Per chi progetta elettronica industriale e mette l’intelligenza artificiale dentro i prodotti, la conformità normativa è un tema attuale. Le prime scadenze cadono già nel 2026: gli obblighi di trasparenza dell’AI Act il 2 agosto, le segnalazioni obbligatorie del Cyber Resilience Act l’11 settembre. E dietro arriva l’onda più impegnativa: quella degli obblighi ad alto rischio. C’è anche un aspetto che in pochi hanno messo a fuoco: la responsabilità non si ferma a chi costruisce la macchina, ma risale la filiera fino al fornitore di componenti elettronici. Conviene capire come si incastrano queste regole, prima che a chiederlo sia un cliente o l’ACN.
Tre regolamenti sullo stesso prodotto
Il punto di partenza è la sovrapposizione, perché è lì che nasce la complessità. La stessa macchina intelligente può ricadere insieme sotto il Regolamento Macchine per la sicurezza, sotto il Cyber Resilience Act per la cybersicurezza, e sotto l’AI Act quando integra componenti di intelligenza artificiale. Questi regolamenti non si escludono a vicenda, ma si sommano.
Un esempio per rendere l’idea: Un sistema di visione con AI integrata che ferma una linea quando un operatore entra in una zona pericolosa. La funzione principale è di sicurezza, ed è un prodotto con elementi digitali connessi. Ricade quindi, in un colpo solo, sotto tutti e tre i regolamenti, dove ognuno guarda un aspetto diverso dello stesso oggetto.
AI Act: cosa scatta, e quando
L’AI Act, il Regolamento (UE) 2024/1689, classifica i sistemi di AI per livello di rischio, e concentra gli obblighi su quelli ad alto rischio. Il Digital Omnibus, approvato dal Parlamento il 16 giugno 2026 e dal Consiglio il 29 giugno 2026, ha rinviato le scadenze più pesanti. I sistemi ad alto rischio autonomi, come quelli per la selezione del personale o le infrastrutture critiche, slittano al 2 dicembre 2027. E l’AI integrata in prodotti già regolati, come le macchine e i dispositivi medici, slitta al 2 agosto 2028.
Non tutto, però, è stato rinviato, ed è qui che in molti si distraggono. Gli obblighi di trasparenza dell’articolo 50, che impongono di segnalare quando un contenuto o una decisione arrivano da un’AI, restano fissati al 2 agosto 2026 per i nuovi sistemi. Restano anche le pratiche vietate, con un nuovo divieto in vigore dal 2 dicembre 2026.
Regolamento Macchine: l’AI entra nella sicurezza
Se l’AI Act guarda al software, il Regolamento Macchine (UE) 2023/1230 guarda alla macchina intera, e diventa obbligatorio il 20 gennaio 2027, in sostituzione della Direttiva Macchine del 2006. Per la prima volta software, componenti di AI e cybersicurezza che incidono sulle funzioni di sicurezza entrano nei requisiti essenziali. E qui il Digital Omnibus ha fatto ordine. Per evitare doppioni, i requisiti di sicurezza sull’AI delle macchine vengono integrati dentro lo stesso Regolamento Macchine, con atti delegati attesi entro il 2 agosto 2028. In pratica chi costruisce una macchina non affronta due valutazioni separate.
Cyber Resilience Act: la sicurezza diventa tracciabile
Il terzo regolamento guarda al prodotto da un’angolazione ancora diversa. Il Cyber Resilience Act, il Regolamento (UE) 2024/2847, impone la cybersicurezza per tutto il ciclo di vita di ogni prodotto con elementi digitali immesso sul mercato europeo. Riguarda quindi anche sensori connessi, hardware industriale e moduli smart. Ed è già entrato nel vivo. Dall’11 settembre 2026 scattano le segnalazioni delle vulnerabilità sfruttate e degli incidenti.
La piena applicazione arriva l’11 dicembre 2027, e porta con sé l’obbligo che cambia il lavoro di chi fa software e hardware: il SBOM, la distinta leggibile dalla macchina di tutti i componenti software del prodotto, da tenere aggiornata e conservare per dieci anni. Attenzione però, perché il SBOM serve già prima. Senza sapere in tempo reale cosa c’è dentro ogni prodotto, la finestra di 24 ore per segnalare una vulnerabilità è semplicemente impossibile da rispettare.
La responsabilità è del fabbricante che immette il prodotto sul mercato e per gran parte dei prodotti basta l’autodichiarazione, la stessa logica che regge oggi la marcatura CE.
| Aspetto | AI Act | Regolamento Macchine | Cyber Resilience Act |
|---|---|---|---|
| Cosa regola | i sistemi di AI per livello di rischio | la sicurezza delle macchine, AI e cyber incluse | la cybersicurezza dei prodotti con elementi digitali |
| Cosa chiede | gestione del rischio, trasparenza, sorveglianza umana, documentazione | comportamento prevedibile, autonomia limitata, guasto sicuro | sicurezza dall’origine, gestione vulnerabilità, SBOM, aggiornamenti |
| Scadenza chiave | 2 ago 2028 (AI nei prodotti) | 20 gen 2027 | 11 dic 2027 |
| Chi risponde | fornitore e utilizzatore del sistema di AI | fabbricante della macchina | fabbricante del prodotto |
| Valutazione | tramite la normativa di prodotto (macchine) | terza parte per l’AI di sicurezza | autodichiarazione, terza parte se critico |
| Sanzione massima | 35 M€ o 7% (pratiche vietate) | fissata dagli Stati membri | 15 M€ o 2,5% |
Le scadenze in ordine
Su una linea del tempo, le date che contano sono queste.
| Data | Regolamento | Cosa entra in vigore |
|---|---|---|
| 2 ago 2026 | AI Act | trasparenza (art. 50) sui nuovi sistemi di AI |
| 11 set 2026 | Cyber Resilience Act | segnalazione vulnerabilità e incidenti (24h / 72h / 14 gg) |
| 2 dic 2026 | AI Act | nuove pratiche vietate e obblighi di watermarking |
| 20 gen 2027 | Regolamento Macchine | applicazione piena, AI e cyber nelle funzioni di sicurezza |
| 2 dic 2027 | AI Act | obblighi alto rischio, sistemi autonomi (allegato III) |
| 11 dic 2027 | Cyber Resilience Act | conformità piena e obbligo di SBOM |
| 2 ago 2028 | AI Act | obblighi alto rischio, AI integrata nei prodotti (allegato I) |
Cosa cambia per chi progetta l’elettronica
Tradotti dal linguaggio normativo a quello di progetto, i tre regolamenti chiedono cose sorprendentemente simili, ed è una buona notizia. Chiedono di sapere cosa fa il sistema di AI e di dichiararlo. Di tenerne l’autonomia dentro limiti definiti, con comportamento prevedibile e guasto sicuro. Di gestire i dati con cura, documentare tutto e costruire la sicurezza informatica dall’origine. Controlli come capacità dichiarate, confini di autonomia, registri di audit e validazione di ingressi e uscite soddisfano più regimi insieme.
In concreto, per l’ufficio tecnico questo si traduce in alcuni deliverable nuovi. La descrizione documentata di cosa il modello decide e con quali limiti. I dati e i criteri con cui è stato addestrato e validato. Le prove di comportamento in condizioni di guasto. I meccanismi di aggiornamento sicuro, come secure boot e firma del firmware. E il SBOM, mantenuto versione per versione.
C’è poi uno spostamento di fondo da cogliere. La conformità sta passando dal documento all’evidenza. Servirà documentazione leggibile dalla macchina, aggiornata e verificabile. Così il SBOM diventa una capacità operativa continua.
Un ultimo punto rischia di cogliere impreparati quelli che lavorano sull’esistente: la modifica sostanziale. Aggiornare una macchina già in campo, per esempio aggiungendo una funzione di AI, può farla ricadere nel nuovo Regolamento Macchine come se fosse un prodotto nuovo. Il retrofit intelligente, molto diffuso in ambito industriale, non sembrerebbe essere quindi neutro dal punto di vista normativo.
L’obbligo scende lungo la filiera
Ed eccoci al punto che rende questo tema interessante. La responsabilità è del fabbricante che immette il prodotto sul mercato, ma quel fabbricante integra componenti, software e dati che arrivano da altri. Il Cyber Resilience Act non distingue tra una vulnerabilità nata in casa e una ereditata da un fornitore: a rispondere è comunque il produttore finale. E per poter dichiarare conforme il proprio prodotto, quel produttore deve pretendere le stesse evidenze da chi gli fornisce i pezzi.
Non è teoria futura, sta già accadendo. Le grandi imprese soggette alla direttiva NIS2 chiedono ai propri fornitori prove documentali di conformità, spesso in anticipo sulle scadenze di legge, perché la loro conformità dipende da quella della catena a monte.
E le conseguenze non sono simboliche. Ad esempio, il Cyber Resilience Act prevede sanzioni fino a 15 milioni di euro. Per un fornitore, un componente che fa saltare la conformità del cliente non è una questione burocratica, ma è un rischio commerciale diretto.
Cosa fare adesso
La buona notizia è che il lavoro si può ordinare. Sei passi, in ordine di urgenza, coprono la parte che riguarda chi progetta e fornisce elettronica.
- Mappare i prodotti, capendo quali rientrano in quali regolamenti e in quale classe.
- Costruire il SBOM subito, senza aspettare il 2027, perché serve già per reggere la finestra di 24 ore del Cyber Resilience Act.
- Documentare l’AI, cioè cosa decide, con quali limiti di autonomia, con quali dati è stata validata e come si comporta in caso di guasto.
- Costruire la sicurezza dall’origine, con secure boot, firma del firmware e aggiornamenti garantiti per tutto il periodo di supporto.
- Trattare ogni retrofit con AI come un progetto nuovo, perché la modifica sostanziale può far ricadere la macchina nel nuovo regolamento.
- Preparare in anticipo il fascicolo di evidenze che l’OEM chiederà come condizione per continuare a fornire.
Conclusioni
Il messaggio, per chi progetta elettronica destinata all’industria europea, è che la conformità sta migrando. Da controllo finale sta diventando un requisito di partenza e un tratto competitivo. I tre regolamenti chiedono cose che si costruiscono dentro il prodotto, non che si aggiungono in coda: comportamento prevedibile, limiti di autonomia, sicurezza dall’origine, tracciabilità dei componenti. Chi si attrezza adesso non sta soltanto evitando una sanzione. Si sta comprando un posto al tavolo per la prossima generazione di macchine intelligenti, quando ogni OEM cercherà fornitori capaci di reggere il peso normativo insieme a quello tecnico.
Domande frequenti
Quando si applica l’AI Act ai prodotti industriali con AI?
Dipende dal tipo di sistema. Dopo il Digital Omnibus del 2026, gli obblighi per l’AI ad alto rischio integrata in prodotti già regolati, come le macchine, si applicano dal 2 agosto 2028. Quelli per i sistemi ad alto rischio autonomi partono dal 2 dicembre 2027. Gli obblighi di trasparenza dell’articolo 50, però, restano al 2 agosto 2026. Va ricordato che il Regolamento Macchine, dal gennaio 2027, porta comunque requisiti sull’AI di sicurezza.
Cosa cambia con il nuovo Regolamento Macchine per chi usa l’AI?
Dal 20 gennaio 2027 il Regolamento (UE) 2023/1230 include esplicitamente software, componenti di AI e cybersicurezza che incidono sulle funzioni di sicurezza di una macchina. Un componente di AI che governa una funzione di sicurezza deve garantire comportamento prevedibile, autonomia limitata e guasto sicuro, e in diversi casi passa da una valutazione di conformità di terza parte. Anche aggiungere l’AI a una macchina esistente può contare come modifica sostanziale.
Che cos’è il SBOM e perché me lo chiederanno?
Il SBOM, o distinta dei componenti software, è l’elenco leggibile dalla macchina di tutti i componenti software di un prodotto, incluse le dipendenze. Il Cyber Resilience Act lo rende obbligatorio dall’11 dicembre 2027, con conservazione per dieci anni. In pratica serve già da settembre 2026, perché senza non si rispetta la finestra di segnalazione di 24 ore. E lo chiederanno anche i clienti: senza il SBOM dei fornitori, un OEM non riesce a dimostrare la conformità del proprio prodotto.
Quali sono le sanzioni per chi non si adegua?
Sono pesanti. Il Cyber Resilience Act prevede multe fino a 15 milioni di euro o il 2,5% del fatturato mondiale annuo per la violazione dei requisiti essenziali e degli obblighi di segnalazione. L’AI Act arriva fino a 35 milioni o il 7% del fatturato per le pratiche vietate, con soglie più basse per le altre violazioni. Oltre alle multe, le autorità di vigilanza possono limitare la vendita o ordinare il ritiro del prodotto dal mercato europeo.
La mia azienda è troppo piccola per doversene preoccupare?
Difficilmente. Anche se l’obbligo formale ricade sul fabbricante che immette il prodotto finito sul mercato, la responsabilità su quel prodotto include i componenti di terzi. Per questo gli OEM trasferiscono le richieste a monte, e un fornitore di componenti o software si vede chiedere le evidenze di conformità a prescindere dalle dimensioni. Essere un piccolo fornitore non esenta dal tema, semmai è il motivo per cui ci si finisce dentro.
