Il Digital Omnibus si arena: cosa resta dell'AI Act dopo il fallimento dei triloghi

C’è qualcosa di istruttivo nel modo in cui il processo legislativo europeo riesce a produrre, con puntualità quasi rituale, momenti di impasse proprio quando le scadenze si avvicinano. Alla fine di aprile 2026, i triloghi sul Digital Omnibus — il pacchetto di semplificazione normativa presentato dalla Commissione il 19 novembre 2025 — si sono conclusi senza accordo sulla parte relativa all’AI Act. Un esito che non sorprende del tutto, ma che vale la pena analizzare con attenzione, perché dietro al fallimento negoziale c’è una tensione strutturale che riguarda il modo in cui l’Europa sta cercando di governare l’intelligenza artificiale.

Per capire cosa è andato storto, occorre fare un passo indietro. Il Digital Omnibus nasceva con un’ambizione precisa: fare ordine nel diritto digitale europeo, ridurre la sovrapposizione tra gli strumenti normativi e alleggerire gli oneri per le imprese, soprattutto per quelle di dimensioni più piccole. Una sorta di manutenzione straordinaria dell’acquis digitale, come è stata definita da più parti. Tra i testi toccati c’era l’AI Act, il Regolamento UE 1689/2024, entrato formalmente in vigore ma con un calendario di applicazione progressiva che lasciava ancora alcuni obblighi in sospeso.

Il Parlamento europeo aveva fatto la sua parte con tempestività. Il 26 marzo 2026, con 569 voti favorevoli, aveva approvato la propria posizione sulle modifiche al regolamento, chiedendo in sostanza più tempo e qualche alleggerimento sugli adempimenti più onerosi. La richiesta più significativa riguardava i sistemi di IA ad alto rischio: il Parlamento voleva rinviare il termine per la conformità fino al 2 novembre 2026, concedendo alle imprese qualche mese in più per adeguarsi a una normativa che, nella sua complessità, non è semplice da metabolizzare in tempi brevi.

Tra le altre proposte sul tavolo c’era il rinvio degli obblighi di trasparenza per i sistemi a rischio limitato, inizialmente attesi per agosto 2026, e l’introduzione di un divieto esplicito dei cosiddetti deep nude — i deepfake a contenuto sessuale generati artificialmente. Quest’ultimo punto aveva una valenza anche simbolica: inserire un divieto nominato di questo tipo nell’AI Act avrebbe rappresentato un segnale politico chiaro, oltre che una risposta a un fenomeno già ampiamente documentato come vettore di violenza di genere e danno reputazionale.

Altrettanto rilevante era la questione dell’AI literacy. L’AI Act prevede obblighi di formazione sull’intelligenza artificiale per chi utilizza questi sistemi in contesti professionali, e il Parlamento aveva proposto di esonerare da questi adempimenti gli operatori individuali e le imprese più piccole, ritenendo che applicare le stesse regole a un libero professionista e a una grande azienda tecnologica fosse, francamente, sproporzionato. Un argomento che ha una sua logica, anche se apre interrogativi non banali su dove si tracci il confine della responsabilità nella catena di utilizzo dei sistemi di IA.

Nonostante la posizione parlamentare fosse definita e votata, il trilogo — il meccanismo di negoziazione informale tra Parlamento, Consiglio e Commissione che nella pratica è dove si decide quasi tutto nella legislazione europea — non ha trovato una sintesi. Le tre istituzioni non sono riuscite a convergere su un testo comune entro aprile, e le divergenze, pur non dettagliate ufficialmente nei documenti pubblici, sembrano aver riguardato sia l’entità dei rinvii sia l’impostazione complessiva delle semplificazioni proposte.

In questo quadro già complicato, si sono inserite le osservazioni dell’EDPB e dell’EDPS — il Comitato europeo per la protezione dei dati e il Garante europeo, i due organismi che vigilano sull’applicazione del GDPR a livello europeo e istituzionale. Nel loro parere congiunto 2/2026 del 10 febbraio 2026, i due organismi hanno preso posizione in modo netto su alcune misure del Digital Omnibus: la nuova definizione di dato personale proposta dalla Commissione, l’estensione dei poteri esecutivi sui dati pseudonimizzati e alcune disposizioni sull’IA hanno sollevato perplessità significative. Non è un dettaglio marginale: quando le autorità di controllo più autorevoli d’Europa esprimono preoccupazioni formali in piena fase negoziale, il segnale politico che inviano alle istituzioni è difficile da ignorare.

Il fallimento del trilogo non chiude però il dossier. Le proposte rimangono formalmente all’interno della procedura di codecisione, e i negoziati potranno riprendere. Nel frattempo, la Commissione ha preannunciato un Digital Fitness Check, una valutazione dell’interazione tra i diversi strumenti normativi digitali e del loro impatto cumulativo sulle imprese. È una misura che dice molto sullo stato della legislazione digitale europea: se si sente il bisogno di uno “stress test” dell’acquis, significa che il sistema normativo ha raggiunto una complessità che richiede una lettura d’insieme prima di intervenire con ulteriori modifiche.

Quello che rimane, nel frattempo, è un calendario di obblighi che continua a scorrere. Chi si aspettava un rinvio per i sistemi ad alto rischio dovrà fare i conti con l’assenza di una proroga formale, almeno per il momento. Le imprese che stavano attendendo l’esito del Digital Omnibus per calibrare i propri piani di conformità si trovano in una posizione scomoda: non sanno con certezza cosa cambierà, ma sanno che le scadenze originarie restano tecnicamente in piedi.

C’è una dinamica che questo episodio rivela con chiarezza, e che mi sembra valga la pena nominare. Quando si costruisce un sistema normativo così stratificato come quello digitale europeo — con l’AI Act, il GDPR, il Data Act, il DSA, il DMA e altri strumenti che si sovrappongono e interagiscono — ogni tentativo di semplificazione diventa a sua volta un’operazione complessa, perché tocca equilibri già negoziati con fatica. Non è un difetto intrinseco del metodo europeo, ma è il costo reale di aver costruito un corpus normativo ambiziose nel giro di pochi anni.

Rimane aperta, e non è una domanda retorica, la questione di quanto tempo le imprese — e i professionisti legali che le assistono — possano permettersi di operare nell’incertezza. La conformità all’AI Act richiede investimenti in processi, documentazione, formazione e governance interna. Pianificare questi investimenti diventa molto più difficile quando le regole del gioco sono in discussione e le date di applicazione potrebbero cambiare. L’incertezza normativa ha un costo, e non è solo un costo burocratico: è un costo che ricade sulle scelte concrete di chi sviluppa o utilizza questi sistemi ogni giorno.

Forse la domanda più utile da porsi adesso non è se il Digital Omnibus fallirà definitivamente o riprenderà il suo corso, ma se il modo in cui l’Europa sta gestendo questa fase di revisione normativa stia effettivamente servendo gli obiettivi dichiarati. Semplificare è difficile, specie quando ogni semplificazione rischia di aprire nuovi squilibri. Ma continuare a navigare nell’ambiguità, con scadenze che slittano e negoziati che si arenano, non è necessariamente meglio di avere regole chiare, anche se imperfette.