Tratto da: Diritto e Giustizia
Autore: Giovanni Maria Riccio
È spesso complesso, se non impossibile, tenere il passo con le continue novità nella legislazione europea sul digitale. Addirittura, può accadere che – come a breve si dirà – modifiche ed emendamenti intervengano in un testo complesso, lungo, ipertecnico, prima ancora che tale testo divenga pienamente esecutivo. A complicare il quadro, poi, c’è anche la difficoltà di raccordare le modifiche con il testo originario, tenendo anche conto del fatto che spesso il testo modificato, in versione unitaria, è disponibile dopo mesi.
In tale contesto, non è di agevole lettura il nuovo Regolamento (UE) 2026/1744 dell’8 luglio scorso, pensato come forma di semplificazione attuativa del Regolamento (UE) 2024/1689 (c.d. AI Act). L’analisi del testo restituisce, in verità, un quadro più articolato: accanto a correzioni tecniche convivono un differimento significativo dell’efficacia della disciplina sui sistemi ad alto rischio e, in direzione opposta, l’introduzione di due nuovi divieti assoluti. Definirlo omnibus, dizione con la quale è noto tale nuovo Regolamento, è dunque corretto anche nel senso meno lusinghiero del termine.
Il dato di maggiore impatto pratico, e anche quello che ha catalizzato l’attenzione dei primi commentatori, è la modifica dell’art. 113, dove il Capo III, sezioni 1, 2 e 3 si applicherà dal 2 dicembre 2027 per i sistemi ad alto rischio ex art. 6, par. 2 e allegato III e, dal 2 agosto 2028, per quelli ex art. 6, par. 1 e allegato I. Nel primo caso parliamo dei sistemi classificati ad alto rischio per il contesto d’uso, cioè quelli dell’allegato III che, pur essendo autonomi, incidono su diritti fondamentali in ambiti sensibili (biometria, lavoro, istruzione, credito, giustizia, migrazione, contrasto, infrastrutture critiche); nell’altro, dei sistemi classificati ad alto rischio per incorporazione in un prodotto, cioè quelli che costituiscono componenti di sicurezza — o sono essi stessi il prodotto — già soggetti alla normativa di armonizzazione dell’Unione elencata nell’allegato I e sottoposti a valutazione di conformità da parte di terzi (dispositivi medici, ascensori, giocattoli, DPI, apparecchiature radio e simili).
Il considerando 40 ne offre una motivazione onesta — ritardo nelle norme armonizzate, nelle specifiche comuni e nella costituzione delle autorità nazionali competenti — ma resta il fatto che l’inadempimento istituzionale della Commissione e degli Stati membri viene traslato in un vantaggio temporale per gli operatori. Coerente con questa logica è anche la precisazione dell’art. 111, par. 2: il grandfathering opera per “tipo e modello”, sicché l’immissione sul mercato di una sola unità prima della data rilevante mette al riparo l’intera serie, salvo modifiche sostanziali della progettazione. È una clausola di ampiezza notevole, destinata a generare contenzioso sulla nozione di “modifica significativa”.
In senso opposto muovono le lettere b-bis) e b-ter) dell’art. 5, par. 1, applicabili dal 2 dicembre 2026: il divieto di sistemi che generano o manipolano materiale intimo non consensuale (le cosiddette applicazioni di nudification, rese famose dopo il caso Grok, all’esame della Commissione europea per una probabile violazione del DSA) e materiale pedopornografico ex art. 2, lett. c) ed e), direttiva 2011/93/UE.
La tecnica normativa merita attenzione. Per i fornitori il divieto opera in due ipotesi: finalità prevista del sistema, oppure risultato ragionevolmente prevedibile e riproducibile in assenza di misure tecniche adeguate. Si tratta di uno standard di diligenza — refusal training, filtraggio dell’output, guardrail sui prompt — che sposta il baricentro dalla destinazione soggettiva all’architettura del sistema. Per i deployer, invece, il divieto è puramente finalistico, giacché il considerando 12 delimita il “realismo”, per dir così, e le esclusioni (nudo artistico, applicazioni mediche, semplice miglioramento tecnico dell’immagine) con un dettaglio inusuale per un considerando, segno della difficoltà di tipizzare la fattispecie. Resta aperto il coordinamento sanzionatorio: il considerando 15 richiama espressamente il ne bis in idem, ma la sovrapposizione con l’art. 612-terc.p. e con la disciplina attuativa della dir. (UE) 2024/1385 richiederà un intervento del legislatore nazionale.
Il profilo più delicato per chi opera in materia di protezione dei dati è il nuovo art. 4 bis, letto insieme alla riscrittura dell’art. 2, par. 7. Quest’ultimo continua a far salvi il GDPR e la Direttiva (UE) 2016/680, ma “fatti salvi gli articoli 4-bis e 59”: una clausola di deroga che, pur formalmente ancorata all’art. 9, par. 2, lett. g), GDPR, tende la base giuridica per il trattamento di categorie particolari (finora riservata ai fornitori di sistemi ad alto rischio ex art. 10, par. 5) a fornitori e deployer di qualsiasi sistema o modello di IA, ai fini di rilevamento e correzione delle distorsioni.
Le condizioni sono stringenti (sussidiarietà rispetto a dati sintetici o anonimizzati, pseudonimizzazione, divieto di trasmissione a terzi, cancellazione, motivazione nel registro dei trattamenti) e il par. 2 chiarisce che non nasce alcun obbligo di debiasing. Tuttavia, la tecnica di introdurre basi di liceità per dati particolari attraverso normativa settoriale merita vigilanza critica; il parere congiunto EDPB-GEPD del 20 gennaio 2026 andrà letto con attenzione.
Completano il quadro la ridefinizione restrittiva di “componente di sicurezza” (art. 3, n. 14, e nuovo art. 6, par. 1-bis/1-quater), l’attenuazione dell’obbligo di alfabetizzazione ex art. 4 — ora obbligo di mezzi e non di risultato —, l’estensione delle agevolazioni alle small mid-cap, lo spostamento del regolamento (UE) 2023/1230 dalla sezione A alla sezione B dell’allegato I, e soprattutto il rafforzamento dei poteri dell’Ufficio per l’IA (artt. 75 bis-75 quinquies), che acquisisce poteri ispettivi, sanzionatori e di commitment di chiara ispirazione antitrust. Interessante, a tale ultimo proposito, la semplificazione che sembra cedere il passo a una centralizzazione dell’enforcement che il testo originario non conosceva.
