Il Digital Omnibus è il pacchetto con cui la Commissione europea, il 19 novembre 2025, ha proposto di semplificare le regole digitali dell’UE. Comprende due proposte: una sull’AI Act, già diventata legge con il Regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026, e una su dati, GDPR, cookie e segnalazione degli incidenti informatici, che a fine ottobre 2026 non risulta ancora approvata. Per le PMI la prima porta date più lontane per l’alto rischio e qualche semplificazione; gli obblighi già in vigore restano.
In breve
- 19 novembre 2025: la Commissione presenta le due proposte di Digital Omnibus.
- 8 luglio 2026: viene adottato il Regolamento (UE) 2026/1744, l’Omnibus digitale sull’IA, in vigore dal 27 luglio 2026.
- Gli obblighi per i sistemi ad alto rischio slittano al 2 dicembre 2027 (elenco dell’allegato III) e al 2 agosto 2028 (sistemi integrati in prodotti regolati).
- La proposta su dati, GDPR e cookie non è ancora legge: è ancora all’esame di Consiglio e Parlamento europeo.
Che cos’è il Digital Omnibus e perché è nato
«Omnibus» indica un unico atto che modifica più leggi insieme. L’obiettivo è ridurre costi e adempimenti per le imprese. Secondo le stime della Commissione, le semplificazioni su dati, AI e sicurezza informatica possono far risparmiare alle imprese fino a 5 miliardi di euro una tantum entro il 2029, e le modifiche alle regole sui cookie oltre 800 milioni di euro all’anno.
Le due proposte hanno avuto percorsi diversi. Quella sull’AI Act doveva arrivare prima del 2 agosto 2026, data in cui sarebbero partiti gli obblighi per i sistemi ad alto rischio, che la Commissione voleva legare alla disponibilità di norme tecniche e strumenti di supporto. Quella sui dati tocca norme più ampie, come il GDPR, e il suo iter è ancora aperto.
Le tappe dell’Omnibus sull’IA, dalla proposta alla legge
- 13 marzo 2026: il Consiglio dell’UE approva la sua posizione negoziale.
- 26 marzo 2026: il Parlamento europeo approva i suoi emendamenti.
- 7 maggio 2026: accordo provvisorio tra Consiglio e Parlamento.
- 16 giugno 2026: voto finale del Parlamento europeo.
- 29 giugno 2026: via libera definitivo del Consiglio.
- 8 luglio 2026: adozione del Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026.
Cosa cambia nell’AI Act
- Alto rischio: la Commissione aveva proposto di legare le date alla disponibilità delle norme tecniche. Il testo finale fissa date certe: 2 dicembre 2027 per i sistemi dell’allegato III (per esempio selezione del personale o valutazione del credito) e 2 agosto 2028 per quelli integrati in prodotti regolati.
- Alfabetizzazione AI: l’articolo 4 resta un obbligo per le imprese, ma chiede di adottare misure per sostenere le competenze del personale, senza garantire un livello specifico per ogni persona. Commissione e Stati membri devono aiutare in particolare le PMI.
- Contenuti generati: chi fornisce sistemi di AI generativa già sul mercato prima del 2 agosto 2026 ha tempo fino al 2 dicembre 2026 per la marcatura leggibile da una macchina.
- Nuovi divieti: dal 2 dicembre 2026 sono vietati i sistemi che generano immagini intime non consensuali di persone riconoscibili e materiale di abuso sessuale su minori.
- PMI e piccole imprese a media capitalizzazione: documentazione tecnica semplificata per i sistemi ad alto rischio, con un modulo apposito. Le PMI avevano già, su tutte le multe, il tetto più basso tra cifra fissa e percentuale del fatturato; ora le piccole imprese a media capitalizzazione lo ottengono per le multe diverse da quelle sui divieti.
- Altre modifiche: spazi di sperimentazione normativa nazionali operativi entro il 2 agosto 2027; resta l’obbligo di registrare i sistemi che il fornitore considera esclusi dall’alto rischio; più competenze all’Ufficio per l’IA sui sistemi basati su modelli per uso generale dello stesso fornitore.
Cosa resta uguale
Il Digital Omnibus non ha toccato le date degli obblighi già partiti. I divieti dell’articolo 5 valgono dal 2 febbraio 2025, le regole sui modelli per uso generale dal 2 agosto 2025, gli obblighi di trasparenza dell’articolo 50 dal 2 agosto 2026: chatbot e agenti vocali devono dire di essere un’AI, i deepfake vanno dichiarati. Chi usa un assistente virtuale con i clienti, quindi, non ha guadagnato tempo.
La parte su dati, GDPR e cookie: cosa propone e a che punto è
La seconda proposta, presentata lo stesso 19 novembre 2025, contiene tra l’altro:
- nuove regole sui cookie, con consenso in un clic e un elenco di finalità a basso rischio che non richiedono consenso;
- il passaggio nel GDPR delle regole sull’accesso ai dispositivi degli utenti, oggi nella direttiva ePrivacy;
- chiarimenti sulla definizione di dato personale, sulla pseudonimizzazione e sull’uso dei dati personali per addestrare l’AI;
- un punto unico di segnalazione degli incidenti, gestito da ENISA, per le notifiche previste da più leggi, tra cui NIS2 e GDPR;
- la riunione di più norme sui dati nel Data Act e obblighi ridotti sul cambio di fornitore cloud per alcune PMI e piccole imprese a media capitalizzazione.
Sono proposte, non regole in vigore. Come ricorda il Consiglio dell’UE, le misure proposte vanno discusse e negoziate dai colegislatori prima di diventare legge, quindi il testo finale può cambiare anche in modo sostanziale. Fino ad allora valgono GDPR, ePrivacy e Data Act così come sono oggi.
Cosa fare adesso
- Non rimandare la trasparenza: controlla che chatbot e agenti vocali si presentino come assistenti virtuali e che i deepfake siano dichiarati.
- Organizza l’alfabetizzazione AI: elenco degli strumenti, formazione per ruolo, registro delle iniziative.
- Verifica se usi l’AI in ambiti ad alto rischio, come selezione del personale o valutazione dei clienti: hai tempo fino a dicembre 2027, ma i fornitori vanno scelti e interrogati prima.
- Lascia invariati banner cookie e procedure GDPR finché le nuove regole non saranno approvate e pubblicate.
- Segui l’iter della proposta sui dati, che può cambiare informative, cookie e notifiche degli incidenti.
Per una panoramica delle regole che valgono già per chi usa un assistente virtuale leggi la nostra guida all’AI Act per le PMI. Se vuoi preparare il personale, puoi partire dalla nostra formazione sull’AI.
Informazioni aggiornate a ottobre 2026. Questo articolo non è una consulenza legale.
Domande frequenti
Il Digital Omnibus ha rinviato tutto l’AI Act?
No. Ha spostato al 2 dicembre 2027 e al 2 agosto 2028 gli obblighi per i sistemi ad alto rischio. Divieti, regole sui modelli per uso generale e obblighi di trasparenza restano in vigore dalle date originarie, salvo un breve periodo transitorio per la marcatura dei contenuti generati.
Le nuove regole sui cookie sono già in vigore?
No. Fanno parte della proposta su dati e GDPR, che a fine ottobre 2026 non risulta ancora approvata da Consiglio e Parlamento europeo. Fino all’approvazione restano valide le regole attuali.
Cosa cambia concretamente per una piccola impresa che usa un chatbot?
Poco. Deve presentare il chatbot come assistente virtuale, occuparsi delle competenze di chi lo usa e rispettare il GDPR. Il rinvio principale riguarda gli usi ad alto rischio, come selezione del personale o valutazione del credito.
Cosa sono le piccole imprese a media capitalizzazione?
È una categoria che si colloca tra le PMI e le grandi imprese, definita dalla raccomandazione (UE) 2025/1099 della Commissione. Il Regolamento (UE) 2026/1744 estende loro alcune semplificazioni dell’AI Act pensate per le PMI; nella proposta la Commissione stimava circa 8.250 imprese interessate in più.
Fonti
- Commissione europea, «Digital Package», 20 novembre 2025
- Consiglio dell’UE, «Simplification of EU rules», consultata a ottobre 2026
- Consiglio dell’UE, «Council agrees position to streamline rules on Artificial Intelligence», 13 marzo 2026
- Consiglio dell’UE, «Artificial intelligence: Council and Parliament agree to simplify and streamline rules», 7 maggio 2026
- Parlamento europeo, «Risoluzione legislativa sull’Omnibus digitale sull’IA» P10_TA(2026)0198, 16 giugno 2026
- EUR-Lex, «Regolamento (UE) 2026/1744 (Omnibus digitale sull’IA)», 8 luglio 2026
- Consiglio dell’UE, «Digital Omnibus on AI: testo di compromesso confermato dal Coreper» (ST 9247/26), 13 maggio 2026
- Commissione europea, AI Act Service Desk, «Allegato III: Sistemi di IA ad alto rischio», consultata a ottobre 2026