Due regolamenti europei entreranno in vigore tra il 2026 e il 2028 e ridefiniranno gli obblighi delle aziende che progettano, vendono o utilizzano prodotti digitali. Il Cyber Resilience Act (CRA) e l’AI Act impongono vincoli tecnici e organizzativi specifici. Misurare il loro ambito consente di comprendere quali voci di bilancio e quali processi interni saranno colpiti in priorità nell’universo dell’informatica.
Cyber Resilience Act e AI Act: calendario e sanzioni a confronto
I due testi non mirano agli stessi attori, non entrano in vigore nelle stesse date e non prevedono gli stessi limiti di sanzioni. La tabella qui sotto sintetizza le differenze.
Vedi anche : Scopri le ultime tendenze e innovazioni high-tech del momento
| Critero | Cyber Resilience Act (CRA) | AI Act |
|---|---|---|
| Prima scadenza vincolante | 11 settembre 2026 | 2 agosto 2025 (divieti), poi 2 agosto 2026 (obblighi di cultura IA) |
| Applicazione completa | 11 dicembre 2027 | 2 agosto 2027 (sistemi ad alto rischio) |
| Ambito | Tutti i prodotti contenenti elementi digitali venduti nell’UE | Sistemi di IA immessi sul mercato o utilizzati nell’UE |
| Sanzione massima | 15 M€ o 2,5 % del fatturato globale | 35 M€ o 7 % del fatturato globale (pratiche vietate) |
| Obbligo documentale chiave | SBOM (Software Bill of Materials) | Registro di trasparenza, valutazione di conformità |
Il CRA colpisce prima di tutto gli editori di software e i produttori di hardware connesso. L’AI Act, invece, riguarda qualsiasi azienda che implementa un sistema di IA, anche internamente. Tuttavia, i due testi condividono una logica comune: documentare, tracciare, aggiornare.
Numerose analisi settoriali pubblicate su la sezione informatica di The Web Brains dettagliano le implicazioni concrete di queste regolamentazioni per i team IT francesi.
Da scoprire anche : Le ultime tendenze e novità imperdibili del mercato immobiliare nel 2024
SBOM e marcatura CE digitale: cosa cambia per gli sviluppatori con il CRA
A partire da settembre 2026, ogni produttore di prodotto digitale venduto nell’UE dovrà segnalare entro 24 ore qualsiasi vulnerabilità attivamente sfruttata o qualsiasi grave incidente di sicurezza. Questo termine di notifica, modellato su quello del GDPR per le violazioni dei dati, impone una revisione dei processi di monitoraggio e risposta agli incidenti.
Il vincolo più strutturante rimane il SBOM. Questo documento esaustivo elenca tutte le dipendenze software di un prodotto, comprese le librerie open source. Mantenere un SBOM aggiornato richiede tre cambiamenti concreti nelle pratiche di sviluppo:
- Integrare uno strumento di analisi della composizione software (SCA) nella catena CI/CD per rilevare automaticamente le dipendenze obsolete o vulnerabili
- Formalizzare una politica di gestione degli aggiornamenti di sicurezza gratuiti per tutta la durata del supporto del prodotto, un impegno che il produttore dovrà documentare prima della messa sul mercato
- Preparare il fascicolo tecnico necessario per la marcatura CE di cybersecurity, che diventerà obbligatoria l’11 dicembre 2027 per tutti i prodotti contenenti elementi digitali
Per le PMI editrici di software, il costo della conformità pesa meno sugli strumenti (esistono soluzioni SCA open source) che sul tempo umano: documentare, testare i ripristini, formalizzare le procedure di notifica.
AI Act e obbligo di cultura IA in azienda: oltre la conformità tecnica
L’AI Act non si limita a classificare i sistemi di IA per livello di rischio. Già da agosto 2025, le pratiche di IA ritenute inaccettabili (valutazione sociale, manipolazione subliminale) sono vietate. La scadenza successiva, agosto 2026, impone un obbligo di “cultura IA” a qualsiasi organizzazione che implementa o sviluppa un sistema di IA.
Questo obbligo di formazione tocca un ampio spettro. Non si rivolge solo ai data scientist o agli ingegneri di machine learning. Anche i team di business che utilizzano uno strumento di scoring, di selezione automatica delle candidature o di raccomandazione ai clienti sono coinvolti.
Il testo richiede che le persone coinvolte nel funzionamento o nella supervisione di un sistema di IA abbiano un livello sufficiente di comprensione tecnica. Concretamente, ciò significa costruire programmi di formazione adeguati a ciascun profilo, documentare le competenze acquisite e poterlo dimostrare in caso di controllo.
A differenza del CRA, che mira ai produttori, l’AI Act responsabilizza anche gli utenti professionali di sistemi di IA ad alto rischio. Un’azienda che acquista un software di reclutamento assistito da IA deve verificare che questo software sia conforme, ma deve anche formare i propri reclutatori sul suo funzionamento e sui suoi limiti.
Cybersecurity e cloud: scelte di bilancio per le aziende francesi
L’accumulo di questi obblighi normativi pesa sui bilanci informatici. Le voci più colpite si suddividono in tre categorie:
- La sicurezza applicativa (audit del codice, SCA, test di penetrazione), guidata dalle esigenze del CRA e dal generale inasprimento degli attacchi sulle catene di approvvigionamento software
- La formazione e la governance IA, sostenute dall’AI Act, che richiedono risorse umane dedicate piuttosto che investimenti tecnologici pesanti
- L’infrastruttura cloud e la gestione dei dati, dove la scelta del fornitore (cloud sovrano o hyperscaler americano) condiziona sia la conformità al GDPR sia la capacità di rispondere ai requisiti di tracciabilità del CRA
Il mercato francese del cloud sta vivendo un riposizionamento. Diversi fornitori offrono soluzioni etichettate SecNumCloud, qualificate dall’ANSSI. Per le aziende che gestiscono dati sensibili, la scelta di un cloud qualificato diventa un criterio di conformità normativa e non solo un argomento commerciale.
Le scelte non sono solo finanziarie. Reclutare un profilo in grado di gestire simultaneamente la conformità al CRA e all’AI Act rimane difficile. Le competenze in cybersecurity, governance dei dati e regolamentazione digitale si sovrappongono, ma le formazioni che coprono questi tre ambiti rimangono rare sul mercato francese.
Il divario tra i due regolamenti si misura anche in termini di maturità delle aziende. La maggior parte delle organizzazioni dispone già di una politica di sicurezza informatica, anche minima. La governance IA, invece, parte spesso da zero nelle PMI e nelle ETI. È su questo aspetto che lo sforzo di adattamento sarà più visibile entro il 2027.