Il 19 novembre 2025 la Commissione europea ha presentato il Digital Omnibus (proposte COM (2025) 835, 836 e 837). Dietro questo nome burocratico e apparentemente tecnico si nasconde, in realtà, il cantiere legislativo più ambizioso e politicamente sensibile della nuova stagione digitale dell’Unione. Si tratta di un pacchetto di riforme "orizzontale" che interviene contemporaneamente sulle colonne portanti del mercato unico dei dati: il GDPR, l’AI Act, il Data Act e il Data Governance Act.
L’obiettivo dichiarato da Bruxelles è cruciale e risponde alle forti pressioni del mondo produttivo: ridurre il carico amministrativo e i costi di conformità del 25% per le grandi imprese e del 35% per le piccole e medie imprese (PMI). Il contesto di partenza, del resto, è una frammentazione normativa innegabile. Le imprese europee si trovano a navigare in un mare di circa 100 leggi focalizzate sul comparto tech, mentre la vigilanza è frammentata tra oltre 270 autorità regolatorie nei 27 Stati membri, generando inevitabili sovrapposizioni, conflitti di competenza e una profonda incertezza giuridica.
Tuttavia, come evidenziato tempestivamente dalla deputata Giulia Pastorella, la proposta presenta una criticità metodologica: mescola in un unico testo tre operazioni profondamente diverse tra loro. Troviamo infatti interventi di vera semplificazione burocratica (come l’istituzione di un portale unico per le notifiche degli incidenti informatici, volto a razionalizzare i canali previsti da NIS2 e DORA) , semplici rinvii tecnici delle scadenze e, infine, una vera e propria riforma strutturale dei diritti dei cittadini.
Il GDPR sotto pressione: la ridefinizione del dato personale
Le modifiche destinate a incidere sul Regolamento Generale sulla Protezione dei Dati (GDPR) sono, senza sorpresa, le più dibattute da giuristi e accademici. La proposta introduce una svolta concettuale, adottando un criterio marcatamente soggettivo per la definizione stessa di “dato personale”. Secondo questo nuovo approccio, un’informazione smette di essere considerata dato personale se il soggetto specifico che la detiene non dispone di mezzi ragionevoli, economici o tecnologici, per identificare la persona fisica interessata.
I favorevoli a questa riforma sottolineano che la tutela della privacy deve proteggere l’individuo reale e i rischi concreti a cui è esposto, e non il dato in sé in modo astratto. Questa visione si muoverebbe in linea con una lettura pragmatica della giurisprudenza della Corte di Giustizia dell’Unione Europea (in particolare la sentenza Deloitte).
Al contrario, i critici e le associazioni dei consumatori intravedono in questa piega del testo una scappatoia estremamente pericolosa. Un esempio concreto rende evidente il rischio: un immenso database sanitario pseudonimizzato diventerebbe legalmente “anonimo” per l’impresa di ricerca che lo ha generato e, di conseguenza, liberamente commerciabile sul mercato. Chi lo acquista successivamente (si pensi a grandi gruppi bancari o compagnie assicurative), incrociando questi dati apparentemente anonimi con le banche dati commerciali già in suo possesso, potrebbe facilmente ricomporre la profilazione sanitaria dei singoli cittadini, negando polizze o mutui sulla base di vulnerabilità latenti.
Il costituzionalista Oreste Pollicino ha riassunto questo passaggio come una mutazione genetica del modello europeo: si passa da una tutela preventiva, oggettiva e universale a una logica puramente funzionale, che misura l’estensione della protezione in base al potere tecnologico ed economico di chi tratta le informazioni. A ciò si aggiunge un alleggerimento procedurale non indifferente: l’obbligo di notifica per i data breach (le violazioni dei sistemi) vede innalzarsi la soglia di attivazione da un generico “rischio” a un comprovato “alto rischio”, mentre il tempo limite per la comunicazione viene esteso da 72 a 96 ore, riducendo di fatto la tempestività e la capacità di vigilanza dei Garanti privacy nazionali.
AI Act: il nuovo calendario dei rinvii strategici
Sul fronte dell’intelligenza artificiale, l’accordo provvisorio raggiunto il 7 maggio 2026 (Omnibus VII) ha riscritto radicalmente la tabella di marcia e l’applicazione progressiva dell’AI Act. Le scadenze imminenti e inderogabili restano quelle originarie del 2025 per i sistemi a rischio inaccettabile (come il social scoring o i sistemi di riconoscimento biometrico di massa in tempo reale) e per i nuovi modelli GPAI (General Purpose AI) che si affacciano per la prima volta sul mercato.
Per tutto il resto del comparto artificiale, si assiste a una serie di slittamenti cronologici finalizzati a dare respiro all’industria dello sviluppo:
- 2 agosto 2026: scatta ufficialmente l’obbligo generale di trasparenza per i sistemi di IA che interagiscono direttamente con gli esseri umani.
- 2 dicembre 2026: entra in vigore l’obbligo di marcatura dei contenuti generati da IA (watermarking) e il divieto assoluto per le applicazioni di tipo “nudifier” (software dedicati alla creazione non consensuale di materiale pornografico o nudi artificiali).
- 2 agosto 2027: scattano gli obblighi di compliance per i modelli GPAI pre-2025 già ampiamente diffusi (tra cui le architetture alla base di ChatGPT, Claude e Gemini).
- 2 dicembre 2027: diventano vincolanti i severi requisiti per i sistemi considerati ad "alto rischio" nativi, impiegati in settori sensibili come la biometria, la gestione del lavoro e le forze dell’ordine.
- 2 agosto 2028: entrano in vigore gli obblighi per i sistemi di IA integrati come componenti di sicurezza all’interno di prodotti fisici e macchinari (es. robotica industriale avanzata e dispositivi medici salvavita).
Se da un lato il rinvio tecnico è ampiamente giustificato dal cronico ritardo con cui gli organismi europei di standardizzazione (CEN/CENELEC) stanno redigendo le norme tecniche armonizzate, dall’altro preoccupa i giuristi lo spostamento di competenze verso l’esecutivo politico. La Commissione europea, infatti, beneficerà di ampi poteri per limitare o esentare determinati obblighi attraverso lo strumento degli atti delegati, accentrando la governance reale attorno all’AI Office e riducendo il controllo parlamentare.
Il fattore geopolitico e il caso Italia
Nessuna analisi giuridica del Digital Omnibus può prescindere dal contesto macroeconomico internazionale. Il ritorno di Donald Trump alla Casa Bianca e la violenta spinta deregolatoria ed “eccezionalista” impressa dall’amministrazione statunitense sul fronte dell’intelligenza artificiale stanno letteralmente schiacciando i regolatori di Bruxelles.
Il divario infrastrutturale tra le due sponde dell’Atlantico è ormai immenso: secondo le stime correnti, gli Stati Uniti investiranno in data center e supercomputing circa cinque volte più dell’intera Unione Europea da qui al 2030. La “semplificazione” introdotta dal Digital Omnibus rischia quindi di apparire agli occhi degli osservatori internazionali non come una scelta strategica autonoma, bensì come una parziale resa diplomatica ed economica, finalizzata a rassicurare e trattenere nel vecchio continente le Big Tech americane.
In questo complesso scenario macro-regionale, l’Italia si trova in una posizione istituzionale particolarmente delicata. La normativa nazionale sull’IA (la legge n. 132 approvata definitivamente a settembre 2025), nata per anticipare e blindare l’applicazione dei regolamenti europei, rischia già di dover essere profondamente emendata o riscritta alla luce dei nuovi parametri temporali e sostanziali dell’Omnibus.
Il nostro Paese sarà costretto a ridisegnare da zero l’architettura interna della governance. Sarà necessario superare i conflitti latenti e le sovrapposizioni tra le autorità indipendenti esistenti — l’AGCOM per i profili media e di mercato, il Garante per la protezione dei dati personali per i diritti dell’individuo e l’ACN (Agenzia per la Cybersicurezza Nazionale) per la resilienza delle infrastrutture — al fine di confluire forzatamente verso la designazione di un unico Digital Coordinator nazionale che possa interfacciarsi con l’infrastruttura accentrata di Bruxelles.
Conclusioni
In definitiva, il Digital Omnibus non smantella formalmente l’architettura di tutele dell’AI Act o del GDPR, che restano i fari nominali della regolamentazione europea. Opera, tuttavia, un’erosione silenziosa, pragmatica e incrementale dei loro presupposti più rigidi.
L’Europa si trova oggi davanti alla sua più grande e drammatica domanda politica: è ancora possibile difendere e finanziare la “terza via” regolatoria, basata sulla centralità dei diritti fondamentali dell’uomo, o la competitività economica globale e le brutali pressioni geopolitiche costringeranno il Continente a sacrificare progressivamente le tutele storiche dei propri cittadini?