Data Valley

15/10/2026

Three months after the Digital Omnibus on AI, where do we stand?

Regulation (EU) 2026/1744 has been in force since 27 July 2026. It is the first amendment to the AI Act, and the message has not changed: deadlines move, obligations stay.

📌 High-risk obligations are postponed, not removed: 2 December 2027 for Annex III systems, 2 August 2028 for Annex I.
📌 Prohibited practices and GPAI obligations already apply. Since 2 August 2026, so do the Article 50 transparency duties, now backed by final Commission guidelines and an approved Code of Practice.
📌 AI literacy (Article 4) is now an obligation of effort, not of result. Training still needs to happen, and to be documented.
📌 SME relief extends to small mid-caps.
📌 “Agentic AI” appears in the AI Act only as a notified-body code, not as a legal definition.

What is still open: the other half of the Digital Omnibus, on GDPR, cookies and the Data Act, is stuck in the Council. Only the AI part is law today.

Next date in the calendar: 2 December 2026, when two new prohibitions apply and machine-readable marking becomes mandatory for systems already on the market.

In the carousel, the key changes at a glance.

👉 Full analysis on our blog: https://www.datavalleyconsulting.com/en/post/the-digital-omnibus-on-ai-what-regulation-eu-2026-1744-actually-changes

14/10/2026

Come cambia il modo di amministrare una città quando l’intelligenza artificiale entra negli uffici comunali?

Ne parleremo martedì 20 ottobre agli Stati generali delle città intelligenti 2026, nel tavolo “Intelligenza artificiale e governance urbana: pubblica amministrazione aumentata”, promosso in collaborazione con City Vision.

Un confronto tra amministrazioni, imprese e ricerca su applicazioni concrete dell’IA, qualità dei dati, trasparenza, competenze e regole: elementi essenziali per costruire servizi pubblici più efficienti e vicini ai cittadini.

Grazie a tutti i relatori per il contributo che porteranno al tavolo: Arianna Bellino, Marco Bianchi, Paola Roberta Boscolo Chio Bisto, Niccolò Carretta, Marcello Coppa, Andrea Cruciani, Aldo D'Achille, Dario Da Re, Daniele Di Lucrezia, Andreas Fernandez, Giacomo Fioroni, Elio Guarnaccia, Federico Andrea Maccari, Andrea Maffeis, Carlo Masci, Laura Pinzi e Alessandro Spedale.

Carlo Rossi Chauvenet, Chief Legal Officer di Data Valley Consulting, modererà e condurrà il confronto.

Un ringraziamento speciale a City Vision, Blum e al Comune di Padova per creare occasioni di incontro e collaborazione sul futuro dei nostri territori.

📅 20 ottobre 2026, ore 14.30–16.00

https://www.datavalleyconsulting.com/en/post/intelligenza-artificiale-e-governance-urbana-data-valley-agli-stati-generali-delle-citta-intelligenti-2026

Come cambia il modo di amministrare una città quando l’intelligenza artificiale entra negli uffici comunali? È la domanda al centro del tavolo di lavoro “Intelligenza artificiale e governance urbana: pubblica amministrazione aumentata”, che Data Valley è orgogliosa di promuovere in collabor...

14/10/2026

Who has to prove what when AI causes damage? Italy has just changed the answer.

Legislative Decree No. 160/2026, in force since 30 September 2026, does not create a new strict liability regime for AI. Instead, it changes how AI-related damage claims are proved and litigated, while leaving the existing categories of contractual and non-contractual liability in place.

The key provisions (Articles 16–20):
🔹 Scope and forum (Art. 16): an injured natural person can also sue before the court of their place of residence or domicile.
🔹 Access to evidence (Art. 17): where the claim is plausible, the court can order the defendant or a third party to disclose specific evidence on how the AI system works, such as logs, risk management documentation, technical documentation and human oversight records. Unjustified refusal can lead to adverse inferences, and third parties face fines of EUR 1,500 to 10,000.
🔹 Presumption of causation (Art. 18): where damage results from a breach of AI Act obligations, the causal link is presumed unless rebutted. The claimant must still prove the breach, and fault where the applicable regime requires it.
🔹 Compliance is not a safe harbour (Art. 19): compliance with the AI Act, even if certified, does not by itself exclude civil liability.
🔹 Direct action against the insurer (Art. 20): the injured party can claim directly against the defendant’s liability insurer.

The decree should not be confused with the new Product Liability Directive (EU) 2024/2853, which sets its own no-fault regime for defective products, including software. Identifying the applicable regime will be the first question in every case.

For companies, the message is practical: logs, technical documentation and records of human oversight are no longer just compliance paperwork. They may become evidence in court.

Read our full analysis here:

👉 https://www.datavalleyconsulting.com/en/post/artificial-intelligence-and-civil-liability-the-new-italian-framework-under-legislative-decree-no-160-2026

We support companies and public administrations in AI Act compliance, from documentation and human oversight to liability risk assessment and contracts.

13/10/2026

Con il d.lgs. 9 settembre 2026, n. 160, in vigore dal 30 settembre, l'Italia fa un passo importante nell'attuazione dell'AI Act. Il decreto non si ferma alla conformità tecnica dei sistemi: disciplina l'uso dell'IA da parte delle Forze di polizia e introduce nuove regole penali, di responsabilità degli enti e di tutela risarcitoria.

I punti chiave:

🔹 Polizia: la decisione resta umana. Gli output dell'IA devono essere rivisti da personale qualificato prima di essere usati in atti che incidono sui diritti delle persone, e la revisione va documentata. Il personale deve essere formato su limiti, bias ed errori dei sistemi.

🔹 Riconoscimento biometrico: autorizzazione circoscritta nel tempo e nello spazio, di regola non oltre 15 giorni, valutazioni d'impatto e log non modificabili conservati per 5 anni. Per il riconoscimento facciale a posteriori su persone indiziate serve l'autorizzazione del giudice. Vietati il riconoscimento non mirato e il controllo biometrico generalizzato.

🔹 Codice penale: il nuovo art. 437-bis punisce l'omessa adozione di misure di sicurezza e di sorveglianza umana nei sistemi ad alto rischio e la loro alterazione illecita, quando ne deriva un pericolo per la vita o l'incolumità.

🔹 Responsabilità degli enti: il nuovo art. 25-vicies del d.lgs. 231/2001 prevede sanzioni fino a 1.000 quote. È il momento di aggiornare i modelli organizzativi.

🔹 Danni da IA: il giudice può ordinare l'esibizione di log e documentazione tecnica. Il nesso causale si presume quando il danno deriva dalla violazione di obblighi dell'AI Act. Il danneggiato può agire direttamente contro l'assicuratore.

🔹 La compliance non è un safe harbour: la conformità all'AI Act, anche se certificata, non esclude di per sé la responsabilità.

Il messaggio per imprese e pubbliche amministrazioni è chiaro: sicurezza, supervisione umana e documentazione non sono più solo obblighi regolatori. Diventano decisivi anche quando si discute di responsabilità penale, organizzativa e civile.

Scorri il carosello per la sintesi e leggi l'analisi completa sul nostro blog:
👉 https://www.datavalleyconsulting.com/en/post/lattuazione-dellai-act-in-italia-tra-attivita-di-polizia-responsabilita-e-tutela-risarcitoria

Supportiamo imprese e pubbliche amministrazioni nell'adeguamento all'AI Act, dalla classificazione dei sistemi all'aggiornamento dei modelli 231 e dei contratti.

12/10/2026

Risk management under the AI Act is not a one-off check before market launch. It is a process that runs for the whole lifecycle of a high-risk AI system.

That is the core message of Guide No. 5 of the Spanish AI supervisory authority, AESIA, which turns Article 9 of the AI Act into practical steps.

Key points:

🔹 Four stages: identify and analyse risks under intended use; estimate risks under reasonably foreseeable misuse; feed in findings from post-market monitoring; treat the risks and judge whether the residual risk is acceptable.

🔹 From threat to residual risk: every component of the system, including data, model, interface and design, is examined for threats and vulnerabilities. Each risk is scored by probability and severity, then mitigated, avoided, transferred or accepted. Every choice must be documented.

🔹 Proportionate, but never blind to rights: SMEs and start-ups do not need to replicate the structures of large companies. Risks to fundamental rights, however, must always be considered.

🔹 Risk appetite follows criticality: a smart insulin pump warrants far lower tolerance than a film recommender.

🔹 A process that keeps learning: testing against predefined metrics, post-market monitoring, periodic review and specific attention to minors and other vulnerable groups.

The guide also includes a policy template, a self-assessment questionnaire and an Excel tool, built on two use cases: financial assistance and a smart insulin pump.

Swipe through the carousel for a summary, and read our full analysis here:
👉 https://www.datavalleyconsulting.com/en/post/aesia-guidelines-on-the-ai-act---guide-no-5-risk-management

We support companies and public administrations in complying with the AI Act, from the classification of AI systems to building the risk management system.

01/10/2026

Article 17 of the AI Act doesn't ask for a document. It asks for an organisation.

AESIA's Guide No. 4 turns the quality management system into something operational: policies, procedures and written instructions covering fourteen interconnected elements — from the regulatory compliance strategy to data management, testing and validation, change management, non-conformities, and the control of outsourced activities.

The principle that matters most, especially for SMEs and start-ups: the system must cover every element required by Article 17, but its implementation can be proportionate to the size of the organisation, its structure, its resources and the complexity of the systems concerned.

Proportionality applies to depth, not to coverage.

Two things the Guide keeps returning to: accuracy and security belong in the design phase, not in final checks — and where activities are outsourced, the provider remains responsible.

Full analysis on our blog: https://www.datavalleyconsulting.com/it/post/aesia-guidelines-on-the-ai-act---guide-no-4

29/09/2026

You've built a high-risk AI system. How do you prove it complies?

AESIA's Guide No. 3 covers conformity assessment — the step between having a compliant system and being able to demonstrate it.

Two procedures exist under Article 43. Under Annex VI, the provider verifies compliance itself. Under Annex VII, a notified body assesses the quality management system and the technical documentation — and where other means of verification have been exhausted, it may access training datasets and trained models.

Which one applies depends heavily on whether harmonised standards or common specifications exist and have actually been applied. For AI embedded in regulated products such as medical devices, the procedure under the existing product legislation governs, with the AI Act requirements built into it.

Then come the EU declaration of conformity and the CE marking — an indicator of conformity, not a certification of quality.

And a detail easy to miss: a substantial modification triggers a new assessment even if the system never goes back on the market.

Full analysis on our blog: www.datavalleyconsulting.com/it/post/aesia-guidelines-on-the-ai-act---guide-no-3

21/09/2026

Two systems. One regulation. Completely different obligations.

AESIA's Guide No. 2 doesn't restate the AI Act — it follows two concrete systems through it.

The first is used by a public authority to assess applications for financial assistance from families in economic vulnerability. The second is a smart insulin pump managing a chronic condition.

What separates them isn't the technology. It's the intended purpose. That single determination decides whether a system falls within scope, how it is classified, and which obligations land on the provider rather than the deployer.

From there, the Guide works through the full set of requirements for high-risk systems: data governance, human oversight, accuracy, robustness, cybersecurity, technical documentation, post-market monitoring.

One point worth holding onto: risks must be assessed against reasonably foreseeable misuse, not only intended use.

Full analysis on our blog: https://www.datavalleyconsulting.com/it/post/aesia-guidelines-on-the-ai-act---guide-no-2

hashtag hashtag hashtag hashtag

29/07/2026

L’AI Act non è solo un insieme di nuovi obblighi. È un modello per governare l’Intelligenza Artificiale in base ai rischi, alle responsabilità e all’impatto sulle persone.

Ma come interpretarlo e tradurlo concretamente nelle attività di un’impresa?

AESIA, l’Agenzia sp****la per la supervisione dell’Intelligenza Artificiale, ha pubblicato la prima di una serie di linee guida dedicate al Regolamento europeo.

📄 La Guida n. 1 offre una panoramica strutturata degli elementi fondamentali dell’AI Act, dalla classificazione alle misure dedicate a PMI e startup.

Un punto emerge con chiarezza: adottare sistemi di AI non significa soltanto valutarne le prestazioni tecnologiche. Significa costruire processi capaci di documentare le scelte, identificare e mitigare i rischi, garantire la qualità dei dati e mantenere un controllo umano effettivo lungo l’intero ciclo di vita del sistema.

Nel nuovo articolo di Data Valley, analizziamo i principali contenuti della prima guida AESIA e le coordinate essenziali per iniziare a orientarsi nell’AI Act.

Leggi l’articolo completo ⤵️
https://www.datavalleyconsulting.com/it/post/aesia-guidelines-on-the-ai-act-1

How can the AI Act be interpreted and put intopractice? The Spanish Agency for the Supervision of Artificial Intelligence (AESIA), the first European agency dedicated to artificial intelligence, has published its first guidelines. These guidelines provide a clear and practical overview of the AI Act...

13/05/2026

Oggi pomeriggio Silvia Martinelli, Strategic Research Manager di Data Valley, è intervenuta come relatrice al corso su Intelligenza Artificiale organizzato dall'Ordine Avvocati Milano, in collaborazione con l'Università degli Studi di Milano e ASLA.

Il suo intervento "AI, Deep Fake e Tutela del Consumatore" ha affrontato i rischi legati alla falsificazione della realtà digitale e le implicazioni per la protezione dei consumatori nel quadro normativo vigente.

Siamo orgogliosi di contribuire a momenti di formazione e dialogo interdisciplinare tra tecnologia e diritto.

hashtag hashtag hashtag hashtag hashtag