L’European Data Protection Board ha adottato l’11 luglio, in versione destinata alla consultazione pubblica, le nuove Linee guida 02/2026 sull’anonimizzazione. Il documento interviene su uno dei passaggi più delicati per lo sviluppo dell’intelligenza artificiale in Europa: stabilire quando le informazioni impiegate per addestrare un modello debbano ancora essere considerate dati personali e quando, invece, possano essere trattate come dati anonimi.
Da questa qualificazione dipende l’applicazione del GDPR all’intero dataset. Se i dati restano personali, chi li utilizza deve rispettare obblighi che comprendono l’individuazione di una base giuridica per il trattamento, la predisposizione delle informative sulla trasparenza e la garanzia dei diritti degli interessati. Se il dataset è realmente anonimo, esce invece dall’ambito di applicazione del regolamento europeo sulla protezione dei dati.
Le nuove indicazioni arrivano mentre le istituzioni europee, dopo l’approvazione di alcune modifiche all’AI Act, si preparano a riesaminare il cosiddetto Digital Omnibus. L’iniziativa propone misure di semplificazione relative ad alcuni aspetti del GDPR particolarmente sensibili per l’industria dell’intelligenza artificiale. Al centro si trova proprio la linea di confine tra dato personale e dato anonimo, dalla quale discendono adempimenti molto diversi per chi sviluppa e addestra modelli.
L’EDPB punta così ad aggiornare il quadro interpretativo costruito con il Parere 5/2014 dell’ex Gruppo di lavoro Articolo 29. Quel testo ha rappresentato per oltre un decennio il principale riferimento europeo in materia di anonimizzazione. Nel frattempo, la giurisprudenza della Corte di giustizia dell’Unione europea ha introdotto un’impostazione più articolata, rendendo necessario riconsiderare i criteri con cui viene valutata la possibilità di identificare una persona.
Il punto di arrivo di questa evoluzione è la recente sentenza EDPS v SRB. La decisione ha ribadito che l’anonimato non può essere valutato attraverso un giudizio assoluto o astratto. L’analisi deve assumere la prospettiva del soggetto rispetto al quale viene verificata l’identificabilità dell’interessato, considerando quindi il rapporto concreto tra le informazioni disponibili e chi le detiene o potrebbe accedervi.
È anche il primo principio messo in evidenza dall’EDPB: l’anonimato non costituisce una proprietà intrinseca del dato. Descrive piuttosto una relazione tra il dato stesso e l’entità che lo possiede o che potrebbe ottenerne l’accesso. Lo stesso insieme informativo può dunque richiedere una valutazione legata alla posizione, alle possibilità e al contesto del soggetto che lo utilizza, anziché una classificazione valida in modo indistinto.
Per le imprese dell’AI, questa impostazione sposta l’attenzione sulla valutazione concreta dei dataset di addestramento. Non basta attribuire ai dati l’etichetta di anonimi per escludere il GDPR: occorre verificare l’identificabilità dalla prospettiva pertinente. Da tale esame dipende l’eventuale necessità di gestire base giuridica, trasparenza e diritti degli interessati lungo le attività che coinvolgono i dati utilizzati dai modelli.
La consultazione pubblica apre ora il confronto sul nuovo riferimento europeo, mentre la revisione del Digital Omnibus riporta la semplificazione normativa nell’agenda delle istituzioni. Il nodo resta il coordinamento tra governance dell’AI e protezione dei dati: la definizione operativa di anonimizzazione stabilirà quali dataset rimangono sottoposti alle garanzie del GDPR e quali possono essere impiegati fuori dal suo perimetro.