Dopo tanto parlare, è stato finalmente approvato il cosiddetto Digital Omnibus on AI, ossia il Regolamento (UE) 2026/1744 che semplifica alcune parti del Regolamento sull'IA: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32026R1744.
Il testo consolidato del Regolamento 2024/1689 sull'IA è qui: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:02024R1689-20260727.
Ne ho fatto un'analisi, ma senza affidarmi a sistemi di IA e non mi sembra che le semplificazioni siano così significative. Cerco però di elencare nel seguito le novità suddivise per titolo.
Ringrazio Franco Vincenzo Ferrari per avermi segnalato la pubblicazione del Digital Omnibus e Massimiliano Giovannini che mi ha segnalato un ottimo articolo, anche se molto sintetico, del Sole 24 Ore e a cura di Giusella Finocchiaro, che riassume le modifiche e fa notare che le modifiche non apportano semplificazioni significative.
Sicuramente ho scritto cose sbagliate o inesatte. Vi prego di aiutarmi a correggerle.
** Spostamento scadenze **
L'articolo 111 sposta le scadenze i sistemi di IA ad alto rischio destinati a essere utilizzati dalle autorità pubbliche dal 2 agosto 2026 al 2 agosto 2030; chiarisce anche i termini di adeguamento ai principi di trasparenza per i sistemi generativi.
L'articolo 113 sposta le scadenze relative ai sistemi ad alto rischio, prima al 2 agosto 2027, di 4 o 12 mesi. Sposta al 2 agosto 2028 la scadenza per i componenti di sicurezza e per i prodotti (semplificando) la cui sicurezza è già regolata da direttive o regolamenti UE (p.e. giocattoli, auto e avio, apparecchiature radio, dispostivi medici) e al 2 dicembre 2027 per tutti gli altri. Immagino che per i primi, forse più critici, la scadenza è spostata successivamente perché devono essere allineate le norme armonizzate.
Introduce, prima curiosamente mancanti, le scadenze per i sistemi usati in ambiente automotive o avio. Questa è una delle scadenze più significative per le organizzazioni.
** Norme armonizzate e organismi notificati **
Introduce in molte parti (articoli 29, 30, 40, 43, 60, 60 bis) i riferimenti alle norme armonizzate, come avviene anche per le macchine, i sistemi a bassa tensione e simili. In sostanza, se esistono norme tecniche (tipicamente EN o ETSI) e il prodotto le rispetta, il fabbricante può non applicare alcune misure di analisi.
Le norme armonizzate erano già citate in precedenza, ma, se capisco correttamente, adesso sono corretti o precisati i meccanismi per il loro utilizzo.
Entro il 2 agosto 2027, la Commissione europea indicherà a quali sistemi di IA si potranno applicare queste semplificazioni.
Sono state apportate diverse modifiche (articoli 28, 29, 30 e Allegato XIV) relativamente alle modalità di accreditamento degli organismi notificati, ossia gli organismi che possono certificare i prodotti.
Mi sembrano novità molto significative. Bisognerà però vedere come sarà applicato tutto il meccanismo. Al momento non mi è chiarissimo.
** Sistemi di IA di nudificazione e per creare materiale pornografico o pedopornografico **
Sono aggiunti, come sistemi vietati elencati nell'articolo 5, quei sistemi che manipolano immagini di persone per renderle nude o in atti sessuali o per produrre materiale pedopornografico.
E' evidente che se ne erano dimenticati e hanno colto l'occasione per aggiungerli.
Ci sono delle eccezioni legate al consenso o a "giustificazione ai sensi del diritto nazionale" e mi chiedo come un sistema possa verificarle e, nel secondo caso, quali possano essere queste giustificazioni. Ci sono poi ulteriori chiarimenti nei paragrafi 1 bis e 1 ter; faccio fatica a interpretarli e spero di non dovermi mai trovare nella necessità di doverlo fare; le scadenze per questi sistemi sono state aggiunte all'articolo 113.
La Commissione dovrà aggiornare gli orientamenti relativi ai sistemi vietati e forse lì troverò risposte ai miei dubbi.
** PMI e piccole imprese a media capitalizzazione **
Nell'articolo 3 sono introdotte (oltre al richiamo in articolo 1) le definizioni di PMI e di piccole imprese a media capitalizzazione; questa è evidentemente una correzione.
Le PMI e le piccole imprese a media capitalizzazione sono richiamate all'articolo 11 paragrafo 1 (per alcune modeste semplificazioni sulla documentazione tecnica), all'articolo 17 e 63 (sul sistema di gestione per la qualità, con frasi generiche e un rimando a futuri implementation act), all'articolo 70 (con la generica possibilità di fornire orientamenti), agli articoli 95 e 96 (nell'elaborazione dei codici di condotta e degli orientamenti); all'articolo 99 (sulle sanzioni).
Tanto si è parlato di questo punto, ma non mi sembra che le novità siano sbalorditive.
** Alfabetizzazione in materia di IA **
L'articolo 4 con la richiesta di alfabetizzazione in materia di IA è stato reso più blando: adesso bisogna “sostenere lo sviluppo” e non “garantire un livello sufficiente” di alfabetizzazione in materia di IA; inoltre è stato aggiunto un periodo per chiarire che non è richiesto un livello specifico di alfabetizzazione.
Sono aggiunti 2 paragrafi perché siano messi a disposizione esempi pratici di alfabetizzazione e sia promossa l'alfabetizzazione.
** Protezione dei dati personali e FRIA **
Aggiunto l'articolo 4 bis sul trattamento di categorie particolari di dati personali. Va però detto che è lo stesso testo che c'era nell'articolo 10 paragrafo 5, ora ovviamente soppresso.
La differenza è un nuovo paragrafo, che permette anche agli utilizzatori (deployer) di usare dati personali appartenenti a categorie particolari per identificare e correggere bias del sistema di IA
Cambiato anche l'articolo 10 paragrafo 1 perché prima rimandava al paragrafo 5 e adesso deve rimandare all'articolo 4 bis.
All'articolo 27 sulla FRIA è stato modificato il paragrafo 4 per ricordare che FRIA e DPIA potrebbero essere integrate in vari modi. E' stato modificato anche i paragrafo 5, ma solo per mantenere coerenza con la modifica del paragrafo 4.
Viene da pensare che quest'ultima modifica nasce dalla paura degli auditor eccessivamente formali. Sui danni che questi provocano, ci sarebbero da scrivere libri (ma attenzione che i formalismi sono comunque importanti).
** Orientamenti della Commissione **
Sono previsti (articolo 96) nuovi orientamenti, da pubblicare entro il 1 agosto 2027, sulle norme armonizzate, sul sistema di gestione dei rischi e sul sistema di gestione per la qualità.
** Cooperazione in caso di modifiche a un sistema di IA **
All'articolo 25 è stato aggiunto un comma per chiarire come uno sviluppatore debba cooperare con ulteriori sviluppatori che modificano il sistema di IA.
E' stato anche corretto un refuso al paragrafo 4 (si erano dimenticati di citare anche i "modelli di IA").
** Relazioni con il CRA **
All'articolo 42 è stato aggiunto un riferimento al CRA perché anche l'articolo 15 dell'AI Act richiama la cibersicurezza del sistema o modello di IA che sarebbe soddisfatto che il prodotto soddisfa il CRA.
** Vigilanza e AI Office **
Sono chiariti i poteri di vigilanza all'AI Office (articoli da 75 a 75 quinques), fornendogli risorse (articolo 64) e togliendogli il compito di promuovere buone pratiche (articolo 56, che lo dà alla Commissione UE).
Sono forniti (articoli 76, 77) ulteriori chiarimenti sui poteri e sulla cooperazione delle autorità di vigilanza.
L'articolo 72 pospone la scadenza per la Commissione relativa all'adozione di orientamenti sul piano di monitoraggio successivo all'immissione sul mercato entro il 2 settembre 2027 (e non 2026).
** Spazi di sperimentazione **
Gli articoli 57, 58 e 59 sono stati modificati per spostare la scadenza per la messa a disposizione di spazi di sperimentazione, per introdurre alcuni chiarimenti e correzioni e per ampliare gli spazi di sperimentazione anche ai sistemi ad alto rischio.
Confesso che non mi sono chiari questi spazi di sperimentazione. Forse perché non ci sono ancora o io non li ho ancora visti.
** Consulenti **
L'articolo 69 introduce la possibilità, per gli Stati membri, di pagare eventuali consulenti esperti di cui dovessero avvalersi. Evito di commentare i pro e i rischi di questo punto.
** Correzioni **
Alcune correzioni sono state apportate all'articolo 50 paragrafo 7, all'articolo 96 paragrafo 1 e all'articolo 99 (sulle sanzioni).
All'articolo 3 è corretta (o precisata) la definizione di "componente di sicurezza"; ulteriori chiarimenti sono stati aggiunti (con i paragrafi 1 bis, ter e quater) all'articolo 6.
L'articolo 97 è stato modificato per allineare alcuni riferimenti cambiati.
In Allegato VIII, relativo alla registrazione dei sistemi ad alto rischio, sono eliminate un paio di richieste inutili.
