Digital Omnibus UE 2026: cosa cambia davvero per GDPR, AI Act e Data Act

Premessa: un regolamento che cambia le regole del gioco

Il Digital Omnibus — la proposta regolamentare della Commissione europea attualmente in fase di approvazione — non è il solito provvedimento di razionalizzazione normativa. Pur presentandosi sotto l’etichetta della semplificazione, interviene in modo strutturale su tre dei principali pilastri della EU Data Strategy: il GDPR, il Data Act e l’AI Act. Il risultato non è necessariamente un abbassamento degli oneri di compliance: in diversi casi, le modifiche ridefiniscono le garanzie per gli interessati, spostano gli equilibri tra autorità di controllo e operatori economici, e introducono nuovi modelli di attuazione che meritano un’analisi tecnico-giuridica attenta.

Questo articolo analizza i contenuti essenziali del Digital Omnibus, con particolare attenzione agli impatti pratici per le organizzazioni che già operano in regime di conformità al GDPR e all’AI Act.

Le modifiche al GDPR: identificabilità, diritti e notifiche

Ridefinizione del dato personale

Il primo intervento significativo riguarda il criterio di identificabilità nella nozione di dato personale. Il Digital Omnibus valorizza il parametro dei “mezzi ragionevolmente utilizzabili” da parte del titolare o del responsabile del trattamento, rafforzando un’interpretazione contestuale e relativa della definizione normativa.

In pratica: un’informazione si qualifica come dato personale solo nella misura in cui il singolo operatore sia concretamente in grado di identificare una persona fisica con gli strumenti effettivamente a sua disposizione. Laddove tale identificazione non sia ragionevolmente praticabile, l’informazione non assume natura personale rispetto a quel soggetto specifico. Si tratta di una lettura che potrebbe ridurre significativamente l’ambito applicativo del GDPR per determinati trattamenti.

Nota operativa: Questa modifica ha potenziali riflessi importanti sulle analisi di Data Protection Impact Assessment (DPIA) e sulla gestione dei dataset utilizzati per addestrare sistemi di IA. Organizzazioni che trattano dati pseudonimizzati dovranno rivalutare le proprie valutazioni di rischio alla luce del nuovo criterio.

Esercizio dei diritti degli interessati

Il secondo ambito di modifica riguarda l’esercizio dei diritti degli interessati. Viene introdotta la possibilità per i titolari di qualificare come “abusivo” l’esercizio dei diritti che non sia funzionale alla tutela dei dati personali dell’interessato, ma persegua finalità ulteriori di natura strategica o contenziosa. Si tratta di una previsione che merita attenzione critica: la linea di confine tra esercizio legittimo del diritto e abuso è giuridicamente incerta e potenzialmente soggetta a interpretazioni strumentali.

Notifiche di violazione: soglia alzata, termine esteso

Sul fronte delle data breach notification, il Digital Omnibus introduce due modifiche rilevanti. In primo luogo, l’obbligo di notifica all’autorità di controllo viene subordinato ai soli casi in cui la violazione comporti un “alto rischio” per i diritti e le libertà degli interessati — elevando così la soglia rispetto al regime vigente, che attualmente richiede la notifica in presenza di qualsiasi rischio non improbabile. In secondo luogo, il termine per la notifica viene esteso da 72 a 96 ore, in ragione delle effettive capacità operative di rilevamento degli incidenti.

Le modifiche al Data Act: unificazione e coerenza regolatoria

Con riferimento al Data Act, l’Omnibus interviene nella direzione di incorporare una serie di strumenti previgenti — il Data Governance Act, il Regolamento 2018/1807, la Direttiva Open Data — all’interno di un unico riferimento normativo per accesso, condivisione e riutilizzo dei dati, tanto personali quanto non personali.

Viene inoltre esplicitato che il diritto di accesso ai dati generati da prodotti connessi e servizi correlati non può comportare un’elusione delle garanzie previste dalla normativa sulla protezione dei dati e dall’AI Act: l’accesso legittimo ai dati non esonera dall’obbligo di rispettare le condizioni di liceità del trattamento e di effettuare le valutazioni di impatto nei casi previsti. Viene altresì disciplinato con maggiore precisione l’accesso ai dati da parte delle autorità pubbliche in situazioni di eccezionale necessità, nel rispetto dei principi di proporzionalità e minimizzazione.

Le modifiche all’AI Act: applicazione “a maturazione tecnica”

Le novità più significative in ambito AI Act riguardano la rimodulazione temporale degli obblighi per i sistemi ad alto rischio. La Commissione europea — anche alla luce delle proprie linee guida dell’11 maggio 2026 — introduce un modello di attuazione che potremmo definire “a maturazione tecnica”: l’applicazione degli obblighi più stringenti viene subordinata alla previa adozione di standard tecnici armonizzati, strumenti di conformità e linee guida operative. Non si tratta di un semplice rinvio, ma di un meccanismo condizionato al coordinamento tra Commissione, Stati membri e organismi di normazione europei.

Sul piano pratico, vengono introdotte misure di semplificazione documentale estese anche alle PMI e alle imprese di dimensioni intermedie (SMC — Small Mid-Cap enterprises), senza incidere sugli obblighi sostanziali in materia di gestione del rischio, trasparenza e supervisione umana. Viene rafforzato il ruolo dell’AI Office quale snodo di coordinamento e supporto interpretativo, con particolare riferimento ai modelli di uso generale e ai sistemi integrati in ecosistemi più ampi.

La posizione del Parlamento europeo

Il testo approvato in prima lettura dal Parlamento UE (seduta plenaria del 3 marzo 2026) fissa scadenze certe e differenziate: applicazione al 2 dicembre 2027 per le fattispecie di cui all’Allegato III dell’AI Act e al 2 agosto 2028 per quelle dell’Allegato I. Per la trasparenza e la marcatura digitale dei sistemi già in commercio, il termine ultimo è fissato al 2 novembre 2026. Viene confermato l’obbligo per provider e deployer di garantire un livello sufficiente di AI literacy per il personale che utilizza sistemi AI per conto dell’organizzazione.

Nota operativa: Sul fronte delle pratiche vietate, il catalogo si arricchisce di una nuova fattispecie volta a contrastare la generazione di deepfake a contenuto sessuale non consensuale, con deroga esclusiva per i sistemi che integrino, by design, barriere tecniche insuperabili alla creazione di tali contenuti.

La Joint Opinion EDPB/EDPS n. 1/2026: luci e ombre

Il parere congiunto dell’European Data Protection Board (EDPB) e dell’European Data Protection Supervisor (EDPS) offre un quadro articolato di elementi positivi e di riserve formali che vale la pena sintetizzare per i professionisti che si occupano di compliance.

Sul fronte positivo, EDPB ed EDPS sostengono la creazione di sandbox normativi europei per l’AI e l’estensione della base giuridica che consenta il trattamento eccezionale di categorie particolari di dati per l’individuazione e la correzione dei bias algoritmici — a condizione che i casi di applicazione siano chiaramente circoscritti e proporzionati al rischio.

Sul fronte critico, le due autorità esprimono preoccupazione per la proposta di sopprimere l’obbligo di registrazione dei sistemi AI nella banca dati EU per i sistemi ad alto rischio nei casi in cui il fornitore abbia autonomamente concluso che il sistema non sia ad alto rischio: si ridurrebbe significativamente la responsabilità dei fornitori e si creerebbe un incentivo indesiderato a invocare impropriamente tale esenzione. Analogamente, viene ribadita la necessità che l’obbligo di AI literacy rimanga in capo a provider e deployer, e non venga trasferito esclusivamente a Commissione e Stati membri.

Sicurezza informatica: il Single-Entry-Point per le notifiche

Il Digital Omnibus affronta anche il problema della frammentazione degli obblighi di notifica in caso di incidente informatico. La soluzione proposta è l’istituzione di un portale digitale centralizzato (“Single-Entry-Point” — SEP) gestito da ENISA, che fungerebbe da interfaccia unica per tutte le segnalazioni di incidenti, applicando il principio “Report once, share many”: un’unica notifica inviata attraverso il SEP verrebbe automaticamente smistata alle autorità nazionali ed europee competenti — Garante Privacy, CSIRT nazionali, BCE. Il sistema dovrà essere interoperabile con altri strumenti identificativi, incluso l’EU Business Wallet.

Cosa fare ora

Il Digital Omnibus è in fase avanzata di approvazione. Le organizzazioni che operano già in regime di conformità al GDPR e all’AI Act devono iniziare a pianificare l’adeguamento ai nuovi parametri. In concreto:

• Verificare le valutazioni di identificabilità dei dataset trattati alla luce del nuovo criterio dei “mezzi ragionevolmente utilizzabili”.
• Aggiornare le procedure di data breach notification per adeguarle alla nuova soglia di “alto rischio” e al termine esteso di 96 ore.
• Monitorare le scadenze differenziate introdotte dal Parlamento europeo per i sistemi AI ad alto rischio, in particolare per la marcatura digitale (2 novembre 2026).
• Verificare se il proprio registro delle attività di trattamento sia ancora obbligatorio alla luce delle soglie riviste per numero di dipendenti.
• Valutare l’impatto delle nuove esenzioni documentali per PMI/SMC sull’assetto complessivo di governance dei dati e dei sistemi AI.