Digital Omnibus, la riforma Ue che ridefinisce i confini di dati e intelligenza artificiale
Articolo Precedente
Articolo Successivo
Redazione Economia
-
La Commissione europea ha avviato un'operazione di riordino normativo senza precedenti, intervenendo sul proprio acquis digitale con la proposta di regolamento denominata “Digital Omnibus”. Questo testo, di carattere marcatamente orizzontale, modifica una serie di pilastri legislativi, dal regolamento generale sulla protezione dei dati (GDPR) alla direttiva ePrivacy, fino alle norme sull'identità digitale e alla disciplina NIS2 in materia di cybersicurezza, coordinando inoltre le proprie disposizioni con il regolamento DORA e con la normativa vigente sulle infrastrutture critiche. Un intervento così ampio, che tocca settori fondamentali per l'economia e la società digitale, solleva interrogativi circa la possibile ridefinizione degli equilibri tra semplificazione amministrativa e solidità delle tutele individuali, specialmente in ambiti sensibili come la privacy e lo sviluppo dell'intelligenza artificiale.
Una svolta soft su AI e protezione dei dati
Secondo l'analisi di Giuseppe Vaciago, partner di 42 Law Firm, la proposta del Digital Omnibus introduce modifiche sostanziali sia all'AI Act che, sebbene in maniera indiretta, al GDPR. L'impianto della riforma si articola principalmente su tre assi portanti: la disciplina applicabile ai sistemi di intelligenza artificiale classificati come ad alto rischio, l'introduzione di un obbligo specifico di AI literacy, e una ridefinizione, che molti osservatori considerano cruciale, della nozione giuridica di dato pseudonimo. Quest'ultimo punto, in particolare, rappresenta un tentativo di aggiornare i confini del trattamento delle informazioni alla luce dell'evoluzione tecnologica.
Ricalibratura dei tempi per i sistemi ad alto rischio
Il fulcro dell'AI Act, com'è noto, rimane la classificazione dei sistemi di IA ad alto rischio, ma l'intervento del Digital Omnibus mira esplicitamente a rendere meno rigido e più sostenibile, soprattutto per le imprese, l'effettiva entrata in vigore degli obblighi prescritti. Questo obiettivo viene perseguito, in primo luogo, attraverso un significativo slittamento delle scadenze originarie: l'applicazione degli obblighi per i provider e i deployer, infatti, viene rinviata, con date che si spostano progressivamente dal 2026 al biennio 2027–2028, concedendo così un respiro più ampio per l'adeguamento operativo e tecnologico.
La ridefinizione del dato personale
Un altro cambiamento di rilievo, come sottolineato da Lukasz Olejnik, consulente indipendente e ricercatore al King’s College di Londra, concerne le modifiche apportate alla definizione stessa di dato personale. La nuova formulazione, che si concentra sull'“entità” in grado di accedere alle informazioni collegabili a una “persona naturale”, sembra spostare l'attenzione dalla natura intrinseca del dato alla contestuale possibilità di risalire all'individuo. Tale modifica, tecnicamente complessa, potrebbe avere ripercussioni di vasta portata sulla qualificazione giuridica di intere categorie di informazioni, influenzando le prassi del trattamento in svariati settori, dalla ricerca medica al marketing digitale.
