Le norme armonizzate per l'AI Act non ci sono ancora, e questo spiega il rinvio

Il rinvio degli obblighi sui sistemi ad alto rischio deciso dall’Omnibus digitale ha una causa tecnica precisa, dichiarata dal legislatore e verificabile sulle fonti: le norme armonizzate che avrebbero dovuto accompagnare l’applicazione del regolamento non sono ancora disponibili.

Che cosa sarebbe dovuto succedere

Il meccanismo della legislazione europea sui prodotti poggia su una divisione di compiti. Il regolamento fissa i requisiti essenziali. Gli enti di normazione europei traducono quei requisiti in specifiche tecniche verificabili. La Commissione cita le norme nella Gazzetta ufficiale dell’Unione europea, e da quel momento chi le applica gode di una presunzione di conformità.

Per l’intelligenza artificiale il lavoro è affidato al comitato tecnico congiunto CEN-CENELEC JTC 21, costituito nel 2021. Le norme richieste riguardano i requisiti del capo III, sezione 2, dalla gestione del rischio alla governance dei dati, dalla documentazione tecnica alla sorveglianza umana.

Lo stato reale

Al momento nessuna norma armonizzata a supporto del regolamento (UE) 2024/1689 risulta citata nella Gazzetta ufficiale dell’Unione europea. La pagina della Commissione dedicata alla normazione sull’AI Act, aggiornata ad agosto 2026, descrive il lavoro ancora al futuro. L’elenco delle normative dell’Unione accompagnate da norme armonizzate non contiene voci riferite all’intelligenza artificiale.

Il progetto più avanzato è la prEN 18286, dedicata al sistema di gestione della qualità che l’articolo 17 richiede ai fornitori di sistemi ad alto rischio. È stata sottoposta a inchiesta pubblica dal 30 ottobre 2025.

La richiesta di normazione riformulata

La Commissione aveva rivolto a CEN e CENELEC una prima richiesta nel maggio 2023. Nel settembre 2024 gli enti di normazione hanno segnalato ritardi rilevanti nel rapporto semestrale.

La risposta è arrivata con la decisione di esecuzione C(2025) 3871 final del 23 giugno 2025, che abroga e sostituisce integralmente la richiesta precedente. Non è un emendamento: è un nuovo mandato, con scadenza fissata al 28 febbraio 2027.

Nell’ottobre 2025 CEN e CENELEC hanno adottato misure straordinarie di accelerazione, fra cui la possibilità di pubblicazione diretta senza voto formale e la costituzione di un gruppo di redazione per le bozze in ritardo, con l’obiettivo di chiudere entro la fine del 2026.

Che cosa comporta per chi deve adeguarsi

Fino alla citazione in Gazzetta ufficiale, chi sviluppa sistemi ad alto rischio non dispone della via più semplice per dimostrare la conformità. Restano percorribili le altre strade previste dal regolamento: le specifiche comuni adottate dalla Commissione con atti di esecuzione, quando esistono, e la dimostrazione diretta del rispetto dei requisiti.

L’Omnibus digitale ha introdotto anche una disposizione transitoria nei regolamenti settoriali modificati, in forza della quale i sistemi ad alto rischio possono fare riferimento a soluzioni alternative finché le norme armonizzate o le specifiche comuni non sono disponibili.

Un equivoco da evitare

La norma UNI CEI EN ISO/IEC 42001, dedicata ai sistemi di gestione dell’intelligenza artificiale, viene talvolta presentata come strumento di conformità all’AI Act. La Commissione ha affermato esplicitamente che non è allineata ai requisiti del regolamento, e proprio per questo ha chiesto lo sviluppo della prEN 18286.

Un sistema di gestione certificato secondo la 42001 può essere utile all’organizzazione, ma non produce la presunzione di conformità che deriva da una norma armonizzata citata in Gazzetta ufficiale.

Il tracker segue lo stato di ciascun obbligo e i provvedimenti che lo attuano.

Che cosa può fare chi non vuole aspettare

Il tempo guadagnato con il rinvio non è tempo neutro. I requisiti del capo III, sezione 2 sono già scritti e non cambieranno con l’arrivo delle norme tecniche: cambierà il modo di dimostrare di averli soddisfatti.

Le attività che non dipendono dalle norme armonizzate si possono avviare fin d’ora. La classificazione dei propri sistemi rispetto all’articolo 6 e agli allegati determina se gli obblighi si applicheranno. La ricognizione dei set di dati impiegati risponde ai criteri dell’articolo 10. La documentazione tecnica dell’articolo 11 richiede informazioni che è più semplice raccogliere durante lo sviluppo che ricostruire a posteriori.

Restano inoltre applicabili da tempo obblighi che nulla hanno a che vedere con l’alto rischio: le pratiche vietate dell’articolo 5 dal 2 febbraio 2025 e l’alfabetizzazione dell’articolo 4 dalla stessa data.

Il calendario della normazione

La decisione C(2025) 3871 fissa la propria scadenza al 28 febbraio 2027, mentre le misure di accelerazione adottate da CEN e CENELEC puntano alla fine del 2026. Il margine fra la disponibilità delle norme e la prima data di applicazione degli obblighi, il 2 dicembre 2027, resta stretto.