Digital Omnibus (Omnibus VII): il Consiglio UE approva definitivamente le modifiche all'AI Act — cosa cambia e cosa devono fare gli enti locali

Il 29 giugno 2026 il Consiglio dell'Unione europea ha approvato in via definitiva — con il c.d. final green light — il regolamento che razionalizza e semplifica alcune norme relative all'intelligenza artificiale, modificando il Regolamento UE 2024/1689 (AI Act). Il provvedimento è parte del più ampio pacchetto Omnibus VII — noto anche come Digital Omnibus — che comprende sia la proposta di regolamento sull'IA sia una seconda proposta regolamentare volta a semplificare il quadro legislativo dell'Unione in materia digitale. La notizia è stata rilanciata da Federprivacy con flash news del 1° luglio 2026 (fonte: Consiglio dell'Unione europea, comunicato stampa del 29/6/2026). Per gli enti locali — chiamati sempre più spesso a utilizzare sistemi di IA nella propria attività amministrativa (assistenti virtuali, tributi, controlli, valutazioni di rischio, servizi sociali, scuola, Polizia locale) — le modifiche approvate hanno due conseguenze immediate: (i) il rinvio dell'applicazione degli obblighi sui sistemi di IA ad alto rischio (con date scaglionate al 2/12/2027 e 2/8/2028); (ii) l'introduzione di nuovi divieti espressi, in particolare sulla generazione di contenuti sessuali non consensuali (deepnude) e sul materiale pedopornografico generato da IA, con effetti diretti su Polizia locale, servizi sociali e scuola. Il testo entrerà in vigore tre giorni dopo la pubblicazione in Gazzetta Ufficiale dell'UE.

1. Che cos'è il Digital Omnibus (Omnibus VII)

Il termine «Omnibus» — nel lessico legislativo dell'Unione europea — indica un provvedimento «contenitore» che modifica in un unico atto una pluralità di norme preesistenti, per finalità di semplificazione, armonizzazione o correzione tecnica. Il pacchetto approvato dal Consiglio UE il 29 giugno 2026 è formalmente denominato Omnibus VII ed è comunemente chiamato Digital Omnibus per la sua vocazione trasversale nel settore digitale.

Il pacchetto si compone di due proposte regolamentari distinte:

1. Proposta di regolamento contenente norme armonizzate sull'IA — modifica il Regolamento UE 2024/1689 (AI Act);
2. Proposta regolamentare di semplificazione — interviene sul più ampio quadro legislativo dell'UE in materia digitale.

Il presente articolo si concentra sulla prima proposta, che è quella definitivamente approvata dal Consiglio il 29 giugno 2026 con quello che nella prassi UE viene definito final green light. Il testo entrerà in vigore tre giorni dopo la pubblicazione in Gazzetta Ufficiale dell'Unione europea.

2. Le nuove date di applicazione dell'AI Act

La modifica più impattante per gli operatori pubblici e privati è il rinvio delle date di applicazione degli obblighi sui sistemi di IA ad alto rischio. Nella stesura originaria del Regolamento UE 2024/1689, la data-cardine per l'applicazione della maggior parte degli obblighi sui sistemi ad alto rischio era il 2 agosto 2026. L'Omnibus VII posticipa questa data secondo un criterio di scaglionamento:

3. Il divieto di deepnude e materiale pedopornografico generato da IA

Fra gli elementi chiave della nuova disciplina — e certamente il punto di maggiore rilievo sociale — vi è l'introduzione di un divieto espresso della generazione di contenuti di IA non consensuali di natura sessuale e intima e di materiale pedopornografico.

Rilievo per gli enti locali: il divieto ha impatti su tre aree operative dell'ente:

• Polizia locale — la generazione di deepnude e la loro diffusione (spesso ai danni di minori tramite piattaforme social) rientra tra i fenomeni oggetto di segnalazione e — sotto il profilo del diritto penale nazionale — di intervento di polizia giudiziaria. Il divieto UE fornisce un fondamento normativo aggiuntivo per le misure preventive e per la formazione degli operatori;
• Scuola e servizi educativi — la sensibilizzazione di studenti e famiglie sui rischi dei deepnude (una delle forme più aggressive di cyberbullismo attuale) diventa parte dei programmi di educazione digitale gestiti dai Comuni. Il coordinamento con le scuole del territorio e con le associazioni del terzo settore è essenziale;
• Servizi sociali — il supporto alle vittime di deepnude (spesso adolescenti, prevalentemente donne) è un ambito emergente. Coordinare con centri antiviolenza, sportelli d'ascolto, servizi di sostegno psicologico è una responsabilità nuova per gli assessorati alle politiche sociali.

4. Sandbox normative — nuovo termine 2 agosto 2027

Il termine per l'istituzione, da parte delle autorità competenti a livello nazionale, delle sandbox normative per l'IA — ambienti sperimentali controllati che consentono di testare sistemi di IA innovativi in condizioni protette, con supervisione dell'autorità di regolazione — è posticipato al 2 agosto 2027.

5. Etichettatura contenuti generati artificialmente — nuova scadenza 2 dicembre 2026

Uno degli obblighi cardine dell'AI Act è la trasparenza sui contenuti generati artificialmente — l'obbligo cioè di segnalare in modo chiaro e riconoscibile che un testo, un'immagine, un audio o un video sono stati creati o alterati da un sistema di IA. La finalità è consentire ai cittadini di distinguere tra contenuti autentici e contenuti sintetici (deepfake).

L'Omnibus VII interviene sui tempi di attuazione: il periodo di tolleranza concesso ai fornitori per implementare le soluzioni tecniche di etichettatura è ridotto da 6 a 3 mesi, fissando la nuova scadenza al 2 dicembre 2026.

6. Competenze dell'Ufficio per l'IA sui modelli generici

Il testo del regolamento chiarisce le competenze dell'Ufficio per l'IA (AI Office, istituito presso la Commissione europea) in materia di supervisione dei sistemi di IA basati su modelli di IA generici, quando il modello e il sistema sono sviluppati dallo stesso fornitore. La logica: quando il fornitore controlla sia il modello di base (foundation model) sia il sistema applicativo, ha visibilità completa sui rischi — è quindi tecnicamente più corretto centralizzare la supervisione a livello UE.

Eccezioni: le autorità nazionali mantengono la propria competenza per specifici ambiti sensibili, tra cui:

• Forze dell'ordine — l'IA usata dalle forze di polizia (locale e nazionale) resta di competenza nazionale, in ragione del rapporto diretto con i diritti fondamentali dei cittadini nell'ambito dell'accertamento e prevenzione dei reati;
• Gestione delle frontiere — IA in ambito immigrazione, controllo dei valichi, gestione dei flussi migratori;
• Autorità giudiziarie — IA usata da magistratura e uffici giudiziari (es. sistemi di gestione dei fascicoli, IA di supporto alla decisione giudiziaria);
• Istituti finanziari — IA in ambito credit scoring, antifrode bancaria, valutazione di rischi finanziari.

7. Coordinamento con la normativa settoriale

Un tema molto tecnico ma di grande rilievo operativo è il coordinamento tra AI Act e normative settoriali. Molti settori disciplinati dall'UE prevedono già requisiti specifici in materia di sicurezza e affidabilità dei prodotti: dispositivi medici (Reg. UE 2017/745 MDR), giocattoli (Direttiva 2009/48/CE), ascensori (Direttiva 2014/33/UE), imbarcazioni (Direttiva 2013/53/UE). Quando questi prodotti incorporano componenti di IA classificabili come «ad alto rischio» ex AI Act, si crea una sovrapposizione tra requisiti settoriali e requisiti dell'AI Act.

La nuova disciplina prevede un meccanismo di risoluzione: quando la normativa settoriale prevede requisiti specifici in materia di IA simili a quelli dell'AI Act, la Commissione può — tramite atti di esecuzione — limitare l'applicazione dell'AI Act nei casi specifici, così da evitare la duplicazione degli oneri di conformità. La ratio: efficienza regolatoria + certezza per gli operatori economici.

8. Esenzione dei prodotti del Regolamento Macchine UE 2023/1230

Punto specifico e di particolare rilevanza per Comuni con Uffici Tecnici Lavori Pubblici e gestori di impianti industriali: i prodotti disciplinati dal Regolamento Macchine UE 2023/1230 sono stati esentati dall'applicabilità diretta dell'AI Act.

La Commissione è autorizzata ad adottare atti di diritto derivato, ai sensi del Regolamento Macchine, che aggiungano requisiti in materia di salute e sicurezza relativi ai sistemi di IA qualificabili come ad alto rischio ai sensi dell'AI Act. In sostanza: le macchine con componenti di IA saranno regolate attraverso il Regolamento Macchine, non direttamente dall'AI Act. Ne consegue un alleggerimento del carico di compliance per i produttori di macchinari, con il mantenimento delle garanzie di sicurezza.

Si introduce, inoltre, l'obbligo per la Commissione di redigere orientamenti volti ad assistere gli operatori economici dei sistemi di IA ad alto rischio, disciplinati dalla legislazione settoriale, nel conformarsi ai requisiti relativi all'alto rischio previsti dall'AI Act. Si tratta di uno strumento di soft law che potrà orientare la prassi operativa.

9. Quadro normativo di riferimento

10. Le ricadute per gli enti locali

Il Digital Omnibus ha ricadute pratiche sull'attività dei Comuni in almeno sei aree:

11. Decalogo operativo per il Segretario Comunale e il RTD

1. Non «tirare i remi in barca» sull'AI Act: il rinvio delle date di applicazione non è un esonero dagli obblighi. Le attività preparatorie (censimento, classificazione del rischio, documentazione tecnica, formazione) vanno avviate ora.
2. Fai il censimento dei sistemi di IA in uso nel Comune: chatbot, sistemi di rating tributario, controlli antifrode, IA nelle piattaforme di gestione documentale, IA nei servizi sociali, IA per la comunicazione istituzionale. Classifica ciascun sistema secondo le 4 categorie dell'AI Act (inaccettabile / alto / limitato / minimo).
3. Segna nel calendario le 5 date-chiave post-Omnibus VII: 2/12/2026 (divieto deepnude + etichettatura contenuti); 2/8/2027 (sandbox normative); 2/12/2027 (obblighi sistemi alto rischio autonomi); 2/8/2028 (obblighi sistemi alto rischio integrati in prodotti); + data pubblicazione GUUE dell'Omnibus.
4. Predisponi il protocollo di etichettatura per i contenuti generati con IA nella comunicazione istituzionale (in vigore dal 2/12/2026). Il protocollo definisce: chi autorizza l'uso di IA nella comunicazione + template dell'etichetta + registro dei contenuti + responsabilità.
5. Attiva la Polizia locale sul divieto deepnude: formazione operatori + protocolli di raccordo con Procura + supporto alle vittime (spesso minori) + collaborazione con scuole del territorio.
6. Rivedi i contratti con i fornitori di IA: clausole di conformità AI Act con le nuove date + documentazione tecnica + assicurazione di responsabilità professionale + garanzie sul training del modello (assenza di dati sensibili senza base giuridica).
7. Aggiorna il PIAO sezione «gestione del rischio corruttivo» con misure specifiche sull'uso di IA: formazione, controllo umano documentato, audit periodico degli algoritmi, protocollo etichettatura.
8. Adotta un regolamento comunale sull'IA: strumento di governance interna con inventario dei sistemi, regole di uso, ruoli e responsabilità (RTD, DPO, dirigenti, Segretario), procedura per l'introduzione di nuovi sistemi.
9. Presidia il principio di «riserva di umanità»: TAR Marche 758/2026 + Cons. Stato 2270/2019 + Corte cost. 200/2024. L'algoritmo può supportare, mai sostituire la decisione umana motivata. Questa regola resta vigente indipendentemente dallo slittamento delle date UE.
10. Programma la formazione del personale nel PIAO sezione formazione (3.3) — percorsi periodici per Segretario, RTD, DPO, dirigenti, Polizia locale, servizi educativi, servizi sociali — anche in convenzione con SNA, ANCI, IFEL, Università. La rapida evoluzione dell'IA nella PA richiede un aggiornamento continuo.