Il panorama informatico del 2026 si ridisegna sotto l’effetto congiunto di nuove regolamentazioni europee e di un’accelerazione tecnica che coinvolge sia i grandi gruppi che le PMI. Due assi strutturano le scelte future: la conformità normativa, diventata un prerequisito operativo, e l’integrazione controllata dell’intelligenza artificiale nei processi aziendali.
Cyber Resilience Act: cosa cambia il marchio CE cyber per i prodotti digitali
Il regolamento (UE) 2024/2847, noto come Cyber Resilience Act, impone un calendario vincolante. A partire dall’11 settembre 2026, ogni produttore di un prodotto contenente elementi digitali venduto nell’UE dovrà dichiarare entro 24 ore qualsiasi vulnerabilità attivamente sfruttata o qualsiasi incidente grave. La multa può arrivare fino a 15 milioni di euro o il 2,5% del fatturato mondiale.
La scadenza successiva, fissata per l’11 dicembre 2027, riguarda la messa in commercio: router domestici, telecamere connesse, software SaaS dovranno tutti soddisfare requisiti di cybersicurezza e riportare un marchio CE “cyber”. Raccomandiamo di trovare fin da ora informazioni su Digitale Naïve in informatica per misurare l’ampiezza degli obblighi settoriali.
Tra i deliverable attesi, la produzione di un SBOM (Software Bill of Materials) che dettagli tutte le dipendenze software, inclusi quelli open source, rappresenta un compito gravoso per gli editori che non hanno mai documentato la loro catena di componenti. I team DevSecOps devono integrare questa mappatura nel loro pipeline CI/CD ben prima della scadenza.
AI Act e modelli generativi: obblighi già in vigore per le aziende
Il calendario dell’AI Act europeo è spesso frainteso. Le pratiche vietate (manipolazione cognitiva, scoring sociale) sono effettive dal 2 febbraio 2025. Gli obblighi sui modelli di IA generativa di base (GPAI, tipo GPT o Mistral) si applicano dal 2 agosto 2025.
Gli obblighi ad alto rischio, invece, sono rinviati al 2 agosto 2028. Questo slittamento crea una zona grigia: una PMI che implementa un chatbot per il servizio clienti utilizza un modello GPAI già regolamentato, ma potrebbe non essere soggetta alle restrizioni “ad alto rischio” per altri due anni. Osserviamo che questa asimmetria spinge alcune strutture a rinviare qualsiasi messa in conformità, il che equivale a scommettere su un calendario politico incerto.
- Documentare la provenienza dei dati di addestramento utilizzati dal modello GPAI integrato, anche tramite un’API di terze parti
- Creare un registro dei casi d’uso IA all’interno dell’organizzazione, distinguendo i livelli di rischio
- Prevedere un audit di conformità interno entro la fine del 2027 per i sistemi suscettibili di passare nella categoria “ad alto rischio”
La difficoltà principale rimane l’identificazione dei componenti IA integrati in strumenti SaaS che l’azienda utilizza senza controllarne l’architettura. Un CRM potenziato da IA generativa può, a seconda del suo utilizzo, rientrare in obblighi diversi.
NIS 2 e DORA: la cybersicurezza diventa un obbligo aziendale per le PMI
NIS 2 amplia considerevolmente il perimetro delle entità interessate rispetto alla direttiva precedente. Settori come la gestione dei rifiuti, la produzione di dispositivi medici o i servizi postali rientrano nel campo di applicazione. Per una PMI industriale che non ha mai avuto un RSSI, l’obbligo di notifica degli incidenti e di gestione dei rischi della supply chain rappresenta un cambiamento di paradigma.
DORA, dal canto suo, si concentra sul settore finanziario con un approccio alla resilienza operativa digitale. I fornitori IT che offrono servizi a banche o assicuratori si trovano a loro volta soggetti a requisiti contrattuali rinforzati.
L’effetto a cascata è il punto da monitorare. Un editore di software di contabilità ospitato in cloud, che fornisce una mutua regionale, dovrà dimostrare la sua conformità DORA al suo cliente. La catena di subappalto IT diventa un vettore di responsabilità giuridica diretta.
Maturità digitale delle PMI francesi: freni reali e leve sottovalutate
La digitalizzazione delle PMI rimane molto disomogenea. I freni più documentati non sono tecnici ma organizzativi: resistenza al cambiamento delle squadre sul campo, assenza di sponsor nel comitato direttivo, budget IT percepito come un centro di costo piuttosto che come una leva di gestione.
Le aziende che riescono nella loro transizione condividono un tratto comune: iniziano con un caso d’uso preciso, misurabile in meno di tre mesi. Automatizzare il trattamento delle fatture fornitori, ad esempio, produce risultati visibili rapidamente e crea un effetto traino sulle squadre.
- Nominare un referente digitale interno, anche part-time, per centralizzare i feedback dal campo
- Privilegiare gli strumenti SaaS con un accompagnamento all’adozione piuttosto che soluzioni su misura lunghe da implementare
- Integrare la formazione continua alle nuove pratiche digitali nel piano di sviluppo delle competenze
- Misurare l’efficacia di ogni strumento implementato su un indicatore aziendale concreto (tempo di elaborazione, tasso di errore, soddisfazione del cliente)
L’esternalizzazione dell’informatica sta guadagnando terreno nelle strutture con meno di 250 dipendenti. Ricorrere a un fornitore gestito consente di coprire la manutenzione, la supervisione e la conformità normativa senza dover reclutare un intero team IT.
Transizione energetica e Green IT: un criterio di scelta hardware e software
La riduzione dell’impronta energetica del parco informatico non è più un argomento di marketing. Le politiche di acquisto responsabile integrano ora la durata dei materiali, la riparabilità e il consumo elettrico delle attrezzature in funzione.
Dal lato software, l’ecodesign applicativo riduce il consumo di risorse server e allunga la vita utile dell’hardware client. Un’applicazione web ottimizzata consuma meno larghezza di banda, sollecita meno il processore e funziona su macchine più vecchie, ritardando il rinnovo del parco.
La scelta di un fornitore cloud che mostri un PUE (Power Usage Effectiveness) documentato e un mix energetico verificabile diventa un criterio di selezione al pari della latenza o del prezzo per gigabyte. Le gare d’appalto pubbliche integrano sempre più queste esigenze nei loro capitolati.
I prossimi mesi concentrano una densità normativa rara in informatica. Cyber Resilience Act, AI Act, NIS 2, DORA: ogni testo impone deliverable concreti, scadenze precise e pesanti sanzioni finanziarie. Per le PMI come per le grandi aziende, la conformità normativa condiziona ora l’accesso al mercato, non solo la gestione del rischio.