Nel luglio 2026 il pacchetto di semplificazione del diritto digitale europeo noto come Digital Omnibus si presenta come una vicenda a due velocità. Il primo braccio — la proposta di regolamento di modifica dell’AI Act (COM(2025) 836) — ha completato l’iter legislativo: il Consiglio ha adottato il testo consolidato (PE-CONS 30/26), la cui pubblicazione in Gazzetta ufficiale è attesa a giorni, in una corsa contro il tempo dettata dalla scadenza del 2 agosto 2026, data in cui sarebbero altrimenti scattati gli obblighi per i sistemi di IA ad alto rischio, ora differiti al 2 dicembre 2027 per i sistemi autonomi e al 2 agosto 2028 per quelli integrati nei prodotti [1].Il secondo braccio — la proposta di regolamento su dati, privacy e cybersicurezza (COM(2025) 837), che interviene su GDPR, direttiva ePrivacy, NIS2 e Data Act — è invece ancora nel vivo del negoziato interistituzionale, e contiene la questione giuridicamente più profonda dell’intera operazione: la proposta di riscrivere la definizione di dato personale di cui all’art. 4, n. 1, del regolamento (UE) 2016/679 [2].È su questo secondo fronte che si concentra il presente contributo. La tesi che si intende argomentare è che la modifica proposta non costituisce un intervento di semplificazione amministrativa, categoria entro cui il pacchetto è stato politicamente presentato, bensì un’operazione di ridefinizione del perimetro applicativo di un diritto fondamentale — quello sancito dall’art. 8 della Carta dei diritti fondamentali dell’Unione europea — e che, come tale, essa vada valutata secondo i parametri propri delle limitazioni dei diritti della Carta, non secondo quelli della riduzione degli oneri regolatori. La vicenda offre peraltro un caso di studio di prim’ordine sul funzionamento dei contro-poteri istituzionali nell’ordinamento dell’Unione: come si vedrà, l’opposizione formale delle autorità indipendenti di protezione dei dati ha già prodotto, nel general approach del Consiglio, lo stralcio della disposizione più controversa.Indice degli argomenti