L'UE dà il via libera definitivo alla semplificazione della legge sull'intelligenza artificiale: ora inizia la dura battaglia per la protezione dei dati (trad. automatica da eng)

Il Consiglio dell'UE ha approvato in via definitiva un regolamento che semplifica e snellisce alcune parti della legge sull'intelligenza artificiale, superando così l'ultimo ostacolo per l'entrata in vigore del primo atto del "Patto globale digitale" dell'Unione. La votazione fa seguito all'approvazione del Parlamento europeo del 16 giugno e all'accordo provvisorio raggiunto tra i colegislatori il 7 maggio. L'atto sarà pubblicato nella Gazzetta ufficiale nei prossimi giorni ed entrerà in vigore il terzo giorno successivo alla pubblicazione.

Il regolamento si inserisce nel più ampio programma di semplificazione dell'UE, che mira a ridurre gli oneri amministrativi di almeno il 25% per tutte le imprese – e del 35% per le PMI – entro il 2029. Nello specifico, per quanto riguarda l'AI Act, esso si configura come una serie di "soluzioni rapide" mirate, piuttosto che come una revisione completa: l'obiettivo è ridurre gli ostacoli burocratici e concedere alle imprese più tempo, mantenendo intatta l'architettura basata sul rischio.

Il cambiamento più concreto riguarda le tempistiche. Gli obblighi più stringenti per i sistemi di intelligenza artificiale ad alto rischio sono stati posticipati a date fisse: il 2 dicembre 2027 per i sistemi autonomi ad alto rischio elencati nell'Allegato III (biometria, infrastrutture critiche, istruzione, occupazione, forze dell'ordine, migrazione e controllo delle frontiere) e il 2 agosto 2028 per l'intelligenza artificiale ad alto rischio integrata in prodotti regolamentati. In pratica, ciò offre a fornitori e implementatori un margine di tempo più ampio e chiaro prima che le norme entrino pienamente in vigore, in risposta alle lamentele del settore secondo cui standard, linee guida e strumenti di supporto non erano pronti in tempo.

In particolare, il pacchetto non si limita ad allentare le regole, ma le inasprisce laddove necessario: il regolamento introduce divieti espliciti sui deepfake sessuali generati o manipolati dall'intelligenza artificiale e sui materiali pedopornografici generati dall'IA. Il messaggio dei legislatori è che la semplificazione della conformità non deve avvenire a scapito dei diritti fondamentali e della protezione contro gli usi più dannosi di questa tecnologia.

Più semplice, certo, ma restano "sfide e incertezze".

Il via libera chiude un capitolo e ne apre uno più controverso. Il testo sull'intelligenza artificiale adottato questa settimana rappresenta solo metà del Digital Omnibus presentato dalla Commissione il 19 novembre 2025. L'altra metà si addentra nel quadro normativo europeo in materia di dati – il GDPR, la direttiva ePrivacy e il Data Act – e su questa parte non è ancora stato raggiunto un accordo politico. È qui che la riforma si fa davvero complessa.

Due delle modifiche proposte hanno suscitato le critiche più aspre. La prima riguarda una restrizione della definizione di "dati personali", che legherebbe più strettamente l'identificabilità a ciò che un singolo titolare del trattamento dichiara di poter fare con le informazioni. I critici avvertono che ciò potrebbe escludere ampie porzioni di dati dalla protezione del GDPR, a seconda di chi li detiene. La seconda modifica prevede un utilizzo più ampio del "legittimo interesse" come base giuridica per l'addestramento dell'intelligenza artificiale sui dati personali, una via che la legge attuale limita rigorosamente per i trattamenti su larga scala.

La reazione è stata insolitamente diretta. In un parere congiunto, il Comitato europeo per la protezione dei dati (EDPB) e il Garante europeo della protezione dei dati (EDPS) hanno sostenuto gli obiettivi di semplificazione e competitività, ma hanno esortato i colegislatori a non adottare la definizione più restrittiva di dati personali, definendola prematura e potenzialmente dannosa, e hanno segnalato che la nuova disposizione sul legittimo interesse per l'addestramento dell'IA non prevede garanzie adeguate. Le autorità nazionali per la protezione dei dati hanno respinto senza mezzi termini molte delle modifiche proposte al GDPR, e le organizzazioni della società civile sostengono che il pacchetto indebolirebbe le tutele faticosamente conquistate e faciliterebbe la raccolta di dati per l'IA da parte delle grandi piattaforme.

Perché è importante per un'IA responsabile

Per chiunque si occupi di governance dell'IA sostenibile e rispettosa dei diritti, il voto di questa settimana è un utile segnale della direzione in cui si sta muovendo l'Europa: pragmatica sul processo e sempre più disposta a sacrificare la velocità normativa in favore della competitività, ma non (ancora) disposta a smantellare le principali garanzie dell'AI Act, come dimostrano i nuovi divieti sui deepfake e sulla CSAM (Consumer Information and Monitoring Act). La vera prova è la riforma della protezione dei dati ancora sul tavolo. Se il testo definitivo del GDPR seguirà l'orientamento originario della Commissione, l'equilibrio tra innovazione e diritti fondamentali potrebbe spostarsi in modo più decisivo di quanto suggeriscano le sole modifiche all'AI Act.

Per ora, le organizzazioni dovrebbero considerare le nuove scadenze ad alto rischio come date di pianificazione vincolanti, non come un motivo per rallentare il lavoro di governance, e seguire da vicino i negoziati sul fronte dei dati, perché è lì che si deciderà la prossima, e più importante, battaglia sul quadro normativo digitale europeo.