GDPR e governance dell'IA nel 2026: una metà della riforma è già legge. L'altra è ferma.

Se la tua azienda ha passato gli ultimi anni a costruire un programma GDPR, il 2026 è l'anno in cui il terreno ha ripreso a muoversi. Tra il Digital Omnibus della Commissione europea e una sostanziale riscrittura del calendario del regolamento europeo sull'IA, l'insieme di regole che le PMI europee hanno faticato a imparare viene ridisegnato in tempo reale.

C'è però una cosa che quasi tutti i riepiloghi sbagliano, e ti costerà cara se ci pianifichi sopra. Il Digital Omnibus non è una sola legge. Sono due dossier distinti che procedono a velocità completamente diverse — e solo uno dei due è davvero arrivato.

Il Digital Omnibus è composto da due dossier, non da uno

Quando la Commissione ha pubblicato il pacchetto Digital Omnibus il 19 novembre 2025, ha diviso il lavoro in due:

• L'AI Omnibus — le modifiche al regolamento europeo sull'IA. Questa parte è conclusa. Il Consiglio ha dato l'approvazione definitiva il 29 giugno 2026, il testo è stato pubblicato in Gazzetta ufficiale il 24 luglio 2026 ed è entrato in vigore il 27 luglio 2026. Le scadenze che seguono sono diritto vigente, non proposte.
• Il Data Omnibus — le modifiche al GDPR, alla direttiva ePrivacy, alla NIS2 e al Data Act. Questa parte è ancora in negoziazione, e diverse delle sue disposizioni più discusse sono state eliminate dallo stesso testo di lavoro del Consiglio a giugno 2026.

Quasi tutti gli articoli su «cosa cambia nel GDPR» che leggerai confondono i due. La conseguenza pratica è concreta: ci sono aziende che rinviano attività legate al regolamento IA che sono effettivamente rinviate (bene), e che nel frattempo pianificano la ricostruzione dei banner dei cookie attorno a un meccanismo che al momento non è affatto nel testo (male).

Ciò che è già legge: le scadenze del regolamento IA che si sono spostate

Se usi o impieghi l'IA nella selezione del personale, nella valutazione del merito creditizio, nell'istruzione, nei servizi essenziali o in contesti simili, avevi gli occhi puntati sul 2 agosto 2026. Quella scadenza non c'è più.

I sistemi ad alto rischio autonomi dell'allegato III — strumenti per il reclutamento e la gestione dei lavoratori, valutazione del merito creditizio, accesso a servizi pubblici e privati essenziali, categorizzazione biometrica, punteggi in ambito educativo — hanno ora tempo fino al 2 dicembre 2027. Sono 16 mesi in più, concessi in gran parte perché le norme tecniche armonizzate che avrebbero dovuto rendere la conformità raggiungibile sono arrivate in ritardo.

L'IA integrata in prodotti regolamentati ai sensi dell'allegato I slitta al 2 agosto 2028. I sistemi di IA utilizzati dalle autorità pubbliche hanno tempo fino al 2 agosto 2030, a prescindere dalla categoria.

Insieme al rinvio è arrivata una semplificazione reale, e due elementi contano per le organizzazioni più piccole:

• La definizione di «componente di sicurezza» è stata ristretta. Un componente trascina un sistema nell'alto rischio solo se la sua finalità prevista è prevenire o attenuare rischi per la salute e la sicurezza. L'IA usata soltanto per assistere l'utente, ottimizzare le prestazioni o offrire comodità resta fuori. Un motore di raccomandazione che regola la produttività di una linea non viene più incluso per impostazione predefinita.
• L'alfabetizzazione sull'IA è passata da garanzia a impegno. L'articolo 4 richiedeva prima di garantire un livello sufficiente di alfabetizzazione sull'IA tra il personale. Ora devi sostenerne lo sviluppo. È una differenza reale per un'azienda di dodici persone senza un ufficio formazione — tieni però presente che l'obbligo in sé si applica da febbraio 2025 e non è sparito.

C'è anche una nuova categoria di «piccole imprese a media capitalizzazione» — sotto i 750 dipendenti e 150 milioni di euro di fatturato — che ottiene l'accesso a modelli di conformità semplificati e agli spazi di sperimentazione normativa. Se ti collochi tra la soglia PMI e quel tetto, è la prima volta che il regolamento IA ti offre qualcosa.

Ciò che non si è spostato — e un nuovo divieto senza alcun periodo di grazia

Il rinvio è più stretto di quanto lascino intendere i titoli. Tre cose sono rimaste esattamente dov'erano:

1. Gli obblighi di trasparenza dell'articolo 50 si sono applicati dal 2 agosto 2026. Se il tuo chatbot parla con i clienti, o se generi contenuti sintetici, le persone devono esserne informate. Questo non ha mai fatto parte del pacchetto alto rischio. L'unica concessione: i fornitori di sistemi di IA generativa già sul mercato prima del 2 agosto 2026 hanno tempo fino al 2 dicembre 2026 per i requisiti di marcatura leggibile dalle macchine previsti dall'articolo 50, paragrafo 2.
2. I divieti dell'articolo 5 restano in vigore — si applicano da febbraio 2025.
3. Due nuovi divieti decorrono dal 2 dicembre 2026, senza alcun periodo transitorio. I sistemi di IA che generano o manipolano materiale pedopornografico, e quelli che generano immagini intime realistiche di una persona identificabile senza il suo consenso esplicito, sono vietati del tutto.

Il secondo divieto è più ampio di quanto sembri a prima vista, ed è quello che con maggiore probabilità coglierà di sorpresa un'azienda qualsiasi. Non colpisce solo le app «nudifier» costruite apposta. Raggiunge i fornitori di modelli generativi di immagini, video e audio per finalità generali quando un simile output è un esito ragionevolmente prevedibile e riproducibile e il fornitore non ha predisposto tutele ragionevoli. Se costruisci sopra un modello generativo e lo esponi agli utenti, vale la pena chiedere per iscritto al tuo fornitore di chi siano le tutele.

La metà GDPR: ancora una proposta, e in parte bloccata

Veniamo alla parte che non è decisa, e dove pianificare in anticipo è davvero rischioso.

Il Data Omnibus proponeva diversi cambiamenti che conterebbero molto per le PMI. L'esenzione dal registro dei trattamenti dell'articolo 30, paragrafo 5, salirebbe da meno di 250 a meno di 750 dipendenti, entro determinati limiti finanziari, e l'esclusione automatica per qualsiasi trattamento di categorie particolari di dati sarebbe sostituita da un criterio basato sul rischio. Questo pezzo ha sostegno istituzionale ed è quello che più probabilmente sopravvivrà vicino alla forma attuale.

Il resto è un'altra storia:

• La riforma del consenso ai cookie è fuori dal testo di lavoro del Consiglio. Il pulsante di rifiuto con un clic, la moratoria di sei mesi dopo un rifiuto e i segnali di preferenza a livello di browser sono stati tutti eliminati dal testo di compromesso della presidenza a giugno 2026, dopo che gli Stati membri non hanno trovato un accordo. Nemmeno quel testo ridotto ha raggiunto la maggioranza qualificata.
• Il chiarimento sul legittimo interesse per l'IA se n'è andato insieme. La formulazione che confermava esplicitamente che l'articolo 6, paragrafo 1, lettera f) può sostenere l'addestramento dell'IA è stata rimossa nello stesso giro. Le organizzazioni che si affidano al legittimo interesse per i trattamenti di IA sono esattamente dove erano a novembre 2025: funziona se il bilanciamento viene davvero svolto e documentato, e continua a non esserci una disposizione espressa che lo dica.
• Restringere la definizione di dato personale ha suscitato l'opposizione più forte di tutte. Nel loro Parere congiunto 2/2026 del 10 febbraio 2026, l'EDPB e il GEPD hanno esortato i colegislatori a non adottarlo, avvertendo che va ben oltre una modifica mirata o tecnica e indebolirebbe una giurisprudenza consolidata.

Le proposte operative — portare la notifica delle violazioni da 72 a 96 ore, armonizzare le linee guida sulle DPIA tra gli Stati membri — sono ancora sul tavolo ma irrisolte. L'EDPB e il GEPD si sono mostrati più aperti verso di esse, insistendo però che siano autorità indipendenti, e non la Commissione, a governare i dettagli tecnici come i modelli di notifica e la metodologia delle DPIA.

La sintesi onesta per una PMI: niente della metà GDPR è qualcosa su cui puoi già costruire. Lo studio d'impatto dello stesso Parlamento era atteso per ottobre 2026, e un'adozione definitiva entro la fine del 2026 appare improbabile — il che rende l'attuazione reale una questione del 2027 nella migliore delle ipotesi.

Abbiamo trattato questa metà in dettaglio in Il Digital Omnibus dell'UE nel dettaglio, compresi quali articoli sono stati eliminati e quando.

Dove si trova davvero il rischio economico

Una scadenza rinviata non è un rischio rinviato. L'impianto sanzionatorio del regolamento IA previsto dall'articolo 99 è invariato, e si somma al GDPR invece di sostituirlo:

• Fino a 35 milioni di euro o il 7% del fatturato annuo mondiale per le pratiche vietate dall'articolo 5 — la fascia in cui rientrano i due nuovi divieti di dicembre 2026
• Fino a 15 milioni di euro o il 3% per la violazione degli obblighi di fornitori, deployer, importatori e distributori — compresi gli obblighi lungo la catena del valore dell'articolo 25, che regolano ciò che deve passare tra te e i tuoi partner
• Fino a 7,5 milioni di euro o l'1% per informazioni inesatte o fuorvianti fornite alle autorità

La fascia intermedia è quella a cui la maggior parte delle PMI dovrebbe davvero pensare, ed è lì che i fornitori di IA esterni diventano un tuo problema. Se impieghi il modello di qualcun altro, l'articolo 25 regola quali informazioni devono passare tra voi — e «alla conformità pensa il nostro fornitore» non è una posizione documentata. È un'ipotesi. Chiedi la documentazione tecnica, la dichiarazione di finalità prevista e le istruzioni per l'uso, e conservale.

Nel frattempo l'applicazione del GDPR non si è fermata per nulla di tutto questo. Le sanzioni cumulative hanno superato i 7,1 miliardi di euro, le notifiche giornaliere di violazione superano quota 400 per la prima volta dal 2018, e i controlli hanno superato le Big Tech da anni — da gennaio 2023 sono state colpite più piccole e medie imprese che nei cinque anni precedenti.

Cosa fare da qui a dicembre 2027

Sedici mesi in più non sono sedici mesi di niente. Sono il tempo per fare il lavoro come si deve invece che di corsa. In ordine di priorità:

1. Inventaria la tua IA, compresi gli strumenti che nessuno ha approvato. Non puoi classificare ciò che non hai elencato. La shadow AI — lo strumento di trascrizione che un team si è attivato da solo, il modello in cui qualcuno ha incollato dati dei clienti — è il luogo in cui vive davvero l'esposizione di una PMI, ed è invisibile in un organigramma.
2. Classifica ogni sistema rispetto all'allegato III e documenta il ragionamento, anche quando la risposta è «non ad alto rischio». La classificazione stessa è qualcosa che devi poter mostrare. La definizione più stretta di componente di sicurezza fa sì che alcuni sistemi che nel 2025 sembravano rientrare ora ne restino fuori — metti per iscritto il perché.
3. Segna subito in calendario le date di dicembre 2026. I nuovi divieti dell'articolo 5 e le regole di marcatura dei contenuti sintetici dell'articolo 50, paragrafo 2, arrivano senza rincorsa. Se generi o manipoli immagini, video o audio in qualsiasi forma rivolta ai clienti, è una questione di questo trimestre, non del 2027.
4. Ottieni per iscritto la documentazione dei fornitori prima di averne bisogno. Gli obblighi dell'articolo 25 non aspettano la scadenza dell'alto rischio, e i fornitori più in grado di rispondere diventeranno più lenti con l'avvicinarsi di dicembre 2027, non più rapidi.
5. Rendi reale il tuo processo DPIA, perché la FRIA ci si appoggia. Una valutazione d'impatto sui diritti fondamentali è molto più difficile da costruire su fondamenta vuote. Se non hai un processo DPIA funzionante, parti da lì.
6. Lascia stare il banner dei cookie — tranne la parte già applicabile. Non ricostruire nulla attorno al rifiuto con un clic o ai segnali del browser: entrambi sono oggi eliminati dal testo in negoziazione. Assicurati però che «rifiuta» sia davvero facile da trovare e da cliccare quanto «accetta», perché questa è già un'aspettativa delle autorità sui dark pattern in base al GDPR com'è oggi, Omnibus o no.
7. Tieni in ordine il registro dei trattamenti dell'articolo 30 e limitati ad annotare dove ti collocheresti se la soglia dei 750 dipendenti sopravvivesse. Non smantellare nulla sulla base di una proposta.

In sintesi

La conformità sta diventando più semplice in alcuni punti e più severa in altri, e avranno la meglio le aziende che seguono entrambi i movimenti invece di scegliere la metà che preferiscono.

La metà IA è chiusa: date reali, alleggerimenti reali e nuovi divieti molto reali che arrivano a dicembre senza periodo di grazia. La metà GDPR è incompiuta e in parte bloccata — il che significa che chi ti vende una revisione urgente del banner dei cookie «per via dell'Omnibus» ti sta vendendo la ricostruzione di qualcosa che al momento nel testo non c'è.

Se non sei sicuro da che parte della linea dell'allegato III stiano i tuoi sistemi, o se la tua documentazione GDPR sopravvivrebbe al primo contatto con un'autorità, quella è la domanda a cui conviene rispondere per prima. Prenota una consulenza gratuita con GDPRGard →

Fonti

• Parere congiunto 2/2026 di EDPB e GEPD sul Digital Omnibus (10 febbraio 2026, in inglese)
• EDPB — Digital Omnibus: sostegno alla semplificazione, con riserve di merito (in inglese)
• Regolamento IA — articolo 99, sanzioni (in inglese)
• Regolamento IA — allegato III, sistemi di IA ad alto rischio (in inglese)
• Commissione europea — calendario di attuazione del regolamento IA (in inglese)
• CMS GDPR Enforcement Tracker (in inglese)

Leggi anche:

• Il Digital Omnibus dell'UE: cosa cambia davvero per il GDPR
• Il rinvio del regolamento IA non copre il tuo chatbot
• Perché ogni azienda SaaS ha bisogno di una DPIA prima delle funzioni IA