La proposta europea del Digital Omnibus [COM (2025) 837 (2025/0360 COD)] riapre una questione decisiva per il diritto digitale: un’informazione è personale in assoluto, oppure solo rispetto ai mezzi di identificazione concretamente disponibili a chi la tratta? La risposta può ridisegnare l’ambito del GDPR e gli obblighi di compliance. Il passaggio più delicato riguarda la definizione di dato personale, dalla quale dipende l’applicazione del GDPR.

L’adozione crescente di sistemi di IA nei processi aziendali impone una revisione delle clausole contrattuali tradizionali, in particolare di quelle relative alla gestione e alla protezione dei dati personali. Tali clausole non sono più meri adempimenti formali, ma strumenti sostanziali di accountability che traducono gli obblighi del GDPR in obbligazioni contrattuali esigibili tra le parti.

Fino a tempi recenti i processi di concessione del credito erano basati su modelli di IA predittiva, i quali si limitavano a fornire output numerici funzionali alla valutazione del rischio, senza determinare o influenzare in modo significativo l’esito dell’istruttoria. L’integrazione dei sistemi di IA generativa in questo scenario incide in maniera sistemica sulla governance del rischio.