Digital Omnibus, la riforma UE che semplifica GDPR e AI Act

A otto mesi dalla presentazione, la riforma UE del quadro digitale avanza a ritmi diversi sui suoi due binari. Il Digital Omnibus, il pacchetto con cui la Commissione europea semplifica GDPR, regole sui cookie e AI Act, ha visto il ramo sull’intelligenza artificiale raggiungere un accordo politico nella primavera 2026, mentre quello che tocca la protezione dei dati è ancora al centro del negoziato tra Parlamento e Consiglio. Per le imprese, sul piano degli obblighi non muta nulla: le norme vigenti si applicano fino all’approvazione definitiva.

In sintesi:

• il pacchetto si compone di due proposte gemelle presentate il 19 novembre 2025, COM(2025) 837 sul quadro dati e privacy e COM(2025) 836 sull’AI Act;
• la definizione di dato personale viene ristretta recependo la Corte di giustizia UE (causa C-413/23 P del 4 settembre 2025);
• lo sviluppo e il funzionamento dei sistemi di intelligenza artificiale rientrano tra gli interessi legittimi ai sensi dell’art. 6, par. 1, lett. f) del GDPR;
• gli obblighi sui sistemi di IA ad alto rischio slittano al 2 dicembre 2027 per l’Allegato III e al 2 agosto 2028 per l’Allegato I;
• le regole su cookie e tracciamento confluiscono nel GDPR con i nuovi articoli 88a e 88b.

Le due proposte che compongono il Digital Omnibus

Il Digital Omnibus è un pacchetto di due regolamenti gemelli presentati dalla Commissione europea il 19 novembre 2025. Il primo, COM(2025) 837 final (2025/0360 COD), interviene sul quadro di protezione dei dati modificando GDPR (Reg. UE 2016/679), direttiva ePrivacy (2002/58/CE) e Data Act (Reg. UE 2023/2854), e accorpa in quest’ultimo il Data Governance Act e la direttiva Open Data. Il secondo, COM(2025) 836 final (2025/0359 COD), è l’Omnibus sull’AI Act (Reg. UE 2024/1689). L’obiettivo dichiarato è ridurre gli oneri di conformità per imprese e amministrazioni, e ricalca la linea già emersa con le semplificazioni del GDPR per le PMI discusse a livello europeo.

Le modifiche al GDPR previste dal pacchetto

Sul GDPR il Digital Omnibus incide su alcuni concetti portanti. La definizione di dato personale viene circoscritta ai dati che un soggetto può ragionevolmente collegare a una persona, in linea con la sentenza della Corte di giustizia UE nella causa C-413/23 P del 4 settembre 2025 sui dati pseudonimizzati. Le categorie particolari dell’art. 9 si restringono ai dati che rivelano direttamente una caratteristica sensibile, escludendo quelli inferiti per correlazione. Viene inoltre riconosciuto lo sviluppo dei sistemi di intelligenza artificiale come interesse legittimo del titolare. La tabella mappa gli interventi principali sulle norme interessate.

Cookie e tracciamento ricondotti dentro il GDPR

Le nuove regole sui cookie e sul tracciamento online escono dalla direttiva ePrivacy e confluiscono nel GDPR attraverso i nuovi articoli 88a e 88b. Il pacchetto introduce l’accettazione o il rifiuto con un solo clic, un periodo minimo tra due richieste di consenso e il riconoscimento dei segnali di preferenza impostati nel browser, e libera dal consenso alcune finalità come la misurazione aggregata dell’audience di prima parte. Per le imprese online questo comporterà una revisione dei banner e dei sistemi di gestione del consenso.

Lo slittamento delle scadenze dell’AI Act

L’Omnibus sull’AI Act rinvia l’applicazione degli obblighi per i sistemi di IA ad alto rischio, che non scattano più a una data fissa ma solo dopo che la Commissione ha certificato la disponibilità degli standard e degli strumenti di conformità, con due termini di garanzia: il 2 dicembre 2027 per i sistemi dell’Allegato III e il 2 agosto 2028 per quelli integrati nei prodotti dell’Allegato I. Il pacchetto estende alle imprese di media dimensione alcune semplificazioni riservate alle PMI. È il ramo più avanti nell’iter, con un accordo politico raggiunto nella primavera 2026: le analisi su come le imprese possono prepararsi all’AI Act convergono sull’opportunità di iniziare l’adeguamento senza attendere l’esito del negoziato.

Gli obblighi in vigore per le imprese fino all’approvazione

Fino all’approvazione del pacchetto, per le imprese non muta alcun obbligo: GDPR, direttiva ePrivacy e le regole nazionali di recepimento si applicano per intero, dai banner cookie alle informative, dalle basi giuridiche ai diritti degli interessati. La riforma procede però a due velocità, e questo apre un calcolo di convenienza reale. Il ramo IA è quasi legge e delinea già le nuove scadenze; quello che tocca il GDPR è il più conteso, con le autorità garanti europee (EDPB ed EDPS) e organizzazioni come NOYB che contestano la revisione della definizione di dato personale e il legittimo interesse per l’IA. Chi tratta dati e sistemi di IA può muoversi sul fronte AI Act con ragionevole certezza, mentre sul fronte privacy è prudente monitorare il testo prima di riscrivere policy e contratti che potrebbero cambiare di nuovo. In Italia il regolamento sarà direttamente applicabile, senza recepimento, con un adeguamento del ruolo delle autorità competenti tra cui AGCOM, Garante Privacy, AGCM e Agenzia per la Cybersicurezza Nazionale.

Domande frequenti sul Digital Omnibus

Il Digital Omnibus è già in vigore?

No. Il Digital Omnibus è una proposta legislativa in corso di esame: fino all’approvazione di Parlamento e Consiglio e alla pubblicazione in Gazzetta Ufficiale dell’UE valgono le norme attuali, a partire dal GDPR (Reg. UE 2016/679) e dalla direttiva ePrivacy. Il ramo sull’AI Act ha raggiunto un accordo politico nella primavera 2026, quello su protezione dei dati e cookie è ancora in negoziato.

Il GDPR viene abolito?

No. Il GDPR non viene cancellato: il Digital Omnibus ne modifica alcuni articoli per semplificarne l’applicazione, dalla definizione di dato personale dell’art. 4 alla base giuridica per l’IA dell’art. 6, par. 1, lett. f), lasciando intatto l’impianto dei diritti degli interessati e degli obblighi di trattamento.