Il quadro giuridico europeo per il mondo digitale

Questa Parte espone la grammatica comune ai singoli strumenti. Ogni atto del corpus digitale dell’UE è costruito con la stessa manciata di mosse, e chi le riconosce può prevedere gran parte del dettaglio. Lo stesso vale per le critiche: quasi ogni obiezione seria al corpus colpisce una di queste mosse, non una scelta di redazione interna a un singolo regolamento.

La base giuridica del mercato interno e ciò che impone

L’UE non ha una competenza generale a legiferare in materia di espressione, sicurezza o moralità. Ha invece l’articolo 114 TFUE, il potere di armonizzare le norme nazionali che frammentano il mercato interno. Su quella base è costruito quasi l’intero corpus digitale. L’eccezione principale è lo stesso GDPR, fondato sull’articolo 16 TFUE, la competenza dell’Unione in materia di protezione dei dati. La base giuridica ne determina la sostanza. Spiega perché il DSA sia impostato come regolamento sul mercato unico dei servizi digitali e non come legge sui contenuti, perché l’AI Act sia strutturato come normativa di sicurezza dei prodotti, con valutazione della conformità e marcatura CE, e non come carta dei diritti fondamentali, e perché quasi tutto arrivi sotto forma di regolamento (direttamente applicabile, senza recepimento) anziché di direttiva. L’argomento di vendita del DSA è proprio quello di sostituire ventisette regimi nazionali con un quadro unico: una rivendicazione di mercato unico prima ancora che di sicurezza.

La conseguenza è uno scarto persistente fra la finalità giuridica dichiarata (rimuovere gli ostacoli agli scambi) e l’effettiva ambizione regolatoria (governare come viene allocata l’attenzione, come vengono addestrati i modelli, come sono strutturati i mercati). Quello scarto è la materia prima della gran parte del rischio contenzioso del sistema, e vi torneremo più volte.

Il modello GDPR, replicato

La dottrina ha descritto ciò che è seguito al GDPR come act-ification e GDPR mimesis: una rapida serie di strumenti, ciascuno dei quali riproduce la medesima forma istituzionale. Papakonstantinou e De Hert hanno individuato presto lo schema. Un lessico specialistico, un insieme di principi, diritti calibrati sulla fattispecie e un apparato di vigilanza ricorrono in DGA, DSA, DMA e regolamento sull’IA. In pratica ogni strumento di questa analisi riempie le stesse cinque caselle:

Quattro scelte di progettazione che generano quasi ogni critica

Graduazione basata sul rischio. Anziché regole uniformi, gli obblighi crescono con la dimensione o la pericolosità: la piramide graduata del DSA dall’intermediario al VLOP, la scala dell’AI Act fra rischio inaccettabile, alto, di trasparenza e minimo, l’interruttore binario del DMA fra designato e non designato. La graduazione è proporzionata in linea di principio e produce effetti soglia nella pratica. La soglia dei 45 milioni di utenti per il VLOP, la presunzione DMA dei 10.000 utenti commerciali e la presunzione di rischio sistemico a 10^25 FLOP sono tutti numeri amministrabili che stanno al posto di concetti non amministrabili, e ciascuno ha già prodotto contenzioso o aggiramenti.

Sanzioni commisurate al fatturato. I massimali espressi in percentuale del fatturato mondiale sono stati concepiti perché le sanzioni colpissero anche le imprese il cui fatturato UE è una frazione di quello globale. Sono anche la caratteristica più contestata del corpus sul piano internazionale. E, come mostra la vicenda del GDPR, la cifra annunciata e la cifra effettivamente riscossa sono due cose molto diverse.

Portata extraterritoriale attraverso il criterio del mercato di destinazione. Ogni strumento si applica alle condotte rivolte all’Unione indipendentemente dal luogo di stabilimento del fornitore. Il Data Act raggiunge i fornitori SaaS extra-SEE con clienti nell’UE; l’AI Act raggiunge i fornitori i cui output sono utilizzati nell’Unione; il GDPR raggiunge i titolari del trattamento stabiliti ovunque che offrono beni o servizi a persone nell’Unione o ne monitorano il comportamento. È il meccanismo alla base del cosiddetto effetto Bruxelles, e allo stesso modo dell’accusa secondo cui l’Europa regola imprese che non ospita.

Co-regolamentazione tramite codici, linee guida e atti delegati. I testi principali sono spesso incompleti per scelta, e il dettaglio operativo arriva dopo attraverso linee guida della Commissione, atti delegati, codici di buone pratiche e norme armonizzate. Il GPAI Code of Practice, l’atto delegato dell’articolo 40 DSA sull’accesso dei ricercatori e le norme armonizzate (ancora incomplete) per l’IA ad alto rischio sono tutti portanti. Questo dà flessibilità a scapito della certezza del diritto. Come mostra la Parte VIII, significa anche che il contenuto effettivo della legge può cambiare senza che il legislatore si riunisca di nuovo.

Il regolamento (UE) 2016/679 è lo strumento più antico qui trattato, e quello su cui ogni altro strumento si appoggia, da cui ritaglia un’eccezione, o con cui deve essere conciliato. Per giudicare se qualunque altra parte del corpus funzionerà occorre capire come il GDPR è stato applicato, e dove quell’applicazione è stata carente.

Che cosa impone davvero

Il nucleo operativo è compatto. L’articolo 5 fissa sei principi del trattamento più la responsabilizzazione: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza. L’articolo 6 fornisce l’elenco tassativo delle basi giuridiche (consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico, legittimo interesse), e l’articolo 9 vieta il trattamento delle categorie particolari salvo deroghe circoscritte. Gli articoli 12–22 istituiscono i diritti dell’interessato: informazione, accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, e la tutela dell’articolo 22 contro le decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici o analogamente significativi. Il capo IV fissa gli obblighi di conformità: articolo 25 protezione dei dati fin dalla progettazione e per impostazione predefinita, articolo 30 registri delle attività di trattamento, articoli 33–34 notifica delle violazioni, articolo 35 valutazioni d’impatto sulla protezione dei dati, articoli 37–39 il DPO. Il capo V disciplina i trasferimenti internazionali. L’articolo 83 fissa i massimali sanzionatori su due livelli.

Due di questi pesano in modo sproporzionato sul resto del documento. L’articolo 22 è il diritto europeo preesistente sul processo decisionale automatizzato. Non ha aspettato l’AI Act, e i due classificano in modo indipendente. Un sistema che l’AI Act colloca nella fascia a rischio minimo, senza alcun obbligo ai sensi di quell’atto, ricade comunque nell’articolo 22 se adotta decisioni basate unicamente su un trattamento automatizzato che producono effetti giuridici o incidono in modo analogo significativamente. Nessuno dei due regimi disattiva l’altro. Le DPIA dell’articolo 35 sono l’antenato concettuale della valutazione del rischio sistemico dell’articolo 34 del DSA e della valutazione d’impatto sui diritti fondamentali dell’articolo 27 dell’AI Act. Un’organizzazione che le conduce tutte e tre separatamente duplica un lavoro che le stesse autorità ora riconoscono come duplicato.

La realtà della conformità

Per la maggior parte delle organizzazioni la conformità al GDPR si risolve in quattro artefatti duraturi: un inventario dei trattamenti effettivamente aggiornato, un’analisi difendibile della base giuridica per ciascuna finalità, un flusso di gestione delle richieste degli interessati che rispetti il termine di un mese, e un processo di risposta alle violazioni capace di decidere la notifica entro 72 ore. I dati sull’applicazione mostrano dove le organizzazioni falliscono. L’analisi del corpus CMS Enforcement Tracker rileva che tre categorie di violazione rappresentano circa il 94% del valore complessivo delle sanzioni. Le carenze di trasparenza degli articoli 12–14 sono tanto ricorrenti da aver spinto l’EDPB a farne oggetto di un’azione coordinata nel 2026 in venticinque autorità. I regolatori trattano oggi in media 443 notifiche di violazione al giorno, con un aumento del 22% su base annua. Il volume dei casi cresce più in fretta della capacità di trattarli.

L’applicazione: lo sportello unico e il divario fra annunciato e riscosso

L’articolo 56 attribuisce all’autorità di controllo dello stabilimento principale del titolare il ruolo di capofila nei casi transfrontalieri, con alle spalle la cooperazione dell’articolo 60 e la composizione delle controversie dell’EDPB ex articolo 65. Poiché Meta, Google, Apple, Microsoft, TikTok e LinkedIn hanno tutte collocato la sede europea a Dublino, ciò ha reso una sola autorità nazionale il capofila per gran parte dell’economia globale delle piattaforme. I dati sono chiari. L’indagine di DLA Piper di gennaio 2026 conta 7,1 miliardi di euro di sanzioni GDPR segnalate dal 25 maggio 2018 al 10 gennaio 2026. Si tratta di sanzioni annunciate, non confermate in giudizio né riscosse, e i tracker che contano in modo diverso danno altri totali. La sola DPC irlandese rappresenta circa 4,04 miliardi del totale di DLA Piper, grosso modo il 57% del valore complessivo, e otto delle dieci sanzioni più elevate tuttora valide; le altre due sono dell’autorità olandese, entrambe contro Uber. La Spagna, al contrario, è prima per numero di provvedimenti, oltre un migliaio.

La critica a questo assetto è vecchia; la risposta legislativa è appena arrivata. Il regolamento (UE) 2025/2518 armonizza la ricevibilità dei reclami, i diritti procedurali delle parti e i termini per i progetti di decisione nei casi transfrontalieri. È entrato in vigore il 1° gennaio 2026 e si applica dal 2 aprile 2027, con le sue norme sulle indagini applicabili ai reclami presentati dopo tale data. Nel 2021 l’Irish Council for Civil Liberties ha definito l’Irlanda il peggior collo di bottiglia del GDPR, documentando la mancata trasmissione dei progetti di decisione alle altre autorità nella grande maggioranza dei principali casi transfrontalieri e osservando che la Spagna adottava circa dieci volte più decisioni con un bilancio inferiore. Max Schrems e altri attivisti avanzano lo stesso argomento strutturale: i casi durano anni, le sanzioni arrivano tardi e i reclamanti hanno una posizione procedurale limitata. La DPC è cresciuta fino a quasi 300 dipendenti nel 2026 ed è passata a una struttura con tre commissari anche per ridurre i colli di bottiglia di un unico centro decisionale, ma l’impianto dello sportello unico resta.

Il regolamento (UE) 2022/2065 ha sostituito il nucleo di responsabilità della direttiva sul commercio elettronico del 2000 con un regime graduato di dovuta diligenza. È lo strumento che mostra con maggiore chiarezza che cosa il corpus europeo stia cercando di fare: governare la progettazione dei sistemi anziché giudicare singoli contenuti. È anche quello sotto il fuoco politico più intenso.

La piramide: chi deve che cosa

Il DSA impila gli obblighi in modo cumulativo su quattro livelli. Ogni livello eredita quello sottostante.

Le microimprese e le piccole imprese sono esentate dalla maggior parte degli obblighi delle piattaforme online (art. 19), a meno che non siano designate come piattaforme online di dimensioni molto grandi.

Le tre disposizioni che reggono il regime

Articolo 16: segnalazione e azione, e la fabbricazione della conoscenza

L’articolo 16 impone ai prestatori di servizi di hosting di predisporre meccanismi elettronici di segnalazione che agevolino segnalazioni sufficientemente precise e adeguatamente motivate. Il suo paragrafo decisivo è il 16, paragrafo 3: una segnalazione conforme determina l’effettiva conoscenza o consapevolezza ai fini dell’esenzione di responsabilità dell’articolo 6 quando consente a un prestatore diligente di individuare l’illegalità senza un esame giuridico dettagliato. È il cardine su cui oggi ruota la responsabilità delle piattaforme. Crea anche l’incentivo strutturale su cui i critici del DSA insistono di più. Poiché la conoscenza espone a responsabilità e la rimozione eccessiva non comporta una sanzione equivalente, la risposta razionale a una segnalazione dubbia è la rimozione. I contrappesi del DSA (motivazioni, reclami interni, risoluzione extragiudiziale delle controversie) sono procedurali, non sostanziali. L’articolo 14, paragrafo 4, impone comunque ai prestatori di agire in modo diligente, obiettivo e proporzionato, tenendo debitamente conto dei diritti fondamentali degli utenti, il che dà in linea di principio un costo giuridico alla rimozione eccessiva.

Articoli 34-35: il rischio sistemico, un concetto deliberatamente aperto

L’articolo 34 obbliga VLOP e VLOSE a individuare, analizzare e valutare con diligenza i rischi sistemici derivanti dalla progettazione o dal funzionamento del servizio, compresi i sistemi algoritmici, almeno una volta l’anno e prima di attivare funzionalità suscettibili di avere un impatto critico. Le categorie elencate sono: diffusione di contenuti illegali; effetti negativi sui diritti fondamentali; effetti negativi sul dibattito civico, sui processi elettorali e sulla sicurezza pubblica; effetti relativi alla violenza di genere, alla salute pubblica, ai minori e al benessere fisico e mentale. L’articolo 34(2) richiede di valutare come la progettazione dei sistemi di raccomandazione e gli altri sistemi algoritmici influenzino tali rischi, anche attraverso la manipolazione intenzionale e l’uso non autentico. L’articolo 35 impone poi un’attenuazione proporzionata ed efficace, e lascia al fornitore la scelta delle misure.

È la disposizione più gravida di conseguenze e più criticata del DSA. La sua apertura è deliberata: un elenco chiuso sarebbe obsoleto nell’arco di un ciclo di prodotto. Ma la ricerca di AlgorithmWatch sulla disposizione ha rilevato che i portatori d’interesse faticavano a stabilire se un dato danno fosse abbastanza sistemico, che i considerando 79-89 erano spesso percepiti come fonte di confusione anziché di chiarimento, e che criteri troppo specifici rischierebbero di spingere le piattaforme a ottimizzare per metriche anziché per danni reali, mentre criteri troppo vaghi rendono il concetto non amministrabile. Entrambe le modalità di fallimento sono attive.

Articolo 40: l’accesso ai dati, e il divario fra promessa e attuazione

L’articolo 40 è stato descritto nella comunità di ricerca come il sacro graal di una rinnovata disponibilità di dati. Apre due percorsi. L’articolo 40(12) dà accesso ai dati pubblicamente accessibili oltre gli strumenti volontari delle piattaforme. L’articolo 40(4) dà ai ricercatori abilitati accesso ai dati non pubblici (registri di esposizione, archivi di moderazione, metriche di raccomandazione), richiesto tramite il coordinatore dei servizi digitali nazionale del luogo di stabilimento anziché direttamente alla piattaforma. Entrambi sono vincolati alla finalità di ricerca che contribuisca all’individuazione, all’identificazione e alla comprensione dei rischi sistemici ai sensi dell’articolo 34(1), e per il 40(4) anche alla valutazione delle misure di attenuazione ai sensi dell’articolo 35. Un atto delegato è entrato in vigore il 29 ottobre 2025, istituendo un portale centralizzato per l’accesso ai dati DSA, garanzie procedurali e cataloghi dei dati delle piattaforme.

Il bilancio applicativo, in ordine

C’è anche una controtendenza. Nel settembre 2025 il Tribunale ha annullato le decisioni del 2023 sul contributo per le attività di vigilanza relative a Facebook, Instagram e TikTok, perché la metodologia per il conteggio degli utenti avrebbe dovuto essere adottata con atto delegato anziché con decisione di esecuzione. Non ha riscontrato errori nell’obbligo delle piattaforme di pagare e ha mantenuto provvisoriamente gli effetti delle decisioni, e la Commissione ha impugnato entrambe le sentenze. Il DSA non vince su ogni punto.

Il regolamento (UE) 2022/1925 è la rottura concettuale più netta dell’intero corpus. Il diritto della concorrenza tradizionale ex articolo 102 TFUE è ex post: provare la posizione dominante, provare l’abuso, provare gli effetti, litigare per un decennio. Il DMA scarta tutto questo. Si designa l’impresa, e un elenco di divieti e obblighi si applica immediatamente, senza che occorra dimostrare un effetto anticoncorrenziale nel caso concreto.

La designazione e l’insieme degli obblighi

L’articolo 3 designa i gatekeeper per presunzione quantitativa: un’impresa che fornisce un servizio di piattaforma di base con fatturato o capitalizzazione di mercato rilevanti nell’UE, almeno 45 milioni di utenti finali attivi mensili e 10.000 utenti commerciali attivi annui nell’Unione, per tre esercizi consecutivi. Le categorie di servizi di piattaforma di base dell’articolo 2 (intermediazione, motori di ricerca, social network, condivisione video, comunicazioni, sistemi operativi, browser, assistenti virtuali, cloud, pubblicità) definiscono l’ambito. Al 14 ottobre 2026 sono designate sette imprese, per 23 servizi di piattaforma di base: Alphabet, Amazon, Apple, Booking, ByteDance, Meta e Microsoft.

La sostanza è in tre articoli. L’articolo 5 contiene i divieti immediatamente applicabili: nessuna combinazione di dati personali tra servizi di piattaforma di base senza consenso, con un’alternativa realmente equivalente e meno personalizzata per chi rifiuta (5, par. 2); nessun anti-steering, per cui gli utenti commerciali devono essere liberi, gratuitamente, di comunicare e promuovere offerte agli utenti finali e di concludere contratti con loro al di fuori della piattaforma (5, par. 4); nessun obbligo di usare il servizio di identificazione, di pagamento o il motore di navigazione del gatekeeper come condizione di accesso (5, par. 7); nessun impedimento agli utenti commerciali di segnalare inadempienze alle autorità nazionali (5, par. 6). L’articolo 6 contiene gli obblighi suscettibili di ulteriori specifiche: nessuna autopreferenza nel posizionamento (6, par. 5); consentire negozi di applicazioni di terzi e il sideloading (6, par. 4); un’interoperabilità gratuita ed effettiva con le stesse funzionalità hardware e software disponibili ai servizi del gatekeeper (6, par. 7); la portabilità dei dati (6, par. 9); l’accesso degli utenti commerciali ai propri dati di prestazione (6, par. 10). L’articolo 7 impone l’interoperabilità ai servizi di comunicazione interpersonale indipendenti dal numero. L’articolo 11 richiede una relazione di conformità entro sei mesi dalla designazione, aggiornata almeno una volta l’anno; l’articolo 13 aggiunge l’obbligo anti-elusione, l’articolo 14 l’obbligo di informare la Commissione delle concentrazioni previste e l’articolo 15 la descrizione, sottoposta ad audit indipendente, delle tecniche di profilazione dei consumatori.

Che cosa ha effettivamente stabilito l’applicazione

Il 23 aprile 2025 la Commissione ha adottato le sue prime decisioni di inadempimento: 500 milioni di euro contro Apple ai sensi dell’articolo 5(4) e 200 milioni contro Meta ai sensi dell’articolo 5(2). Entrambe sono impugnate. Il 23 luglio 2026 ne ha aggiunte due contro Google: 460 milioni di euro per l’autopreferenza in Google Search ai sensi dell’articolo 6(5) e 430 milioni per le restrizioni anti-steering in Google Play ai sensi dell’articolo 5(4), con 60 giorni per conformarsi. Insieme, 890 milioni di euro, costituiscono l’importo più alto inflitto finora ai sensi del DMA, benché ciascuna sanzione presa da sola sia inferiore a quella di Apple; non è accertato se Google abbia presentato ricorso. Il contenuto interpretativo della decisione Apple, pubblicata in forma non riservata il 26 maggio 2025, è comunque il più importante prodotto dottrinale del DMA finora. Ne emergono tre principi:

• Lo standard è l’abilitazione attiva, non la semplice non ostruzione. L’articolo 5(4) obbliga i gatekeeper ad abilitare lo steering sul piano contrattuale e tecnologico. Non basta offrire la possibilità effettiva di steering limitandosi a non ostacolarla, il che sarebbe forse bastato ai sensi dell’articolo 102 TFUE.
• La conformità formale non basta. La Commissione ha ritenuto che le scelte offerte da Apple agli utenti non fossero realmente significative, perché gli sviluppatori si trovavano di fronte a commissioni e barriere tecniche. I rimandi esterni erano consentiti ma comportavano commissioni fino al 17% sulle vendite realizzate entro sette giorni.
• La conformità non si può mediare. L’esistenza di un insieme di condizioni che consentiva lo steering non compensava altri insiemi che non lo consentivano: ciascun insieme di condizioni contrattuali deve essere conforme in modo autonomo.

La decisione su Meta ha applicato la stessa logica al consenso. Il modello binario «paga o acconsenti» (circa 9,99-12,99 euro al mese per un servizio senza pubblicità, oppure il consenso alla piena combinazione dei dati) è stato ritenuto non offrire l’alternativa realmente equivalente e meno intensiva in termini di dati richiesta dall’articolo 5, paragrafo 2. Nel dicembre 2025 la Commissione ha preso atto dell’impegno di Meta a offrire agli utenti dell’UE, da gennaio 2026, una scelta tra pubblicità pienamente personalizzata e un’opzione meno personalizzata che condivide meno dati.

Due ulteriori sviluppi definiscono la situazione attuale. Primo, i procedimenti di specificazione ai sensi dell’articolo 6, paragrafo 7: nel settembre 2024 la Commissione ha avviato due procedimenti sull’obbligo di interoperabilità di Apple per iOS e iPadOS; il 19 marzo 2025 ha adottato due decisioni di specificazione, una che stabilisce come Apple debba aprire nove funzionalità di connettività di iOS ai dispositivi connessi di terzi, l’altra come debba gestire le richieste di interoperabilità degli sviluppatori. Lo stesso strumento è stato poi applicato a Google: il 16 luglio 2026 la Commissione ha adottato due decisioni di specificazione, una ai sensi dell’articolo 6, paragrafo 7, che impone ad Android di dare agli assistenti di IA concorrenti l’accesso di cui dispongono i servizi di IA di Google, compresa l’attivazione con comando vocale e l’esecuzione di azioni nelle app, con modifiche destinate a raggiungere gli utenti da luglio 2027; l’altra ai sensi dell’articolo 6, paragrafo 11, che stabilisce come Google debba condividere dati di ricerca anonimizzati con i motori di ricerca concorrenti, compresi i chatbot di IA con funzioni di ricerca, da gennaio 2027. Le decisioni di specificazione non comportano sanzioni; le sanzioni a Google del 23 luglio 2026, sopra citate, derivano da distinte decisioni di inadempimento. Secondo, l’8 luglio 2026 il Tribunale ha respinto integralmente i ricorsi di Apple contro la designazione come gatekeeper, confermando gli obblighi relativi all’App Store e a iOS e chiudendo la via con cui i gatekeeper designati potevano contestare gli obblighi di interoperabilità nella fase di designazione. La risposta di Apple è stata un’escalation politica: sostiene pubblicamente che il DMA non funziona e dovrebbe essere abrogato, e ha lasciato intendere un ritardo nel lancio europeo di nuove funzionalità di IA.

Il riesame del 2026: ciò che la Commissione ha scelto di non fare

L’articolo 53 prevedeva un riesame entro il 3 maggio 2026. La relazione della Commissione, basata su oltre 450 contributi alla consultazione, ha concluso che il DMA apporta valore aggiunto rispetto all’alternativa di regole nazionali frammentate, non impone obblighi diretti alle PMI e si integra in modo coerente con il resto del corpus digitale. Nonostante una domanda consistente da parte dei portatori di interessi, il riesame ha concluso che il lavoro futuro dovrebbe concentrarsi sull’applicazione di ciò che esiste piuttosto che sull’ampliamento del perimetro. Tra gli altri, il BEUC aveva chiesto di estendere l’interoperabilità ai social media, al cloud e alle infrastrutture di IA. La Commissione intende concludere le indagini su AWS e Azure entro dodici mesi dalla loro apertura del 18 novembre 2025, cioè intorno a novembre 2026, e riferire sull’indagine settoriale entro diciotto mesi, intorno a maggio 2027. Si tratta di obiettivi, non di termini giuridici.

Il regolamento (UE) 2024/1689 è entrato in vigore il 1° agosto 2024 come prima legge orizzontale e organica sull’IA al mondo. Strutturalmente è normativa di sicurezza dei prodotti: valutazione della conformità, documentazione tecnica, organismi notificati, marcatura CE, monitoraggio post-commercializzazione. Quella scelta ne determina insieme i punti di forza e il modo specifico in cui oggi non riesce ad arrivare nei tempi previsti.

I quattro livelli

Rischio inaccettabile (articolo 5), applicabile dal 2 febbraio 2025, copre tecniche manipolative o ingannevoli che distorcono materialmente il comportamento; sfruttamento delle vulnerabilità legate a età, disabilità o situazione socioeconomica; punteggio sociale che conduce a trattamenti pregiudizievoli in contesti non correlati; previsione del rischio criminale individuale basata unicamente sulla profilazione; estrazione non mirata di immagini facciali per banche dati di riconoscimento facciale; inferenza delle emozioni sul luogo di lavoro e negli istituti di istruzione; categorizzazione biometrica che deduce attributi sensibili; e identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto, salvo eccezioni circoscritte.

Alto rischio (articolo 6 e allegati) ha due vie d’ingresso. Articolo 6(1): il sistema è componente di sicurezza di un prodotto coperto dalla normativa di armonizzazione dell’Unione elencata nell’allegato I. Articolo 6(2): il sistema rientra nell’allegato III (biometria; infrastrutture critiche; istruzione; occupazione e gestione dei lavoratori; accesso ai servizi essenziali, compresi merito creditizio e tariffazione assicurativa; attività di contrasto; migrazione e controllo delle frontiere; amministrazione della giustizia e processi democratici). L’articolo 6(3) fornisce il filtro: un sistema dell’allegato III non è ad alto rischio se non presenta un rischio significativo di danno, ma il fornitore deve documentare quella valutazione e registrare il sistema. Il capo III impone poi gli obblighi sostanziali: gestione del rischio (art. 9), governance dei dati (art. 10), documentazione tecnica (art. 11), registrazione degli eventi (art. 12), trasparenza verso i deployer (art. 13), sorveglianza umana (art. 14), accuratezza e cibersicurezza (art. 15), valutazione della conformità (art. 43), registrazione (art. 49). L’articolo 25 è la trappola più spesso ignorata. Un distributore, importatore o deployer diventa fornitore, e si assume l’intero insieme di obblighi, se appone il proprio nome o marchio su un sistema ad alto rischio, lo modifica sostanzialmente, o ne modifica la finalità prevista.

Rischio di trasparenza (articolo 50) comporta obblighi informativi: gli utenti devono essere informati che stanno interagendo con un sistema di IA; i contenuti sintetici devono essere marcati in formato leggibile da una macchina; i deep fake e i testi generati dall’IA su questioni di interesse pubblico devono essere dichiarati.

Rischio minimo non comporta obblighi specifici per questo livello, benché l’obbligo di alfabetizzazione in materia di IA dell’articolo 4 si applichi ai fornitori e ai deployer di tutti i sistemi di IA. La posizione della Commissione è che la grande maggioranza dei sistemi di IA oggi utilizzati nell’Unione, come i filtri antispam e i videogiochi basati sull’IA, rientra qui. Vale la pena dirlo chiaramente, perché si sente spesso affermare che l’AI Act regola tutta l’IA. Non lo fa, e non ha mai preteso di farlo.

Capo V: l’IA per finalità generali, e la controversia sul calcolo

Il capo V (articoli 51-56) è un regime distinto sovrapposto al resto, ed è lì che si pongono le questioni sui modelli di frontiera. L’articolo 3, punto 63, definisce un modello GPAI come un modello addestrato con grandi quantità di dati, che presenta una generalità significativa, è in grado di svolgere con competenza un’ampia gamma di compiti distinti e può essere integrato in sistemi a valle. Gli orientamenti della Commissione del luglio 2025 aggiungono un criterio indicativo di oltre 10^23 FLOP di addestramento. Ogni fornitore di GPAI è soggetto all’articolo 53: documentazione tecnica dell’allegato XI; un pacchetto informativo dell’allegato XII per i fornitori a valle; una politica di rispetto del diritto d’autore dell’Unione; e una sintesi pubblica sufficientemente dettagliata dei contenuti di addestramento. L’articolo 53, paragrafo 2, esenta in parte i modelli rilasciati con una licenza realmente libera e open source, ma l’esenzione non si applica affatto ai modelli con rischio sistemico.

L’articolo 51 classifica poi un sottoinsieme come GPAI con rischio sistemico: i modelli con capacità di impatto elevato (51, par. 1, lett. a), o designati con decisione della Commissione (51, par. 1, lett. b). L’articolo 51, paragrafo 2, fornisce la presunzione operativa: una potenza di calcolo cumulativa di addestramento superiore a 10^25 FLOP. L’articolo 55 aggiunge poi gli obblighi di frontiera: valutazione del modello secondo protocolli standardizzati, compresi test avversari documentati; valutazione e attenuazione dei rischi sistemici a livello dell’Unione; tracciamento e segnalazione tempestiva degli incidenti gravi; un’adeguata protezione della cibersicurezza. Poiché gli articoli 53 e 55 sono redatti a un livello elevato di astrazione, il dettaglio operativo sta nel codice di buone pratiche per i GPAI, finalizzato il 10 luglio 2025 dopo tre bozze e un testo finale. Gli analisti del CSET di Georgetown hanno valutato che il capitolo sulla sicurezza fissa uno standard minimo di gestione del rischio di frontiera che va molto oltre la prassi del settore di allora, a condizione che sia ampiamente adottato. Quella condizione conta, perché il codice è volontario. Volontario non significa giuridicamente irrilevante. L’adesione è la via che la Commissione e il comitato per l’IA hanno confermato come mezzo adeguato per dimostrare la conformità agli obblighi del capo V. Un fornitore che non aderisce non sfugge agli obblighi, ma solo a questo modo di adempierli.

Calendario, applicazione e il rinvio che è davvero avvenuto

L’applicazione scaglionata: divieti e obblighi di alfabetizzazione in materia di IA dal 2 febbraio 2025; obblighi GPAI e strutture di governance dal 2 agosto 2025; la data generale di applicazione dal 2 agosto 2026; i sistemi incorporati dell’allegato I originariamente dal 2 agosto 2027. Poi il calendario è slittato. L’AI Omnibus, proposto il 19 novembre 2025, è stato separato dal più ampio Digital Omnibus proprio perché le scadenze di agosto 2026 si avvicinavano. Il Parlamento ha adottato il suo mandato il 26 marzo 2026 con 569 voti favorevoli e 45 contrari; il Consiglio il suo orientamento generale il 13 marzo. Il secondo trilogo politico del 28 aprile 2026 si è chiuso senza accordo dopo circa dodici ore. Il punto di attrito era il coordinamento dell’AI Act con la normativa settoriale vigente sulla sicurezza dei prodotti; sul rinvio in sé le tre istituzioni avevano già convergito. L’accordo è arrivato il 7 maggio, il Parlamento ha approvato il 16 giugno, il Consiglio ha dato l’approvazione finale il 29 giugno e il regolamento è entrato in vigore il 27 luglio 2026, sei giorni prima della scadenza che modificava. Il rinvio è reale, parziale e disuguale all’interno del livello. Divieti, obblighi GPAI e trasparenza restano tutti sul calendario originario o quasi. All’interno del livello ad alto rischio le due vie si sono spostate in misura diversa: i sistemi autonomi dell’allegato III sono passati dal 2 agosto 2026 al 2 dicembre 2027, sedici mesi; i sistemi incorporati in prodotti dell’allegato I dal 2 agosto 2027 al 2 agosto 2028, dodici. L’Omnibus ha inoltre aggiunto due nuovi divieti all’articolo 5 applicabili dal 2 dicembre 2026 e ha riscritto l’obbligo di alfabetizzazione in materia di IA dell’articolo 4, da obbligo di garantire un livello sufficiente a obbligo di adottare misure che lo favoriscano. Lo stesso strumento ha quindi rinviato, ampliato e attenuato l’atto allo stesso tempo.

Il regolamento (UE) 2023/2854 è lo strumento meno discusso e, per chiunque gestisca servizi cloud o prodotti connessi, tra i più dirompenti sul piano operativo dell’intero corpus normativo. Dove il GDPR disciplina i dati personali, il Data Act disciplina i dati di prodotti e servizi in quanto tali, personali o no. Si tratta di dati prevalentemente non personali, industriali e generati da macchine, e il GDPR prevale ogni volta che sono coinvolti dati personali. Il Data Act ridistribuisce il controllo su quei dati per impostazione predefinita.

Il cambio di fornitore cloud: il fronte più tagliente

Il capo VI conta nove articoli (artt. 23–31) su cinquanta e, per l’industria del software, costituisce la maggior parte del peso pratico del regolamento. Impone ai fornitori di servizi di trattamento dei dati di eliminare tutti gli ostacoli precommerciali, commerciali, tecnici, contrattuali e organizzativi che impediscono a un cliente di passare a un altro fornitore o a un’infrastruttura on-premise. L’articolo 25 prescrive il contenuto contrattuale obbligatorio, e i numeri sono netti: termine massimo di preavviso per avviare il passaggio, due mesi; periodo transitorio durante il quale avviene il passaggio, 30 giorni di calendario (o, se tecnicamente impossibile, un’alternativa giustificata non superiore a sette mesi); periodo di recupero dei dati dopo il periodo transitorio, almeno 30 giorni; cancellazione integrale di tutti i dati esportabili al termine del recupero. Per l’IaaS, i fornitori devono garantire l’equivalenza funzionale nel nuovo ambiente. Dal 12 gennaio 2027 tutte le tariffe di passaggio sono vietate senza eccezioni.

La scaglionatura, e perché qui le date contano più del solito

La cibersicurezza è la parte del corpus in cui l’UE ha scelto le direttive anziché i regolamenti, e ne sta pagando il prezzo. Gli obblighi sostanziali sono ragionevoli e in larga parte non controversi; l’attuazione è stata la peggiore dell’intero acquis digitale.

L’articolo 21 della NIS2 fissa dieci misure di base per la gestione del rischio, tra cui analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, igiene informatica, politiche di crittografia e autenticazione a più fattori. L’articolo 23 stabilisce la cascata delle notifiche: preallarme entro 24 ore, notifica dell’incidente entro 72 ore, relazione finale entro un mese. L’articolo 20 è la disposizione che cambia i comportamenti: gli organi di gestione devono approvare e sovrintendere alle misure di gestione del rischio e possono essere ritenuti responsabili delle violazioni commesse dal soggetto (art. 20, par. 1); per i soggetti essenziali, l’articolo 32, paragrafo 6, richiede inoltre che le persone fisiche responsabili possano essere ritenute responsabili della violazione dei propri obblighi. Per i soggetti essenziali, gli Stati membri devono prevedere sanzioni massime pari ad almeno 10 milioni di euro o al 2% del fatturato mondiale.

Il 19 novembre 2025 la Commissione ha pubblicato il Digital Omnibus. È lo sviluppo più significativo in questo campo dopo il GDPR. La sua importanza sta meno nel contenuto che in ciò che ammette: che il corpus che l’Unione ha impiegato sei anni a costruire è abbastanza oneroso e internamente incoerente da richiedere una riparazione strutturale prima ancora di aver finito di arrivare.

I due binari, e i loro destini molto diversi

Il pacchetto si è scisso immediatamente. L’AI Omnibus (COM(2025) 836) è stato separato perché le scadenze dell’AI Act dell’agosto 2026 erano imminenti; è entrato in vigore il 27 luglio 2026. Il Data Omnibus (COM(2025) 837), che reca le modifiche a GDPR, ePrivacy, Data Act, DGA e NIS2, no. Resta davanti al Consiglio. Le quattro riforme principali del GDPR proposte dalla Commissione erano: un criterio relativo al soggetto per la nozione di dato personale nell’articolo 4, paragrafo 1; un nuovo articolo 41 bis che attribuisce alla Commissione il potere di stabilire, mediante atti di esecuzione, i mezzi e i criteri per determinare quando i dati pseudonimizzati cessano di essere dati personali; lo spostamento del consenso ai cookie in un nuovo articolo 88 bis del GDPR; e un nuovo articolo 88 quater che prevede una base esplicita di legittimo interesse per l’addestramento dei modelli di IA.

I regolatori hanno reagito, con durezza

L’EDPB e l’EDPS hanno adottato il parere congiunto 1/2026 sull’AI Omnibus e il parere congiunto 2/2026 sul Data Omnibus. Hanno sostenuto in generale gli obiettivi di semplificazione, ma sul nucleo del Data Omnibus (parere congiunto 2/2026) sono stati inequivocabili: la modifica della definizione di dati personali va ben oltre un intervento mirato e restringerebbe in modo significativo il concetto; il potere di adottare atti di esecuzione dell’articolo 41 bis non dovrebbe essere affidato alla Commissione; l’articolo 88 quater è superfluo, perché un parere esistente dell’EDPB ha già confermato che il legittimo interesse può fungere da base per lo sviluppo dell’IA. La risposta del Consiglio si è mossa in entrambe le direzioni. Entro maggio 2026 i successivi testi di compromesso della presidenza cipriota avevano soppresso tre delle quattro principali riforme del GDPR proposte dalla Commissione, e a fine giugno la presidenza ha ritirato il testo dal COREPER in mancanza di una maggioranza qualificata. Il compromesso riveduto della presidenza irlandese del 3 settembre 2026 (ST 12535/26, un documento a diffusione limitata pubblicato da noyb e successivamente reso disponibile nel registro del Consiglio) ha poi reintrodotto una clausola sul legittimo interesse per l’IA come nuovo articolo 88 bis, senza le garanzie della Commissione, compreso il diritto incondizionato di opposizione. Ha inoltre spostato il trattamento dei dati pseudonimizzati in un nuovo articolo 25 bis modellato sulla sentenza EDPS c. SRB e ha riportato il consenso ai cookie nella direttiva ePrivacy. Un ulteriore testo riveduto è stato alla base della riunione del gruppo Antici del 25 settembre (ST 13112/26) e il 2 ottobre il segretariato generale del Consiglio ha sottoposto al Coreper un progetto di mandato negoziale di 163 pagine (ST 13886/26, un documento a diffusione limitata ottenuto da Agence Europe). Il testo doveva essere messo ai voti al Coreper II l’11 ottobre 2026; secondo Agence Europe non è stato né discusso né votato, dopo un primo rinvio il 7 ottobre su pressione di Germania e Francia. Agence Europe ha riferito il 20 ottobre che una versione riveduta, con una maggiore tutela dei segreti commerciali e una relazione della Commissione sulla proporzionalità degli obblighi delle PMI, doveva essere esaminata dal Coreper il 21 ottobre; al momento della verifica, il 21 ottobre 2026, nessun esito di quella riunione era stato pubblicato. Al Parlamento il fascicolo è ancora all’esame della commissione congiunta ITRE–LIBE, che ha ricevuto il progetto di relazione a giugno 2026 e gli emendamenti a luglio ma non ha votato. Al 21 ottobre 2026 non risulta alcun mandato del Consiglio, e non vi sono né una posizione del Parlamento né un trilogo; nessuna delle modifiche proposte al GDPR, alla direttiva ePrivacy o al Data Act è legge.

Letto nel suo insieme anziché come sette progetti di conformità separati, il quadro digitale europeo presenta sei tensioni che spiegano gran parte di ciò che accadrà.

1. Il divario fra ambizione e capacità è la variabile dominante

Ogni strumento qui trattato promette più vigilanza di quanta il proprio vigilante possa erogare. È quindi prevedibile che l’applicazione resti selettiva, lenta e concentrata su un numero ristretto di imprese molto grandi.

2. Applicazione annunciata e applicazione realizzata sono grandezze diverse

Annunciato non significa riscosso: la DPC irlandese ha riscosso nell’ordine di 20 milioni di euro a fronte di oltre 4 miliardi comminati. A ogni cifra da titolo di giornale si applicano tre domande: è definitiva, è stata riscossa, e la condotta è cambiata? Alla terza si risponde spesso sì quando alle prime due si risponde no. Il prodotto che conta è il cambiamento dei comportamenti. Il gettito no.

3. La vaghezza è delega, e la delega sposta potere verso l’esecutivo

Gli standard operativi di questo corpus (rischio sistemico, capacità di impatto elevato, interoperabilità effettiva, alternativa genuinamente equivalente) sono quasi tutti a maglie larghe. Il contenuto effettivo della legge è fissato da linee guida della Commissione, atti delegati, codici di buone pratiche e norme armonizzate, anziché dal legislatore.

4. La sovrapposizione è deliberata, e il suo costo ricade su chi è conforme

Un solo sistema di raccomandazione può attivare contemporaneamente gli articoli 6, 22 e 35 del GDPR, gli articoli 27, 34, 35 e 38 del DSA, gli obblighi di trasparenza dell’AI Act e l’articolo 5(2) del DMA se l’operatore è un gatekeeper. La strategia razionale di conformità è costruire un unico insieme di controlli mappato su più regimi.

5. Il corpus è ormai un oggetto di politica estera

Tutte le imprese designate come gatekeeper e quasi tutte le VLOP sono non europee. Ciò incide sui tempi delle decisioni, sulla scelta tra sanzioni e impegni e sulla praticabilità politica di un ampliamento del perimetro.

6. Il pendolo ha oscillato, e oscillerà di nuovo

Il 2016-2024 è stata la fase di accumulo. Il 2025-2027 è la fase di consolidamento. Ma il consolidamento è contestato dall’interno: il Consiglio non ha ancora concordato un mandato sulle riforme del GDPR proposte dalla stessa Commissione, mentre i colegislatori hanno usato l’AI Omnibus per aggiungere nuovi divieti proprio mentre rinviavano il livello ad alto rischio. Semplificazione ed espansione avvengono nello stesso strumento.

Tutto ciò che sta nelle Parti da I a IX descrive un’Unione che legifera bene e produce poco. Questa è ormai la diagnosi ufficiale, non una critica esterna.

La diagnosi: che cosa ha detto davvero Draghi

The Future of European Competitiveness di Mario Draghi (settembre 2024) è il documento cardine di questo periodo. Draghi afferma esplicitamente che il divario di produttività tra UE e Stati Uniti si spiega in larga parte con il settore tecnologico. Circa il 70% dei modelli di IA di base è stato sviluppato negli Stati Uniti dal 2017, e tre hyperscaler statunitensi detengono oltre il 65% del mercato cloud mondiale ed europeo. Il maggiore operatore europeo detiene appena il 2% del mercato dell’UE, e la quota complessiva dei fornitori europei era scesa sotto il 16% nel 2021. Il giudizio netto di Draghi è che l’Unione ha perso il mercato del cloud. Ha però individuato segmenti in cui le imprese europee mantengono una posizione credibile (la robotica autonoma, con circa il 22% dell’attività mondiale, i servizi di IA con circa il 17%) e ha sostenuto che la mossa decisiva è l’integrazione verticale dell’IA nei punti di forza industriali europei: farmaceutica, energia, automotive. Draghi ha inoltre indicato il corpus normativo stesso come parte del problema: un intreccio complesso di regole sovrapposte che produce un divario di innovazione.

La risposta: il Tech Sovereignty Package

Il 3 giugno 2026 la Commissione ha pubblicato lo European Technological Sovereignty Package, che posiziona la seconda Commissione von der Leyen come in transizione da superpotenza regolatoria a potenza produttiva. Il suo elemento centrale, il Cloud and AI Development Act, poggia su una doppia base giuridica: l’articolo 114 TFUE (mercato interno) e l’articolo 173, paragrafo 3, TFUE (competitività industriale). Il Chips Act (regolamento (UE) 2023/1781) poggia già sulla stessa coppia di basi giuridiche.

Che cosa suggeriscono i dati che l’Europa dovrebbe fare davvero

1. Sistemare prima lo strato fisico. Permessi, connessione alla rete e tempi di allacciamento sono lo svantaggio europeo misurabile, e ricadono interamente sotto il controllo delle politiche europee.
2. Dare priorità all’adozione anziché alla creazione. È improbabile che l’Europa vinca la corsa ai modelli di base; può plausibilmente vincere sulla produttività integrando verticalmente i modelli esistenti nei settori in cui già primeggia.
3. Risolvere il capitale di crescita, non quello di avvio. La modalità di fallimento ricorrente è quella di imprese europee che nascono con successo e poi non riescono a crescere di scala.
4. Rendere la sovranità oggetto di valutazione del rischio anziché di dichiarazione: individuare quali specifiche minacce alla sovranità vadano prioritizzate, e quantificarne probabilità e conseguenze.
5. Ridurre l’onere complessivo attraverso l’architettura, non le esenzioni. Il fallimento dell’Omnibus finora suggerisce che ritagli sostanziali senza riforma istituzionale ottengano poco.

Due domande, tenute deliberatamente distinte perché hanno risposte diverse. Primo: misurato rispetto agli obiettivi che si è dato, il corpus funziona? Secondo: questo insieme di norme limita il potere dello Stato sui cittadini, o ne costruisce l’infrastruttura?

Parte prima: una pagella rispetto alle affermazioni dell’UE stessa

Lo schema è costante. L’UE è molto brava a definire obblighi e a stabilire norme che viaggiano a livello internazionale, discretamente brava a forzare cambiamenti di comportamento nelle grandi imprese, e scarsa in un’applicazione tempestiva, definitiva e riscuotibile. Promette sistematicamente troppo sui tempi e dota di troppe poche risorse la vigilanza. È una critica reale, ma riguarda l’esecuzione più che la sincerità: non esistono prove serie che gli obiettivi dichiarati siano pretestuosi.

Parte seconda: la domanda verticale, imprese contro Stati

Qui il quadro cambia nettamente. Quasi ogni strumento di questo documento regola il potere privato. I vincoli al potere pubblico sono più deboli, e lo sono soprattutto dove la posta in gioco è più alta. L’articolo 4, paragrafo 2, TUE riserva la sicurezza nazionale agli Stati membri, e l’AI Act non si applica ai sistemi di IA immessi sul mercato, messi in servizio o utilizzati esclusivamente per scopi militari, di difesa o di sicurezza nazionale (art. 2, par. 3). La Corte di giustizia ha però rifiutato di lasciare che una finalità di sicurezza nazionale sottragga al diritto dell’UE una normativa nazionale che obbliga i fornitori a trasmettere dati di comunicazione ai servizi di intelligence (Privacy International, C-623/17), il che limita fin dove l’esclusione può estendersi. L’analisi del CDT individua il pericolo specifico. L’AI Act definisce l’attività di contrasto in modo abbastanza ampio da sovrapporsi alla sicurezza nazionale, così che un’autorità potrebbe sottrarsi alle restrizioni sull’identificazione biometrica in tempo reale invocando la sola sicurezza nazionale.

I contrappesi sono reali, e non vanno sottovalutati

La Carta dei diritti fondamentali vincola gli Stati membri quando attuano il diritto dell’UE, e la CGUE l’ha usata ripetutamente contro misure di sorveglianza, con la massima coerenza nella giurisprudenza sulla conservazione dei dati che va da Digital Rights Ireland a Tele2 fino a La Quadrature du Net. I divieti dell’articolo 5 vincolano anche le autorità pubbliche: il punteggio sociale da parte dei governi, la polizia predittiva basata unicamente sulla profilazione e il riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole sono vietati senza eccezioni, per gli Stati come per le imprese. Pochi ordinamenti comparabili hanno adottato un elenco vincolante di questa ampiezza. La supervisione indipendente è strutturalmente radicata: l’EDPS vigila sulle stesse istituzioni dell’UE e si è opposto pubblicamente a proposte legislative della Commissione. E, nella lettura di questo documento, il Parlamento europeo è stato, in tutto questo periodo, tra i difensori istituzionali più coerenti della privacy.