# Digital Omnibus: cosa cambia davvero per le PMI su AI Act e dati

> Digital Omnibus: la parte sull’AI Act è legge dal luglio 2026, quella su dati, GDPR e cookie non è ancora legge. Date, novità e cosa cambia per le PMI.

Normative · pubblicato il 24 ottobre 2026 · https://aimazing.it/blog/digital-omnibus-cosa-cambia-davvero-per-le-pmi-su-ai-act-e-dati/

Il **Digital Omnibus** è il pacchetto con cui la Commissione europea, il 19 novembre 2025, ha proposto di semplificare le regole digitali dell’UE. Comprende due proposte: una sull’AI Act, già diventata legge con il Regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026, e una su dati, GDPR, cookie e segnalazione degli incidenti informatici, che a fine ottobre 2026 non risulta ancora approvata. Per le PMI la prima porta date più lontane per l’alto rischio e qualche semplificazione; gli obblighi già in vigore restano.

## In breve

- **19 novembre 2025**: la Commissione presenta le due proposte di Digital Omnibus.
- **8 luglio 2026**: viene adottato il Regolamento (UE) 2026/1744, l’Omnibus digitale sull’IA, in vigore dal **27 luglio 2026**.
- Gli obblighi per i sistemi ad alto rischio slittano al **2 dicembre 2027** (elenco dell’allegato III) e al **2 agosto 2028** (sistemi integrati in prodotti regolati).
- La proposta su dati, GDPR e cookie **non è ancora legge**: è ancora all’esame di Consiglio e Parlamento europeo.

## Che cos’è il Digital Omnibus e perché è nato

«Omnibus» indica un unico atto che modifica più leggi insieme. L’obiettivo è ridurre costi e adempimenti per le imprese. Secondo le stime della Commissione, le semplificazioni su dati, AI e sicurezza informatica possono far risparmiare alle imprese fino a 5 miliardi di euro una tantum entro il 2029, e le modifiche alle regole sui cookie oltre 800 milioni di euro all’anno.

Le due proposte hanno avuto percorsi diversi. Quella sull’AI Act doveva arrivare prima del 2 agosto 2026, data in cui sarebbero partiti gli obblighi per i sistemi ad alto rischio, che la Commissione voleva legare alla disponibilità di norme tecniche e strumenti di supporto. Quella sui dati tocca norme più ampie, come il GDPR, e il suo iter è ancora aperto.

## Le tappe dell’Omnibus sull’IA, dalla proposta alla legge

- **13 marzo 2026**: il Consiglio dell’UE approva la sua posizione negoziale.
- **26 marzo 2026**: il Parlamento europeo approva i suoi emendamenti.
- **7 maggio 2026**: accordo provvisorio tra Consiglio e Parlamento.
- **16 giugno 2026**: voto finale del Parlamento europeo.
- **29 giugno 2026**: via libera definitivo del Consiglio.
- **8 luglio 2026**: adozione del Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026.

## Cosa cambia nell’AI Act

- **Alto rischio**: la Commissione aveva proposto di legare le date alla disponibilità delle norme tecniche. Il testo finale fissa date certe: 2 dicembre 2027 per i sistemi dell’allegato III (per esempio selezione del personale o valutazione del credito) e 2 agosto 2028 per quelli integrati in prodotti regolati.
- **Alfabetizzazione AI**: l’articolo 4 resta un obbligo per le imprese, ma chiede di adottare misure per sostenere le competenze del personale, senza garantire un livello specifico per ogni persona. Commissione e Stati membri devono aiutare in particolare le PMI.
- **Contenuti generati**: chi fornisce sistemi di AI generativa già sul mercato prima del 2 agosto 2026 ha tempo fino al **2 dicembre 2026** per la marcatura leggibile da una macchina.
- **Nuovi divieti**: dal 2 dicembre 2026 sono vietati i sistemi che generano immagini intime non consensuali di persone riconoscibili e materiale di abuso sessuale su minori.
- **PMI e piccole imprese a media capitalizzazione**: documentazione tecnica semplificata per i sistemi ad alto rischio, con un modulo apposito. Le PMI avevano già, su tutte le multe, il tetto più basso tra cifra fissa e percentuale del fatturato; ora le piccole imprese a media capitalizzazione lo ottengono per le multe diverse da quelle sui divieti.
- **Altre modifiche**: spazi di sperimentazione normativa nazionali operativi entro il 2 agosto 2027; resta l’obbligo di registrare i sistemi che il fornitore considera esclusi dall’alto rischio; più competenze all’Ufficio per l’IA sui sistemi basati su modelli per uso generale dello stesso fornitore.

## Cosa resta uguale

Il Digital Omnibus non ha toccato le date degli obblighi già partiti. I **divieti** dell’articolo 5 valgono dal 2 febbraio 2025, le regole sui **modelli per uso generale** dal 2 agosto 2025, gli **obblighi di trasparenza** dell’articolo 50 dal 2 agosto 2026: chatbot e agenti vocali devono dire di essere un’AI, i deepfake vanno dichiarati. Chi usa un assistente virtuale con i clienti, quindi, non ha guadagnato tempo.

## La parte su dati, GDPR e cookie: cosa propone e a che punto è

La seconda proposta, presentata lo stesso 19 novembre 2025, contiene tra l’altro:

- nuove regole sui **cookie**, con consenso in un clic e un elenco di finalità a basso rischio che non richiedono consenso;
- il passaggio nel GDPR delle regole sull’accesso ai dispositivi degli utenti, oggi nella direttiva ePrivacy;
- chiarimenti sulla definizione di dato personale, sulla pseudonimizzazione e sull’uso dei dati personali per addestrare l’AI;
- un **punto unico di segnalazione** degli incidenti, gestito da ENISA, per le notifiche previste da più leggi, tra cui NIS2 e GDPR;
- la riunione di più norme sui dati nel Data Act e obblighi ridotti sul cambio di fornitore cloud per alcune PMI e piccole imprese a media capitalizzazione.

Sono proposte, non regole in vigore. Come ricorda il Consiglio dell’UE, le misure proposte vanno discusse e negoziate dai colegislatori prima di diventare legge, quindi il testo finale può cambiare anche in modo sostanziale. Fino ad allora valgono GDPR, ePrivacy e Data Act così come sono oggi.

## Cosa fare adesso

1. **Non rimandare la trasparenza**: controlla che chatbot e agenti vocali si presentino come assistenti virtuali e che i deepfake siano dichiarati.
2. **Organizza l’alfabetizzazione AI**: elenco degli strumenti, formazione per ruolo, registro delle iniziative.
3. **Verifica se usi l’AI in ambiti ad alto rischio**, come selezione del personale o valutazione dei clienti: hai tempo fino a dicembre 2027, ma i fornitori vanno scelti e interrogati prima.
4. **Lascia invariati banner cookie e procedure GDPR** finché le nuove regole non saranno approvate e pubblicate.
5. **Segui l’iter** della proposta sui dati, che può cambiare informative, cookie e notifiche degli incidenti.

Per una panoramica delle regole che valgono già per chi usa un assistente virtuale leggi la nostra guida all’[AI Act per le PMI](https://aimazing.it/blog/ai-act-per-le-pmi-cosa-devi-sapere-se-usi-un-assistente-virtuale/). Se vuoi preparare il personale, puoi partire dalla nostra [formazione sull’AI](https://aimazing.it/formazione/).

Informazioni aggiornate a ottobre 2026. Questo articolo non è una consulenza legale.

## Domande frequenti

**Il Digital Omnibus ha rinviato tutto l’AI Act?**

No. Ha spostato al 2 dicembre 2027 e al 2 agosto 2028 gli obblighi per i sistemi ad alto rischio. Divieti, regole sui modelli per uso generale e obblighi di trasparenza restano in vigore dalle date originarie, salvo un breve periodo transitorio per la marcatura dei contenuti generati.

**Le nuove regole sui cookie sono già in vigore?**

No. Fanno parte della proposta su dati e GDPR, che a fine ottobre 2026 non risulta ancora approvata da Consiglio e Parlamento europeo. Fino all’approvazione restano valide le regole attuali.

**Cosa cambia concretamente per una piccola impresa che usa un chatbot?**

Poco. Deve presentare il chatbot come assistente virtuale, occuparsi delle competenze di chi lo usa e rispettare il GDPR. Il rinvio principale riguarda gli usi ad alto rischio, come selezione del personale o valutazione del credito.

**Cosa sono le piccole imprese a media capitalizzazione?**

È una categoria che si colloca tra le PMI e le grandi imprese, definita dalla raccomandazione (UE) 2025/1099 della Commissione. Il Regolamento (UE) 2026/1744 estende loro alcune semplificazioni dell’AI Act pensate per le PMI; nella proposta la Commissione stimava circa 8.250 imprese interessate in più.

## Fonti

- [Commissione europea, «Digital Package», 20 novembre 2025](https://digital-strategy.ec.europa.eu/en/faqs/digital-package)
- [Consiglio dell’UE, «Simplification of EU rules», consultata a ottobre 2026](https://www.consilium.europa.eu/en/policies/simplification/)
- [Consiglio dell’UE, «Council agrees position to streamline rules on Artificial Intelligence», 13 marzo 2026](https://www.consilium.europa.eu/en/press/press-releases/2026/03/13/council-agrees-position-to-streamline-rules-on-artificial-intelligence/)
- [Consiglio dell’UE, «Artificial intelligence: Council and Parliament agree to simplify and streamline rules», 7 maggio 2026](https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/pdf/)
- [Parlamento europeo, «Risoluzione legislativa sull’Omnibus digitale sull’IA» P10_TA(2026)0198, 16 giugno 2026](https://data.europarl.europa.eu/distribution/doc/TA-10-2026-0198_it.pdf)
- [EUR-Lex, «Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA)», 8 luglio 2026](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/ita)
- [Consiglio dell’UE, «Digital Omnibus on AI: testo di compromesso confermato dal Coreper» (ST 9247/26), 13 maggio 2026](https://data.consilium.europa.eu/doc/document/ST-9247-2026-INIT/en/pdf)
- [Commissione europea, AI Act Service Desk, «Allegato III: Sistemi di IA ad alto rischio», consultata a ottobre 2026](https://ai-act-service-desk.ec.europa.eu/it/ai-act/annex-3)

---
Articolo del blog di Aimazing S.r.l. (Terni). Pagina originale: https://aimazing.it/blog/digital-omnibus-cosa-cambia-davvero-per-le-pmi-su-ai-act-e-dati/