Dovremmo partire da una definizione: cos’è un “dato personale”? E dovremmo anche domandarci se e quanto sia lecito usare informazioni sensibili per addestrare sistemi di intelligenza artificiale. L’apparente libertà regalataci dalle “decisioni automatizzate” dell’AI potrebbe restringere il confine della libertà dei cittadini, che vorrebbero però far valere i propri diritti e continuare a scegliere “cosa fare dei propri dati”. 

Bruxelles prova a minimizzare e promette: meno oneri, più competitività. L’obiettivo dichiarato della Commissione europea è ridurre il peso amministrativo sulle imprese in generale e del 35% sulle Pmi. Lo aveva chiesto Mario Draghi, parlando dei problemi della competitività europea nel contesto internazionale. Queste scelte avrebbero un “side effect” positivo: con risparmi stimati fino a 5 miliardi di euro l’anno entro il 2029, dovuti alla razionalizzazione di procedure e adempimenti. Bonus track: fino a 150 miliardi di euro l’anno di benefici possibili grazie a un nuovo “portafoglio digitale europeo” per le imprese, un’identità digitale unica pensata per semplificare interazioni e obblighi verso le amministrazioni pubbliche.

Una sorta di passe partout che agisce a tappeto su un mosaico di regolamenti che hanno rappresentato l’architettura digitale dell’Unione negli ultimi dieci anni: Gdpr, AI Act, Data Act e Data Governance Act, Direttiva ePrivacy sui cookie, fino ai pilastri DSA e DMA che regolano i servizi online delle grandi piattaforme. L’idea di fondo del Digital Omnibus è quella di un grande “tagliando” normativo: eliminare duplicazioni, allineare definizioni, creare un sistema di vigilanza unico e sanzioni più coerente, istituire in ogni Stato membro una Digital Coordination Authority che funga da regista nazionale, figura che dovrà essere inserita in una rete europea coordinata dalla Commissione.

È la questione del “dato personale” che desta più perplessità, perché potrebbe influire sull’economia del “tracciamento online”. Andando per ordine, il quadro certo che era stato tracciato dal Gdpr subisce ora un cambio di prospettiva: oggi il “dato personale” è tutto quanto possa ricondurre in astratto ad una persona fisica. Ma lo scenario potrebbe cambiare.
 

Sembra un semplice dettaglio tecnico ma potrebbe avere conseguenze macroscopiche. Pensiamo alla pubblicità programmatica ai data broker, che si basa su identificatori pseudonimi: ID numerici, marcatori di cookie, codici dispositivo. Se quei codici non dovessero consentire di risalire direttamente al nome e cognome di una persona, il trattamento potrebbe essere considerato fuori dall’ambito di applicazione del Gdpr.

Parlando poi delle categorie particolari di dati, come salute, origine etnica, orientamento sessuale, convinzioni religiose o politiche il Digital Omnibus introduce una svolta ancora più radicale. Distingue tra dati “sensibili rivelati” - per esempio una diagnosi medica registrata in chiaro - che resterebbero protetti, a differenza dei dati sensibili “inferiti” da altri segnali - come l’orientamento politico ricavato dai siti visitati - che potrebbero far gola agli sviluppatori di sistemi di intelligenza artificiale, in caso di un regime normativo meno rigido.

Per farla breve, la norma prevede che se il costo, anche tecnologico e ingegneristico, per l’eliminazione dei dati dovesse rivelarsi “sproporzionato”, quei dati potranno comunque essere utilizzati per l’addestramento e l’operatività dei sistemi di AI. 

La Commissione prova ad impegnarsi con rigorose misure per impedire che i dati sensibili “finiscano impressi” in modo irrecuperabile nei parametri dei modelli, e che possano quindi essere “rimossi” facilmente. Molte Ong e associazioni per i diritti digitali parlano però di “arretramento strutturale”, perché la protezione dei dati più delicati verrebbe subordinata alla complessità tecnica dei sistemi di IA, anziché restare un limite invalicabile.

Altra discussa novità: il Digital Omnibus propone di inserire nel Gdpr una disposizione che inquadra il miglioramento dei sistemi di intelligenza artificiale come “interesse legittimo” del titolare del trattamento. Alla domanda del secolo: è lecito addestrare modelli di IA sui dati personali senza consenso, basandosi sull’interesse dell’azienda - il dibattito che da anni divide giuristi e responsabili privacy - la risposta andrebbe a favore delle imprese.

Per quanti a favore, si tratta di una forma di neutralità tecnologica, che evita di discriminare l’IA rispetto ad altri strumenti. Ma non si può non notare che questa condizione creerebbe una sorta di “neutralità al contrario”, favorendo l’intelligenza artificiale con una corsia preferenziale, proprio nel settore dove maggiori sono i rischi di sorveglianza, discriminazione e opacità.

Il pacchetto normativo interviene anche sul regime delle decisioni automatizzate - oggi disciplinato dall’articolo 22 del GDPR – checonferisce alla persona il diritto di non essere sottoposta a decisioni basate unicamente su un algoritmo, se queste producono effetti giuridici o impatti significativi. 

Ed ecco che il Digital Omnibus prova a giustificare l’eventuale “decisione automatizzata” come “necessaria all’esecuzione del contratto” anche se lo stesso risultato sarebbe ottenibile attraverso una valutazione umana. Gli algoritmi, ad oggi, non possono decidere su assunzioni, concessioni di credito, assegnazione dei turni, valutazioni di produttività o rating di lavoratori delle piattaforme, in maniera automatica. Uno dei punti “etici” di rilievo, in questo senso, è il rischio di rendere più deboli le tutele dei soggetti sottoposti alle valutazioni. 

La stanchezza da cookie. Il Digital Omnibus vuole facilitare l’uso di cookie - e tecnologie analoghe - senza il consenso esplicito dell’utente, introducendo la possibilità di esprimere preferenze tramite “segnali di consenso” standardizzati e leggibili dalle macchine: impostazioni del browser o del dispositivo che esprimono una scelta generale sul tracciamento, che i siti sarebbero tenuti a rispettare.

L’obiettivo dichiarato è ridurre la “consent fatigue”, il bombardamento di banner e pop-up che negli anni ha reso il consenso più un rituale formale che una scelta consapevole. Ma molti osservatori avvertono che il passaggio rischia di spostare l’Europa verso un modello più simile all’opt-out – consenso non esplicito - il tracciamento diventa la regola e spetta all’utente disattivarlo attivamente, in un contesto dove le impostazioni predefinite e le interfacce esercitano un peso enorme sui comportamenti reali.

Dopo la presentazione del 19 novembre 2025, il testo dovrà affrontare la procedura legislativa ordinaria in Parlamento europeo e in Consiglio, dove sono attesi emendamenti rilevanti. Sul tavolo restano alcuni nodi centrali: la nuova definizione di dato personale e l’impatto sull’intera filiera del tracking online, le deroghe per l’uso di dati sensibili e per le decisioni automatizzate, il rischio di indebolire l’AI Act prima ancora della sua piena applicazione, le pressioni geopolitiche e industriali che spingono verso una “flessibilità” sempre maggiore, il ruolo che si vuole attribuire alla società civile nel controllo democratico delle trasformazioni digitali.

Che tipo di potere vogliamo lasciare nelle mani delle piattaforme e dei grandi attori tecnologici, e quale modello di Europa digitale intendiamo proporre al mondo? Possiamo a questo punto scegliere: fra un Continente che compete abbassando i propri standard per avvicinarsi ai modelli americano o cinese, o un’Unione che prova a rafforzare la propria competitività proprio puntando su fiducia, sicurezza e diritti, come fattori distintivi.