Tempo di lettura
Oggi, 24 maggio 2026, il Regolamento Generale sulla Protezione dei Dati (Reg. UE 2016/679, noto come GDPR) compie dieci anni dalla sua entrata in vigore formale, avvenuta il 24 maggio 2016. Dopo due anni di periodo transitorio, il Regolamento ha spiegato i propri effetti giuridici vincolanti il 25 maggio 2018, segnando una svolta epocale nella tutela dei diritti fondamentali della persona nell’era digitale.
Quello che segue è un excursus tecnico-giuridico lungo trent’anni di normativa: dalle radici nella Direttiva 95/46/CE fino alle odierne tensioni con l’intelligenza artificiale generativa e le proposte di revisione dell’impianto regolatorio.
La linea del tempo normativa
| 1995 Direttiva 95/46/CE | La Direttiva 95/46/CE del Parlamento Europeo e del Consiglio istituisce il primo quadro organico europeo sulla protezione dei dati personali. Introduce principi fondamentali — qualità dei dati, finalità, proporzionalità, consenso — e obblighi per i titolari del trattamento. Rimane il testo fondante, ma la sua natura di direttiva lascia ampi margini di recepimento nazionale, generando una frammentazione applicativa tra gli Stati Membri. |
| 2000 Carta di Nizza | La Carta dei Diritti Fondamentali dell’UE, proclamata a Nizza il 7 dicembre 2000, eleva esplicitamente la protezione dei dati personali a diritto fondamentale autonomo (art. 8), distinto dal più generico diritto alla vita privata (art. 7). La Carta acquisterà valore giuridico vincolante con il Trattato di Lisbona nel 2009. |
| 2009 Trattato di Lisbona | L’art. 16 TFUE, introdotto con il Trattato di Lisbona, fornisce la base giuridica esplicita per l’adozione di norme sulla protezione dei dati da parte dell’UE, imponendo al legislatore europeo di adottare un regolamento (non più una direttiva) per garantire uniformità applicativa nel mercato interno. |
| 2012 Proposta Commissione | La Commissione europea presenta la proposta di Regolamento generale sulla protezione dei dati: quattro anni di negoziati interistituzionali tra Parlamento, Consiglio e Commissione, con un intenso lobbying da parte di operatori industriali e un acceso dibattito accademico e della società civile. |
| 2016 Entrata in vigore | Il 24 maggio 2016 il GDPR è pubblicato nella Gazzetta Ufficiale dell’UE (L 119/1) ed entra formalmente in vigore. Inizia il biennio transitorio per consentire agli operatori di adeguarsi. |
| 2018 Applicabilità diretta | Il 25 maggio 2018 il GDPR diventa pienamente applicabile. L’Italia abroga il Codice della Privacy del 2003 (D.Lgs. 196/2003) e adotta il D.Lgs. 101/2018 per armonizzare la normativa nazionale. Le DPA nazionali avviano le prime istruttorie; l’anno si chiude con la storica sanzione da 50 milioni di euro a Google LLC da parte del CNIL francese. |
| 2019–2021 Consolidamento | Proliferazione di linee guida dell’EDPB (Comitato europeo per la protezione dei dati). La Corte di Giustizia UE, con la sentenza Schrems II (C-311/18, luglio 2020), invalida il Privacy Shield UE-USA, imponendo un riassetto globale dei trasferimenti di dati verso i paesi terzi. Il Garante italiano è tra i più attivi in Europa. |
| 2022 Colli di bottiglia | Il Garante europeo della privacy lancia un formale appello per una riforma strutturale, denunciando l’applicazione “a diverse velocità” tra gli Stati Membri. Il “collo di bottiglia irlandese” — la DPC irlandese, lead authority per quasi tutte le big tech — accentra un carico istruttorio sproporzionato rispetto alle proprie risorse. |
| 2023 ChatGPT e AI | Il Garante Privacy italiano emette il noto provvedimento di blocco temporaneo a ChatGPT (marzo 2023), primo caso al mondo di intervento di un’autorità di protezione dei dati su un sistema di AI generativa. Il blocco è revocato in un mese dopo che OpenAI introduce misure aggiuntive di tutela. L’episodio innesca il dibattito europeo sul rapporto tra GDPR e AI. |
| 2024 AI Act | Il Regolamento (UE) 2024/1689 (AI Act) entra in vigore il 1° agosto 2024, completando il quadro normativo digitale europeo accanto al GDPR, al DSA e al DMA. L’AI Act mutua dal GDPR il modello di enforcement, spostando la supervisione sulle applicazioni ad alto rischio verso la Commissione europea. Inizia la riflessione su sovrapposizioni e potenziali antinomie tra i due regolamenti. |
| 2025 L. 132/2025 (IT) | L’Italia adotta la Legge 132/2025, prima normativa nazionale organica in materia di intelligenza artificiale. Il testo disciplina i requisiti di trasparenza, i sistemi di AI in ambito giudiziario e medico, e introduce disposizioni di raccordo con il GDPR. Si consolida il modello italiano di regolamentazione stratificata: GDPR + AI Act + normativa nazionale. |
| 2026 Revisione in corso | A dieci anni dall’entrata in vigore, la Commissione europea valuta una revisione mirata del GDPR: semplificazione procedurale, chiarimento sulla legittimità del training dei modelli AI su dati personali, potenziale ridefinizione del concetto stesso di “dato personale”. Le negoziazioni sono in corso; sia Parlamento europeo che governi mostrano cautela rispetto alle proposte più radicali. |
Il GDPR come modello globale: il Brussels Effect
Il GDPR rappresenta il caso più emblematico del cosiddetto Brussels Effect, concetto elaborato dalla professoressa Anu Bradford (Columbia University): la capacità dell’Unione europea di imporre de facto standard normativi a livello globale per la sola forza attrattiva del proprio mercato interno da 450 milioni di consumatori.
Paesi come Brasile (LGPD), Corea del Sud (PIPA), India (DPDPA 2023) e persino la Cina (PIPL — Personal Information Protection Law) hanno adottato normative strutturalmente analoghe al GDPR per facilitare i flussi di dati verso l’area UE. Il meccanismo della presunzione di adeguatezza (art. 45 GDPR) ha incentivato un’autentica gara al rialzo negli standard di protezione, con effetti positivi anche per i consumatori di paesi terzi: le multinazionali hanno spesso esteso le tutele europee all’intera base utenti globale, anziché gestire sistemi differenziati.
Sul piano sanzionatorio, il bilancio quantitativo è significativo: dal luglio 2018 a oggi sono state irrogate oltre 2.888 sanzioni a livello europeo, per un ammontare complessivo superiore a 6 miliardi di euro. Meta si distingue con la singola sanzione più elevata (1,2 miliardi di euro, DPC irlandese, 2023). Il settore media e telecomunicazioni è il più sanzionato in termini assoluti (4,9 miliardi). L’Italia si colloca al quarto posto con 538 provvedimenti sanzionatori per un totale di 311 milioni di euro.
Luci e ombre: le criticità strutturali
Il decennio trascorso ha messo in evidenza tanto le potenzialità quanto i limiti applicativi del Regolamento. Sotto il profilo critico, emergono tre macro-problemi:
| Profilo critico | Descrizione tecnico-giuridica |
| Collo di bottiglia irlandese | Il meccanismo dello sportello unico (one-stop-shop, art. 56 GDPR) ha concentrato la competenza primaria su quasi tutte le big tech nella DPC irlandese (Data Protection Commission), storicamente sottofinanziata rispetto al carico istruttorio. Ciò ha generato ritardi sistemici nelle istruttorie e ha alimentato il contenzioso tra DPA nazionali e DPC in sede EDPB (art. 65 GDPR, procedura di composizione delle controversie). |
| Frammentazione interpretativa | Nonostante la natura regolamentare del GDPR — direttamente applicabile senza recepimento nazionale (art. 288 TFUE) — le linee guida dei singoli garanti nazionali si sono moltiplicate, creando difformità applicative significative. L’EDPB ha prodotto decine di Guidelines per uniformare l’interpretazione, ma la frammentazione rimane un onere reale per le PMI che operano in più Stati Membri. |
| Risorse delle DPA | Le autorità di controllo nazionali operano cronicamente in condizioni di sotto-organico rispetto al volume delle notifiche di data breach (in costante crescita), dei reclami degli interessati e delle istruttorie d’ufficio. Ciò incide sull’effettività dell’enforcement, tema sollevato anche da associazioni della società civile come NOYB (Max Schrems). |
La sfida aperta: GDPR e Intelligenza Artificiale
L’avvento dei modelli di intelligenza artificiale generativa — e più in generale dei Large Language Models (LLM) e dei sistemi di AI a uso generale (GPAI) disciplinati dall’AI Act — ha posto problemi di compatibilità con l’impianto del GDPR che non trovano risposta immediata nel testo del 2016.
1. Il training dei modelli AI su dati personali
L’addestramento di modelli di AI richiede dataset di dimensioni tali da rendere strutturalmente impraticabile la raccolta del consenso individuale degli interessati (art. 6, par. 1, lett. a) GDPR). Le linee guida dei garanti nazionali — incluso il Garante italiano — e quelle dell’EDPB hanno operato una lettura estensiva delle basi giuridiche alternative (interesse legittimo ex art. 6, par. 1, lett. f); finalità di ricerca scientifica ex art. 89 GDPR), ma il quadro rimane incerto. Le proposte di revisione della Commissione includono una base giuridica esplicita per il training AI, che però potrebbe trasformarsi, come osservato da più commentatori, in un “via libera” privo di adeguate salvaguardie per i soggetti ignari del trattamento dei propri dati.
2. La definizione di “dato personale”
La proposta più controversa in sede di revisione riguarda la possibile modifica della definizione stessa di dato personale ex art. 4, n. 1) GDPR. Si tratta del fondamento concettuale dell’intero impianto regolatorio: modificarla significherebbe alterare i presupposti applicativi del Regolamento, con effetti a cascata su tutte le norme che su tale definizione poggiano (consenso, diritti degli interessati, obblighi del titolare, trasferimenti internazionali). Né il Parlamento europeo né la maggioranza dei governi sembrano favorevoli a tale revisione nella presente legislatura.
3. Il rapporto con l’AI Act
L’AI Act (Reg. UE 2024/1689) e il GDPR operano su piani parzialmente sovrapposti: il primo disciplina i sistemi di AI per categorie di rischio; il secondo regola qualsiasi trattamento di dati personali indipendentemente dalla tecnologia utilizzata. L’interazione tra i due corpus normativi genera potenziali antinomie: si pensi ai sistemi di AI ad alto rischio che trattano dati biometrici (cat. speciali ex art. 9 GDPR), o ai requisiti di trasparenza dell’AI Act che si sovrappongono agli obblighi informativi GDPR. Il coordinamento applicativo è ancora oggetto di orientamenti in via di definizione da parte di EDPB e EAIA (European Artificial Intelligence Office).
4. Lesson learned: il caso ChatGPT e il principio di effettività
Il provvedimento del Garante italiano su ChatGPT (marzo-aprile 2023) ha dimostrato che il GDPR — pur con le sue imperfezioni — è uno strumento applicabile anche ai sistemi di AI, e che il suo utilizzo concreto può produrre miglioramenti reali per la tutela degli interessati. Lo stop temporaneo ha portato OpenAI a introdurre meccanismi di opt-out, informative più trasparenti e strumenti di verifica dell’età, beneficiando non solo gli utenti italiani ma l’intera base utenti europea. Una dimostrazione concreta del potenziale regolatorio europeo.
Bilancio e prospettive: un impianto ancora solido
A dieci anni dall’entrata in vigore, il GDPR ha superato complessivamente la prova del tempo. Non perché sia un testo perfetto — non lo è — ma perché la sua architettura di principi (liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza: art. 5 GDPR) è sufficientemente astratta e flessibile da adattarsi a contesti tecnologici non previsti al momento della redazione.
Le sfide dell’AI non richiedono necessariamente una riscrittura del Regolamento: richiedono una applicazione intelligente dei principi esistenti, eventualmente supportata da clausole di specificazione settoriale — come già prevede l’art. 89 GDPR per ricerca e statistica — piuttosto che da deroghe strutturali che ne indebolirebbero l’impianto.
Il nodo centrale rimane l’effettività: un regolamento scritto bene vale quanto le risorse investite nella sua applicazione. Le autorità garanti nazionali, l’EDPB e — per le applicazioni AI ad alto rischio — l’AI Office della Commissione, devono essere messi nelle condizioni operative per garantire un enforcement uniforme e tempestivo. Questo è il vero cantiere aperto del prossimo decennio.
