Data Omnibus: l'addestramento dell'AI sarà considerato in blocco un "interesse legittimo"?

Dopo la pausa estiva del Parlamento è tornato il dibattito sul Data Omnibus, il pacchetto UE che deve semplificare e in parte allentare le norme sui dati. Come scrive netzpolitik.org, al centro dell'attenzione è finita la proposta di considerare in linea di principio conforme al diritto l'uso di dati personali per addestrare sistemi di AI, sulla base dell'"interesse legittimo".

L'impulso è il documento di compromesso della presidenza irlandese del Consiglio, datato 3 settembre 2026, il cui contenuto è stato rivelato da Politico. Il testo riporta in vita un'idea che la Commissione europea aveva inserito nel suo progetto di Data Omnibus e che nella prima metà dell'anno era stata cancellata su richiesta della presidenza cipriota. Secondo le indiscrezioni la soluzione era sostenuta da grandi Stati membri, tra cui la Germania. L'argomento era che avrebbe aiutato le aziende europee dell'AI.

La norma significherebbe che i fornitori di modelli non dovrebbero ottenere il consenso esplicito e informato degli utenti né svolgere una valutazione degli interessi caso per caso. Basterebbe una base giuridica presunta di carattere generale.

"Espropriazione digitale"

Max Schrems, capo dell'organizzazione noyb, non lascia nulla in piedi della proposta. A suo parere il progetto mette gli interessi dei colossi dell'AI al di sopra del diritto fondamentale alla protezione dei dati, e per questo lo definisce "espropriazione digitale degli europei". Il suo argomento è che da una simile norma trarranno vantaggio soprattutto le più grandi aziende tecnologiche, che hanno già raccolto dati su scala di massa.

Vale la pena ricordare che il solo addestramento di modelli su dati della rete non deve essere in contrasto con il GDPR: il Comitato europeo per la protezione dei dati ha ammesso che esistono basi giuridiche diverse dal consenso, per esempio il bilanciamento degli interessi. I giuristi discutono però se tale bilanciamento cada davvero sempre a favore delle aziende. Si indica tra l'altro la mancanza di trasparenza: gli utenti non sanno che cosa succede esattamente ai loro dati e dove questi ricompaiono.

Che cos'altro contiene il pacchetto

Il Data Omnibus fa parte di un'agenda di deregolamentazione più ampia. In precedenza sono stati tagliati gli obblighi di rendicontazione in materia ambientale e sono state attenuate alcune regole sull'AI, mentre il pacchetto sui dati modifica per la prima volta in profondità il GDPR. Oltre alla contestata base giuridica per l'addestramento contiene anche elementi molto meno controversi: il riordino di diverse leggi UE sui dati e l'unificazione delle procedure di segnalazione delle violazioni della protezione dei dati.

Il contesto istituzionale mostra quanto sia in gioco. La Commissione europea gestisce l'Ufficio per l'AI, che impiega oltre 125 persone e in sei unità si occupa tra l'altro dell'applicazione dell'AI Act e del rispetto delle regole da parte dei modelli di uso generale: può svolgere valutazioni dei modelli, chiedere informazioni e imporre sanzioni. Per le aziende la domanda sulla base giuridica dell'addestramento è quindi la domanda se i loro stessi dati possano essere usati, e se lo siano stati secondo regole che, come si vede, continuano a cambiare.