconoscibilità.
È importante distinguere tra:
- marcatura tecnica, destinata alla rilevabilità automatizzata del contenuto;
- informazione all’utente, richiesta nei casi di interazione con sistemi artificiali;
- disclosure pubblica, richiesta in determinate ipotesi di deepfake o contenuti destinati a informare il pubblico.
Questa distinzione ha ricadute operative significative. Uno studio legale che utilizza un sistema di IA per predisporre una bozza interna di contratto o un promemoria non si trova nella stessa posizione di un soggetto che pubblica automaticamente contenuti sintetici su larga scala o distribuisce sistemi generativi destinati al mercato.
8. Il nuovo divieto relativo a nudifier app e materiale di abuso sessuale su minori
Il Digital Omnibus introduce anche un nuovo divieto relativo ai sistemi di IA utilizzati per generare o manipolare contenuti sessualmente espliciti non consensuali.
Il divieto riguarda, in particolare:
- sistemi che generano immagini, video o audio realistici raffiguranti le parti intime di una persona identificabile, oppure il suo coinvolgimento in attività sessualmente esplicite, senza consenso;
- sistemi che generano materiale di abuso sessuale su minori.
La norma è diretta sia ai fornitori, che non potranno immettere tali sistemi sul mercato dell’Unione europea in assenza di adeguate salvaguardie tecniche, sia ai deployer che utilizzino consapevolmente tali sistemi per le finalità vietate.
La data prevista per l’applicazione di questo nuovo divieto è il 2 dicembre 2026.
Il tema è particolarmente rilevante anche per i professionisti del diritto che si occupano di responsabilità civile, tutela della reputazione, diritto penale, protezione dei dati personali, minori e prova digitale. L’evoluzione della disciplina conferma infatti la crescente attenzione dell’ordinamento europeo verso le condotte lesive rese possibili da strumenti generativi sempre più accessibili.
9. La nozione di componente di sicurezza
Un ulteriore intervento riguarda la nozione di “componente di sicurezza”.
Nella formulazione originaria dell’AI Act, tale nozione poteva generare dubbi interpretativi, soprattutto per i prodotti dotati di funzionalità di IA non direttamente decisive per la sicurezza. Il rischio era quello di attrarre nel regime dei sistemi ad alto rischio anche funzionalità meramente accessorie, di supporto o di ottimizzazione delle prestazioni.
Il Digital Omnibus mira a chiarire che non ogni funzione di IA integrata in un prodotto comporta automaticamente la qualificazione come componente di sicurezza. La qualificazione dovrebbe dipendere dall’incidenza effettiva della funzione sulla sicurezza del prodotto e dal rischio che un suo guasto o malfunzionamento possa arrecare danni alla salute o alla sicurezza delle persone.
Questo chiarimento è importante per imprese e consulenti, perché consente di impostare la valutazione del rischio in modo più proporzionato. Non basta rilevare la presenza di una componente algoritmica o di una funzionalità intelligente: occorre verificare il ruolo concreto che quella funzione svolge nel prodotto o nel servizio.
10. Trattamento di dati sensibili per il rilevamento e la correzione dei bias
Il Digital Omnibus introduce anche disposizioni volte a chiarire il trattamento di categorie particolari di dati personali quando ciò sia strettamente necessario per individuare e correggere distorsioni algoritmiche.
Il tema è delicato perché il rilevamento dei bias può richiedere, in alcuni casi, l’analisi di dati relativi a caratteristiche protette. Tuttavia, il trattamento di tali dati deve essere rigorosamente limitato, proporzionato, documentato e coerente con il GDPR.
Per i professionisti che assistono imprese e pubbliche amministrazioni, questo profilo impone un approccio integrato tra AI compliance e data protection compliance. Non è sufficiente verificare la conformità del sistema all’AI Act: occorre anche valutare base giuridica, minimizzazione, limitazione della finalità, misure di sicurezza, tempi di conservazione, governance interna e, ove necessario, valutazione d’impatto sulla protezione dei dati.
11. PMI e imprese a media capitalizzazione
Il Digital Omnibus rafforza anche le misure di semplificazione per gli operatori di dimensioni contenute o intermedie.
Accanto alle PMI, il legislatore europeo considera le cosiddette imprese a media capitalizzazione, categoria che si colloca al di sopra delle piccole e medie imprese e che può beneficiare di misure di supporto o semplificazione. La nozione non deve essere ricondotta genericamente a un criterio unico, ma va letta alla luce della Raccomandazione (UE) 2025/1099, che individua le small mid-cap enterprises come imprese non PMI con meno di 750 dipendenti e limiti economici riferiti a fatturato o totale di bilancio.
L’estensione di misure di semplificazione a queste imprese è significativa per il mercato italiano, caratterizzato da numerose realtà industriali e tecnologiche di dimensione intermedia, spesso innovative ma non strutturate come grandi gruppi multinazionali.
12. AI Office, governance e sandbox regolamentari
Il Digital Omnibus rafforza il ruolo dell’AI Office della Commissione europea, soprattutto nella supervisione dei modelli di IA per finalità generali e nel coordinamento dell’attuazione della disciplina.
La logica è quella di evitare frammentazioni interpretative e sovrapposizioni tra autorità nazionali e livello europeo, specialmente nei settori in cui i modelli di IA operano su scala transfrontaliera.
Viene inoltre valorizzato il ruolo delle sandbox regolamentari, ossia ambienti controllati nei quali sviluppare, testare e validare sistemi di IA con il supporto delle autorità competenti. Le sandbox nazionali assumono particolare importanza per imprese innovative, pubbliche amministrazioni e soggetti che intendano sperimentare soluzioni di IA in settori regolati.
Per gli studi legali, le sandbox possono diventare un ambito di consulenza particolarmente rilevante, perché richiedono competenze integrate in materia di tecnologia, protezione dati, responsabilità, contrattualistica, proprietà intellettuale, governance e regolazione settoriale.
13. I divieti già operativi dal 2 febbraio 2025
È importante ricordare che alcuni divieti dell’AI Act sono già operativi dal 2 febbraio 2025.
Si tratta delle pratiche di IA considerate a rischio inaccettabile, disciplinate dall’art. 5 del Regolamento. Tra queste rientrano, in sintesi, alcune forme di manipolazione o sfruttamento delle vulnerabilità delle persone, determinati sistemi di social scoring, specifiche ipotesi di categorizzazione biometrica basata su dati sensibili, alcune forme di polizia predittiva e il riconoscimento biometrico remoto in tempo reale in spazi accessibili al pubblico per finalità di contrasto, salvo limitate eccezioni previste dal Regolamento.
Il Digital Omnibus non elimina questi divieti. Anzi, l’introduzione del nuovo divieto relativo alle nudifier app e al materiale di abuso sessuale su minori conferma la tendenza del legislatore europeo a presidiare con particolare rigore gli usi dell’IA ritenuti incompatibili con i diritti fondamentali.
14. I modelli di IA per finalità generali
Le disposizioni relative ai modelli di IA per finalità generali, spesso indicati con l’acronimo GPAI, sono già divenute applicabili dal 2 agosto 2025.
In questa categoria rientrano i grandi modelli linguistici e, più in generale, i modelli capaci di svolgere una pluralità di compiti e di essere integrati in numerosi sistemi e applicazioni. Per tali modelli sono previsti obblighi di documentazione, trasparenza e, nei casi di rischio sistemico, misure ulteriori di valutazione, mitigazione e sicurezza.
Per gli studi legali che utilizzano strumenti basati su modelli generativi, è fondamentale distinguere tra il ruolo del fornitore del modello, il ruolo del fornitore dell’applicazione e il ruolo del professionista che utilizza lo strumento come deployer o utente professionale.
La responsabilità primaria sugli obblighi tecnici del modello ricade sul fornitore. Tuttavia, il professionista resta responsabile dell’uso concreto dello strumento, della verifica degli output, della protezione dei dati immessi, del rispetto del segreto professionale e dell’informazione al cliente quando richiesta.
15. AI literacy: formazione, competenza e organizzazione interna
L’art. 4 dell’AI Act ha introdotto il tema dell’alfabetizzazione in materia di intelligenza artificiale. Nella formulazione originaria, provider e deployer devono adottare misure per garantire che il personale e gli altri soggetti che operano per loro conto possiedano un livello sufficiente di competenza sull’IA, tenendo conto delle conoscenze tecniche, dell’esperienza, della formazione, del contesto d’uso e delle persone su cui i sistemi possono incidere.
Il Digital Omnibus interviene anche su questo profilo, con una formulazione che tende a rimodulare l’obbligo e a valorizzare il ruolo di Commissione e Stati membri nella promozione dell’alfabetizzazione in materia di IA.
Dal punto di vista degli studi professionali, la distinzione formale non deve portare a sottovalutare il tema. L’uso dell’IA in ambito legale richiede competenze minime su funzionamento degli strumenti, limiti dei modelli generativi, rischio di allucinazioni, protezione dei dati, verifica delle fonti, segreto professionale e responsabilità dell’avvocato.
La formazione interna non è quindi soltanto un adempimento regolatorio, ma una misura organizzativa essenziale per ridurre il rischio professionale.
16. Il quadro nazionale: la Legge 23 settembre 2025, n. 132
Accanto all’AI Act, il professionista italiano deve considerare la Legge 23 settembre 2025, n. 132, recante disposizioni e deleghe al Governo in materia di intelligenza artificiale, entrata in vigore il 10 ottobre 2025.
L’art. 13 disciplina specificamente l’uso dell’IA nelle professioni intellettuali. La norma stabilisce che l’utilizzo di sistemi di intelligenza artificiale è finalizzato al solo esercizio di attività strumentali e di supporto all’attività professionale, con prevalenza del lavoro intellettuale oggetto della prestazione d’opera.
La disposizione prevede inoltre che, per assicurare il rapporto fiduciario tra professionista e cliente, le informazioni relative ai sistemi di IA utilizzati siano comunicate al destinatario della prestazione intellettuale con linguaggio chiaro, semplice ed esaustivo.
Per gli avvocati, questo significa che l’IA può essere utilizzata come strumento di ausilio, ma non può sostituire il giudizio professionale, la valutazione giuridica, la strategia difensiva e la responsabilità personale del professionista.
17. Implicazioni pratiche per gli studi legali
Per gli studi legali, il Digital Omnibus non deve essere interpretato come un motivo per sospendere ogni attività di adeguamento. Al contrario, il rinvio di alcuni obblighi può essere utilizzato per costruire un percorso di compliance più ordinato.
Le attività prioritarie sono le seguenti:
17.1 Censimento degli strumenti di IA
Ogni studio dovrebbe predisporre un inventario degli strumenti di IA utilizzati, distinguendo tra:
- strumenti generalisti;
- piattaforme legaltech verticali;
- sistemi di ricerca giuridica aumentata;
- strumenti di analisi documentale;
- generatori di bozze contrattuali o atti;
- chatbot sul sito dello studio;
- strumenti integrati in software gestionali;
- sistemi utilizzati per marketing, newsletter o contenuti divulgativi.
La mappatura è il primo presupposto per valutare rischi, obblighi informativi, impatti privacy e misure organizzative.
17.2 Regole interne di utilizzo
È opportuno adottare una policy interna sull’uso dell’IA, anche in forma semplice, che disciplini:
- quali strumenti possono essere utilizzati;
- quali dati possono essere inseriti;
- quali informazioni non devono mai essere caricate;
- quando è necessaria anonimizzazione o pseudonimizzazione;
- come devono essere verificati gli output;
- chi assume la responsabilità del contenuto finale;
- quali cautele adottare per atti, pareri, contratti e comunicazioni ai clienti.
17.3 Informativa al cliente
Alla luce della Legge n. 132/2025, lo studio dovrebbe valutare l’inserimento di una clausola informativa sull’uso di strumenti di IA nelle lettere di incarico o nella documentazione contrattuale.
L’informativa deve essere chiara e comprensibile. Non è necessario trasformarla in un documento tecnico, ma è opportuno spiegare che l’IA viene utilizzata solo come supporto, sotto supervisione del professionista, senza sostituire il lavoro intellettuale e nel rispetto della riservatezza e della normativa privacy.
17.4 Protezione dei dati e segreto professionale
L’utilizzo di sistemi di IA richiede particolare attenzione al trattamento dei dati personali e alla tutela del segreto professionale.
Prima di utilizzare uno strumento, lo studio dovrebbe verificare:
- dove sono trattati i dati;
- se i dati vengono riutilizzati per addestrare il modello;
- quali misure di sicurezza sono previste;
- se esistono trasferimenti extra-UE;
- quali garanzie contrattuali offre il fornitore;
- se è necessario aggiornare informative privacy, registro dei trattamenti o DPIA.
Il profilo privacy non è rinviato dal Digital Omnibus. Resta immediatamente rilevante ogni volta che nello strumento vengono inseriti dati personali, documenti di causa, informazioni aziendali riservate o dati coperti da segreto professionale.
17.5 Verifica degli output
L’errore più grave nell’uso professionale dell’IA è considerare l’output come automaticamente affidabile.
Gli strumenti generativi possono produrre risposte formalmente convincenti ma giuridicamente errate, citazioni inesistenti, riferimenti normativi non aggiornati o ricostruzioni incomplete. Per questo, ogni risultato deve essere sottoposto a verifica professionale.
Nel lavoro dell’avvocato, l’IA può accelerare la ricerca, aiutare nella redazione, proporre strutture argomentative e supportare l’analisi documentale. Non può però sostituire il controllo delle fonti, il ragionamento giuridico e l’assunzione di responsabilità sull’atto finale.
18. Tavola riepilogativa delle scadenze
| Data | Obbligo o disciplina | Stato |
| 1° agosto 2024 | Entrata in vigore dell’AI Act | Già avvenuta |
| 2 febbraio 2025 | Disposizioni generali, AI literacy e pratiche vietate | Già applicabili |
| 2 agosto 2025 | GPAI, governance, alcune disposizioni su organismi notificati, riservatezza e sanzioni | Già applicabili |
| 2 agosto 2026 | Applicazione generale dell’AI Act, salvo rinvii specifici | Confermata |
| 2 dicembre 2026 | Watermarking e nuovo divieto su nudifier app e materiale di abuso sessuale su minori | Prevista dal Digital Omnibus |
| 2 dicembre 2027 | Obblighi per sistemi di IA ad alto rischio stand-alone dell’Allegato III | Prevista dal Digital Omnibus |
| 2 agosto 2028 | Obblighi per sistemi di IA ad alto rischio integrati in prodotti regolati da normativa settoriale UE | Prevista dal Digital Omnibus |
19. Checklist operativa per professionisti e studi legali
Entro il 2 agosto 2026
- Censire tutti gli strumenti di IA utilizzati nello studio.
- Verificare se sono presenti chatbot o assistenti virtuali rivolti a clienti o utenti.
- Controllare che eventuali chatbot informino l’utente della natura artificiale dell’interazione.
- Predisporre una policy interna sull’uso degli strumenti di IA.
- Formare collaboratori, dipendenti e professionisti sui limiti degli strumenti generativi.
- Verificare contratti e condizioni d’uso dei fornitori.
- Aggiornare, ove necessario, informative privacy e documentazione interna.
- Valutare l’inserimento di una clausola informativa sull’uso dell’IA nella lettera di incarico.
Entro il 2 dicembre 2026
- Verificare gli obblighi di marcatura tecnica dei contenuti generati dall’IA.
- Controllare eventuali strumenti o servizi che generano contenuti sintetici.
- Escludere l’utilizzo di sistemi vietati, inclusi strumenti idonei a generare contenuti sessualmente espliciti non consensuali o materiale di abuso sessuale su minori.
- Aggiornare le procedure relative alla pubblicazione di contenuti generati o assistiti da IA.
Entro il 2 dicembre 2027
- Verificare se lo studio o i clienti assistiti utilizzano sistemi rientranti nell’Allegato III.
- Avviare la classificazione dei sistemi ad alto rischio.
- Predisporre documentazione tecnica e procedure di gestione del rischio per i soggetti obbligati.
- Valutare impatti su contratti, appalti, responsabilità e assicurazioni.
Entro il 2 agosto 2028
- Verificare sistemi di IA integrati in prodotti disciplinati da normativa settoriale UE.
- Coordinare AI compliance e compliance di prodotto.
- Gestire eventuali obblighi di valutazione della conformità in modo integrato.
20. Considerazioni critiche
Il Digital Omnibus ha una duplice lettura.
Da un lato, rappresenta un intervento pragmatico. Pretendere l’applicazione immediata degli obblighi più complessi in assenza di standard armonizzati e strumenti tecnici maturi avrebbe potuto produrre incertezza, contenzioso e applicazioni disomogenee nei diversi Stati membri.
Dall’altro lato, il rinvio delle scadenze solleva un problema di credibilità regolatoria. L’AI Act è stato presentato come il primo grande quadro normativo organico sull’intelligenza artificiale. Modificarne il calendario prima della piena applicazione può essere letto come un segnale di realismo, ma anche come indice delle difficoltà dell’Unione europea nel coniugare tutela dei diritti, competitività e sostenibilità degli adempimenti.
Per i professionisti del diritto, questa tensione è un dato da considerare attentamente. La compliance sull’intelligenza artificiale non sarà un adempimento statico, ma un processo evolutivo. Occorrerà monitorare testi normativi, standard tecnici, linee guida, provvedimenti delle autorità e prassi applicative.
Conclusioni
Il Digital Omnibus non svuota l’AI Act, ma ne corregge il calendario applicativo nei punti in cui l’attuazione immediata avrebbe potuto generare incertezza giuridica e oneri sproporzionati.
Il rinvio degli obblighi per i sistemi ad alto rischio concede più tempo a imprese, fornitori e autorità per costruire percorsi di conformità fondati su standard, linee guida e strumenti tecnici adeguati. Tuttavia, il rinvio non riguarda l’intera disciplina.
Per avvocati, studi professionali e consulenti, la vera priorità resta l’adozione di un metodo ordinato di utilizzo dell’IA: censimento degli strumenti, verifica dei fornitori, tutela del segreto professionale, rispetto del GDPR, informativa al cliente, formazione interna e controllo umano degli output.
L’errore da evitare è duplice. Da un lato, non bisogna considerare ogni utilizzo dell’IA come vietato o eccessivamente rischioso. Dall’altro, non si deve ritenere che il rinvio degli obblighi per i sistemi ad alto rischio consenta di posticipare qualsiasi attività di adeguamento.
L’AI Act conferma una direzione di fondo: l’intelligenza artificiale può essere utilizzata anche nelle professioni legali, ma deve essere governata. Per gli studi professionali, questo significa trasformare l’adozione dell’IA da scelta estemporanea a processo organizzato, documentato e coerente con responsabilità professionale, deontologia, protezione dei dati e tutela del cliente.
Fonti e riferimenti normativi
- Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale.
- Proposta di regolamento COM(2025) 836, Digital Omnibus on AI, presentata dalla Commissione europea il 19 novembre 2025.
- Procedura legislativa 2025/0359/COD relativa alla modifica del Regolamento (UE) 2024/1689 e del Regolamento (UE) 2018/1139.
- Parlamento europeo, comunicati del 7 maggio 2026 e del 16 giugno 2026 su misure di semplificazione dell’AI Act e divieto delle nudifier app.
- Raccomandazione (UE) 2025/1099 relativa alla definizione di small mid-cap enterprises.
- Legge 23 settembre 2025, n. 132, recante disposizioni e deleghe al Governo in materia di intelligenza artificiale.
- Regolamento (UE) 2016/679, GDPR.
Formarsi all’uso corretto dell’IA: il webinar su legal prompting e OpenLeges
Le modifiche al calendario dell’AI Act non riducono la necessità, per avvocati e studi professionali, di acquisire competenze adeguate sull’utilizzo consapevole dell’intelligenza artificiale. Al contrario, il quadro europeo conferma che la formazione rappresenta uno dei presupposti essenziali per governare correttamente gli strumenti di IA, comprenderne i limiti, verificare gli output e prevenire impieghi impropri o non trasparenti.
In questa prospettiva, MAAT LegalPaperless propone il webinar gratuito “Avvocati e AI: competenze base di legal prompting e uso strategico di OpenLeges”, in programma il 1° luglio 2026, dalle ore 14:30 alle ore 16:30. L’incontro è pensato per fornire ad avvocati, collaboratori e operatori di studio una base operativa per utilizzare l’intelligenza artificiale in modo efficace, sicuro e coerente con le esigenze della professione legale.
Particolare attenzione sarà dedicata al legal prompting, ossia alla capacità di formulare istruzioni corrette, complete e verificabili per ottenere risposte utili nell’attività professionale. Sarà inoltre approfondito l’uso di OpenLeges, strumento verticale per il settore giuridico che consente di lavorare su fonti strutturate e verificabili, favorendo un utilizzo dell’IA più controllato, trasparente e aderente alle esigenze dello studio legale.
La scelta di soluzioni verticali, progettate per il contesto giuridico, assume un rilievo sempre maggiore anche alla luce dell’AI Act: non basta utilizzare strumenti potenti, occorre adottare ambienti che consentano al professionista di mantenere il controllo sul risultato, verificare le fonti, documentare il processo e utilizzare l’IA come supporto strumentale, senza sostituire il giudizio tecnico e la responsabilità dell’avvocato.
Il webinar rappresenta quindi un’occasione concreta per trasformare gli obblighi di formazione e trasparenza in una pratica quotidiana di studio, orientata a un uso dell’intelligenza artificiale realmente utile, verificabile e compatibile con le responsabilità professionali.
La partecipazione è gratuita e da diritto a 2 crediti formativi in materia non obbligatoria.
