Digital Omnibus UE – czy przepisy IT staną się lżejsze dla MŚP?

Skąd wziął się Digital Omnibus

Od kilku lat firmy w całej Unii Europejskiej mierzą się z narastającą liczbą przepisów cyfrowych – RODO, NIS2, AI Act, Cyber Resilience Act, DORA, Data Act – każdy z osobnym harmonogramem, definicjami i obowiązkami sprawozdawczymi. Dla dużych korporacji z działami compliance to uciążliwość. Dla firmy zatrudniającej dziesięć czy dwadzieścia osób – często realna bariera w prowadzeniu biznesu.

Komisja Europejska, pod presją państw członkowskich i organizacji biznesowych, ogłosiła pakiet Digital Omnibus – zestaw poprawek do kilku kluczowych aktów prawnych naraz. Celem jest redukcja obciążeń administracyjnych bez rezygnowania z ochrony danych i bezpieczeństwa. Brzmi jak kwadratura koła, ale kilka konkretnych zmian już jest na stole.

Co zmienia się w RODO

Najgłośniejsza część pakietu dotyczy złagodzenia obowiązków wynikających z RODO dla mniejszych podmiotów. Wśród proponowanych zmian znajdują się:

• rozszerzenie definicji małych i średnich firm zwolnionych z części obowiązków dokumentacyjnych,
• uproszczenie rejestru czynności przetwarzania dla firm o niskim ryzyku przetwarzania danych,
• doprecyzowanie, kiedy dane pseudonimizowane przestają być danymi osobowymi w rozumieniu przepisów,
• ujednolicenie terminów zgłaszania naruszeń, które dziś różnią się między RODO a NIS2.

To nie jest rewolucja – RODO w swojej istocie zostaje. Zmienia się jednak skala biurokracji, jaką musi udźwignąć mała firma, która przetwarza dane klientów w podstawowym zakresie: fakturowanie, newsletter, CRM.

AI Act i Cyber Resilience Act – łagodniejszy start

Drugi filar pakietu dotyczy przesunięcia i uproszczenia terminów wdrożenia AI Act oraz Cyber Resilience Act. Komisja zauważyła, że wiele firm – zwłaszcza tych korzystających z gotowych narzędzi AI, a nie budujących własne modele – miało problem z odróżnieniem, kiedy w ogóle podlegają obowiązkom ustawy.

Proponowane zmiany obejmują dłuższe okresy przejściowe dla systemów AI wysokiego ryzyka wdrożonych przed wejściem przepisów w życie oraz jaśniejsze wytyczne, kiedy firma jest jedynie użytkownikiem narzędzia AI (np. Copilota czy chatbota), a kiedy staje się jego dostawcą w rozumieniu ustawy – co wiąże się z zupełnie innym poziomem obowiązków.

W przypadku Cyber Resilience Act, który nakłada wymogi bezpieczeństwa na produkty z elementami cyfrowymi, pakiet zakłada uproszczoną ścieżkę oceny zgodności dla mniejszych producentów oprogramowania i urządzeń IoT.

Co to oznacza praktycznie dla firmy z Wrocławia

Zanim ktokolwiek odetchnie z ulgą, warto zaznaczyć: Digital Omnibus to na razie propozycja legislacyjna, która przechodzi przez Parlament Europejski i Radę UE. Proces może potrwać wiele miesięcy, a ostateczny kształt przepisów może się zmienić. Mimo to już teraz warto śledzić kierunek zmian, bo:

1. firmy planujące inwestycje w AI mogą poczekać na ostateczne doprecyzowanie obowiązków zamiast wdrażać kosztowne procedury zgodności na wyrost,
2. uproszczenie rejestru RODO nie zwalnia z obowiązku posiadania podstawowej dokumentacji ochrony danych – tylko zmniejsza jej zakres dla najmniejszych podmiotów,
3. NIS2 pozostaje bez większych zmian – to wciąż osobny obowiązek dla firm z sektorów kluczowych i ważnych.

Innymi słowy: deregulacja nie oznacza zniknięcia obowiązków, tylko ich lepsze dopasowanie do skali działalności. Firma, która dziś ma poukładaną dokumentację IT i politykę bezpieczeństwa, nie straci nic na zmianach – zyska mniej papierologii.

Jak przygotować się już teraz

Niezależnie od tego, kiedy i w jakim kształcie Digital Omnibus wejdzie w życie, dobra praktyka się nie zmienia: uporządkowana dokumentacja IT, znajomość tego, jakie narzędzia AI i chmurowe są w firmie wykorzystywane, oraz aktualny rejestr systemów przetwarzających dane osobowe to fundament, który ułatwia dostosowanie się do każdej wersji przepisów.

Warto już teraz zrobić przegląd używanych narzędzi AI pod kątem tego, czy firma jest ich użytkownikiem czy dostawcą, oraz sprawdzić, czy dokumentacja RODO odpowiada rzeczywistej skali przetwarzania danych – bez zbędnego przeszacowania ani niedoszacowania ryzyka.