La pipeline legislativa digitale dell'UE: cosa arriva dopo le scadenze del 2026
La maggior parte di ciò che si scrive sulla conformità riguarda norme già applicabili. Utile per il prossimo audit, inutile per pianificare: le decisioni costose sono architetturali, e l'architettura si fissa diciotto mesi prima di una scadenza.
Qui trovate l'altra metà del quadro: cosa si sta muovendo dentro la macchina legislativa europea, più o meno quando arriverà e quale parte dovrebbe davvero pesare su ciò che state costruendo adesso.
Un avvertimento in apertura. Le proposte cambiano, alcune muoiono per strada, le date slittano. Niente di quanto segue è un buon motivo per mettersi a sviluppare sulla base di un testo non ancora adottato. È un buon motivo per evitare di costruire qualcosa che una norma chiaramente in arrivo renderà costoso.
Come leggere le fasi
Il diritto europeo attraversa fasi prevedibili, e sapere a che stadio è un dossier vi dice quanto potete fidarvene.
Annunciato nel programma di lavoro. La Commissione ha detto che intende proporre qualcosa. Nessun testo. Indica una direzione, nient'altro.
Proposta pubblicata. Un testo c'è. Cambierà, spesso parecchio, ma impianto e definizioni sono ormai sul tavolo.
Orientamento generale del Consiglio e mandato del Parlamento. Entrambi i colegislatori hanno una posizione. Lo spazio negoziale è finalmente visibile: ciò su cui sono già d'accordo con ogni probabilità sopravvive.
Trilogo. Negoziato a porte chiuse tra Parlamento, Consiglio e Commissione. L'esito di solito si colloca da qualche parte tra i due mandati.
Accordo politico, poi adozione formale, poi entrata in vigore, poi applicazione. L'intervallo tra adozione e applicazione è il momento in cui si lavora davvero, e va di norma dai diciotto mesi ai tre anni.
La regola pratica è semplice: quando entrambi i colegislatori hanno pubblicato il proprio mandato, sui punti in comune si può pianificare senza timori. Prima di quel momento, tutto va preso come indicazione di massima.
Attualmente in trilogo
Il Digital Omnibus
Il più grande pacchetto di semplificazione di questo ciclo, proposto a novembre 2025. Tocca il GDPR, il regolamento sull'IA, il regolamento sui dati, la direttiva ePrivacy e gli obblighi di notifica in materia di cibersicurezza.
Per i team di prodotto la parte che pesa di più sono i proposti articoli 88 bis e 88 ter: sposterebbero le regole sul consenso ai cookie dalla direttiva ePrivacy dentro il GDPR, allargherebbero i casi in cui il consenso non serve, introdurrebbero un periodo di silenzio di sei mesi dopo un rifiuto e renderebbero giuridicamente vincolanti i segnali di consenso leggibili dalla macchina impostati nel browser.
I triloghi sono andati avanti fino a metà 2026. È il cambiamento a breve termine con più probabilità di modificare il funzionamento pratico del consenso, e la nostra lettura la trovate in consenso ai cookie dopo il Digital Omnibus.
A chi interessa: a chiunque gestisca una piattaforma di consenso, analytics, pubblicità o personalizzazione.
Il pacchetto sull'euro digitale
Posizione del Consiglio a dicembre 2025, mandato della commissione parlamentare approvato con 43 voti contro 14, triloghi aperti a luglio 2026 e tutte e tre le istituzioni che puntano a chiudere entro il 2026. La sperimentazione della BCE parte dal secondo semestre 2027, con obiettivo di prima emissione nel 2029.
Il quadro completo è nella nostra guida all'attuazione dell'euro digitale.
A chi interessa: a banche, prestatori di servizi di pagamento, piattaforme di commercio elettronico, fornitori di software di cassa.
Financial Data Access, noto come FiDA
Il dossier dell'open finance. Porta l'accesso ai dati in stile open banking oltre i conti di pagamento, dentro investimenti, pensioni, assicurazioni e mutui, e crea una nuova categoria regolata: il prestatore di servizi di informazione finanziaria.
Di tutto questo elenco, FiDA è quello che ha avuto il percorso più accidentato. I negoziati in trilogo si sono arenati a inizio 2026 e sono poi ripartiti. Realisticamente l'applicazione sarà scaglionata tra il 2027 e il 2030.
A chi interessa: a fintech, insurtech, piattaforme di gestione patrimoniale e a chiunque abbia un prodotto che trarrebbe vantaggio da un accesso autorizzato ai dati finanziari oltre i conti correnti.
Concordato ma non ancora applicabile
PSD3 e il regolamento sui servizi di pagamento
Il 27 novembre 2025 Consiglio e Parlamento hanno raggiunto un accordo politico provvisorio sul quadro dei pagamenti. È la revisione della PSD2: obblighi rafforzati di prevenzione delle frodi, una ripartizione più ampia della responsabilità per alcuni tipi di frode, comprese quelle per impersonificazione, modifiche all'autenticazione forte del cliente, requisiti di prestazione per le interfacce di open banking e la fusione dei regimi di istituto di pagamento e di moneta elettronica.
Trattandosi di un regolamento più una direttiva, una parte si applica direttamente e una parte va recepita. Mettete in conto l'applicazione verso la fine del decennio, non prima.
A chi interessa: a qualsiasi prodotto che disponga pagamenti, detenga fondi dei clienti o consumi API di open banking.
Proposto, posizioni in formazione
Il portafoglio europeo d'impresa
Proposto come corrispettivo aziendale del portafoglio europeo di identità digitale. Se il portafoglio personale custodisce le credenziali di una persona, quello d'impresa custodisce quelle di una società: dati di registrazione, mandati, poteri di rappresentanza, certificati e la possibilità di scambiare documenti firmati oltre confine.
Il Consiglio ha adottato la propria posizione negoziale il 9 giugno 2026 e l'ambizione è arrivare a un accordo politico entro fine 2026. Gli Stati membri dovrebbero accettare i portafogli d'impresa per le procedure amministrative entro 24 mesi dall'entrata in vigore, con un anno in più per le funzionalità più complesse.
Il dettaglio è nella nostra guida al portafoglio europeo d'impresa.
A chi interessa: a chiunque costruisca onboarding B2B, approvvigionamento, verifica dei fornitori, fatturazione elettronica o processi aziendali regolamentati.
Il Cloud and AI Development Act
Una delle norme di punta dell'agenda di sovranità tecnologica della Commissione, attesa per la prima parte del 2026. Gli obiettivi dichiarati sono rafforzare la capacità europea di sviluppare, distribuire e scalare cloud e IA, colmare i vuoti normativi, promuovere l'interoperabilità e definire una politica cloud a livello UE per le amministrazioni pubbliche e gli appalti.
Il sottotesto è la dipendenza dai fornitori cloud non europei, e il meccanismo con più probabilità di mordere davvero sono gli appalti pubblici, non la regolazione diretta degli acquirenti privati.
Il dettaglio è nella nostra guida al Cloud and AI Development Act.
A chi interessa: ai fornitori cloud, a chiunque venda software ad acquirenti pubblici europei e a chiunque abbia un'architettura costruita su un unico hyperscaler.
Il Digital Networks Act
Presentato a gennaio 2026 dopo vari rinvii. Riscrive la governance delle telecomunicazioni: armonizzazione dello spettro, mercato unico delle comunicazioni elettroniche, standard di sicurezza delle reti e l'eterna disputa sull'opportunità che i grandi generatori di traffico contribuiscano ai costi di rete.
A chi interessa: agli operatori di telecomunicazioni, ai fornitori di CDN e connettività e a qualsiasi servizio i cui conti dipendano da un transito a basso costo.
Il Digital Fairness Act
Atteso per il quarto trimestre 2026, quindi per un bel po' resterà una proposta e non una legge. Punta dritto ai dark pattern, al design che crea dipendenza, al marketing degli influencer e alle pratiche di personalizzazione che sfruttano la vulnerabilità del consumatore, prezzi personalizzati compresi.
Questo merita attenzione molto prima di diventare applicabile, perché prende di mira schemi di interfaccia su cui parecchi prodotti oggi contano per convertire. Il dettaglio è nella nostra guida al Digital Fairness Act.
A chi interessa: a tutti i prodotti rivolti al consumatore, in particolare abbonamenti, videogiochi, marketplace e social.
Revisione del Chips Act
Nel programma di lavoro 2026 è stata inserita un'iniziativa legislativa per rivedere il regolamento europeo sui semiconduttori. Il primo Chips Act è stato ampiamente giudicato troppo debole rispetto alle sue ambizioni, e ci si aspetta che la revisione ci metta mano. Il lato finanziamento lo trovate nella nostra guida ai finanziamenti del Chips Act.
A chi interessa: alle aziende di semiconduttori e hardware e a chiunque segua i soldi della politica industriale europea.
Riforma degli appalti pubblici
Nel programma di lavoro 2026 è stato inserito anche un Public Procurement Act, con un'esplicita dimensione di preferenza europea per i settori strategici. Se vendete ad acquirenti pubblici europei, le regole di appalto sono il canale attraverso cui vi arriva addosso una quota sorprendente di politica tecnologica.
A chi interessa: a chiunque abbia ricavi dal settore pubblico in Europa.
Annunciato, ancora senza forma
Diverse iniziative sono state annunciate senza che ne esista un testo: un Quantum Act, uno Space Act, altri lavori sull'IA applicata alla scienza e la prosecuzione dell'avvio dello spazio europeo dei dati sanitari. C'è poi il regolamento di lungo corso sugli abusi sessuali sui minori, quello che tutti chiamano chat control, che si è arenato più volte sull'analisi lato client e resta irrisolto.
Tenetele d'occhio e basta. Sapere che esistono ha un valore. Progettarci attorno no.
Cosa è andato nella direzione opposta
Conviene sapere anche cosa è stato ritirato o messo in secondo piano, perché su questo buona parte dei commenti in circolazione è rimasta indietro.
La direttiva sulla responsabilità da IA è stata ritirata. Il regolamento ePrivacy, che per anni non è andato da nessuna parte, è stato abbandonato e la sua materia passa ora dal Digital Omnibus. La direttiva sulle asserzioni ambientali ha avuto un percorso in salita e la forma definitiva non è ancora chiara, mentre la direttiva sulla responsabilizzazione dei consumatori si applica comunque da settembre 2026.
La semplificazione è ormai un tema politico dichiarato. Non vuol dire meno regole in totale, ma vuol dire che alcuni dossier vengono accorpati invece che aggiunti.
Come usare tutto questo senza sprecare tempo
Davanti a un elenco del genere la tentazione è costruire un cruscotto e assegnare un responsabile a ogni riga. Il risultato è un foglio di calcolo e nient'altro.
Quello che funziona davvero è un altro:
Separate ciò che impone una scelta progettuale dal resto. Architettura del consenso, gestione di identità e credenziali, astrazione del metodo di pagamento e interfacce di accesso ai dati costano caro se le si aggiunge dopo. Processi di notifica e documentazione no. Solo la prima categoria giustifica di muoversi prima dell'adozione.
Cercate il terreno comune. Un'infrastruttura di consenso fatta bene regge le novità del Digital Omnibus. La verifica delle credenziali costruita per il portafoglio di identità regge in buona parte anche quello d'impresa. L'astrazione del metodo di pagamento regge allo stesso modo pagamenti istantanei, Wero ed euro digitale. Tre dossier, un solo lavoro di piattaforma.
Guardate i mandati, non le proposte. Quando Consiglio e Parlamento hanno pubblicato entrambi una posizione, la sovrapposizione è terreno sicuro. È lì che si comincia a costruire, non il giorno in cui esce una proposta.
Mettete per iscritto cosa avete deciso e quando. La maggior parte di questi regimi si aspetta che sappiate spiegare il vostro ragionamento. Una breve nota di decisione architetturale, con la data, vale più di un documento di policy scritto a cose fatte.
Dove ci collochiamo
Costruiamo e manteniamo software per aziende che operano in Europa, il che significa sempre più spesso costruire sistemi in grado di assorbire i cambiamenti normativi senza riscritture. Il grosso del lavoro non ha nulla di entusiasmante: astrarre nei punti giusti, tenere lo stato esplicito e mettere in configurazione i numeri che il legislatore ha lasciato apposta regolabili.
Se volete una lettura di quali di questi dossier tocchino davvero un prodotto specifico, scrivete a office@c9group.dev. Le norme già applicabili sono mappate nella nostra guida alla conformità digitale UE 2026, e trovate altro sul nostro lavoro europeo alla pagina dedicata all'ingresso nel mercato UE.
Siamo ingegneri, non avvocati, e questa è una mappa per pianificare, non una consulenza legale. Tutto quello che avete letto qui sopra resta un bersaglio mobile finché non finisce in Gazzetta ufficiale.