La posizione del Parlamento rinvia parte degli obblighi per i sistemi ad alto rischio, amplia le misure di semplificazione e introduce un divieto specifico contro i contenuti intimi non consensuali generati o manipolati artificialmente.
Il Parlamento europeo interviene in modo rilevante sul calendario e sull’assetto applicativo del Regolamento europeo sull’intelligenza artificiale. Il testo in esame, adottato nel quadro della procedura legislativa ordinaria relativa alla proposta COM(2025)0836, mira a rendere più proporzionata e praticabile l’attuazione delle regole armonizzate, senza dichiaratamente ridurre il livello di tutela della salute, della sicurezza e dei diritti fondamentali.
Tale documento non costituisce ancora un regolamento definitivo e direttamente applicabile. è un testo emendativo del Parlamento europeo, inserito in un procedimento legislativo non ancora concluso. Le modifiche illustrate, pertanto, rappresentano la posizione approvata dal Parlamento e il contenuto del compromesso negoziato, ma potranno produrre effetti vincolanti soltanto dopo l’adozione formale da parte del Consiglio e la pubblicazione nella Gazzetta ufficiale dell’Unione europea.
Il Regolamento (UE) 2024/1689 stabilisce un quadro orizzontale per l’immissione sul mercato, la messa in servizio e l’uso dei sistemi di intelligenza artificiale nell’Unione europea. La sua applicazione è progressiva e, per i sistemi classificati come ad alto rischio, presuppone un insieme articolato di requisiti: gestione del rischio, qualità e governance dei dati, documentazione tecnica, registrazione, trasparenza, sorveglianza umana, accuratezza, robustezza e cibersicurezza.
Secondo il testo parlamentare, il ritardo nella disponibilità delle norme tecniche, delle specifiche comuni, degli orientamenti e delle strutture nazionali di valutazione della conformità rischia di aggravare gli oneri per operatori economici e autorità. Da qui l’obiettivo dell’Omnibus digitale sull’intelligenza artificiale: intervenire in modo mirato sui tempi, sui meccanismi di conformità e sulle competenze di vigilanza, senza modificare l’impostazione basata sul rischio che caratterizza il regolamento europeo.
Il provvedimento incide anche sul rapporto tra il regolamento sull’intelligenza artificiale e la disciplina settoriale dei prodotti, in particolare nei comparti delle macchine, dell’aviazione civile, dei dispositivi soggetti a normativa armonizzata e dei prodotti con elementi digitali.
La modifica più visibile riguarda il differimento dell’applicazione degli obblighi relativi ai sistemi di intelligenza artificiale ad alto rischio. Il testo fissa il 2 dicembre 2027 quale data di applicazione per i sistemi ad alto rischio individuati dall’allegato III e dall’articolo 6, paragrafo 2, del regolamento. Per i sistemi ad alto rischio che costituiscono prodotti o componenti di sicurezza soggetti alla normativa armonizzata indicata nell’allegato I, la data viene invece fissata al 2 agosto 2028.
La proposta interviene anche sulla definizione di “componente di sicurezza”. L’intento è circoscrivere la categoria ai sistemi la cui funzione prevista consista nel prevenire o attenuare rischi per salute e sicurezza di persone o beni. Restano quindi esclusi, salvo il caso in cui un guasto possa compromettere effettivamente la sicurezza, i sistemi destinati esclusivamente all’assistenza all’utente, all’automazione, al miglioramento delle prestazioni, all’efficienza dei servizi, alla praticità o al controllo della qualità.
Una parte significativa delle modifiche è dedicata alle piccole e medie imprese, alle start-up e alle piccole imprese a media capitalizzazione. Per tali soggetti sono previste modalità semplificate di documentazione tecnica e di gestione della qualità, oltre a un accesso prioritario agli spazi di sperimentazione normativa. Il testo estende inoltre a queste imprese una maggiore attenzione nella determinazione delle sanzioni.
L’articolo sull’alfabetizzazione in materia di intelligenza artificiale viene riformulato. Fornitori e deployer dovrebbero adottare misure per sostenere lo sviluppo delle competenze del personale e di chi opera per loro conto, tenendo conto delle conoscenze, dell’esperienza, della formazione e del contesto d’uso. Non viene tuttavia imposto il raggiungimento di uno specifico livello di alfabetizzazione per ciascuna persona.
Il testo introduce poi un nuovo articolo dedicato al trattamento delle categorie particolari di dati personali per individuare e correggere distorsioni. La possibilità, eccezionale, viene estesa anche ai fornitori e ai deployer di sistemi o modelli diversi da quelli ad alto rischio, purché il trattamento sia strettamente necessario e accompagnato da garanzie quali pseudonimizzazione, restrizioni di accesso, divieto di diffusione a terzi, cancellazione dei dati e documentazione delle ragioni di necessità. La disposizione chiarisce, però, di non creare un obbligo generalizzato di rilevare o correggere le distorsioni.
Di particolare rilievo è l’integrazione dei divieti di cui all’articolo 5 del regolamento. Il testo vieta l’immissione sul mercato, la messa in servizio o l’uso di sistemi di intelligenza artificiale destinati a generare o manipolare contenuti realistici relativi alle parti intime o ad atti sessualmente espliciti di una persona riconoscibile, in assenza di consenso libero, specifico, informato e inequivocabile. Il divieto riguarda anche i sistemi che generano o manipolano materiale di abuso sessuale su minori, salve le ipotesi di giustificazione previste dal diritto nazionale.
Per i fornitori, il divieto opera sia quando tale generazione o manipolazione costituisce la finalità prevista del sistema, sia quando il risultato è ragionevolmente prevedibile e riproducibile e mancano misure tecniche o altre garanzie ragionevoli e adeguate. Per i deployer, invece, la violazione è collegata all’uso del sistema proprio per generare o manipolare il materiale vietato.
La ratio complessiva del testo consiste nella necessità di evitare che la disciplina dell’intelligenza artificiale produca duplicazioni o costi di conformità non giustificati, soprattutto quando un prodotto è già soggetto a una normativa settoriale capace di garantire un livello equivalente di tutela.
Il Parlamento prevede pertanto la possibilità di limitare taluni requisiti specifici applicabili ai sistemi ad alto rischio disciplinati dalla normativa armonizzata dell’Unione, ma soltanto attraverso futuri atti delegati della Commissione e solo quando sia dimostrato che la disciplina settoriale offra una protezione equivalente o superiore. Non si tratta, dunque, di un’esenzione automatica.
Anche il rinvio delle date di applicazione viene motivato con esigenze di certezza giuridica e di sostenibilità operativa. L’argomento non è l’irrilevanza dei requisiti, bensì l’esigenza che imprese, organismi notificati e autorità dispongano per tempo di strumenti tecnici e indicazioni applicative attendibili.
Quanto ai nuovi divieti sui contenuti intimi non consensuali, il testo valorizza la tutela della dignità, dell’autonomia personale, della vita privata e dell’integrità delle persone. La disciplina cerca tuttavia di delimitare il divieto, escludendo le rappresentazioni caricaturali o fisicamente impossibili, le elaborazioni che non aumentano l’esposizione delle parti intime e alcuni impieghi medici o consensuali.
Per le imprese che sviluppano o integrano sistemi ad alto rischio, il differimento delle date non equivale a una sospensione delle attività preparatorie. Al contrario, il testo conferma l’importanza di dotarsi di sistemi di gestione del rischio, documentazione tecnica, processi di governance dei dati e canali contrattuali per ottenere dai fornitori a monte informazioni, accesso tecnico e assistenza adeguati.
La nuova definizione di componente di sicurezza può incidere in modo concreto sull’analisi preliminare di classificazione. Produttori e fornitori dovranno valutare non soltanto il settore di destinazione del prodotto, ma soprattutto la funzione prevista del sistema e le conseguenze del suo guasto o malfunzionamento.
Per i fornitori di strumenti generativi, la novità più immediata riguarda l’adozione di misure preventive contro la generazione di contenuti intimi non consensuali o di materiale di abuso sessuale su minori. Il testo richiama, a titolo esemplificativo, la progettazione sicura delle istruzioni, l’addestramento al rifiuto, i filtri sui contenuti, i controlli sugli output, i meccanismi di rilevazione degli abusi e le procedure di segnalazione e intervento. Non basta, quindi, vietare contrattualmente l’uso illecito: occorre valutare se le garanzie tecniche siano ragionevoli e adeguate rispetto alle caratteristiche del sistema e agli usi impropri ragionevolmente prevedibili.
Per titolari del trattamento, sviluppatori e utilizzatori, l’ampliamento della base giuridica per il trattamento di categorie particolari di dati non deve essere letto come una deroga generale alla disciplina di protezione dei dati personali. Restano centrali la stretta necessità, l’impossibilità di usare dati alternativi efficaci, la minimizzazione, la sicurezza e la tracciabilità delle decisioni di trattamento.
Infine, il rafforzamento dell’Ufficio europeo per l’intelligenza artificiale segnala una progressiva centralizzazione della supervisione per alcune categorie di sistemi, in particolare quelli basati su modelli di intelligenza artificiale per finalità generali sviluppati nella stessa impresa e quelli integrati in piattaforme online o motori di ricerca di dimensioni molto grandi. Il testo attribuisce all’Ufficio poteri di richiesta di informazioni, ispezione, indagine, accettazione di impegni, accertamento della non conformità e irrogazione di sanzioni.
Merita attenzione anche la nozione di misure “ragionevoli e adeguate” per prevenire la generazione di contenuti vietati. La formula consente proporzionalità rispetto a modello, architettura, distribuzione e controllo effettivo del fornitore, ma richiederà parametri applicativi più puntuali per evitare valutazioni disomogenee.
Resta inoltre delicato il raccordo tra la nuova base giuridica per la correzione delle distorsioni e gli obblighi derivanti dal regolamento (UE) 2016/679. Il trattamento di dati particolari potrà essere giustificato soltanto entro confini stretti e documentati: la finalità di ridurre il rischio di discriminazioni non elimina l’esigenza di dimostrare necessità, proporzionalità e adeguatezza delle garanzie.
Insomma, l’Omnibus digitale sull’intelligenza artificiale non propone un arretramento generalizzato della regolazione europea. Il testo tenta piuttosto di correggere alcune criticità emerse nella fase di avvio del regolamento, differendo gli obblighi più complessi, razionalizzando i rapporti con la disciplina settoriale e introducendo strumenti di sostegno per operatori di minori dimensioni.
Allo stesso tempo, il provvedimento amplia il catalogo delle pratiche vietate in un ambito particolarmente sensibile e rafforza i poteri di supervisione europea per alcune categorie di sistemi. La sfida applicativa consisterà nel far convivere semplificazione, certezza giuridica e tutela effettiva dei diritti fondamentali, evitando che il rinvio dei termini si traduca in un rinvio delle attività di conformità.
Sull'autore
