Vai al contenuto
KisunoAI
Ospitare in proprio Iniziare ora
Prezzi Docs Blog Iniziare ora Ospitare in proprio

Diritto e scadenze

Il 2 dicembre 2026 e il 12 gennaio 2027: tre processi che reggono davanti a entrambe le scadenze

Il regolamento che nel luglio 2026 ha rinviato le scadenze dell’AI Act per l’alto rischio fissa nello stesso momento due obblighi al 2 dicembre 2026. Poco più di sei settimane dopo, in caso di cambio di fornitore, cade ogni corrispettivo. Questo articolo colloca le due date, mostra tre processi che vi si legano e dice con precisione chi gli obblighi toccano e chi no.

Diritto e scadenze Tempo di lettura: 12 minuti

In breve

  • Il regolamento (UE) 2026/1744 dell’8 luglio 2026 ha spostato le scadenze per l’alto rischio dell’AI Act, cioè del regolamento europeo sull’intelligenza artificiale, al 2 dicembre 2027 e al 2 agosto 2028.1 Quasi ovunque la notizia è stata letta come un cessato allarme.
  • Lo stesso regolamento fissa due obblighi al 2 dicembre 2026. I fornitori di sistemi che generano contenuti sintetici e che sono stati immessi sul mercato prima del 2 agosto 2026 devono entro quella data soddisfare la marcatura leggibile meccanicamente prevista dall’articolo 50, paragrafo 2.2 E due divieti appena inseriti si applicano esattamente da quel giorno.3
  • Poco più di sei settimane dopo, il 12 gennaio 2027, i fornitori di servizi di trattamento dati non possono più chiedere alcun corrispettivo per il cambio di fornitore, comprese le spese di uscita dei propri dati.4
  • Secondo Eurostat, nel 2025 il 19,95% delle imprese dell’UE con almeno dieci addetti utilizzava l’intelligenza artificiale.5 Per la maggior parte di esse il 2 dicembre 2026 colpisce il fornitore e non loro stesse, ed è esattamente questa distinzione che fa la seconda parte di questo articolo.

Che cosa è cambiato a luglio, e che cosa è passato inosservato

L’8 luglio 2026 il Parlamento e il Consiglio hanno adottato il regolamento (UE) 2026/1744, il regolamento omnibus digitale sull’intelligenza artificiale. È stato pubblicato il 24 luglio 2026 ed è in vigore dal 27 luglio 2026.1 Il titolo era ovunque lo stesso: gli obblighi per i sistemi ad alto rischio arrivano più tardi. È vero, ed è metà della notizia. L’altra metà sta negli stessi due articoli che reggono il rinvio, e punta nella direzione opposta.

Il nuovo articolo 111, paragrafo 4, dice in sostanza questo: i fornitori di sistemi di IA, compresi quelli per finalità generali, che generano contenuti sintetici audio, immagine, video o testo e che sono stati immessi sul mercato prima del 2 agosto 2026 adottano le misure necessarie per conformarsi all’articolo 50, paragrafo 2, entro il 2 dicembre 2026.2 L’articolo 50, paragrafo 2, esige che gli output di un simile sistema siano marcati in un formato leggibile meccanicamente e riconoscibili come generati o manipolati artificialmente. La riserva, nella misura in cui ciò sia tecnicamente possibile e tenendo conto dello stato dell’arte generalmente riconosciuto, non riguarda la marcatura in sé ma le soluzioni tecniche che la producono. L’obbligo viene meno se il sistema svolge una funzione di assistenza per l’editing standard o non altera in modo sostanziale i dati di input o la loro semantica.6 L’articolo 111, paragrafo 4, è una regola transitoria per l’esistente, e scade fra tre mesi.

Il nuovo articolo 113, paragrafo 3, lettera a, colloca al 2 dicembre 2026 due divieti appena inseriti, mentre il resto del capo II si applica già dal 2 febbraio 2025.3 La lettera ba vieta i sistemi di IA che generano o manipolano contenuti realistici in cui sono raffigurate le parti intime di una persona identificabile oppure una persona identificabile coinvolta in atti sessualmente espliciti, senza che tale persona vi abbia espressamente acconsentito. La lettera bb riguarda la generazione o la manipolazione di materiale ai sensi della direttiva 2011/93/UE relativa alla lotta contro l’abuso e lo sfruttamento sessuale dei minori.7 Le sanzioni pecuniarie per le violazioni dell’articolo 5 arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, quelle per le violazioni degli obblighi di trasparenza dell’articolo 50 fino a 15 milioni di euro o al 3%.8

La seconda data sta in un’altra legge e viene nominata ancora più di rado. Secondo l’articolo 29, paragrafo 1, del Data Act, dal 12 gennaio 2027 i fornitori di servizi di trattamento dati non possono più imporre spese di trasferimento.4 Spese di trasferimento significa più di quanto la parola lasci supporre: tutte le spese per le operazioni del cambio, comprese espressamente le spese di uscita dei dati, ma non i corrispettivi ordinari del servizio e non le penali per il recesso anticipato.9 Il 25 giugno 2026 la Commissione europea è giunta alla conclusione preliminare che due grandi servizi cloud dovrebbero essere qualificati come gatekeeper, motivandolo espressamente con l’effetto di vincolo e con gli alti costi di cambio.10 Quanto sia grande la dipendenza lo mostra la statistica ufficiale: nel 2025 il 52,74% delle imprese dell’UE con almeno dieci addetti acquistava servizi cloud a pagamento, e il 77,53% di esse rientra fra le fortemente dipendenti secondo la classificazione di Eurostat, perché acquista servizi cloud avanzati.11

  1. 8 luglio 2026: le scadenze per l’alto rischio vengono rinviate
  2. 2 dicembre 2026: marcatura nell’esistente, due nuovi divieti
  3. 12 gennaio 2027: niente più spese di trasferimento
  4. 2 dicembre 2027 e 2 agosto 2028: alto rischio secondo l’allegato III e l’allegato I
Quattro date su una linea. Il rinvio riguarda le ultime due, dal calendario mancano di solito le prime.

Chi viene toccato, e da che cosa lo riconosce

La prima domanda non è che cosa fare, ma in quale ruolo si trova la Sua impresa. L’AI Act conosce il fornitore e il deployer e con questo intende due cerchie di obblighi diverse. Fornitore è chi sviluppa un sistema di IA o lo fa sviluppare e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio. Deployer è chi utilizza un sistema di IA sotto la propria autorità.12 La scadenza del 2 dicembre 2026 prevista dall’articolo 111, paragrafo 4, si rivolge ai fornitori. Chi acquista un modello e lo usa nella propria impresa è anzitutto deployer.

Il confine però non passa dalla ricevuta d’acquisto. Chi mette a disposizione con il proprio nome un sistema acquistato da terzi, per esempio come servizio informativo sul proprio sito o come strumento per la clientela, lo mette in servizio con il proprio nome e diventa così esso stesso fornitore ai sensi del regolamento.12 È la strada per cui un deployer scivola in un obbligo del fornitore, e capita più spesso di quanto figuri nei piani di progetto. Verifichi quindi prima con quale nome un sistema si presenta all’esterno, e solo dopo quale scadenza si applica.

La seconda domanda è chi porta il peso delle verifiche. Una rilevazione di Bitkom Research sulla protezione dei dati ai sensi del GDPR, su 603 imprese in Germania con almeno 20 addetti intervistate per telefono, riporta che nel 77% dei casi la distribuzione di nuovi strumenti rimette in moto ogni volta la verifica, che l’82% vede poca chiarezza sulle prescrizioni precise e che il 54% lamenta un’interpretazione disomogenea all’interno dell’UE.13 Questa rilevazione proviene da un’associazione di categoria, e la presentiamo per quello che è. Accanto va messo il dato contrario tratto dalla stessa rilevazione: il 53% considera la protezione dei dati europea un vantaggio nel confronto internazionale per lo sviluppo dell’IA, il 36% uno svantaggio.14

Chi Che cosa fa scattare la scadenza Che cosa vi apporta Kisuno
Imprese che mettono a disposizione un sistema di IA con il proprio nome L’articolo 50, paragrafo 2, si applica direttamente; solo per i sistemi immessi sul mercato prima del 2 agosto 2026 l’articolo 111, paragrafo 4, concede tempo fino al 2 dicembre 2026 Voce di registro per ogni richiesta con modello, momento e persona, esportabile; la marcatura leggibile meccanicamente la produce il fornitore del modello
Comunicazione, marketing e redazione Articolo 50, paragrafo 4: informativa per i deepfake e per il testo pubblicato su questioni di interesse pubblico Cronologia e riferimenti alla fonte per ogni bozza, perché la verifica umana e la responsabilità redazionale restino dimostrabili
Acquisti e direzione informatica Data Act: dal 12 gennaio 2027 niente spese di trasferimento, e clausole di uscita che devono già oggi stare nel contratto Licenza MIT, codice sorgente in arrivo, self-hosting senza costi di licenza, esportazione di basi di conoscenza, cronologie delle conversazioni e registro di audit
Ufficio legale, protezione dei dati e compliance Articolo 5, paragrafo 1, lettere ba e bb dal 2 dicembre 2026, con sanzioni fino a 35 milioni di euro o il 7% del fatturato mondiale annuo Permessi per singolo strumento e per singolo modello nell’ordine utente, ruolo, gruppo, impostazione predefinita del server, ogni richiesta nel registro di audit
Pubblica amministrazione e i suoi fornitori I documenti di gara chiedono luogo del trattamento, uscita e sub-responsabili, spesso prima della scadenza di legge Esercizio nei data center certificati ISO 27001 di Green a Lupfig oppure sul Suo server, fermo restando che la certificazione riguarda i data center e non noi, con elenco dei sub-responsabili e accordo sul trattamento dei dati

La dipendenza, poi, non è una sensazione. Nell’indagine DIHK sulla digitalizzazione 2026, un’indagine di associazione con 4.686 risposte, il 68% delle imprese si considera ampiamente o completamente dipendente per l’intelligenza artificiale, il 55% per i servizi cloud.15 Fra le imprese senza impiego di IA solo una piccola parte ha mai preso in considerazione l’impiego, cioè il 14,21%, e solo all’interno di questo gruppo stanno in cima la mancanza di competenze con il 70,89%, le conseguenze giuridiche poco chiare con il 52,52% e i dubbi sulla protezione dei dati con il 48,83%.16 Queste quote valgono per questo gruppo e per nessun altro. La tabella qui sopra assegna le due date a cinque gruppi.

Caso d’uso 1: dimostrare che cosa è stato generato, quando e da quale modello

Una comunicazione alla clientela esce, tre settimane dopo qualcuno chiede se il testo venga da un modello e da quale. Oggi la risposta è una ricostruzione fra memoria e casella di posta. Nella postazione di lavoro con l’IA sta nel registro di audit, il protocollo continuo di tutte le richieste: quale modello, quale accesso, quale momento, quale persona, quale base di conoscenza. Lei esporta la parte che riguarda la pratica e la mette agli atti.

Non è solo ordine, è la prova a cui è appesa una delle eccezioni dell’articolo 50, paragrafo 4. Chi pubblica un testo allo scopo di informare il pubblico su questioni di interesse pubblico deve rendere noto che è stato generato artificialmente, a meno che il contenuto non sia stato sottoposto a una verifica umana o a un controllo editoriale e una persona fisica o giuridica non ne assuma la responsabilità editoriale.17 Questa eccezione non è un’affermazione, è una questione di fatto. Chi se ne avvale dovrebbe poter mostrare chi ha verificato e quando.

  1. Richiesta, modello scelto e base di conoscenza scelta
  2. Voce di registro a ogni richiesta, sul Suo server
  3. Esportazione della parte che riguarda la pratica
La prova nasce mentre si lavora e non quando la si cerca.

Il limite, detto chiaramente: una voce di registro non è una marcatura leggibile meccanicamente ai sensi dell’articolo 50, paragrafo 2. Quella marcatura deve stare attaccata al contenuto in uscita stesso, e produrla spetta al fornitore del modello di volta in volta impiegato, non a noi. Il registro di audit vede inoltre solo ciò che passa da Kisuno. Non redige un inventario dei sistemi di IA della Sua impresa e non trova nulla di quanto viene usato accanto.

Caso d’uso 2: verificare una volta sola invece che a ogni strumento da capo

Il percorso che quasi ogni impresa conosce: un reparto vuole un nuovo strumento e la verifica ricomincia dall’inizio. Accordo sul trattamento dei dati, misure tecniche e organizzative, sub-responsabili, luogo del trattamento, termini di cancellazione, ruoli e permessi. Allo strumento successivo di nuovo lo stesso. Nella rilevazione di associazione sulla protezione dei dati citata, nel 77% delle imprese la distribuzione di nuovi strumenti rimette in moto ogni volta la verifica.13

Il flusso di lavoro, al contrario: Lei verifica una volta l’istanza, cioè l’unica installazione che viene esercita per la Sua impresa, e dopo solo le aggiunte. Kisuno offre i modelli attuali di OpenAI (ChatGPT) e Anthropic (Claude); vengono eseguiti nel data center AWS di Francoforte. AWS è un’azienda statunitense, quindi lo US CLOUD Act si applica anche con server a Francoforte, e lo diciamo apertamente. Per i clienti con requisiti elevati di protezione dei dati sono disponibili modelli aperti di punta come GLM, Kimi e DeepSeek, gestiti da aziende europee su server in Europa; lì il CLOUD Act non si applica. I sistemi di terzi si aggiungono tramite MCP, il Model Context Protocol, uno standard aperto per il collegamento di sistemi esterni. Ogni connettore, cioè ogni singolo collegamento a un simile sistema di terzi, porta con sé permessi per singolo strumento, e ogni richiesta finisce nel protocollo. Quale software si lascia collegare oggi sta nella pagina Integrazioni.

  1. Un’istanza, verificata una volta
  2. Modelli e connettori come aggiunte, ciascuno con permessi propri
  3. Un corpo contrattuale, un elenco dei sub-responsabili, un protocollo
Da molte verifiche complete nascono una verifica e una serie di piccole integrazioni.

Il limite: la verifica non sparisce, diventa più piccola e si sposta. Ogni nuovo modello nel catalogo e ogni nuovo connettore restano soggetti a verifica, e la responsabilità dell’impiego resta al deployer. Noi consegniamo i documenti in un unico punto, nell’accordo sul trattamento dei dati e nell’elenco dei sub-responsabili. Chi ne ricava che i requisiti siano così sbrigati, legge male.

Caso d’uso 3: preparare l’uscita prima che serva

Prenda il contratto del Suo attuale servizio cloud o IA e lo confronti con gli articoli 23 e 25 del Data Act. C’è un termine massimo di preavviso per l’avvio del processo di cambiamento non superiore a due mesi? Un periodo di transizione non superiore a 30 giorni di calendario? Un elenco esaustivo dei dati esportabili? Un periodo di recupero di almeno 30 giorni di calendario dopo il passaggio?18 Dove una di queste indicazioni manca, ha già trovato la Sua domanda per il 12 gennaio 2027.

La seconda parte è un esercizio e non una clausola. Lei esporta basi di conoscenza, cronologie delle conversazioni, account e registro di audit, allestisce una seconda istanza e vi rilegge dentro tutto. Kisuno è sotto licenza MIT, il self-hosting non costa nulla oltre alla propria infrastruttura, ed è esattamente per questo che questa via si potrà provare senza trattare con noi, non appena il repository di rilascio sarà pubblicato. Fino ad allora la guida di installazione completa si trova sotto Self-hosting. Chi ha provato l’uscita una volta, negozia in modo diverso.

  1. Confrontare il contratto con gli articoli 23 e 25
  2. Esportazione di basi di conoscenza, cronologie, account e protocollo
  3. Rilettura su una seconda istanza, sotto licenza MIT
L’uscita si prova finché nessuno ne ha bisogno.

Il limite: un’esportazione riuscita è un’affermazione tecnica e non giuridica. Il Data Act vieta le spese, non vieta il lavoro, e da due sistemi non fa una stessa funzione. Quanto costi davvero un cambio si conta in giornate di lavoro e non in una voce di fattura.

Limiti, obiezioni e ciò che qui non sta scritto

Prima la distinzione su cui questo articolo fallirebbe, se non la facesse con pulizia. L’articolo 50, paragrafo 2, è un obbligo del fornitore, così come il paragrafo 1. Gli obblighi del deployer stanno ai paragrafi 3 e 4.17 La scadenza del 2 dicembre 2026 prevista dall’articolo 111, paragrafo 4, tocca quindi i fornitori di sistemi esistenti e non le imprese che questi sistemi li impiegano. Anche i due nuovi divieti toccano il deployer solo in un caso stretto: secondo l’articolo 5, paragrafo 1a, lettera b, l’utilizzo è vietato soltanto se il deployer impiega il sistema allo scopo di generare o manipolare tale materiale.7 Chi confonde questa differenza vende paura invece che informazione.

In secondo luogo, contropelo rispetto alla maggior parte dei contributi su questo tema: l’obbligo di alfabetizzazione in materia di IA dell’articolo 4 è stato attenuato e non inasprito. I fornitori e i deployer adottano misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA del loro personale, e dal luglio 2026 sta espressamente nel testo di legge che tale obbligo non obbliga nessuno a garantire per una qualsiasi persona un determinato livello di alfabetizzazione in materia di IA.19 Chi Le vende un duro obbligo di formazione con obbligo di prova, cita una versione che non vale più. Le misure restano sensate, solo che la situazione giuridica è diversa da come viene pubblicizzata.

  1. Fornitore: marcatura secondo l’articolo 50, paragrafo 2
  2. Deployer: informativa secondo l’articolo 50, paragrafo 4
  3. Chi mette in servizio con il proprio nome diventa esso stesso fornitore
  4. I nuovi divieti toccano il deployer solo in caso di utilizzo mirato a quello scopo
Due ruoli, due cerchie di obblighi. Il 2 dicembre 2026 tocca l’una, non entrambe.

In terzo luogo il Data Act, e qui vale lo stesso nell’altra direzione. Dal 12 gennaio 2027 sono vietate le spese, non il lavoro. Il periodo di transizione di 30 giorni di calendario non è assoluto: se non è tecnicamente realizzabile, il fornitore lo segnala entro 14 giorni lavorativi, lo motiva e indica un periodo alternativo non superiore a sette mesi.20 L’articolo 31 sottrae al divieto di spese i servizi le cui caratteristiche essenziali sono state costruite in prevalenza per un singolo cliente e che non sono offerti su larga scala nel catalogo del fornitore.21 E se un servizio di puro modello linguistico sia poi un servizio di trattamento dati ai sensi dell’articolo 2, punto 8, viene valutato in modo diverso nella letteratura specialistica e non è deciso.22 Noi non affermiamo il contrario.

In quarto luogo, ciò che nessuno sa e ciò che noi non facciamo. Un’ulteriore proposta di omnibus digitale, condotta sotto la procedura 2025/0360(COD), esenterebbe i fornitori di servizi di trattamento dei dati che sono piccole o medie imprese dagli obblighi di cambiamento per i contratti conclusi fino al 12 settembre 2025. Il divieto delle spese di trasferimento previsto dall’articolo 29 del Data Act è espressamente escluso da tale esenzione e continua ad applicarsi. Non è adottata, e noi non prevediamo né che arrivi né che fallisca.23 Dalla nostra parte vale questo: Kisuno non redige da sé un inventario dell’IA, vede solo ciò che passa dalla propria istanza. Non produce la sorveglianza umana, la rende dimostrabile. I riferimenti alla fonte non impediscono le allucinazioni, le rendono verificabili. E il servizio gestito non soddisfa alcun requisito che pretenda chiavi proprie del cliente senza accesso del fornitore; lì porta soltanto il self-hosting.

In quinto luogo il punto più scomodo, e appartiene a ogni articolo che parli di sovranità. L’Ontario Court of Justice ha ordinato che un’impresa cloud francese consegni dati alla polizia federale canadese.24 L’impresa ha impugnato l’ordinanza davanti all’Ontario Superior Court of Justice; nel gennaio 2026 il procedimento era ancora aperto. Una sede europea non è dunque un’immunità contro l’accesso di autorità straniere. Questo vale anche per noi: i modelli Anthropic girano tramite Amazon Bedrock, e AWS è un’impresa statunitense, quindi si applica il CLOUD Act. La sede del server non protegge da questo, e la cifratura non aiuta nel momento in cui il testo viene elaborato. L’articolo 32 del Data Act esige dai fornitori misure adeguate contro l’accesso illecito da paesi terzi e rende esecutive le decisioni di organi giurisdizionali di paesi terzi solo sulla base di un accordo internazionale. Riguarda però solo i dati non personali detenuti nell’Unione, e non scioglie il conflitto.25 Resta efficace ciò che diciamo ovunque: dare via di meno e sapere dove sta che cosa. Questo articolo non sostituisce una consulenza legale.

Domande frequenti sul 2 dicembre 2026 e sul 12 gennaio 2027

Che cosa vale esattamente dal 2 dicembre 2026?

Due cose. In primo luogo i fornitori di sistemi di IA che generano contenuti sintetici audio, immagine, video o testo e che sono stati immessi sul mercato prima del 2 agosto 2026 devono soddisfare entro quel giorno l’articolo 50, paragrafo 2, marcare cioè i propri output in modo leggibile meccanicamente come generati artificialmente. In secondo luogo da quel giorno si applicano due divieti appena inseriti nell’articolo 5, paragrafo 1, le lettere ba e bb, insieme ai relativi paragrafi 1a e 1b. Entrambe le cose stanno nello stesso regolamento che nel luglio 2026 ha rinviato le scadenze per l’alto rischio. Questa sezione non sostituisce una consulenza legale.

L’articolo 50, paragrafo 2, ci riguarda se ci limitiamo a impiegare l’IA?

Di regola no. Il paragrafo 2 si rivolge ai fornitori, cioè al soggetto che sviluppa un sistema o lo fa sviluppare e lo immette sul mercato o lo mette in servizio con il proprio nome. Chi utilizza nella propria impresa un sistema acquistato da terzi è deployer e ha gli obblighi dei paragrafi 3 e 4. Il ruolo può però cambiare: chi mette a disposizione un sistema con il proprio nome, per esempio come servizio informativo per la clientela, diventa esso stesso fornitore. Lo verifichi per singolo sistema e non in blocco per tutta l’impresa.

Gli obblighi per l’alto rischio sono davvero rinviati?

Sì. Per i sistemi dell’allegato III le sezioni da 1 a 3 del capo III si applicano dal 2 dicembre 2027, per i sistemi dell’allegato I dal 2 agosto 2028. Il rinvio non riguarda però né i divieti dell’articolo 5 né gli obblighi di trasparenza dell’articolo 50, che si applicano dal 2 agosto 2026. È esattamente per questo che la lettura secondo cui sarebbe stato rinviato tutto è sbagliata.

Dobbiamo ora formare tutto il personale?

Un obbligo di formazione con risultato garantito non esiste, e dal luglio 2026 questo sta espressamente nel testo di legge. L’articolo 4 esige misure a sostegno dell’alfabetizzazione in materia di IA e nello stesso tempo stabilisce che nessuno deve garantire per una qualsiasi persona un determinato livello. Chi Le vende qualcosa di diverso, cita la vecchia versione. Le misure restano sensate, solo appunto come impegno e non come risultato dovuto.

Che cosa cambia in pratica il 12 gennaio 2027?

Da quel giorno un fornitore di servizi di trattamento dati non può più chiedere spese per il processo di trasferimento, e le spese di uscita dei dati sono espressamente comprese. I corrispettivi ordinari del servizio e le penali per il recesso anticipato restano invece intatti. Chi oggi rinnova contratti dovrebbe verificare se le clausole di uscita previste dall’articolo 25 vi stiano affatto, perché quell’obbligo vale già. Questa sezione non sostituisce una consulenza legale.

Un servizio di modello linguistico rientra davvero nel Data Act?

È aperto. Il Data Act definisce il servizio di trattamento dati attraverso l’accesso in rete su richiesta a un insieme condiviso di risorse informatiche configurabili e scalabili. Se un puro accesso al modello vi rientri viene valutato in modo diverso nella letteratura specialistica e non è deciso. Per questo non fondiamo le nostre affermazioni sul fatto che la risposta cada in una direzione determinata, e consigliamo lo stesso per la Sua pianificazione contrattuale.

Che cosa significa la qualificazione preliminare dei grandi fornitori cloud come gatekeeper?

Preliminare significa anzitutto questo: una decisione di qualificazione non c’è. Il 25 giugno 2026 la Commissione è giunta alla conclusione preliminare che due grandi servizi cloud dovrebbero essere qualificati come gatekeeper, e ne ha fatto motivo proprio l’effetto di vincolo e gli alti costi di cambio. Quali obblighi concreti ne discendano dipende dal seguito della procedura, e il suo esito non lo prevediamo. Per la pratica conta il rilievo che vi sta dietro: un cambio oggi è caro, e dal 12 gennaio 2027 non potrà più esserlo quanto alle spese.

Che cosa fa in questo Kisuno, e che cosa no?

Rende dimostrabili tre cose: quale modello è stato richiamato quando e da chi, quali permessi valevano per singolo strumento e che cosa si lascia esportare. Non redige un inventario dei Suoi sistemi di IA, non produce una marcatura leggibile meccanicamente sugli output di modelli altrui e non soddisfa alcun requisito al posto Suo. L’istanza gestita costa 7 franchi (7,50 euro) a persona al mese, fino alla fine del mese in corso con lo sconto del 50 per cento su una durata di dodici mesi, quindi 3,50 franchi (3,75 euro). La prova è gratuita e senza limiti di tempo: ogni nuovo accesso parte con un credito iniziale di 50 franchi (55 euro) per l’uso dei modelli, senza dati di pagamento. Tutte le indicazioni si trovano nella pagina Prezzi. Chi ha bisogno di chiavi proprie del cliente senza accesso del fornitore, ci arriva soltanto tramite il self-hosting.

Metta le due date accanto ai Suoi contratti

Porti un contratto cloud o IA e un elenco degli strumenti in uso presso di Lei. Passiamo insieme in rassegna in quale ruolo si trova per ogni sistema e che cosa ricade davvero su di Lei entro il 2 dicembre 2026 ed entro il 12 gennaio 2027. Oppure si iscriva e provi da sé la postazione di lavoro.

Prenotare una demo Iniziare ora

Fonti

Tutte le date, le formulazioni e le cifre di questo articolo provengono dalle fonti seguenti, verificate da ultimo nel settembre 2026. I testi giuridici sono citati nella versione in vigore dal 27 luglio 2026. Dove una rilevazione proviene da un’associazione, questo sta nel testo.

  1. Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio dell’8 luglio 2026 che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 (regolamento omnibus digitale sull’IA), pubblicato il 24 luglio 2026, in vigore dal 27 luglio 2026; fissa l’inizio dell’applicazione per i sistemi ad alto rischio dell’allegato III al 2 dicembre 2027 e per quelli dell’allegato I al 2 agosto 2028: eur-lex.europa.eu
  2. Regolamento (UE) 2024/1689 (regolamento sull’intelligenza artificiale), versione consolidata del 27 luglio 2026, articolo 111, paragrafo 4: i fornitori di sistemi di IA, compresi quelli per finalità generali, che generano contenuti sintetici audio, immagine, video o testo e che sono stati immessi sul mercato prima del 2 agosto 2026 adottano le misure necessarie per conformarsi all’articolo 50, paragrafo 2, entro il 2 dicembre 2026: eur-lex.europa.eu
  3. Regolamento (UE) 2024/1689, articolo 113, paragrafo 3, lettera a, nella versione del 27 luglio 2026: i capi I e II si applicano dal 2 febbraio 2025, ad eccezione dell’articolo 5, paragrafo 1, primo comma, lettere ba e bb, nonché dell’articolo 5, paragrafi 1a e 1b, che si applicano dal 2 dicembre 2026: eur-lex.europa.eu
  4. Regolamento (UE) 2023/2854 (Data Act), articolo 29, paragrafo 1: dal 12 gennaio 2027 i fornitori di servizi di trattamento dati non possono imporre al cliente spese di trasferimento per il processo di trasferimento: eur-lex.europa.eu
  5. Eurostat, Use of artificial intelligence in enterprises, anno di riferimento 2025, dati estratti nel dicembre 2025: il 19,95% delle imprese dell’UE con almeno dieci addetti utilizzava almeno una delle tecniche di IA rilevate: ec.europa.eu
  6. Regolamento (UE) 2024/1689, articolo 50, paragrafo 2: i fornitori assicurano che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente e riconoscibili come generati o manipolati artificialmente; la riserva, nella misura in cui ciò sia tecnicamente possibile e tenendo conto dello stato dell’arte generalmente riconosciuto, nel testo si riferisce alle soluzioni tecniche e non all’obbligo di marcatura in sé. L’obbligo non si applica se il sistema svolge una funzione di assistenza per l’editing standard o non altera in modo sostanziale i dati di input forniti dal deployer o la loro semantica: eur-lex.europa.eu
  7. Regolamento (UE) 2024/1689, articolo 5, paragrafo 1, primo comma, lettere ba e bb, nonché articolo 5, paragrafi 1a e 1b, nella versione del 27 luglio 2026; secondo il paragrafo 1a, lettera b, l’utilizzo è vietato soltanto se il deployer impiega il sistema allo scopo di generare o manipolare tale materiale: eur-lex.europa.eu
  8. Regolamento (UE) 2024/1689, articolo 99, paragrafo 3 (sanzioni amministrative pecuniarie fino a 35 milioni di euro o al 7% del fatturato mondiale totale annuo in caso di inosservanza dei divieti dell’articolo 5) e articolo 99, paragrafo 4, lettera g (fino a 15 milioni di euro o al 3% in caso di violazione degli obblighi di trasparenza dell’articolo 50): eur-lex.europa.eu
  9. Regolamento (UE) 2023/2854 (Data Act), articolo 2, punto 36: le spese di trasferimento sono le spese, diverse dai corrispettivi ordinari del servizio e dalle penali per il recesso anticipato, imposte per le operazioni di trasferimento prescritte dal Data Act, comprese le spese di uscita dei dati: eur-lex.europa.eu
  10. Commissione europea, conclusione preliminare del 25 giugno 2026 secondo cui i servizi cloud di punta di Amazon e Microsoft dovrebbero essere qualificati come gatekeeper ai sensi del regolamento (UE) 2022/1925 sui mercati digitali, motivata con l’effetto di vincolo e gli alti costi di cambio: ec.europa.eu
  11. Eurostat, Cloud computing, statistics on the use by enterprises, anno di riferimento 2025: il 52,74% delle imprese dell’UE con almeno dieci addetti acquistava servizi cloud a pagamento, il 77,53% di esse rientra fra le fortemente dipendenti secondo la classificazione di Eurostat, perché acquista servizi cloud avanzati come software di sicurezza, hosting di banche dati o piattaforme di sviluppo; su questo le imprese non vengono interpellate: ec.europa.eu
  12. Regolamento (UE) 2024/1689, articolo 3, punto 3 (fornitore) e punto 4 (deployer), inoltre articolo 3, punto 11 (messa in servizio): eur-lex.europa.eu
  13. Bitkom Research, Datenschutz in der deutschen Wirtschaft, rilevazione sull’onere dell’attuazione del regolamento generale sulla protezione dei dati, indagine telefonica assistita da computer su 603 imprese in Germania con almeno 20 addetti, rilevazione nelle settimane dalla 30 alla 35 del 2025, margine di errore statistico più o meno 4 per cento: secondo la figura 2, nel 77% dei casi la distribuzione di nuovi strumenti rimette in moto ogni volta la verifica, l’82% vede poca chiarezza sulle prescrizioni precise, il 54% un’interpretazione disomogenea all’interno dell’UE: doi.org. In questo punto il testo corrente del rapporto indica l’80%; è il valore per il 2024 riportato nella figura 2.
  14. Bitkom Research, la stessa rilevazione, base tutte le imprese intervistate (n uguale 603): il 53% considera la protezione dei dati europea un vantaggio nel confronto internazionale per lo sviluppo dell’intelligenza artificiale, il 36% uno svantaggio: doi.org
  15. DIHK-Digitalisierungsumfrage 2026, indagine dal 10 al 28 novembre 2025, 4.686 risposte da imprese di tutte le classi dimensionali, aggiornamento gennaio 2026: il 68% si valuta ampiamente o completamente dipendente per l’intelligenza artificiale, il 55% per i servizi cloud: dihk.de
  16. Eurostat, Use of artificial intelligence in enterprises, anno di riferimento 2025: il 14,21% delle imprese senza impiego di IA aveva mai preso in considerazione l’impiego; solo all’interno di questo gruppo il 70,89% ha indicato la mancanza di competenze, il 52,52% conseguenze giuridiche poco chiare e il 48,83% dubbi legati alla protezione dei dati e alla sfera privata come motivo per rinunciarvi: ec.europa.eu
  17. Regolamento (UE) 2024/1689, articolo 50, paragrafi da 1 a 4: i paragrafi 1 e 2 si rivolgono ai fornitori, i paragrafi 3 e 4 ai deployer; il paragrafo 4 contiene l’eccezione per i contenuti sottoposti a una verifica umana o a un controllo editoriale e per i quali una persona fisica o giuridica assume la responsabilità editoriale: eur-lex.europa.eu
  18. Regolamento (UE) 2023/2854 (Data Act), articolo 23 e articolo 25, paragrafo 2: termine massimo di preavviso per l’avvio del processo di cambiamento non superiore a due mesi ai sensi della lettera d), periodo di transizione vincolante non superiore a 30 giorni di calendario, elenco esaustivo dei dati e degli attivi digitali estraibili, periodo di recupero di almeno 30 giorni di calendario dopo la fine del periodo di transizione: eur-lex.europa.eu
  19. Regolamento (UE) 2024/1689, articolo 4 nella versione del 27 luglio 2026: i fornitori e i deployer adottano misure per sostenere lo sviluppo dell’alfabetizzazione in materia di IA del loro personale; testualmente si legge inoltre che tale obbligo non obbliga i fornitori o i deployer a garantire per una qualsiasi persona un determinato livello di alfabetizzazione in materia di IA: eur-lex.europa.eu
  20. Regolamento (UE) 2023/2854 (Data Act), articolo 25, paragrafo 4: se il periodo di transizione vincolante non è tecnicamente realizzabile, il fornitore informa il cliente entro 14 giorni lavorativi dalla richiesta di trasferimento, motiva l’irrealizzabilità tecnica e indica un periodo di transizione alternativo non superiore a sette mesi: eur-lex.europa.eu
  21. Regolamento (UE) 2023/2854 (Data Act), articolo 31, paragrafo 1: l’articolo 23, lettera d, l’articolo 29 e l’articolo 30, paragrafi 1 e 3, non si applicano ai servizi di trattamento dati le cui caratteristiche essenziali sono in prevalenza adattate alle esigenze di un singolo cliente e che non sono offerti su larga scala tramite il catalogo dei servizi del fornitore: eur-lex.europa.eu
  22. Regolamento (UE) 2023/2854 (Data Act), articolo 2, punto 8, nozione di servizio di trattamento dati: servizio digitale che consente un accesso in rete onnipresente e su richiesta a un insieme condiviso di risorse informatiche configurabili, scalabili ed elastiche: eur-lex.europa.eu
  23. Commissione europea, proposta COM(2025) 837 final del 19 novembre 2025, omnibus digitale, articolo 1, punto 15, nuovo articolo 31, paragrafo 1 ter, del regolamento (UE) 2023/2854: i fornitori di servizi di trattamento dei dati che sono piccole o medie imprese oppure piccole imprese a media capitalizzazione sono esentati, per i contratti conclusi fino al 12 settembre 2025, dagli obblighi del capo VI e dell’articolo 34, con espressa eccezione dell’articolo 29; l’esenzione vale solo per i servizi diversi da quelli di cui all’articolo 30, paragrafo 1, quindi non per i servizi di pura infrastruttura, e le clausole contrattuali contrarie si considerano nulle: europarl.europa.eu; stato della procedura con il riferimento 2025/0360(COD), la procedura non è conclusa: oeil.europarl.europa.eu
  24. heise online del 26 novembre 2025 sul procedimento della Royal Canadian Mounted Police contro il gruppo OVH: production order dell’Ontario Court of Justice del 19 aprile 2024 ai sensi della section 487.014(1) del codice penale canadese, rigetto dell’istanza di annullamento da parte della giudice Heather Perkins-McVey il 25 settembre, termine per la consegna il 27 ottobre, impugnazione a fine ottobre davanti all’Ontario Superior Court of Justice: heise.de; sullo stato della vicenda The Register del 27 novembre 2025 con aggiunta del 26 gennaio 2026, secondo cui il procedimento è in corso: theregister.com. La decisione non è pubblicata ufficialmente e non è disponibile su CanLII.
  25. Regolamento (UE) 2023/2854 (Data Act), articolo 32: i fornitori adottano misure tecniche, organizzative e giuridiche adeguate per impedire l’accesso e il trasferimento ad autorità di paesi terzi dove ciò confligge con il diritto dell’Unione; le decisioni di organi giurisdizionali di paesi terzi sono esecutive solo sulla base di un accordo internazionale. L’articolo riguarda i dati non personali detenuti nell’Unione: eur-lex.europa.eu