Digital Omnibus: cosa cambia per GDPR, AI e PMI

Il Digital Omnibus è la proposta con cui la Commissione europea vuole “mettere ordine” nel quadro normativo digitale (GDPR, AI Act, NIS2, Data Act, ePrivacy, DORA, eIDAS), promettendo meno burocrazia e più competitività per le imprese, ma aprendo un confronto acceso sul rischio di indebolire le tutele dei diritti digitali. Per il mercato italiano, fatto di PMI e filiere manifatturiere altamente regolamentate, questa riforma può diventare sia un acceleratore di innovazione sia un punto critico se non accompagnata da investimenti, competenze e una chiara strategia industriale nazionale.

Digital Omnibus cosa è e perché nasce

La Commissione europea ha pubblicato il Digital Omnibus il 19 novembre 2025, come parte di un pacchetto di semplificazione delle norme digitali che punta a ridurre i costi di compliance e a rendere più coerente l’applicazione delle leggi esistenti. L’obiettivo dichiarato è ottimizzare l’attuale quadro normativo, non riscriverlo da zero: meno adempimenti duplicati, maggiore chiarezza interpretativa e un sistema in cui la conformità diventi un vantaggio competitivo per le imprese “responsabili”.

In pratica, il Digital Omnibus interviene in parallelo su più testi: GDPR, AI Act, direttiva ePrivacy (cookie), NIS2 (sicurezza delle reti e dei sistemi informativi), Data Act, Data Governance Act, DORA (Digital Operational Resilience Act), quadro europeo per l’identità digitale, razionalizzando definizioni, scadenze e obblighi. È quindi un regolamento “ombrello” che modifica altri atti, con l’ambizione di ridurre il carico amministrativo quotidiano di imprese e PA senza toccare formalmente i principi fondamentali della protezione dei dati.

Obiettivi ufficiali: semplificazione e competitività

Secondo la documentazione ufficiale, il Digital Omnibus è “un primo passo per ottimizzare l’applicazione della legislazione digitale”, con l’obiettivo di mantenere gli stessi risultati in termini di tutela ma a un costo inferiore per le organizzazioni. Il pacchetto si inserisce in una strategia più ampia di riduzione degli oneri regolatori che, nelle intenzioni della Commissione, dovrebbe liberare risorse per innovazione, sicurezza e crescita del mercato unico digitale.

Unioncamere sottolinea che la semplificazione è vista come fattore abilitante per la competitività: si parla di risparmi annuali superiori ai 200 milioni di euro grazie a prescrizioni tecniche alleggerite per PMI e imprese di piccola e media capitalizzazione, e di risparmi una tantum di circa 1,5 miliardi di euro legati alle facilitazioni sul cloud-switching previste nel quadro del Data Act. Tuttavia, viene anche ricordato che la sola semplificazione non basta a ridurre la dipendenza europea dai servizi digitali stranieri, ancora intorno all’80% del totale importato, e richiede una strategia industriale e infrastrutturale coerente.

Il cuore dell’attenzione italiana resta il GDPR, che il Digital Omnibus non sostituisce ma “ritocca” per uniformarne l’applicazione tra Stati membri e allinearlo alle nuove normative su IA, dati e cybersicurezza. Tra i punti più discussi ci sono il ribilanciamento di alcune definizioni e la semplificazione di obblighi che oggi ricadono in modo sproporzionato sulle organizzazioni di dimensioni medio-piccole.

Commentatori e associazioni di settore hanno evidenziato in particolare il rischio che, in alcune formulazioni di bozza, la qualificazione del dato personale e la forza delle tutele possano spostarsi da un approccio centrato sulla persona a uno più guidato dall’infrastruttura e dalle capacità dichiarate delle organizzazioni. Questa possibile ricollocazione del baricentro – da diritto fondamentale ex ante a tutela verificata a posteriori – è alla base delle critiche di parte del mondo privacy, che teme un “reset” silenzioso dell’impianto GDPR.

AI Act e intelligenza artificiale: il nodo centrale

Sul fronte IA, il Digital Omnibus introduce quella che Unioncamere definisce una regola semplice: le norme sui sistemi ad alto rischio devono iniziare a valere solo quando gli standard tecnici e gli strumenti di supporto sono effettivamente pronti (per approfondire la classificazione dei sistemi IA in base al rischio associato leggi l’articolo Whistleblower sull’AI Act: il nuovo strumento europeo). Per questo, il calendario di applicazione viene reso più flessibile, con una finestra fino a 16 mesi agganciata alla disponibilità di standard e linee guida, e con un ruolo rafforzato dell’AI Office nella governance.

Parallelamente, la discussione giuridica si concentra su come inquadrare lo sviluppo e l’operatività dei sistemi di IA nel GDPR, in particolare sul possibile riconoscimento del “legittimo interesse” del titolare come base giuridica generale per l’uso dell’IA. Una scelta di questo tipo, letta in Italia da parte di giuristi e associazioni come una “neutralità tecnologica invertita”, potrebbe creare un regime di favore per l’IA rispetto ad altri trattamenti dei dati, con effetti rilevanti su trasparenza, diritti degli interessati e responsabilità delle imprese che sviluppano o integrano questi sistemi.

Un altro tassello molto concreto della riforma è la semplificazione dei flussi di segnalazione degli incidenti di cybersicurezza: il Digital Omnibus prevede un unico sportello digitale per le notifiche, superando la frammentazione attuale tra NIS2, GDPR e DORA. Per le aziende italiane, in particolare per i settori regolati come energia, finanza, sanità e infrastrutture critiche, questo potrebbe tradursi in processi più lineari e in una riduzione del rischio di errore nelle comunicazioni alle autorità.

Anche il mondo dei cookie viene toccato, con l’obiettivo di semplificare l’esperienza dell’utente e di facilitare la gestione del consenso tramite impostazioni centralizzate, superando l’attuale proliferazione di banner e interfacce poco comprensibili. Sul fronte dei dati, il pacchetto consolida il Data Act, introduce esenzioni mirate per le PMI e clausole contrattuali tipo per rendere più semplice e sicuro l’accesso ai dati, con la finalità dichiarata di alimentare dataset di qualità per l’IA e di sostenere l’innovazione del tessuto produttivo europeo.

Semplificazione o deregolamentazione?

Nel dibattito italiano, il Digital Omnibus è stato rapidamente incorniciato dentro una domanda chiave: semplificazione o deregolamentazione dei diritti digitali? Analisi pubblicate su testate tecnologiche e siti specializzati, riprendendo la lettura critica di giuristi e attivisti, hanno evidenziato come alcune scelte possano avvantaggiare le grandi piattaforme globali, dotate di strutture legali robuste, rispetto alle PMI che la riforma vorrebbe facilitare.

Allo stesso tempo, realtà come Unioncamere sottolineano che molti oneri attuali gravano proprio sulle imprese di minori dimensioni, spesso prive di team legali interni, e che una razionalizzazione delle regole può liberare margini economici e organizzativi cruciali per la loro digitalizzazione. Il conflitto interpretativo si gioca quindi sul punto di equilibrio: quanto si riesce a tagliare burocrazia senza spostare di fatto il peso della protezione dal lato del cittadino a quello dell’infrastruttura e delle organizzazioni che la gestiscono.

Focus Italia: PMI, filiere e pubbliche amministrazioni

Per il mercato italiano, caratterizzato da un’alta densità di PMI manifatturiere, distretti industriali e filiere complesse, il Digital Omnibus incrocia almeno tre dinamiche già in corso: la spinta alla digitalizzazione, il ritardo strutturale su competenze e infrastrutture e l’aumento costante degli obblighi regolatori in ambito dati, IA e sicurezza. Unioncamere evidenzia che il sistema camerale è già attivo con servizi di accompagnamento alla transizione digitale, mettendo il Digital Omnibus tra i riferimenti chiave dei percorsi informativi rivolti alle piccole imprese.

Sul piano normativo, la proposta UE arriva in scia a iniziative nazionali come la legge italiana sull’AI approvata nel 2025, che lo stesso governo ha definito bisognosa di un “tagliando” per allinearsi alle novità introdotte dal pacchetto europeo. Questo significa che l’Italia dovrà gestire un doppio livello di aggiornamento: da un lato l’adeguamento automatico al regolamento europeo, dall’altro la revisione delle norme interne che disciplinano AI, dati e cybersicurezza in chiave di coerenza con il nuovo quadro.

Impatti concreti per le imprese italiane

Per le imprese italiane – dalle aziende tech ai produttori industriali che usano dati e IA nei processi – gli impatti si possono sintetizzare in quattro direttrici operative.

Razionalizzazione degli adempimenti: un’unica porta di ingresso per le notifiche di incidenti, una maggiore armonizzazione delle richieste delle autorità e una potenziale riduzione delle duplicazioni nei documenti di conformità.
Ricalibrazione dei programmi di privacy e AI: i team legali, compliance e IT dovranno rivedere DPIA, registri trattamenti, policy interne e contratti con fornitori di soluzioni AI alla luce dei nuovi equilibri tra basi giuridiche, legittimo interesse e accountability.
Opportunità sul cloud e sui dati: le misure sul cloud-switching e le clausole contrattuali tipo possono aiutare le imprese a negoziare condizioni migliori con i provider e a valorizzare i propri dati in ecosistemi più aperti, a patto di avere una chiara strategia di data governance.
Necessità di supporto: per molte PMI italiane, la semplificazione normativa da sola non basta se non è accompagnata da servizi di assistenza, incentivi e strumenti operativi che traducano le novità in check-list e percorsi concreti.

In questo quadro, il ruolo di soggetti come il sistema camerale, le associazioni di categoria, gli hub per l’innovazione digitale e gli operatori privati specializzati in compliance e AI diventa centrale per trasformare la riforma in un vantaggio competitivo reale, soprattutto per chi oggi è più distante dalla frontiera tecnologica.

Cosa dovrebbe fare oggi un’impresa

Per prepararsi al Digital Omnibus senza attendere la fine dell’iter legislativo, un’impresa italiana può muoversi su tre piani.

Monitoraggio normativo: assegnare responsabilità chiare (DPO, legal, CISO, responsabili digital) per seguire gli sviluppi del pacchetto, sfruttando le analisi dei principali osservatori italiani su GDPR, AI e cybersicurezza.
Mappatura degli impatti: individuare i processi più toccati – gestione incidenti, uso dell’AI in produzione e marketing, condivisione dati con partner e fornitori, gestione dei cookie e dei consensi – e stimare dove la semplificazione può generare risparmi e dove richiederà ricalibrature di policy e contratti.
Investimento in competenze: formare figure interne (non solo legali, ma anche IT, marketing, operations) sulla nuova “grammatica digitale” che emerge dall’integrazione tra GDPR, AI Act, NIS2 e Data Act, con un occhio ai casi d’uso specifici del proprio settore (sanità, manifattura, finanza, PA locale, ecc.).

Per molti operatori, soprattutto nelle filiere B2B, il vero vantaggio arriverà dalla capacità di presentarsi ai clienti come partner affidabili sul piano normativo oltre che tecnologico, trasformando la conformità alle regole digitali in un elemento distintivo di mercato.

Diagramma intitolato “Prepararsi al Digital Omnibus”, composto da cinque esagoni blu collegati da frecce tratteggiate. Gli esagoni rappresentano le fasi: Incertezza normativa, Monitoraggio normativo, Mappatura degli impatti, Investimento in competenze e Vantaggio competitivo. Etichette aggiuntive sopra e sotto le frecce descrivono attività come seguire gli sviluppi legislativi, individuare i processi coinvolti, formare figure sulla nuova normativa digitale e affidarsi a partner esperti sul piano normativo.

Una nuova grammatica digitale

L’idea di “nuova grammatica digitale europea” esprime bene la portata del Digital Omnibus: non si cambia solo l’elenco delle regole, ma il modo in cui si collegano tra loro concetti come dato personale, rischio, responsabilità, innovazione e competitività. Per l’Italia, che punta a colmare il gap di digitalizzazione delle imprese e a rafforzare le proprie filiere ad alto valore aggiunto, questo passaggio può diventare un’occasione per ridefinire la cultura aziendale del dato e dell’IA, spostandola da obbligo difensivo a leva strategica.

La vera discriminante sarà se il sistema Paese riuscirà a combinare la semplificazione normativa con infrastrutture sotto controllo europeo, strumenti concreti per le PMI e una preferenza effettiva per soluzioni sviluppate e governate in Europa e in Italia, come auspicato dagli osservatori economici. Il Digital Omnibus fornisce un nuovo lessico; spetta ora a imprese, istituzioni e comunità professionali italiane decidere se usarlo per una narrazione di pura riduzione dei costi o per costruire un ecosistema digitale più sovrano, competitivo e centrato sui diritti delle persone.