Conformità digitale UE nel 2026: le regole che ora arrivano dentro il codice

Per circa sette anni il GDPR è stato l'unica normativa europea che ogni team di prodotto conosceva per nome. Se gestivi un sito che toccava utenti europei, imparavi cosa fosse una base giuridica, costruivi un banner cookie, firmavi accordi sul trattamento dei dati e passavi oltre.

Quell'epoca è finita. Tra il 2024 e il 2028 l'Unione europea sta rilasciando una pila di normative digitali che, prese singolarmente, sono impegnative quanto il GDPR e nel complesso molto più invasive. La differenza è che queste nuove regole non si fermano all'informativa privacy. Arrivano fino al vostro checkout, alla libreria di componenti, al processo di risposta agli incidenti, alla distinta base del software e al modello dati di prodotto.

Costruiamo e manteniamo software per aziende che operano in Europa, e passiamo buona parte della settimana a tradurre questi obblighi in ticket. Questa è la nostra mappa operativa: cosa si applica adesso, cosa arriva dopo e cosa significa davvero per chi scrive codice.

Perché questa ondata è diversa

Il GDPR era in gran parte orizzontale. Un regolamento, un insieme di principi, applicabile a chiunque tratti dati personali. L'ondata 2024-2028 è verticale e sovrapposta. Un'azienda di e-commerce di medie dimensioni che vende dispositivi connessi in Germania e Francia può oggi rientrare nell'ambito di almeno otto strumenti distinti contemporaneamente, ciascuno con la propria autorità, la propria scadenza e la propria definizione di chi sia responsabile.

Da qui tre conseguenze pratiche.

Primo, la conformità non è più qualcosa da aggiungere prima del lancio. Diverse di queste regole richiedono scelte di progettazione, e una scelta sbagliata al secondo mese costa una riscrittura al ventesimo.

Secondo, gli artefatti tecnici contano più della carta. Le autorità chiedono sempre più prove leggibili da macchina: una distinta base del software, una valutazione di conformità, una dichiarazione di accessibilità, una registrazione del consenso, una cronologia dell'incidente. Nessuno si impressiona per un documento di policy che descrive un controllo inesistente nel sistema.

Terzo, le scadenze sono scaglionate e alcune si sono spostate. Dopo il pacchetto Digital Omnibus proposto a novembre 2025, parti del Regolamento IA sono state rinviate mentre altre sono rimaste esattamente dov'erano. I team che hanno letto un titolo e si sono fermati stanno pianificando sulle date sbagliate.

Cosa si applica adesso

GDPR, ancora la base

Nulla nella nuova ondata sostituisce il Regolamento generale sulla protezione dei dati. Resta lo strato di base, ed è ancora da lì che arrivano le sanzioni più pesanti. Se il vostro modello dati, i job di cancellazione e il processo per le richieste degli interessati sono deboli, tutto ciò che ci sta sopra eredita quella debolezza. Abbiamo scritto una guida separata orientata all'ingegneria: la nostra guida pratica al GDPR per i siti web.

L'Atto europeo sull'accessibilità

La direttiva 2019/882 si applica dal 28 giugno 2025 e l'applicazione si è intensificata nel corso del 2026. Copre l'e-commerce rivolto ai consumatori, i servizi bancari, la biglietteria dei trasporti, le telecomunicazioni, gli e-book e altro. Il riferimento tecnico è la norma EN 301 549, che oggi corrisponde alle WCAG 2.1 livello AA, con una revisione attesa verso le WCAG 2.2.

Questa sorprende perché non è un esercizio documentale. Richiede modifiche reali al markup, alla gestione del focus, al contrasto dei colori, alla gestione degli errori nei moduli e alla navigazione da tastiera. Un tribunale francese ha già ordinato a Carrefour di raggiungere la conformità sotto penale giornaliera. I dettagli sono nella nostra guida all'Atto europeo sull'accessibilità.

Il Data Act

Il Regolamento 2023/2854 si applica dal 12 settembre 2025. Dà agli utenti un diritto sui dati generati dai loro prodotti connessi e obbliga i fornitori cloud a rendere il cambio di fornitore realistico anziché teorico. Dal 12 settembre 2026 i prodotti connessi e i servizi correlati immessi sul mercato dovranno essere progettati in modo che i dati siano accessibili per impostazione predefinita, il che è un requisito di architettura e non giuridico. Vedi la nostra analisi del Data Act.

NIS2

Gli Stati membri hanno recepito NIS2 a velocità molto diverse. La Germania ha aperto il portale di registrazione il 6 gennaio 2026, i Paesi Bassi hanno fatto entrare in vigore la loro legge il 15 agosto 2026, altri paesi stanno ancora recuperando. Se rientrate nell'ambito, dovete notifiche su un orologio di 24 ore e dovete ai vostri clienti la prova di gestire il rischio della catena di fornitura. La nostra guida pratica a NIS2 copre il lato operativo.

Verifica del beneficiario

Dal 9 ottobre 2025 i prestatori di servizi di pagamento dell'area euro devono offrire gratuitamente una verifica che il nome del beneficiario corrisponda all'IBAN prima che un bonifico venga confermato. Per chi costruisce flussi di pagamento o di erogazione, questo ha aggiunto un passaggio prima della conferma e una serie di stati di corrispondenza parziale da gestire nell'interfaccia. Ne abbiamo parlato in bonifici istantanei e verifica del beneficiario.

Cosa arriva nei prossimi dodici mesi

2 agosto 2026: trasparenza del Regolamento IA

Gli obblighi dell'articolo 50 sono ora in vigore. Se il vostro prodotto parla agli utenti tramite un chatbot, dovete dire loro che stanno parlando con una macchina. Se genera audio, immagini, video o testo sintetici, l'output deve essere marcato in modo leggibile da macchina. Un'ulteriore tranche, inclusi i dettagli sulla filigrana e un divieto delle applicazioni di denudamento, arriva il 2 dicembre 2026.

Gli obblighi più pesanti sull'alto rischio si sono spostati. I sistemi autonomi dell'allegato III hanno ora tempo fino al 2 dicembre 2027, e l'IA integrata in prodotti regolamentati fino al 2 agosto 2028. È una tregua reale, ma solo per il livello ad alto rischio. Analisi completa nel nostro articolo sulla trasparenza del Regolamento IA.

11 settembre 2026: segnalazioni del Cyber Resilience Act

I fabbricanti di prodotti con elementi digitali devono segnalare vulnerabilità attivamente sfruttate e incidenti gravi tramite un'unica piattaforma UE. Preallarme entro 24 ore, notifica completa entro 72 ore, relazione finale entro 14 giorni. Non si rispetta un orologio di 24 ore senza sapere cosa c'è dentro il proprio prodotto, ed è per questo che i team costruiscono pipeline SBOM con un anno di anticipo sull'obbligo formale. Vedi la guida al CRA.

12 settembre 2026: obblighi di progettazione del Data Act

Il requisito di progettare per l'accesso ai dati morde per i prodotti immessi sul mercato da quella data.

27 settembre 2026: Direttiva sulla responsabilizzazione dei consumatori

Le dichiarazioni ambientali generiche perdono copertura giuridica, le etichette di sostenibilità necessitano di verifica, e un'informativa e un'etichetta armonizzate sulle garanzie commerciali devono comparire nel percorso d'acquisto. È un cambiamento di contenuti e template su pagine prodotto, pagine categoria e checkout. Trattato in dichiarazioni ambientali e dati di prodotto.

24 dicembre 2026: Portafoglio europeo di identità digitale

Ogni Stato membro deve rendere disponibile almeno un portafoglio. Le parti facenti affidamento obbligate, tra cui banche, trasporti, energia, sanità e telecomunicazioni, dovranno accettarlo da dicembre 2027. Se volete essere accettanti precoci, dovete registrarvi come parte facente affidamento e supportare i formati di credenziale del portafoglio. La nostra guida all'integrazione del portafoglio EUDI spiega cosa comporta.

Cosa è ancora in movimento

Due dossier meritano attenzione senza pianificarci sopra troppo.

Il Digital Omnibus sposterebbe le regole sul consenso ai cookie dentro il GDPR stesso, tramite un proposto articolo 88a e articolo 88b. Le modifiche principali sono accettazione o rifiuto con un clic, una regola contro il richiedere di nuovo per sei mesi a chi ha rifiutato, e segnali di consenso leggibili da macchina giuridicamente vincolanti. I triloghi sono proseguiti fino a metà 2026. Nulla è definitivo e non ricostruiremmo una piattaforma di consenso presumendo che il testo passi immutato, ma la direzione è abbastanza chiara da influenzarne l'architettura. La nostra lettura è in il consenso ai cookie dopo il Digital Omnibus.

Il Digital Fairness Act è ancora in fase di proposta, atteso a fine 2026, e punta dritto ai dark pattern, ai prezzi personalizzati e al design che crea dipendenza. Realisticamente si applicherà tra il 2028 e il 2030. Conta ora solo perché indica quali pattern di interfaccia vivono su tempo in prestito.

Lo strato dei pagamenti che nessuno aveva previsto

C'è un altro spostamento che non è affatto una normativa, ma si comporta come tale per la velocità con cui si sta diffondendo nelle pagine di checkout europee.

Wero, il portafoglio costruito dalla European Payments Initiative, è passato dai trasferimenti tra privati all'e-commerce nel 2025 e 2026. Regola tramite bonifico istantaneo SEPA in circa dieci secondi e aggira completamente i circuiti delle carte. Lidl ha annunciato il supporto su lidl.de a luglio 2026, con accettazione in negozio e i negozi belga e francese più avanti nell'anno. Decathlon, Rossmann, Hornbach, Eventim e altri sono già attivi.

Nessuno è obbligato per legge ad accettare Wero. Ma quando un discount con l'impronta di Lidl aggiunge un metodo di pagamento, il resto del mercato tende a seguire, e l'integrazione non è lavoro regalato: atterra nel vostro checkout, nella macchina a stati degli ordini, nella logica dei rimborsi e nella riconciliazione. L'abbiamo descritta in la guida all'integrazione di Wero.

Come sequenziare senza perdere un trimestre

L'istinto è aprire un cantiere di conformità e provare a chiudere tutto. Di solito produce un foglio di calcolo e pochissimo codice consegnato. Cosa funziona meglio, secondo la nostra esperienza:

Partite dall'ambito, onestamente. La maggior parte di queste regole ha soglie, esenzioni e definizioni che cambiano materialmente ciò che dovete. Una microimpresa che fornisce servizi resta fuori da buona parte dell'Atto sull'accessibilità. Un'azienda che non fabbrica prodotti con elementi digitali resta fuori dal CRA. Mezz'ora sugli articoli di ambito veri fa risparmiare mesi.

Trovate le sovrapposizioni e costruite una volta sola. Il lavoro di accessibilità per l'EAA migliora anche i requisiti di chiarezza delle regole di trasparenza del Regolamento IA. L'infrastruttura di consenso costruita per il GDPR regge gran parte delle modifiche del Digital Omnibus. Una pipeline SBOM costruita per il CRA risponde a buona parte delle domande sulla catena di fornitura di NIS2. Trattatelo come lavoro di piattaforma condiviso, non come dodici progetti separati.

Sistemate prima ciò che richiede scelte di progettazione. Accesso ai dati per impostazione predefinita, accettazione di credenziali, semantica per l'accessibilità e architettura del consenso sono costosi da adattare a posteriori. I flussi di segnalazione e la documentazione no. Sequenziate di conseguenza.

Mettete per iscritto cosa avete deciso e perché. La maggior parte di questi regimi si aspetta che sappiate spiegare il vostro ragionamento, non solo mostrare una spunta verde. Un breve registro delle decisioni architetturali batte un lungo PDF di policy.

Dove ci collochiamo

Siamo una società di software, non uno studio legale, e lo diciamo chiaramente a ogni cliente. Non emettiamo pareri legali. Quello che facciamo è prendere l'interpretazione su cui si è attestato il vostro team legale e trasformarla in sistemi funzionanti: piattaforme di consenso, librerie di componenti accessibili, API di accesso ai dati, pipeline SBOM, integrazioni di portafoglio, flussi di pagamento e tutta la noiosa infrastruttura sottostante.

I nostri team lavorano da Lubiana e Novi Sad, dentro l'ambiente normativo che stiamo descrivendo, il che significa che affrontiamo queste scadenze anche sui nostri prodotti.

Se state cercando di capire quali di queste norme vi riguardano davvero, o avete una data in calendario e nessun piano dietro, scriveteci a office@c9group.dev. Potete anche leggere di più su come supportiamo le aziende che entrano o crescono in Europa nella nostra pagina sull'ingresso nel mercato europeo.