IA Act: Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA)
È stato pubblicato sulla Gazzetta Ufficiale dell’UE del 24 luglio 2026 il Regolamento (UE) 2026/1744 che contiene le modifiche al Regolamento (UE) 2024/1689 (IA Act) adottate dalla Commissione Europea tramite l’Omnibus digitale del novembre 2025 (l’Omnibus digitale contiene, tra l’altro, modifiche ai regolamenti DORA e GDPR che sono ancora in fase di approvazione). L’IA Act si applica, tra l’altro, ai deployers dei sistemi di IA che hanno il loro luogo di stabilimento o sono situati all'interno dell'Unione. I deployers sono definiti come persone fisiche o giuridiche, autorità pubbliche, agenzie o altri organismi che utilizzano un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un'attività personale non professionale.
Tra le modifiche apportate all’IA Act giova ricordare la sostituzione dell’art. 4 dedicato all’alfabetizzazione. L'obbligo per i deployers di formare il proprio personale sull'IA è stato riformulato prevedendo “l’adozione di misure volte a sostenere lo sviluppo dell'alfabetizzazione". Viene inserito il nuovo art.4bis che permette ai deployers di sistemi di IA ad alto rischio (es. sistemi di valutazione del merito creditizio per la concessione di prestiti o per la sottoscrizione di polizze assicurative vita e sanitarie) di trattare categorie particolari di dati personali (es. biometrici, origine etnica, salute), ma esclusivamente nella misura in cui sia strettamente necessario per rilevare e correggere distorsioni che potrebbero comportare discriminazioni o impatti negativi sui diritti fondamentali dei soggetti interessati e nel rispetto delle garanzie previste (isolamento dei dati, pseudonimizzazione, cancellazione successiva e divieto di trasmissione a terzi). Viene modificato l’art. 27 che richiede ai deployers di sistemi ad alto rischio di effettuare una valutazione d'impatto sui diritti fondamentali. Nell'effettuare tale valutazione il deployer può considerare la valutazione d'impatto sulla protezione dei dati già effettuata ex art.35 del GDPR. Altra modifica da segnalare riguarda l'applicazione dei requisiti per i sistemi di IA ad alto rischio che viene posticipata dal 2 agosto 2026 al 2 dicembre 2027.
Il regolamento è in vigore dal 27 luglio 2026, è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.
Commissione Europea: Linee guida per l’attuazione degli obblighi di trasparenza previsti dall’IA Act
La Commissione Europea è tenuta ad adottare linee guida per l'attuazione degli obblighi di trasparenza previsti dall'articolo 50 dell’IA Act che si applicano dal 2 agosto 2026. L'obiettivo è ridurre i rischi di inganno, manipolazione, frode e disinformazione, garantendo che le persone siano consapevoli quando interagiscono con l'IA o con i suoi contenuti, in modo da salvaguardare la fiducia e l'integrità delle informazioni. In vista dell’imminente applicazione degli obblighi la Commissione ha comunque ritenuto utile approvare il contenuto della bozza; le linee guida saranno adottate formalmente in una data successiva, non appena disponibili tutte le versioni linguistiche, e diverranno applicabili esclusivamente a partire da quel momento.
Le linee guida prevedono che i fornitori progettino e sviluppino i sistemi in modo che le persone fisiche siano informate che stanno interagendo con un'intelligenza artificiale. I fornitori di sistemi IA generativi devono garantire che gli output siano contrassegnati in un formato leggibile meccanicamente (machine-readable) e che la loro origine artificiale sia rilevabile. Le soluzioni tecniche implementate devono essere efficaci, interoperabili, robuste e affidabili. I deployers devono informare le persone fisiche esposte all'uso di questi sistemi e devono dichiarare esplicitamente quando un contenuto è stato generato o manipolato. Questo vale, tra l’altro, anche per i testi di interesse pubblico, vale a dire testi generati dall'IA e pubblicati per informare il pubblico. Le informazioni relative a tutti i punti precedenti devono essere fornite in modo chiaro e distinguibile, rispettando i requisiti di accessibilità per le persone con disabilità, e al più tardi al momento della prima interazione o esposizione. Le violazioni degli obblighi di cui all'articolo 50 possono comportare sanzioni amministrative fino a 15.000.000 di euro o fino al 3% del fatturato annuo mondiale, a seconda di quale importo sia maggiore.
Parlamento Europeo: Opinion EMPL Committee
È disponibile il parere della Commissione lavoro e affari sociali (EMPL Committee) sulla proposta di revisione della direttiva IORP 2. Il parere, di natura consultiva, è reso alla Commissione Affari economici e monetari (ECON Committee), che è competente per l’esame della proposte di modifica.
Nel presentare gli emendamenti al testo della Commissione Europea, l’estensore del rapporto per l’ECON Committee ribadisce il primato del sistema pensionistico pubblico, con le pensioni di secondo pilastro erogate dagli IORPs che svolgono un ruolo complementare, che non sostituisce o indebolisce le pensioni pubbliche. Viene altresì ribadito il ruolo delle parti sociali e della contrattazione collettiva nella progettazione, governance e gestione degli IORPs. Il relatore del parere propone l'istituzione di un Forum europeo delle pensioni che riunisca autorità, parti sociali e società civile per monitorare costantemente le politiche pensionistiche e condividere le migliori pratiche. Per consentire ai lavoratori di fare scelte informate, il Parere pone l’accento sulla disponibilità di informazioni più chiare e comprensibili da veicolare attraverso il Prospetto delle prestazioni pensionistiche standardizzato e i sistemi di tracciamento delle pensioni. In tema di sostenibilità e investimenti prudenti il rapporto propone che gli IORPs integrino i fattori ESG nelle loro strategie e che pongano l’accento sulla prospettiva di lungo periodo anziché privilegiare i risultati di breve termine. Da ultimo, in tema di attività transfrontaliera, da una parte il parere pone l’accento sui vantaggi che possono derivare in termini di economie di scala dai trasferimenti cross border, dall’altro richiede che queste operazioni non generino una concorrenza al ribasso sugli standard sociali e che garantiscano sempre l'informazione e la partecipazione attiva dei soggetti interessati.
Consiglio UE: General Approach
Il Consiglio dell'Unione Europea ha approvato il General Approach relativo alla revisione della direttiva (UE) 2016/2341. La posizione supporta vari elementi della proposta della Commissione Europea e mantiene le modifiche al principio della persona prudente oltre che il quadro armonizzato per i trasferimenti collettivi nazionali e transfrontalieri e le regole di business conduct. In linea con la sua natura di armonizzazione minima, la posizione del Consiglio mantiene tuttavia un significativo margine di discrezionalità nazionale. Per sostenere gli investimenti nell'economia reale, la soglia per investire in azioni e obbligazioni societarie su mercati regolamentati è innalzata al 100%, ferma restando la facoltà degli Stati membri di applicare limiti più restrittivi. Il Consiglio introduce inoltre modifiche volte a garantire la proporzionalità nei profili della governance e della vigilanza. Sono state eliminate le disposizioni relative ai sistemi di tracciamento delle pensioni, all'assegnazione di determinati compiti agli organismi di vigilanza a livello UE e il dialogo di vigilanza tra gli IORPs e le autorità.
Il General Approach rappresenta il mandato al Consiglio UE per l'avvio dei negoziati interistituzionali con il Parlamento e la Commissione Europea per l'approvazione definitiva delle modifiche. Il trilogo inizierà non appena anche il Parlamento Europeo avrà adottato la propria posizione negoziale.
Council of the European Union General Approach on the Review of the Directive UE 2016/2341
ESAs: Joint Report on major ICT-related incidents in 2025
Le ESAs hanno pubblicato il primo rapporto congiunto sugli incidenti ICT gravi, ex art. 22(2) DORA. Il rapporto analizza 3.383 incidenti informatici gravi segnalati nel 2025, gran parte dei quali si è concentrata nei settori del credito e dei pagamenti. I guasti/ malfunzionamenti dei sistemi rappresentano la principale causa di incidenti (51%), circa un terzo ha avuto origine da problemi riconducibili a fornitori terzi. Nonostante la numerosità degli incidenti, le conseguenze dirette sui clienti, sulle transazioni e sulle controparti finanziarie sono state generalmente limitate. Tra i più comuni attacchi informatici rientrano l'esfiltrazione/manipolazione di dati. Una delle principali modalità di attacco informatico è rappresentata dal Social engineering (il phising e vishing rappresentano le principali tecniche di social engineering). Le ESAs pongono l'accento sul fatto che le tecniche di AI generativa amplificano i rischi di social engineering con la creazione di e-mail di phishing, messaggi esca e persino deepfake (audio/video) ingannevolmente realistici, privi dei classici errori grammaticali che in passato permettevano di riconoscere facilmente la natura dolosa.
Per quanto riguarda gli IORPs, le ESAs danno conto di un numero di incidenti informatici gravi inferiore rispetto agli istituti di credito e ai fornitori di servizi di pagamento. Il tallone d'Achille è rappresentato dalla dipendenza dalla supply chain: quando un fondo pensione subisce un incidente grave, quasi mai il problema origina da un'infrastruttura interna, bensì dal malfunzionamento o dalla compromissione di un fornitore terzo. I fondi pensione tendono infatti a esternalizzare l'infrastruttura IT, le piattaforme amministrative e la gestione dei database. Un'ulteriore distinzione riguarda la tipologia di impatto poiché gli incidenti gravi che coinvolgono gli IORPs o i loro fornitori hanno come obiettivo principale l'esfiltrazione di dati anagrafici e patrimoniali sensibili degli iscritti (spesso tramite ransomware ai danni dei fornitori in cloud), più che il blocco dell'operatività quotidiana.