Il pacchetto di riforme legislative mira a semplificare le regole digitali per la competitività, ma rischia di indebolire le tutele del GDPR e aprire nuove strade per l’uso dei dati personali, inclusi quelli sensibili, nell’addestramento dell’intelligenza artificiale
[In pillole] La sintesi per chi va di fretta:
La Commissione Europea ha proposto il "Digital Omnibus" (19 novembre 2025), per semplificare le regole digitali. I critici temono però indebolirà il GDPR, specialmente sull'uso dei dati personali per l'addestramento dell'intelligenza artificiale. La proposta allenta le tutele, permettendo l'uso anche di dati sensibili basandosi sul "legittimo interesse". Un dibattito acceso tra innovazione e privacy sta animando i palazzi di Bruxelles, con conseguenze enormi per i cittadini europei.
Che cosa cambia, in pratica?
Le modifiche proposte non sono affatto marginali e toccano alcuni dei principi fondamentali della protezione dei dati. Uno degli interventi più discussi riguarda la definizione stessa di “dato personale”.
La nuova proposta introduce un criterio di “ragionevole probabilità” per stabilire se un’informazione possa essere ricondotta a una persona fisica. In altre parole, un’azienda avrebbe maggiore discrezionalità nel decidere se un dato è da considerarsi anonimo o meno, con tutto ciò che ne consegue in termini di obblighi di trattamento.
Una modifica di questo tipo potrebbe ridurre l’ambito di applicazione del GDPR, escludendo dal suo perimetro di tutela intere categorie di dati che oggi sono invece protette.
Ma il punto forse più controverso è quello che riguarda l’intelligenza artificiale.
La proposta permetterebbe di utilizzare i dati personali, inclusi quelli più sensibili e intimi, per l’addestramento, lo sviluppo di sistemi di IA. Questo avverrebbe sulla base del cosiddetto “legittimo interesse” dell’azienda, una base giuridica che non richiede il consenso esplicito della persona interessata.
Si tratta di un cambiamento radicale rispetto all’impostazione attuale, che prevede tutele molto più stringenti per l’uso dei dati, specialmente per finalità così invasive come l’addestramento di algoritmi.
Anche le regole sulle decisioni automatizzate, quelle prese da un algoritmo senza intervento umano (come la valutazione di una richiesta di prestito), verrebbero allentate, riducendo le garanzie che oggi proteggono le persone da decisioni potenzialmente discriminatorie o ingiuste.
Un altro aspetto significativo riguarda i dati appartenenti alle “categorie particolari”, cioè quelli più delicati come le informazioni sulla salute, l’orientamento sessuale o le opinioni politiche. Attualmente, il loro trattamento è vietato tranne in casi eccezionali.
La riforma limiterebbe questa protezione ai soli casi in cui il trattamento rivela direttamente la caratteristica sensibile.
Verrebbero inoltre introdotte nuove esenzioni, ad esempio per il trattamento di dati biometrici usati per la conferma dell’identità.
Queste modifiche, apparentemente tecniche, aprono in realtà spazi molto ampi per l’utilizzo di informazioni estremamente personali, sollevando dubbi sulla loro reale necessità e proporzionalità.
Le ragioni della Commissione e le preoccupazioni dei critici
Di fronte a cambiamenti così profondi, le reazioni non si sono fatte attendere. La Commissione Europea difende la sua proposta sostenendo che sia indispensabile per non lasciare che l’Europa perda terreno nella competizione tecnologica globale, specialmente nei confronti di Stati Uniti e Cina.
L’idea è che un eccesso di burocrazia stia frenando l’innovazione e penalizzando soprattutto le piccole e medie imprese, che non hanno le risorse legali delle grandi multinazionali per districarsi in un groviglio di regole. Semplificare, quindi, significherebbe dare ossigeno all’economia digitale europea e permettere lo sviluppo di un’intelligenza artificiale “fatta in casa”.
Questa visione, però, è fortemente contestata dalle organizzazioni che si occupano di diritti digitali. L’associazione European Digital Rights (EDRi), per esempio, ha definito il pacchetto “Omnibus” come una grave marcia indietro sulle tutele digitali nell’UE, accusando la Commissione di sacrificare i diritti fondamentali dei cittadini sull’altare degli interessi commerciali.
– Leggi anche: Jensen Huang di Nvidia affronta i timori della bolla AI
Secondo i critici, consentire l’uso quasi indiscriminato dei dati personali per addestrare l’IA senza un consenso specifico e informato significa smantellare uno dei pilastri del GDPR: il principio che ogni persona debba avere il controllo sulle proprie informazioni. Il rischio, sostengono, è quello di legittimare pratiche di sorveglianza e profilazione di massa, con conseguenze imprevedibili in termini di discriminazione e manipolazione.
Il dibattito, quindi, è tra due visioni opposte del futuro digitale europeo. Da un lato, c’è chi ritiene che per competere a livello globale sia necessario un approccio più flessibile e meno restrittivo, simile a quello di altri paesi. Dall’altro, c’è chi difende il modello europeo basato sulla centralità dei diritti della persona, sostenendo che l’innovazione tecnologica debba essere al servizio della società e non viceversa.
La domanda che molti si pongono è se questa spinta alla semplificazione non sia in realtà un modo per allineare l’Europa a un modello in cui i dati sono visti principalmente come una risorsa economica da sfruttare, piuttosto che come un’estensione della personalità di un individuo da proteggere.
Un nuovo equilibrio tra innovazione e privacy?
Al di là dello scontro di principi, le conseguenze pratiche di questa riforma, se approvata, sarebbero enormi per tutti. Per le aziende, soprattutto quelle più piccole, alcuni cambiamenti potrebbero effettivamente tradursi in un alleggerimento degli oneri.
Per esempio, la proposta estende da 72 a 96 ore il tempo massimo per notificare una violazione dei dati (un data breach), unificando le procedure di segnalazione e dando più respiro alle organizzazioni in un momento di crisi. Sono previste anche nuove tutele per i segreti commerciali, che permetteranno alle imprese di rifiutarsi di condividere dati se ciò rischia di esporre informazioni riservate.
Tuttavia, resta da vedere se questa maggiore flessibilità andrà a vantaggio soprattutto delle piccole imprese, come sostiene la Commissione, o se finirà per legittimare ulteriormente le pratiche di raccolta dati su larga scala delle grandi aziende tecnologiche.
Proprio le multinazionali, che dispongono di enormi quantità di dati e di potenti capacità di calcolo, potrebbero essere le principali beneficiarie di un quadro normativo che facilita l’addestramento di modelli di intelligenza artificiale. Il rischio è che, anziché livellare il campo da gioco, la riforma possa consolidare il dominio di chi è già in posizione di vantaggio.
Il percorso della proposta legislativa è comunque ancora lungo. Ora il testo passerà all’esame del Parlamento Europeo e del Consiglio dell’Unione Europea, le due istituzioni che, insieme alla Commissione, decidono le leggi europee. È probabile che durante il dibattito parlamentare il testo venga modificato, forse anche in modo sostanziale, per trovare un compromesso tra le diverse sensibilità.
Quello che è certo è che nei prossimi mesi si giocherà una partita fondamentale per il futuro del digitale in Europa, che determinerà quale equilibrio si vorrà raggiungere tra la spinta all’innovazione tecnologica e la tutela dei diritti fondamentali delle persone.
La domanda di fondo rimane aperta: fino a che punto si è disposti a rinegoziare la privacy per inseguire la competitività?
