La scadenza per i sistemi ad alto rischio dell'EU AI Act slitta a dicembre 2027: cosa cambia per chi acquista
L'AI Omnibus è entrato in vigore il 27 luglio 2026 e ha spostato gli obblighi per i sistemi ad alto rischio dell'EU AI Act dal 2 agosto 2026 al 2 dicembre 2027[1][2]. I sistemi nelle aree sensibili dell'allegato III — biometria, infrastrutture critiche, istruzione, occupazione, migrazione, asilo, controllo delle frontiere — guadagnano 16 mesi. Le organizzazioni che avevano costruito il calendario di acquisto dell'AI attorno alla data di agosto 2026 hanno perso il proprio elemento di pressione sei giorni prima che iniziasse a mordere. La nostra posizione: si tratta di un rinvio legato alla mancanza di norme e non di un cambiamento in ciò che verrà richiesto alla fine, e leggere quei 16 mesi come margine è l'interpretazione costosa.
Cosa si è davvero spostato il 27 luglio
L'Omnibus è stato proposto il 19 novembre 2025, ha raggiunto l'accordo politico il 7 maggio 2026 ed è entrato in vigore il 27 luglio 2026 [2]. Cambia due date. I sistemi ad alto rischio nelle aree sensibili dell'allegato III si applicano ora dal 2 dicembre 2027. L'AI ad alto rischio integrata in prodotti regolamentati — gli esempi citati dal regolamento stesso sono ascensori e giocattoli — si sposta più avanti, al 2 agosto 2028 [1].
Tre cose non si sono spostate. Le pratiche vietate e l'obbligo di alfabetizzazione all'AI si applicano dal 2 febbraio 2025. Gli obblighi per i modelli GPAI e il quadro di governance si applicano dal 2 agosto 2025. E il 2 agosto 2026 resta la data in cui l'AI Office e le autorità degli Stati membri hanno iniziato a vigilare e ad applicare il regolamento [1].
Il regolamento è in vigore e viene applicato. Un suo capitolo parte più tardi del previsto.
Il rinvio riguarda le norme, non la sostanza
A CEN e CENELEC era stato chiesto di produrre entro agosto 2025 le norme armonizzate alla base dei requisiti per l'alto rischio, e non le hanno consegnate [3]. Quel divario è il meccanismo. Senza norme armonizzate non esiste una base tecnica consolidata a cui un deployer possa conformarsi né nulla di concreto su cui condurre una valutazione, ed è per questo che la motivazione dichiarata dalla Commissione è che le regole si muovevano più rapidamente delle norme chiamate a sostenerle [3].
Il pacchetto è arrivato dopo la pressione pubblica di ASML, Airbus, Ericsson, Nokia, SAP, Siemens e Mistral AI, che sostenevano come l'Europa si stesse regolamentando fuori dalla corsa globale all'AI. Ma ha introdotto nuovi divieti anziché limitarsi a rimuovere oneri: nello stesso strumento sono stati aggiunti divieti sui sistemi di AI che producono deepfake sessuali non consensuali e materiale pedopornografico [3]. Descrivere l'Omnibus come un allentamento generale significa leggerlo male.
Insieme alle norme restano incomplete anche le linee guida. La pagina della Commissione dedicata alle linee guida sull'alto rischio, aggiornata da ultimo il 6 luglio 2026, tratta la classificazione — come un'organizzazione determina se un sistema sia effettivamente ad alto rischio — e indica che le linee guida sugli obblighi veri e propri devono ancora arrivare [4]; chi si prepara oggi lavora su materiale in bozza.
Quanto valgono davvero 16 mesi
Gli obblighi che attendono al termine della proroga sono gli stessi obblighi. Sorveglianza umana, monitoraggio, conservazione dei log e capacità di dimostrare ciascuno di essi su richiesta ricadono ancora sul deployer — la banca, l'ospedale, l'ente pubblico — e non sul fornitore del modello. Abbiamo mappato quegli obblighi sulle architetture di deployment in EU AI Act nel 2026: cosa cambia il deployment on-prem in termini di conformità.
La trappola è uno scarto nei tempi di attivazione. Un documento di policy, un registro dei rischi e un insieme di procedure interne si redigono in un trimestre. Cambiare dove avviene l'inferenza no. Spostare un flusso di produzione da un'API gestita a un'inferenza operata dal deployer, instradare l'audit nel proprio SIEM e mettere l'identità dietro il proprio IdP è un ciclo di acquisto seguito da un ciclo di deployment, e nei settori regolamentati il solo ciclo di acquisto viaggia da tempo sui nove-dodici mesi. Il pattern che lo consuma è ben documentato: il pilota tecnico passa, poi la pratica resta ferma alla conformità.
Sedici mesi bastano per un cambio di architettura. Non bastano per due, e non bastano per uno più un anno di attesa che le norme si assestino.
Il fattore che ignora il calendario del regolamento
I requisiti di residenza dei dati vengono scritti nei progetti indipendentemente da qualsiasi data di conformità. Dario Maisto, principal analyst di Forrester, descrive acquirenti che specificano residenza dei dati e architettura di AI sovrana già in fase di pianificazione, anziché aggiungerla dopo come controllo [5]. I fornitori europei detengono circa il 15% del mercato dell'infrastruttura cloud della regione, e Gartner prevede che la spesa europea in cloud sovrano più che triplichi tra il 2025 e il 2027 [5].
Sono cifre di mercato, non scadenze di legge, ed è esattamente questo il punto. Nulla nell'Omnibus ha cambiato dove un'organizzazione vuole che i propri prompt vengano elaborati.
Cosa faremmo con questa finestra
Fare ora il cambio di architettura, su un workload che non sia ad alto rischio, dove un errore costa una ricostruzione e non un rilievo. Lasciare che la pista di audit si accumuli con un utilizzo reale. Quando un workload dell'allegato III dovrà essere documentato, il percorso di evidenza sarà attivo da un anno e la nota di conformità descriverà qualcosa che esiste già.
L'AI Suite di Software Tailor esegue l'inferenza su hardware gestito dal deployer, e AI Admin Console è il punto in cui si gestiscono policy, licenze e audit senza contenuto. Sei clienti Fortune Global 500 tra farmaceutico, finanza, pubblica amministrazione, legale, difesa ed energia operano con questa forma (clienti passati).
Un pilota di una settimana sull'hardware del deployer basta a rispondere alla domanda che conta prima di dicembre 2027: se l'evidenza che un team di conformità richiederà possa effettivamente essere prodotta.
Riferimenti
- Commissione europea. «AI Act — Regulatory framework on AI.» digital-strategy.ec.europa.eu. Consultato il 2026-08-04. Pagina aggiornata da ultimo il 3 agosto 2026.
- Commissione europea. «AI Omnibus enters into force.» digital-strategy.ec.europa.eu. Consultato il 2026-08-04. Pagina aggiornata da ultimo il 31 luglio 2026.
- The Register. «EU hits snooze on AI Act rules after industry backlash.» theregister.com. Pubblicato il 7 maggio 2026. Consultato il 2026-08-04.
- Commissione europea. «Guidelines for providers and deployers of AI high-risk systems.» digital-strategy.ec.europa.eu. Consultato il 2026-08-04. Pagina aggiornata da ultimo il 6 luglio 2026.
- The Register. «Tech buyers are baking in sovereignty from day one, says Forrester.» theregister.com. Pubblicato il 31 luglio 2026. Consultato il 2026-08-04.
Articoli correlati
Sedici mesi sono un cambio di architettura. Cominciatelo.
Un pilota di una settimana sull'hardware del deployer porta inferenza, audit e identità dentro il perimetro su un workload reale, così l'evidenza degli obblighi del deployer esiste ben prima del 2 dicembre 2027 anziché essere progettata contro una scadenza.