Si parla molto in questi giorni delle proroghe dell’AI Act in seguito al Digital Omnibus, ma, soprattutto in settori delicati come quello sanitario, occorre prestare attenzione a non confondere i differimenti concessi con un’esenzione dai tanti obblighi che invece restano in materia di trattamento dei dati e utilizzo di sistemi di intelligenza artificiale.
Cosa cambia e cosa resta in vigore dell’AI Act
È stato pubblicato, infatti, nella Gazzetta Ufficiale dell’Unione europea del 24 luglio 2026 il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull’IA, che modifica l’AI Act e interviene su alcune delle sue tempistiche applicative.
Come spesso accade, però, il rischio è che il dibattito pubblico si fermi adesso ai rinvii e non comprenda invece il vero significato della riforma.
Occorre innanzitutto chiarire un equivoco: l’AI Act non è stato sospeso.
Da tempo sono già pienamente applicabili:
- i divieti previsti dall’art. 5;
- gli obblighi di alfabetizzazione (AI Literacy) previsti dall’art. 4;
- una parte significativa della governance europea dell’intelligenza artificiale.
Il caso della Sanità Digitale e la sovrapposizione normativa
È vero che l’unica vera novità che entrerà in applicazione il prossimo 2 agosto riguarda principalmente gli obblighi di trasparenza previsti dall’art. 50, mentre alcune misure tecniche relative all’etichettatura dei contenuti generati artificialmente sono state ulteriormente differite di qualche mese.
Così come è indubbio che sono stati prorogati numerosi adempimenti più onerosi, compresi quelli relativi ai sistemi ad alto rischio e alla FRIA (Fundamental Rights Impact Assessment), con il conseguente differimento di una parte significativa degli obblighi la cui violazione potrebbe dar luogo all’applicazione del regime sanzionatorio previsto dall’AI Act.
Ma sarebbe un errore interpretare queste proroghe come un invito ad attendere.
Al contrario. Proprio il Digital Omnibus conferma che la vera sfida europea è costruire una maggiore armonizzazione tra normative diverse che insistono sugli stessi sistemi digitali.
Il caso della sanità digitale in materia di utilizzo di IA è emblematico.
Un dispositivo medico che incorpora funzionalità di intelligenza artificiale non è, infatti, soggetto soltanto all’AI Act, ma anche al GDPR, al Regolamento MDR e/o IVDR, alle regole di cybersicurezza e, ove ne ricorrano i presupposti, agli obblighi derivanti dalla NIS2.
L’esempio pratico: l’uso di un Chatbot in ospedale
Persino l’utilizzo di un semplice chatbot generativo all’interno di una struttura sanitaria può richiedere valutazioni complesse:
- trattamento di dati personali e, probabilmente, di dati sanitari;
- eventuale necessità di una DPIA (Data Protection Impact Assessment);
- corretta individuazione del perimetro NIS2;
- rispetto degli obblighi di formazione previsti dall’AI Act;
- rispetto degli obblighi di trasparenza nei confronti degli utenti.
Senza dimenticare che per sviluppare innovazione digitale in sanità attraverso sistemi e modelli di IA generativa e/o agentica è indispensabile assicurare la gestione di database e archivi integri e di qualità (quindi, applicare le regole del Regolamento eIDAS e del Codice dell’amministrazione digitale).
La soluzione: Costruire una Digital Compliance integrata
La vera novità introdotta dal Digital Omnibus non è quindi l’alleggerimento della compliance, ma il riconoscimento della necessità di coordinare meglio discipline che già oggi si applicano simultaneamente agli stessi processi digitali.
Per questo motivo la priorità attuale non è rincorrere le scadenze dell’AI Act.
La priorità è iniziare da subito a costruire una Digital Compliance integrata, capace di leggere in maniera coordinata le diverse normative che impattano sui processi digitali.
Servono pertanto competenze giuridiche, organizzative, tecnologiche, cliniche e di sicurezza, attraverso l’istituzione di team interdisciplinari.
Sono necessari, quindi, modelli di governance che coinvolgano DPO, responsabili della sicurezza, compliance manager, professionisti IT, responsabili del rischio e vertici organizzativi.
In estrema sintesi, molte scadenze sono state rinviate.
La necessità di organizzarsi, invece, no.
E chi continua a considerare GDPR, NIS2, AI Act, MDR, IVDR ed eIDAS come compartimenti separati rischia di affrontare il futuro digitale con strumenti concettuali già vecchi.
