Il diritto della tecnologia europeo ha raggiunto una soglia di complessità strutturale tale da richiedere un intervento di semplificazione orizzontale privo di precedenti per ampiezza e ambizione. La risposta delle istituzioni dell’Unione a questa stratificazione normativa prende il nome di Digital Omnibus, una duplice proposta di regolamento formulata dalla Commissione europea che investe contemporaneamente il Regolamento Generale sulla Protezione dei Dati, il Regolamento sull’Intelligenza Artificiale, la Direttiva ePrivacy, la direttiva NIS2, il DORA e il Data Act La trattazione offre una disamina completa dei diversi pilastri della riforma, riuscendo a contemperare il rigore dell’esegesi tecnica con una chiarezza espositiva che risponde ai principali interrogativi operativi degli addetti ai lavori, dei Data Protection Officer e dei responsabili delle pubbliche amministrazioni.
Dal punto di vista dei contenuti, l’analisi contenuta nel fascicolo si focalizza sull’evento di maggior rottura per l’ecosistema digitale europeo: l’accordo raggiunto nei triloghi di maggio tra Parlamento e Consiglio sull’AI Act. La decisione chiave risiede nel ripensamento del calendario per l’applicazione degli obblighi relativi ai sistemi di intelligenza artificiale ad alto rischio.
L’iniziale meccanismo dinamico e flessibile proposto dalla Commissione, comunemente definito stop the clock e vincolato alla pubblicazione delle norme tecniche armonizzate, è stato sostituito dai co-legislatori con due scadenze fisse, rigide e inderogabili. Il 2 agosto 2026 cessa così di essere il termine ultimo per la piena conformità.
Per i sistemi ad alto rischio contemplati dall’Allegato III dell’AI Act, inerenti a settori ad elevato impatto sociale come la biometria, le infrastrutture critiche, l’istruzione, l’occupazione e l’amministrazione della giustizia, il termine è differito al 2 dicembre 2027.
Per i sistemi che rientrano nell’Allegato I, costituenti componenti di sicurezza di prodotti regolati da normative di settore come macchinari, dispositivi medici o ascensori, la piena operatività slitta al 2 agosto 2028.
Questo rinvio, dettato dai ritardi nella predisposizione degli standard da parte degli enti di normazione tecnica CEN-CENELEC, non rappresenta un disinnesco dei doveri di compliance, bensì la restituzione di un orizzonte di pianificazione ragionevole.
Parallelamente allo slittamento dei sistemi ad alto rischio, la nuova disciplina introduce interventi prescrittivi immediati ed emendamenti di portata sostanziale che toccano la tutela dell’intima dignità della persona. Entro il 2 dicembre 2026 scatterà il divieto assoluto per i sistemi di intelligenza artificiale destinati a generare materiale pedopornografico o a creare contenuti audio, video e fotografici che ritraggono le parti intime di individui identificabili in assenza di previo consenso, colpendo direttamente il fenomeno delle cosiddette applicazioni nudifier.
Tale proibizione viene integrata nell’articolo 5 dell’AI Act e si estende non solo alle tecnologie progettate per tale scopo, ma anche ai fornitori di modelli generativi a scopi generali che non adottino misure di salvaguardia ragionevoli ed efficaci per prevenire simili abusi. Inoltre, la trasparenza dei contenuti sintetici subisce un’accelerazione significativa: mentre l’obbligo generale di marcatura di cui all’articolo 50 entra in vigore ad agosto 2026, i fornitori di sistemi generativi già immessi sul mercato dovranno adeguarsi all’obbligo di inserimento di watermarking e metadati leggibili dalla macchina entro il 2 dicembre 2026, con una riduzione dei tempi transitori rispetto alle proposte originarie della Commissione.
Sul fronte del trattamento dei dati personali, il Digital Omnibus introduce modifiche puntuali al Regolamento Generale sulla Protezione dei Dati che hanno suscitato accesi dibattiti dottrinali e istituzionali. La revisione della nozione di dato personale ex articolo 4, punto 1, del GDPR introduce un criterio di relatività basato sull’entità del titolare: un’informazione è qualificata come dato personale per un determinato soggetto solo se quest’ultimo dispone di mezzi ragionevolmente utilizzabili per identificare la persona fisica.
Ne consegue che i dati pseudonimizzati trasferiti a terzi privi della capacità tecnica di re-identificazione potrebbero cadere al di fuori dell’ambito di applicazione della disciplina sulla privacy per quel determinato ricevente. Questa impostazione, orientata a recepire l’evoluzione giurisprudenziale della Corte di Giustizia nei casi Breyer e SRB, ha tuttavia incontrato la forte opposizione del Comitato Europeo per la Protezione dei Dati e del Garante Europeo.
Nella Joint Opinion 2/2026, le autorità indipendenti hanno denunciato il rischio che una ridefinizione per via amministrativa o tramite atti di esecuzione sottragga al co-legislatore europeo la determinazione del perimetro applicativo dei diritti fondamentali, provocando un sensibile arretramento delle garanzie.
Altrettanto incisiva appare la ristrutturazione delle procedure di notifica del data breach e di gestione del consenso online. Il Digital Omnibus eleva la soglia di notifica delle violazioni di dati alle autorità nazionali, unificandola a quella prevista per la comunicazione agli interessati: dovranno essere segnalate unicamente le violazioni che comportano un rischio elevato per i diritti e le libertà delle persone fisiche, estendendo al contempo il termine di notifica da settantadue a novantasei ore dalla conoscenza dell’evento.
Questa semplificazione sposta l’onere valutativo sul titolare, il quale sarà tenuto a documentare con maggiore accuratezza e metodologie rigorose la qualificazione del rischio interno. Contemporaneamente, l’istituzione di un punto di accesso unico di notifica presso l’ENISA mira a soddisfare il principio di univocità della segnalazione per gli incidenti incidenti sul GDPR, sulla direttiva NIS2 e su DORA. Sul versante della fruizione dei servizi web e della ePrivacy, la riforma inserisce gli articoli 88a e 88b nel GDPR per sradicare il fenomeno della stanchezza da consenso, esentando dalla richiesta preventiva la misurazione aggregata di prima parte condotta dal titolare e introducendo il principio del rifiuto tramite un singolo click, affiancato da un periodo di moratoria di sei mesi prima di poter riproporre il banner di tracciamento. Si promuove inoltre l’adozione di segnali automatizzati impostati direttamente dal sistema operativo o dal browser dell’utente.
Nel valutare la validità complessiva del documento sotto il profilo della struttura e della fruibilità, la pubblicazione mostra un’organizzazione sistematica dei contenuti perfettamente coerente con gli standard della pubblicistica giuridica di alto livello.
Le varie sezioni accompagnano il lettore secondo una traiettoria logica impeccabile: dall’inquadramento politico-editoriale alla cronaca delle trattative comunitarie, dall’analisi delle singole componenti normative alle reazioni dell’EDPB, fino all’esame dell’impatto pratico sul Data Protection Officer e alle prospettive future legate al Digital Fitness Check atteso per il 2027.
La prosa, rigorosa nei riferimenti testuali ma improntata a uno stile discorsivo privo di oscurità, garantisce un’eccellente accessibilità e leggibilità. I DPO, gli organi di indirizzo delle imprese e i responsabili della conformità nelle pubbliche amministrazioni trovano nel fascicolo una guida chiara sulle azioni da intraprendere. La necessitata revisione delle procedure interne di gestione dei data breach, la strutturazione in formato standardizzato delle valutazioni di impatto e il costante coordinamento con la legislazione nazionale sull’intelligenza artificiale vengono illustrati non come meri adempimenti burocratici, ma come componenti essenziali di un moderno sistema di governance e di gestione del rischio regolatorio.
Per i professionisti del settore e per tutti gli operatori chiamati a interpretare le trasformazioni del diritto della tecnologia, l’analisi del nuovo assetto europeo evidenzia che la semplificazione normativa richiede strumenti analitici sempre più sofisticati.
La sospensione temporale concesso sui sistemi ad alto rischio costituisce un’opportunità irripetibile per perfezionare le mappature aziendali, verificare la catena dei fornitori, adeguare le policy d’uso dell’intelligenza artificiale e preparare le organizzazioni a un quadro regolatorio unificato.
𝘼 𝙘𝙪𝙧𝙖 𝙙𝙚𝙡𝙡’𝘼𝙫𝙫. 𝘼𝙡𝙛𝙤𝙣𝙨𝙤 𝙎𝙘𝙖𝙛𝙪𝙧𝙤
𝑅𝑒𝑠𝑝𝑜𝑛𝑠𝑎𝑏𝑖𝑙𝑒 𝐴𝑟𝑒𝑎 𝐼𝑛𝑛𝑜𝑣𝑎𝑧𝑖𝑜𝑛𝑒, 𝐷𝑖𝑔𝑖𝑡𝑎𝑙𝑖𝑧𝑧𝑎𝑧𝑖𝑜𝑛𝑒 𝑒 𝐼𝑛𝑡𝑒𝑙𝑙𝑖𝑔𝑒𝑛𝑧𝑎 𝐴𝑟𝑡𝑖𝑓𝑖𝑐𝑖𝑎𝑙𝑒 𝑑𝑖 𝐹𝑖𝑠𝑎𝑝𝑖
