Il 7 maggio 2026, alle prime ore del mattino, i negoziatori del Consiglio dell'Unione Europea e del Parlamento Europeo hanno chiuso il terzo trilogo sotto la presidenza cipriota e hanno trovato un accordo politico provvisorio sul cosiddetto Digital Omnibus on AI. L'accordo conferma il rinvio degli obblighi per i sistemi ad alto rischio dell'Allegato III dal 2 agosto 2026 al 2 dicembre 2027, posticipa al 2 agosto 2028 quelli per i sistemi dell'Allegato I integrati in prodotti regolati, sposta al 2 dicembre 2026 le regole sul watermarking dei contenuti generati da IA, e aggiunge un nuovo divieto contro i sistemi che generano contenuti sessuali non consensuali e materiale pedopornografico, con applicazione dal 2 dicembre 2026.
L'argomento ufficiale per il rinvio è tecnico: gli standard armonizzati che CEN e CENELEC dovevano consegnare entro agosto 2025 non sono pronti. Senza standard, la Commissione sostiene, le aziende non possono valutare la conformità con certezza giuridica. La presidenza cipriota ha presentato l'accordo come prima realizzazione concreta della roadmap «One Europe, One Market». Il commissario alla simplification l'ha definito un atto di responsabilità verso le imprese.
Chi ha deciso
L'iter è documentato. Il 17 novembre 2025 Ursula von der Leyen presenta il Digital Omnibus come pacchetto di semplificazione. Il 14 gennaio 2026 Corporate Europe Observatory e LobbyControl pubblicano un'analisi articolo per articolo che confronta il testo della Commissione con le posizioni di lobbying di Google, Meta, Microsoft e delle loro associazioni di categoria: sette delle otto modifiche principali ricalcano le richieste dell'industria. Il 26 marzo il Parlamento adotta la propria posizione. Il 28 aprile il trilogo si blocca sull'Allegato I, sui sistemi IA integrati nei macchinari regolati dalla Machinery Regulation. Il 7 maggio, alle ore piccole, l'accordo viene chiuso. Il comunicato del Consiglio celebra «la capacità delle nostre istituzioni di agire rapidamente». La capacità di agire rapidamente, va segnalato, è stata applicata a un rinvio.
Il rapporteur per il Digital Omnibus in seno al Parlamento è Aura Salla, eurodeputata finlandese del PPE. Salla è stata responsabile del lobbying di Meta presso le istituzioni europee fino al 2023. Sette organizzazioni di watchdog hanno chiesto formalmente il suo ricorso prima della nomina. La richiesta è stata respinta. La persona incaricata di guidare la riforma delle regole sulle aziende tecnologiche è una persona che fino a poco tempo prima lavorava per la più grande azienda tecnologica del settore.
Bram Vranken, Corporate Europe Observatory, 14 gennaio 2026
Cosa è stato spostato
Chi beneficia
Le aziende a cui il rinvio porta valore monetario diretto si distribuiscono su tre cerchi concentrici. Il primo è quello dei fornitori di GPAI con capacità di reach sistemico, cioè i modelli di base che alimentano la maggior parte dei sistemi ad alto rischio dell'Allegato III. Per OpenAI, Google, Microsoft, Meta, Anthropic, xAI e Mistral, i 16 mesi di rinvio significano un'estensione del periodo in cui i sistemi possono essere venduti a clienti europei senza che gli obblighi di conformity assessment, marcatura CE, registrazione nel database UE e supervisione umana vincolante siano applicabili agli utenti finali dei loro modelli. Il secondo cerchio è quello dei deployer ad alto rischio: banche che usano sistemi di credit scoring automatizzato, aziende sanitarie che impiegano modelli di triage, datori di lavoro che usano sistemi di selezione candidati, polizie che adottano sistemi di riconoscimento biometrico in tempo reale o predictive policing. Il terzo cerchio è quello dei consulenti, degli auditor e degli studi legali che vendono compliance: per loro il rinvio significa un ciclo di vendita più lungo, un budget annuale aggiuntivo, una pipeline di clienti che restano in stato di urgenza non risolta.
L'allineamento tra il testo della Commissione e le posizioni di lobby è documentato non come accusa ma come comparazione testuale. L'analisi del 14 gennaio 2026 mostra che la richiesta di legare l'applicazione delle regole sui sistemi ad alto rischio alla pubblicazione degli standard armonizzati, formulata da CCIA, DigitalEurope, BSA, Google e Meta in lettere e posizionamenti del 2024 e 2025, è confluita quasi letteralmente nel testo dell'Omnibus. La richiesta di eliminare l'obbligo di pubblicare nel database UE le autovalutazioni di rischio fatte dai provider è stata accolta. La richiesta di estendere la base giuridica del legitimate interest al training di modelli IA con dati personali è stata accolta in un nuovo articolo 88c del GDPR. Sette modifiche su otto. Il rapporto è pubblico e verificabile.
Chi paga
Le persone su cui l'AI Act doveva avere effetto protettivo a partire dal 2 agosto 2026 sono le stesse che pagheranno il rinvio. Chi viene rifiutato da un algoritmo bancario senza spiegazione comprensibile fino al 2 dicembre 2027 non avrà diritto a contestare nei termini previsti dall'Articolo 86. Chi viene scartato da un sistema automatizzato di selezione del personale non avrà la trasparenza che l'Allegato III, punto 4, lettera b, prevedeva entro questa estate. Chi finisce in un database di predictive policing in una città europea avrà sedici mesi in più di esposizione a un sistema che potrebbe essere classificato come inaccettabile e che invece continuerà ad operare in zona di limbo regolatorio. L'analisi di TechPolicy Press segnala un effetto strutturale ulteriore: poiché l'AI Act non è retroattivo, ogni sistema messo sul mercato prima della nuova data di applicazione resta fuori da una parte significativa degli obblighi. Il rinvio non sposta solo le scadenze. Crea una finestra di sedici mesi durante la quale i sistemi ad alto rischio possono essere deployati nell'Unione e poi rimanere strutturalmente al di fuori del perimetro di vigilanza più stringente.
Il punto strutturale
L'argomento «mancano gli standard» è vero. È anche un argomento che ha una storia. Gli standard armonizzati per l'AI Act sono stati richiesti a CEN e CENELEC nel maggio 2023. Il mandato è stato modificato nel giugno 2025. I tavoli di standardizzazione sono, come tutti i tavoli di standardizzazione tecnica europei degli ultimi vent'anni, popolati in misura sproporzionata da rappresentanti delle aziende che gli standard dovrebbero vincolare. Corporate Europe Observatory ha documentato già nel 2024 che gli organismi di standardizzazione che si occupano di IA sono heavily skewed towards the tech industry. L'effetto è circolare: l'industria rallenta gli standard, l'assenza di standard produce incertezza, l'incertezza diventa argomento per il rinvio, il rinvio produce ulteriore tempo per influenzare gli standard. La struttura è quella descritta in Ipnocrazia: il potere opera moltiplicando narrative concorrenti fino a dissolvere la distinzione tra «non possiamo» e «non vogliamo». Il rinvio è venduto come capacità di ascolto. È capacità di farsi spostare.
Resta una domanda concreta per chiunque, in Italia, abbia un sistema IA che ricadrà nell'Allegato III. Il rinvio non significa cancellazione. Il 2 dicembre 2027 arriverà, e arriverà con multe fino al 7% del fatturato globale annuo per le pratiche proibite e fino al 3% per gli altri obblighi. L'argomento politico del rinvio è stato giocato: usarlo una seconda volta distruggerebbe la credibilità dell'effetto Brussels che fa dell'AI Act una norma globalmente rilevante. La finestra è aperta una volta sola. Chi pausa la compliance ora si troverà nella stessa condizione di chi all'inizio del 2024 pensava che il GDPR sarebbe stato edulcorato a forza di lobbying e poi dovette adeguarsi in tre mesi con costi triplicati.
Il Bollettino seguirà il dossier. Quando il testo finale sarà pubblicato sull'EUR-Lex, ci sarà un secondo Bollettino dedicato a cosa è stato modificato negli ultimi metri di negoziato. Per ora, queste sono le date. Queste sono le aziende. Questi sono i cittadini europei che pagheranno il delta.