Con il provvedimento n. 464 del 18 giugno 2026, reso noto con la newsletter del 29 luglio, il Garante per la protezione dei dati personali ha irrogato sanzioni per complessivi 280.000 euro a una società editoriale che inviava comunicazioni promozionali a persone che avevano avviato la registrazione sul sito senza mai confermarla, e che non aveva risposto a una richiesta di informazioni dell’Autorità. Il caso è istruttivo perché non riguarda una pratica aggressiva o un acquisto di liste da terzi, ma un’impostazione del flusso di iscrizione che molte imprese riconosceranno come propria.

Una registrazione avviata e mai confermata

Il procedimento nasce dal reclamo di un utente che riceveva messaggi promozionali senza averli richiesti. L’istruttoria ha accertato che la società considerava perfezionato il rapporto contrattuale anche quando l’utente non completava la creazione dell’account, cioè quando non cliccava sul collegamento di conferma inviato via email, e procedeva comunque all’invio di comunicazioni commerciali.

Il punto qualificante della decisione sta nella lettura che l’Autorità dà di quel collegamento. La società lo trattava come un mero passaggio tecnico. Il Garante ha osservato che era la stessa società a indicare la conferma come necessaria per completare la registrazione, e che in sua assenza la registrazione restava non confermata e non completata. Il flusso rappresentava quindi, nelle parole del provvedimento, più un meccanismo di double opt-in che un mero passaggio tecnico. A nostro giudizio la lezione è semplice. Se il sistema chiede una conferma, l’assenza di conferma è un dato significativo, non un rumore di fondo.

Le violazioni contestate e la composizione dell’importo

All’origine di tutto c’è un problema di base giuridica. La società fondava l’invio sull’esecuzione del contratto, ma l’Autorità ha rilevato che, restando la registrazione non confermata, mancavano evidenze idonee a dimostrare l’esistenza del rapporto contrattuale. Il modulo presente sul sito, inoltre, non raccoglieva alcun consenso per l’invio di comunicazioni commerciali, e il Garante ha escluso che si potesse applicare l’eccezione prevista per gli indirizzi forniti nel contesto di un acquisto. Il Regolamento (UE) 2016/679 risulta violato sotto tre profili, la liceità del trattamento, le condizioni per il consenso e il diritto di opposizione dell’interessato.

Al Regolamento europeo si affianca il Codice in materia di protezione dei dati personali, richiamato sia per l’invio di comunicazioni promozionali senza consenso, all’articolo 130, sia per il mancato riscontro alla richiesta di informazioni dell’Autorità, all’articolo 157.

La sanzione complessiva di 280.000 euro si compone di due parti. Centottantamila euro riguardano il trattamento illecito a fini promozionali e la gestione dell’opposizione, centomila il mancato riscontro alla richiesta di informazioni del Garante. Per la prima parte l’Autorità ha giudicato la gravità media, perché il trattamento lamentato riguardava un solo interessato e un solo tipo di dato, ma ha accertato la colpa grave e ha considerato due precedenti provvedimenti a carico della stessa società, del 2022 e del 2024, e l’assenza di cooperazione durante l’istruttoria. I precedenti hanno pesato solo su questa quota. La società può definire la controversia pagando la metà della sanzione, cioè 140.000 euro, entro il termine previsto per l’impugnazione, e il provvedimento può essere opposto davanti al tribunale ordinario entro trenta giorni.

Il ritardo nel riscontro all’interessato pesa sull’importo

Un secondo profilo, spesso sottovalutato, ha inciso sulla decisione. Una richiesta di opposizione è stata ricevuta il 17 settembre 2025 dal responsabile del trattamento che operava per conto della società, che ne ha informato il titolare lo stesso giorno, ma le comunicazioni promozionali sono proseguite fino al 3 novembre e la società vi ha dato seguito solo dopo quella data. Il Regolamento europeo prevede un riscontro entro un mese dal ricevimento della richiesta, prorogabile di due mesi se l’interessato ne viene informato entro il primo mese, e il Garante ha fatto decorrere il termine dal 17 settembre, per cui nel caso concreto scadeva il 17 ottobre 2025. La società non ha inoltre dato riscontro a una richiesta di informazioni formulata dall’Autorità il 9 febbraio 2026, adducendo un avvicendamento nel ruolo del responsabile della protezione dei dati, il DPO.

È un passaggio che merita attenzione perché la gestione delle richieste degli interessati è un processo, non un evento occasionale, e come tale va presidiato anche durante i cambi di persona e anche quando la richiesta arriva a un fornitore. Il solo mancato riscontro all’Autorità vale centomila euro dei 280.000 complessivi, più di un terzo della sanzione.

Il peso della conferma nel caso deciso

Il provvedimento è una decisione su un caso concreto e non modifica alcuna norma. Il testo del Regolamento europeo e quello del Codice restano quelli in vigore, e le misure correttive vincolano solo la società sanzionata.

Nelle linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013 il Garante indicava l’invio di un’email con un collegamento di conferma come un sistema utile a verificare l’identità di chi si registra a un sito per ricevere offerte promozionali, nell’ambito della documentazione del consenso. Nel caso deciso la conferma assume un peso ulteriore, perché era la stessa società a chiederla come passaggio per completare la registrazione e poi a fondare gli invii sul contratto. Senza conferma quel contratto non era dimostrato, e con esso veniva meno la base giuridica invocata.

Vale però una precisazione. Nessuna norma impone espressamente il doppio opt-in, cioè la conferma dell’iscrizione attraverso un secondo passaggio successivo alla registrazione. Resta una prassi e non un obbligo di legge, ma quando il titolare la adotta deve trarne le conseguenze, e i contatti che non confermano non possono essere trattati come se lo avessero fatto.

La conferma, inoltre, non basta da sola. Il doppio opt-in serve a dimostrare che l’iscrizione è stata voluta da chi controlla l’indirizzo, ma per le email promozionali serve comunque un consenso specifico e documentato, previsto dall’articolo 130 del Codice, oppure i presupposti dell’eccezione per gli indirizzi forniti nel contesto di un acquisto, limitata alla promozione di prodotti o servizi analoghi.

Le misure correttive ordinate

Oltre alla sanzione pecuniaria il Garante ha ordinato di conformare il trattamento, invocando la base giuridica contrattuale solo per gli utenti che hanno confermato l’account e cessando il trattamento di quelli che non lo hanno fatto, salvo che sussistano altre basi di legittimità, di adottare misure tecniche e organizzative adeguate ad agevolare l’esercizio dei diritti degli interessati e a dare seguito alle loro istanze senza ingiustificato ritardo, e di comunicare all’Autorità entro trenta giorni dalla notifica le iniziative intraprese. Ha disposto inoltre la pubblicazione del provvedimento e l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

La prima misura è la più significativa per chi gestisce campagne di email marketing. Nel caso deciso la conferma dell’iscrizione era la condizione per poter invocare il contratto, e senza di essa, in assenza di altre basi di legittimità, il trattamento andava cessato.

Cosa verificare nei propri flussi di iscrizione

La lezione del provvedimento si traduce in una revisione mirata dei processi, che riguarda tanto la piattaforma di invio quanto le procedure interne.

• Verificare che i contatti che non hanno completato la conferma siano esclusi dalle liste di invio, e non semplicemente marcati come inattivi.
• Verificare che per ogni contatto usato a fini promozionali esista un consenso specifico al marketing, distinto dall’accettazione delle condizioni del servizio, oppure che ricorrano i presupposti dell’eccezione per chi ha già acquistato.
• Distinguere con chiarezza, nel registro dei trattamenti, la base giuridica dell’invio di comunicazioni di servizio da quella delle comunicazioni promozionali.
• Conservare la prova della conferma e del consenso per ciascun contatto, con data, ora e modalità di acquisizione, in modo da poterla esibire su richiesta.
• Definire un processo di gestione delle richieste degli interessati che regga anche in caso di assenza o avvicendamento delle persone incaricate, con l’obbligo per fornitori e responsabili del trattamento di inoltrare subito le richieste ricevute, perché il termine può decorrere dalla loro ricezione.

Al termine della verifica la lista si trova in una di due situazioni. Nella prima ogni indirizzo usato per il marketing è accompagnato da una conferma e da un consenso tracciati e recuperabili, o rientra nell’eccezione per chi ha già acquistato, e la lista è utilizzabile. Nella seconda emergono contatti privi di conferma o di consenso, e il loro trattamento a fini promozionali va cessato, come il Garante ha ordinato nel caso deciso. A nostro giudizio anche ricontattarli per sollecitare l’iscrizione è un trattamento dei loro dati, da valutare solo se esiste una base giuridica autonoma.

Una lista più piccola e difendibile vale più di una grande e contestabile

La sanzione da 280.000 euro va letta per quello che è. La violazione principale è stata giudicata di gravità media, e sull’importo hanno pesato i precedenti, la mancata cooperazione e la sanzione autonoma per il silenzio verso il Garante. La cifra dipende quindi anche dalla storia della società sanzionata, mentre il principio vale per tutti. L’Autorità non guarda al volume del database, guarda alla base giuridica che sostiene ogni invio.

Per l’imprenditore questo significa che la dimensione di una lista di contatti non è di per sé un indicatore di valore. Lo diventa quando ogni indirizzo è accompagnato da una prova di consenso ricostruibile, perché solo in quel caso la lista è realmente utilizzabile per il marketing, mentre la sua cessione a terzi richiede un consenso specifico ulteriore. Affianchiamo le aziende nella revisione dei flussi di acquisizione dei contatti, nella verifica delle basi giuridiche delle campagne e nella costruzione di procedure di riscontro agli interessati sostenibili nel tempo, perché a nostro giudizio un database costruito bene è una leva commerciale, e uno costruito male è una passività latente.

L'articolo Doppio opt-in non confermato, la sanzione del Garante da 280.000 euro proviene da Effe Diligence.

Il decreto interministeriale attuativo, adottato dal Ministro del lavoro di concerto con la Ministra per la famiglia e con il Ministro dell’economia, è stato trasmesso alla Corte dei conti per la registrazione. Con questo atto, in attesa di registrazione, le regole dell’esonero sono definite. Per presentare la domanda servono le istruzioni dell’INPS, che fissano termini e finestre, e che al 13 ottobre 2026 non risultavano ancora pubblicate.

Che cosa è cambiato rispetto al testo di aprile

Nella versione originaria del decreto-legge l’esonero era già fissato in misura non superiore all’1% dei contributi previdenziali a carico del datore di lavoro, entro 50.000 euro annui per azienda, a decorrere dall’entrata in vigore della legge di conversione. Erano invece rinviate a un decreto attuativo, da adottare entro trenta giorni dall’entrata in vigore della legge di conversione, le modalità di attuazione, comprese le procedure per ottenere la certificazione e la sua durata di validità.

La legge 25 giugno 2026, n. 112, pubblicata nella Gazzetta Ufficiale n. 147 del 27 giugno 2026 e in vigore dal 28 giugno, ha precisato che l’esonero vale per gli anni 2026, 2027 e 2028. Il 28 giugno 2026 è quindi la data da cui l’esonero può decorrere.

Il decreto attuativo ha definito gli elementi che mancavano. Fissa nella UNI/PdR 192:2026 i parametri minimi della certificazione, richiede che a rilasciarla sia un organismo accreditato specificamente per quella prassi, stabilisce una validità di 36 mesi e disciplina la domanda all’INPS, il riparto delle risorse e i controlli. Prima del decreto un’impresa conosceva la misura del beneficio e gli anni di applicazione, ma non come ottenerlo né quanto durasse la certificazione.

Quanto vale l’esonero e per quanto tempo

L’esonero riduce fino all’1% i contributi previdenziali a carico del datore di lavoro, con un tetto di 50.000 euro annui per azienda, ed è applicato su base mensile. Resta ferma l’aliquota di computo delle prestazioni pensionistiche, quindi l’esonero non riduce l’aliquota con cui si calcolano le pensioni dei lavoratori.

Con la misura piena dell’1%, il tetto di 50.000 euro corrisponde a cinque milioni di euro annui di contributi datoriali, e sotto questa soglia il limite effettivo è l’1%. Per una PMI con 300.000 euro annui di contribuzione a carico dell’azienda, l’esonero arriva al massimo a 3.000 euro l’anno, cioè a 250 euro al mese, salvo riduzione proporzionale.

L’esonero spetta in relazione ai mesi di validità della certificazione, a partire dal 28 giugno 2026 e non oltre il 31 dicembre 2028. Le risorse sono di 7 milioni di euro per il 2026 e di 12 milioni per ciascuno degli anni 2027 e 2028. Le domande presentate nella stessa finestra concorrono sulle risorse dell’anno, e se queste non bastano il beneficio è ridotto in proporzione.

Alle aziende certificate il decreto-legge riconosce anche attività di promozione dell’Agenzia ICE, secondo i provvedimenti dell’Agenzia e nei limiti delle risorse disponibili.

La certificazione che dà diritto all’esonero

Il requisito è la certificazione per la conciliazione tra famiglia e lavoro prevista dall’articolo 8, comma 1, lettera e), del decreto legislativo 27 novembre 2025, n. 184, rilasciata in conformità alla UNI/PdR 192:2026. La prassi riguarda le politiche aziendali per la genitorialità, l’equilibrio tra vita e lavoro, le pari opportunità e il benessere organizzativo, e i suoi contenuti sono descritti nell’insight sulla nuova certificazione per la conciliazione vita-lavoro.

Il certificato deve essere rilasciato da un organismo di valutazione della conformità accreditato secondo la UNI CEI EN ISO/IEC 17021-1, con un accreditamento specifico per la UNI/PdR 192:2026. Accredia ha fissato le regole di questo accreditamento con la circolare tecnica DC n. 29/2026 del 2 luglio 2026. Un certificato emesso fuori da questo perimetro, per esempio da un ente che non ha ottenuto l’accreditamento per lo schema, non dà accesso all’esonero.

La certificazione vale 36 mesi. L’esonero è distinto da quello collegato alla certificazione della parità di genere UNI/PdR 125:2022, e il decreto-legge e il decreto attuativo non regolano il cumulo fra i due. Chi è già certificato per la parità di genere non accede a questo esonero senza la certificazione UNI/PdR 192.

Domanda all’INPS e condizioni di accesso

La domanda si presenta solo in via telematica all’INPS, dal legale rappresentante, da un suo delegato o dai professionisti abilitati dalla legge n. 12/1979, come i consulenti del lavoro, con una dichiarazione resa ai sensi del D.P.R. n. 445/2000 che contiene

• i dati identificativi dell’azienda;
• la retribuzione media mensile globale, l’aliquota contributiva datoriale media e la forza aziendale media stimate per il periodo di validità;
• gli estremi della certificazione, l’organismo che l’ha rilasciata e la data di rilascio;
• l’assenza di provvedimenti di sospensione dei benefici contributivi.

L’impresa che presenta la domanda entro il primo termine utile successivo al rilascio del certificato, secondo le indicazioni che l’INPS fornisce ogni anno, è ammessa all’esonero per l’intero periodo di validità, sempre entro il 31 dicembre 2028. Il decreto non disciplina le domande presentate dopo quel termine. L’INPS autorizza l’esonero fino all’1%, entro 50.000 euro annui e salvo riduzione proporzionale.

Valgono le condizioni comuni ai benefici contributivi fissate dall’articolo 1, comma 1175, della legge n. 296/2006, cioè il possesso del DURC, il rispetto degli altri obblighi di legge e degli accordi e contratti collettivi stipulati dalle organizzazioni sindacali comparativamente più rappresentative sul piano nazionale, insieme al rispetto della normativa sugli aiuti di Stato. A queste si aggiunge la condizione introdotta dallo stesso decreto-legge 62/2026 sul salario giusto. Accede ai benefici previsti dal decreto-legge, compreso questo esonero, solo il datore di lavoro che corrisponde un trattamento economico individuale non inferiore al trattamento economico complessivo del contratto collettivo di riferimento. Questo comprende tutte le voci retributive fisse e continuative previste dai contratti collettivi ed esclude le voci discrezionali e variabili attribuite ai singoli lavoratori.

La rinuncia o la revoca della certificazione va comunicata tempestivamente all’INPS e al Dipartimento per le politiche della famiglia. Chi ha fruito dell’esonero senza diritto deve versare i contributi dovuti e le sanzioni previste dalla legge, salva la responsabilità penale.

Il calendario che conta per le imprese

Il termine finale del 31 dicembre 2028 è fisso, mentre l’inizio dell’esonero dipende dalla data del certificato e dalla domanda presentata nel primo termine utile. Il 28 giugno 2026 resta un limite teorico, perché Accredia ha approvato le regole per accreditare gli organismi solo il 2 luglio 2026, con la circolare DC n. 29/2026. Ogni mese che passa prima del rilascio del certificato è un mese di esonero che non si recupera. Un certificato rilasciato il 1° marzo 2027 può dare diritto all’esonero da marzo 2027 a dicembre 2028, cioè per ventidue mesi, se la domanda è presentata al primo termine utile e salvo riduzione proporzionale.

Unioncamere gestisce un avviso dedicato alla certificazione UNI/PdR 192:2026, in regime de minimis, con una dotazione di 7,5 milioni di euro e il 60% delle risorse riservato a micro, piccole e medie imprese. L’avviso copre fino a sei giornate di assistenza tecnica, per un massimo di 2.459,01 euro al netto dell’IVA, e la sola prima certificazione, con un contributo massimo che cresce con gli addetti equivalenti coinvolti nei processi più critici e non con l’intero organico, fino a 1.800 euro tra uno e cinque addetti e fino a 12.000 euro oltre i 250. Sorveglianze e rinnovo restano a carico dell’impresa, mentre chi alla data della domanda è certificato UNI/PdR 125:2022 o Family Audit può chiedere un aumento di 450 euro, per la sorveglianza che cade fra la domanda e la nuova certificazione.

Le domande si presentano a sportello dalle 10 del 21 settembre 2026 alle 16 del 31 marzo 2027, salvo esaurimento anticipato delle risorse, e l’istruttoria si chiude entro 90 giorni dall’invio della domanda, salvo sospensione per richieste di integrazione. La certificazione va ottenuta entro il 30 giugno 2027, salvo proroga, e solo dopo la comunicazione della concessione, perché i servizi di certificazione svolti prima comportano la revoca del contributo. Per chi usa l’avviso, quindi, la data del certificato e l’inizio dell’esonero dipendono anche dai tempi della concessione, ed è un equilibrio da valutare all’avvio del progetto.

Una leva che premia la pianificazione

L’esonero collegato alla UNI/PdR 192:2026 si chiede a certificazione ottenuta, ma il suo valore si decide prima, nel momento in cui l’impresa sceglie quando avviare il sistema di gestione. Il termine finale è fisso, le risorse sono limitate e annuali, le domande di ogni finestra concorrono su quelle dell’anno, e i mesi utili dipendono da quando arrivano la certificazione e la domanda. Per le imprese che hanno già politiche di flessibilità, welfare e sostegno alla genitorialità, la decisione riguarda il momento in cui renderle verificabili da un organismo accreditato.

Affianchiamo le organizzazioni nel percorso di certificazione UNI/PdR 192:2026, dalla gap analysis delle politiche esistenti alla definizione degli indicatori, fino alla preparazione all’audit e all’integrazione con i sistemi di gestione già certificati, compresa la parità di genere. È il modo per trasformare misure spesso già presenti in azienda in un sistema stabile, riconosciuto anche sul piano contributivo.

L'articolo Certificazione UNI/PdR 192, esonero contributivo fino all’1% entro 50.000 euro l’anno proviene da Effe Diligence.

Gli impianti di cui si parla sono i sistemi di allarme vocale per scopi di emergenza, quelli che nei capitolati e nelle relazioni tecniche vengono chiamati impianti EVAC, dove la sigla sta per evacuazione vocale. Diffondono messaggi parlati al posto della sola sirena e sono di norma collegati all’impianto di rivelazione incendio. Dal 4 settembre 2025 è disponibile la UNI 11988:2025, il nuovo riferimento UNI per i sistemi di nuova progettazione. Gli impianti già esistenti sono stati progettati, di regola, secondo la UNI ISO 7240-19:2010 o secondo la specifica tecnica UNI CEN/TS 54-32.

Che cosa misura lo STIPA

Lo STIPA, acronimo di Speech Transmission Index for Public Address, è l’indice che quantifica il grado di comprensibilità di un annuncio vocale diffuso da un impianto di diffusione sonora. Si tratta di una versione semplificata dello Speech Transmission Index, l’indice definito dalla CEI EN IEC 60268-16 insieme ai metodi per misurarlo. La semplificazione nasce per consentire misurazioni dirette in campo, con tempi di esecuzione compatibili con le esigenze di cantiere e di manutenzione.

Il metodo si basa sulla funzione di trasferimento della modulazione. Il segnale di prova è un rumore casuale a banda limitata, conformato allo spettro del parlato maschile e suddiviso in sette bande d’ottava con frequenze centrali da 125 Hz a 8 kHz. Ciascuna banda è modulata in ampiezza da due frequenze comprese tra 0,63 Hz e 12,5 Hz, per quattordici combinazioni complessive, contro le novantotto dello STI completo. La misura rileva la degradazione della modulazione al punto di ascolto e restituisce un valore compreso tra 0 e 1, dove 0 indica assenza totale di comprensibilità e 1 la massima intelligibilità.

Il dato richiede una catena strumentale conforme, cioè uno strumento di misura STI o STIPA rispondente ai requisiti della norma di riferimento, un microfono di misura calibrato e una sorgente del segnale di prova conforme allo standard. Quello che ne deriva non è un’opinione tecnica, ma una grandezza misurata, riproducibile e documentabile. È esattamente questa caratteristica a renderla il perno delle verifiche.

Cosa cambia rispetto alla UNI ISO 7240-19:2010

La norma previgente era il recepimento italiano di un testo internazionale e trattava i sistemi di allarme vocale come una parte del sistema di rivelazione incendio. Introduceva l’intelligibilità come requisito, ne individuava i descrittori acustici e collocava fra le attività periodiche del piano di manutenzione il controllo del rispetto dei requisiti a intervalli non superiori a 12 mesi.

La UNI 11988:2025 è invece una norma di matrice nazionale, sviluppata dalla commissione UNI sulla protezione attiva contro gli incendi, e sposta il baricentro dalla conformità dei componenti all’efficacia dimostrata del sistema. Le differenze che contano per chi gestisce l’impianto sono tre.

La prima riguarda la progettazione. Il nuovo testo articola i sistemi in categorie funzionali, con livelli di priorità e regole di gestione dei messaggi di emergenza, e affianca al metodo prescrittivo un metodo dettagliato, che dimostra l’intelligibilità già in progetto attraverso il calcolo dello STI. La misura strumentale in campo resta invece il passaggio del collaudo. Il requisito da soddisfare non è quindi uguale per tutti gli impianti, ma dipende dalla categoria e dal livello di sicurezza assegnati in progetto.

La seconda riguarda il collaudo. Alla consegna dell’impianto il controllo dei requisiti di intelligibilità va eseguito in tutte le aree servite e documentato con prove su centrale, altoparlanti e microfoni.

La terza riguarda il rapporto con le altre norme di settore. La UNI 11224:2026, dedicata al controllo e alla manutenzione dei sistemi di rivelazione incendio, richiama la UNI 11988 come riferimento utilizzabile per gli impianti EVAC, nei casi previsti, in alternativa alla UNI ISO 7240-19. Diverse fonti di settore presentano la UNI 11988 come sostitutiva della UNI ISO 7240-19, ma per gli impianti progettati in precedenza il riferimento resta quello del progetto.

I valori soglia applicabili vanno letti nella norma e nel progetto dell’impianto, che li riferisce alla categoria del sistema e al livello di sicurezza assegnati, e in caso di dubbio si richiedono al progettista. Chi deve stabilire se un impianto di nuova progettazione è conforme parte quindi dalla categoria assegnata in progetto, non da un valore unico valido per tutti.

Il Decreto Controlli e i tecnici qualificati

La norma tecnica descrive come si misura, il decreto stabilisce come si organizzano i controlli. Il D.M. 1 settembre 2021, il cosiddetto Decreto Controlli, chiede che il controllo periodico e la manutenzione degli impianti e dei sistemi di sicurezza antincendio siano eseguiti in accordo con le norme tecniche applicabili e con il manuale d’uso e manutenzione, e che siano annotati in un registro dei controlli tenuto aggiornato e disponibile per gli organi di controllo. Il decreto non richiama la UNI 11988 e non fissa cadenze per la misura dell’intelligibilità, ma la nomina nell’Allegato II, dove fra i contenuti minimi della formazione del tecnico manutentore di sistemi EVAC figurano i principi dell’intelligibilità e le prove reali di misurazione dell’indice STI. La Tabella 1 del suo allegato elenca, a titolo di esempio, alcune norme possibili e per gli impianti EVAC riporta ancora la UNI ISO 7240-19 o la UNI CEN/TS 54-32. È attraverso questo rinvio che le cadenze della norma adottata in progetto entrano nel registro e possono essere verificate in sede di controllo.

Le modifiche successive al decreto hanno riguardato soprattutto la qualificazione dei tecnici manutentori antincendio. Il termine per ottenere l’attestato di qualificazione è scaduto il 25 settembre 2026, ma il D.M. 22 settembre 2026, pubblicato nella Gazzetta Ufficiale n. 222 del 24 settembre 2026, ha inserito nel Decreto Controlli l’articolo 6-bis con una disciplina transitoria. Chi ha presentato istanza di valutazione dei requisiti entro il 25 settembre 2026 può continuare a eseguire manutenzioni e controlli, per le tipologie di impianto indicate nell’istanza, fino alla conclusione della valutazione e comunque non oltre il 31 marzo 2027, come precisa la circolare della Direzione centrale per la prevenzione dei Vigili del Fuoco n. 20188 del 24 settembre 2026. I sistemi di allarme vocale per la gestione dell’emergenza, cioè gli EVAC, figurano fra gli impianti per i quali il decreto disciplina la qualificazione del manutentore, con un programma dedicato nell’Allegato II. Il controllo periodico dell’impianto e le verifiche previste dal piano di manutenzione vanno quindi affidati a un tecnico qualificato oppure, fino al 31 marzo 2027, a un tecnico che abbia presentato istanza nei termini per gli impianti EVAC.

Accanto al decreto opera la norma tecnica sulla manutenzione dei sistemi di rivelazione e allarme incendio. La UNI 11224:2026, in vigore dal 9 luglio 2026, disciplina il controllo iniziale e la manutenzione di questi impianti, si applica sia ai sistemi nuovi sia a quelli esistenti, prevede una verifica generale del sistema almeno ogni dodici anni e contiene precisazioni specifiche per il controllo periodico dei sistemi di allarme vocale.

Quando la misura va eseguita

Per un impianto di nuova progettazione la misura dell’intelligibilità non è un’attività una tantum legata alla realizzazione, e non è una prova facoltativa da eseguire solo in caso di contestazione. Le norme la collocano in due momenti del ciclo di vita del sistema, a cui si aggiunge la verifica generale periodica come occasione di controllo.

1. Alla consegna dell’impianto, come parte del collaudo

Il primo momento coincide con la messa in servizio dell’impianto di allarme vocale. Il collaudo non si esaurisce nella verifica di funzionamento della centrale, delle linee altoparlanti e delle alimentazioni, perché comprende la misura strumentale dell’intelligibilità nelle aree servite dal sistema.

La ragione è tecnica prima ancora che formale. L’intelligibilità dipende dal comportamento acustico reale dell’ambiente, ossia dal tempo di riverberazione, dalla geometria degli spazi, dai materiali di finitura, dal rumore di fondo e dal posizionamento effettivo dei diffusori. Il calcolo di progetto ne tiene conto, ma nessuna di queste variabili è verificabile a tavolino con la stessa attendibilità di una misura in campo. La UNI 11988:2025 rende esplicito questo passaggio e richiede che il controllo alla consegna sia eseguito in tutte le aree e documentato in modo tracciabile.

Il collaudo produce quindi un dato di riferimento con una doppia funzione, perché attesta la conformità dell’impianto al momento della consegna e costituisce il valore di raffronto per tutte le verifiche successive.

2. Dopo modifiche strutturali dell’ambiente o del sistema

La nuova norma richiede una nuova misurazione dell’intelligibilità nelle aree interessate quando intervengono cambiamenti strutturali nell’ambiente protetto o modifiche al sistema di evacuazione vocale che ne cambiano la funzionalità.

Ci sono poi casi che la norma non elenca, ma in cui una nuova misura è tecnicamente consigliabile, perché un impianto collaudato correttamente può perdere intelligibilità senza che la centrale segnali alcun guasto. Sono tipicamente i seguenti.

• nuove pareti divisorie, riorganizzazione di scaffalature o di linee produttive;
• variazione delle superfici fonoassorbenti a seguito di ristrutturazioni o di cambio di destinazione degli spazi;
• incremento del rumore di fondo dovuto a nuovi macchinari o a diverse condizioni di esercizio;
• decadimento, spostamento o sostituzione non equivalente dei diffusori acustici;
• interventi sull’impianto elettroacustico, sulle tarature o sulle equalizzazioni.

In tutti questi casi l’impianto continua a funzionare e a diffondere il messaggio, ma il valore di intelligibilità può essere sceso sotto la soglia richiesta. Solo una nuova misura intercetta questa deriva.

3. In sede di verifica generale del sistema

La UNI 11224:2026 prevede per i sistemi di rivelazione e allarme incendio una verifica generale almeno ogni dodici anni, che accerta la disponibilità dei ricambi, la corrispondenza dell’impianto alla documentazione e l’assenza di modifiche sostanziali. Le fonti di settore consultate non indicano che la verifica generale comporti di per sé una nuova misura dell’intelligibilità, ma è il momento in cui emergono le modifiche all’ambiente o al sistema che, secondo la UNI 11988, richiedono di ripetere la misura nelle aree interessate. Poiché la UNI 11224:2026 si applica anche agli impianti esistenti, la verifica generale riguarda anche gli EVAC progettati prima del 4 settembre 2025, quando il sistema di rivelazione a cui sono collegati ha superato i dodici anni di vita.

Il dato va letto per quello che è. Dodici anni è la cadenza della verifica generale del sistema, non della singola misura di intelligibilità, che negli anni intermedi resta legata alle modifiche dell’ambiente e dell’impianto e al piano di manutenzione adottato.

Gli impianti progettati prima del 4 settembre 2025

La UNI 11988:2025 si applica ai sistemi di nuova progettazione. Per il parco impianti esistente il riferimento resta la norma tecnica applicata in progetto, cioè la UNI ISO 7240-19:2010 o la UNI CEN/TS 54-32, insieme al manuale d’uso e manutenzione del sistema. Per i sistemi progettati secondo la UNI ISO 7240-19:2010 il piano di manutenzione prevede il controllo dei requisiti di intelligibilità a intervalli non superiori a 12 mesi.

La data di progettazione, ricavabile dalla documentazione di collaudo, indica quale piano di manutenzione seguire, ma non esaurisce la verifica. Se il sistema è anteriore al 4 settembre 2025 vale il piano costruito sulla norma previgente, che per la UNI ISO 7240-19:2010 significa una misura annuale. Se è di nuova progettazione vale la nuova norma, con il controllo completo alla consegna e le verifiche successive legate alle modifiche dell’ambiente e del sistema. In entrambi i casi si applica la UNI 11224:2026, con la verifica generale per i sistemi che hanno superato i dodici anni, e il controllo periodico spetta a un tecnico qualificato, salvo il regime transitorio fino al 31 marzo 2027 per chi ha presentato istanza entro il 25 settembre 2026.

I valori di riferimento da rispettare

La misura ha senso solo se confrontata con una soglia. I descrittori introdotti dalla UNI ISO 7240-19:2010, tuttora utilizzati nella prassi delle verifiche e nella documentazione tecnica di settore, fissano un valore medio di STI o STIPA maggiore o uguale a 0,50 nelle aree servite e un valore minimo di 0,45 nel singolo punto di misura.

Con la nuova norma l’impostazione resta prestazionale, ma il valore applicabile discende dalla categoria del sistema e dal livello di sicurezza assegnati in progetto. Resta fermo il principio di fondo. Un impianto che restituisce valori inferiori alla soglia applicabile non è conforme, quale che sia la certificazione dei componenti installati e la correttezza formale della documentazione di progetto.

Le attività interessate

La misura riguarda le attività dotate di un sistema di allarme vocale per scopi di emergenza, sia quando l’impianto è richiesto da una regola tecnica sia quando è stato adottato come scelta di progetto nella strategia antincendio. La norma con cui eseguirla è quella adottata in progetto per l’impianto vocale.

Nel Codice di prevenzione incendi, il D.M. 3 agosto 2015, il sistema di allarme vocale rientra nella misura della strategia antincendio dedicata alla rivelazione e all’allarme. Per le attività commerciali la regola tecnica verticale richiede l’impianto EVAC quando è previsto il livello di prestazione IV, con estensione almeno alle aree accessibili al pubblico. Il Codice lo richiede inoltre quando si adotta l’esodo per fasi, indipendentemente dalla regola tecnica verticale.

In alternativa al Codice, le attività commerciali con superficie lorda superiore a 400 metri quadrati possono essere progettate secondo il D.M. 27 luglio 2010, che chiede un sistema di diffusione sonora in grado di diffondere avvisi e segnali di allarme per dare avvio alle procedure di emergenza e alle operazioni di evacuazione. Il decreto non richiama norme specifiche sugli impianti EVAC, e un impianto di diffusione sonora non collegato a un impianto di rivelazione resta fuori dall’ambito della UNI 11988. Le due discipline sono alternative e non complementari, perché l’applicazione del Codice esclude quella del decreto del 2010 e viceversa.

Per le altre attività dotate di una regola tecnica verticale, come quelle ricettive, sanitarie e scolastiche, la presenza dell’impianto EVAC dipende dalle condizioni fissate dalla singola regola e dalle scelte di progetto. Il criterio operativo resta semplice. Se l’impianto EVAC è presente, la misura dell’intelligibilità è dovuta secondo la norma con cui è stato progettato, quale che sia il titolo per cui è stato installato.

Come allineare un impianto già in esercizio

Il percorso per riportare l’impianto dentro gli obblighi di misura si articola in pochi passaggi verificabili, che partono dalla documentazione già presente in azienda.

• ricostruire la documentazione dell’impianto EVAC e verificare la presenza del rapporto di misura dell’intelligibilità redatto in sede di collaudo, con i valori STI o STIPA rilevati area per area;
• individuare la norma tecnica effettivamente applicata al sistema, la UNI ISO 7240-19:2010 o la UNI CEN/TS 54-32 per gli impianti anteriori al 4 settembre 2025 e la UNI 11988:2025 per quelli di nuova progettazione, e ricavarne il piano di controllo applicabile;
• verificare la data dell’ultima misura eseguita e inserire la cadenza che ne deriva nel piano di manutenzione dell’impianto antincendio;
• verificare l’età del sistema di rivelazione a cui l’impianto EVAC è collegato e, oltre i dodici anni, programmare la verifica generale prevista dalla UNI 11224:2026;
• confrontare i valori rilevati con la soglia applicabile all’impianto, area per area e non come dato aggregato di edificio;
• mappare le modifiche intervenute su strutture, layout, arredi, macchinari e finiture dall’ultima misura e programmare una verifica aggiuntiva dove le condizioni acustiche sono cambiate;
• verificare che il tecnico incaricato del controllo periodico sia in possesso dell’attestato di qualificazione o, fino al 31 marzo 2027, abbia presentato istanza entro il 25 settembre 2026 per gli impianti EVAC, e annotare nel registro dei controlli esito, data, strumentazione utilizzata e nominativo del tecnico;
• in caso di valori non conformi, pianificare gli interventi correttivi sul sistema elettroacustico o sull’ambiente e ripetere la misura a chiusura dell’intervento.

Al termine di questi passaggi la posizione dell’impianto è definita. O esiste un rapporto di misura coerente con la norma applicata, con valori sopra soglia in tutte le aree e successivo all’ultima modifica dell’ambiente o del sistema, e allora l’adempimento è assolto. Oppure il rapporto manca, i valori sono inferiori alla soglia o l’ambiente è cambiato dopo l’ultima misura, e allora una nuova misura va programmata.

Un numero misurato vale più di una dichiarazione

Il senso della misura STIPA si riassume in tre punti. Il primo è funzionale, perché un impianto EVAC esiste per far comprendere un messaggio di evacuazione e la comprensibilità non si può presumere, dato che dipende dall’acustica reale degli ambienti e cambia nel tempo con il layout, le finiture, il rumore di fondo e lo stato dei diffusori. Il secondo è normativo. Per gli impianti di nuova progettazione la verifica strumentale è richiesta alla consegna in tutte le aree servite e dopo le modifiche strutturali dell’ambiente o del sistema, per quelli progettati sulla UNI ISO 7240-19:2010 resta la cadenza annuale del piano di manutenzione, e per tutti vale la verifica generale della UNI 11224:2026. Il Decreto Controlli porta queste attività nel registro e le riserva a tecnici qualificati, con un regime transitorio fino al 31 marzo 2027 per chi ha presentato istanza nei termini. Il terzo è gestionale, perché l’intelligibilità è uno dei pochi parametri di sicurezza antincendio che si esprime con un numero. A nostro giudizio un numero misurato, confrontato con la soglia e archiviato nel registro dei controlli, protegge l’impresa più di qualsiasi dichiarazione di conformità nel rapporto con gli organi di controllo.

Il passaggio alla UNI 11988:2025 lega la misura ai momenti in cui l’impianto o l’ambiente cambiano, mentre per il parco esistente restano le regole del progetto originario e la verifica generale della UNI 11224:2026. Nella nostra esperienza ricostruire lo stato documentale degli impianti prima che sia un controllo a imporlo è la scelta che dà il risultato più solido.

Affianchiamo le imprese nella gestione integrata degli adempimenti di prevenzione incendi e sicurezza sul lavoro, dalla ricognizione dello stato documentale degli impianti alla programmazione delle verifiche periodiche, fino alla tenuta del registro dei controlli e alla verifica dei requisiti dei fornitori.

L'articolo Misura STIPA negli impianti EVAC, la UNI 11988 dal 4 settembre 2025 proviene da Effe Diligence.

La nuova edizione della ISO 14021 e il recepimento UNI

La ISO 14021:2026, intitolata Environmental statements and programmes for products, Self-declared environmental claims, è stata pubblicata il 24 giugno 2026 e sostituisce la ISO 14021:2016 con il suo emendamento del 2021. Il CEN l’ha adottata come norma europea e in Italia è in vigore come UNI EN ISO 14021:2026 dal 24 settembre 2026, nel testo inglese. L’edizione precedente, la UNI EN ISO 14021:2021, risulta ancora in vigore nel catalogo UNI, mentre la norma europea EN ISO 14021:2016 e il suo emendamento A1:2021 sono stati ritirati con sostituzione l’8 luglio 2026.

La premessa della nuova edizione elenca le modifiche principali, e fra queste compare esplicitamente la revisione delle indicazioni sull’uso del ciclo di Mobius, motivata con la necessità di risolvere la confusione presente sul mercato. Fra le altre novità elencate ci sono:

• la struttura, riorganizzata per corrispondere a quella della ISO 14020:2022;
• l’obbligo di inquadrare le asserzioni in un programma documentato;
• requisiti rafforzati sulla documentazione da conservare per dimostrare la validità dell’asserzione;
• nuovi requisiti sulla comunicazione degli effetti dell’attribuzione di caratteristiche quando incide sull’affidabilità dell’asserzione;
• il ruolo della catena di custodia nella valutazione di asserzioni come il contenuto riciclato;
• l’aggiornamento delle asserzioni specifiche del capitolo 8 con l’aggiunta di nuove categorie;
• l’indicazione delle dichiarazioni ambientali non adatte all’autodichiarazione, con l’elenco delle altre norme da usare in quei casi.

Che cosa prevedeva l’edizione 2021

Nella UNI EN ISO 14021:2021 il ciclo di Mobius era l’unico simbolo ammesso per due asserzioni diverse. Il punto 5.10.2.4 ne riservava l’uso alle asserzioni di contenuto riciclato e di riciclabilità, e il significato dipendeva dalla presenza di un numero. Il Mobius senza valore percentuale andava considerato un’asserzione di riciclabilità (punto 7.7.3.3). Il Mobius accompagnato dalla percentuale, espressa come numero intero all’interno del simbolo o immediatamente accanto, andava considerato un’asserzione di contenuto riciclato (punto 7.8.3.2), e la norma illustrava in una figura le posizioni ammesse del valore.

Che cosa stabilisce la ISO 14021:2026

La nuova edizione separa i due usi. Per la riciclabilità il simbolo resta il Mobius, con un requisito. Il punto 8.17.4.2 stabilisce che, se per un’asserzione di riciclabilità si usa un simbolo, questo deve essere il ciclo di Mobius, descritto come tre frecce ritorte che si inseguono formando un triangolo, e il punto 8.17.4.3 richiede che il disegno rispetti i requisiti grafici della ISO 7000-1135 ogni volta che il simbolo è usato per un’asserzione. Se può esserci confusione sul fatto che il simbolo si riferisca al prodotto o al suo imballaggio, un testo esplicativo deve stare direttamente accanto al simbolo e dire a quale dei due si applica (punto 8.17.4.4).

Per il contenuto riciclato la norma cambia strada. Il punto 8.5.5.2 dice che il ciclo di Mobius non dovrebbe essere usato per indicare il contenuto riciclato, e una nota spiega che nelle edizioni precedenti il simbolo indicava entrambe le cose ed è risultato fonte di confusione. Un simbolo o una grafica per il contenuto riciclato restano possibili (punto 8.5.5.1), ma devono mostrare la percentuale (punto 8.5.5.3), che se variabile può essere espressa come almeno X % o maggiore di X % (punto 8.5.5.4), e possono essere affiancati dall’identificazione del materiale (punto 8.5.5.5). Quando parole e numeri accompagnano un simbolo, devono essere leggibili, collocati vicino e presentati in modo che si capisca che vanno letti insieme (punto 7.4.5), e il simbolo non può essere modificato per legarlo a un marchio o a un’azienda (punto 7.4.6).

In sintesi, la norma assegna al Mobius un solo significato, cioè che il prodotto o l’imballaggio è riciclabile, e raccomanda di non usarlo per il contenuto riciclato. La percentuale di materiale riciclato si comunica quindi, secondo la norma, con un testo o con una grafica diversa dalle tre frecce, sempre con la percentuale indicata.

Raccomandazione o obbligo, la differenza che conta

Nel linguaggio delle norme ISO il verbo usato ha un peso preciso. Per la riciclabilità la norma usa shall, cioè un requisito, mentre per il contenuto riciclato usa should not, cioè una raccomandazione. In termini formali, quindi, un Mobius con la percentuale non viola il punto 8.5.5.2, ma resta soggetto al punto 7.6.1.1, che impone un testo esplicativo quando l’asserzione da sola è incompleta o rischia di essere fraintesa, e la stessa norma, nella nota al punto 8.5.5.2, riconosce che il doppio uso del simbolo è risultato fonte di confusione. Nella pratica la conseguenza è un’altra. Se il simbolo è quello della riciclabilità, è ragionevole attendersi che chi lo vede su un prodotto lo legga come asserzione di riciclabilità, e quell’asserzione va dimostrata secondo il punto 8.17.3.3, che richiede evidenze sulla disponibilità dei sistemi di raccolta per una quota ragionevole degli acquirenti nell’area di vendita, sulla capacità degli impianti di trattare il materiale e sul tasso di riciclo effettivo, da ricavare dalle informazioni delle autorità competenti. Un prodotto che contiene il 90 % di materiale riciclato ma che a fine vita finisce nell’indifferenziato non può sostenere la prova sulla raccolta né quella sul tasso di riciclo effettivo.

Per questo chi dichiara contenuto riciclato e usa il Mobius comunica in modo contrario alla raccomandazione della norma e si espone a contestazioni sul mercato. La norma riguarda le asserzioni auto-dichiarate e non dice come trattare le verifiche di terza parte rilasciate sull’edizione 2021; i tempi e le modalità del passaggio alla ISO 14021:2026 vanno chiesti all’organismo che ha rilasciato la verifica, da cui conviene farsi indicare la data entro cui adeguare asserzioni e grafica. La grafica è uno dei punti su cui conviene intervenire prima che venga richiesto.

Il peso delle regole europee sul greenwashing

Il cambio di significato del simbolo arriva mentre entra in applicazione la Direttiva (UE) 2024/825 sulla responsabilizzazione dei consumatori per la transizione verde, le cui disposizioni gli Stati membri applicano dal 27 settembre 2026. La direttiva definisce asserzione ambientale qualsiasi messaggio o rappresentazione non obbligatoria per legge, in qualsiasi forma, compresi testi e rappresentazioni figurative, grafiche o simboliche, fatta nell’ambito di una comunicazione commerciale, che asserisce o implica che un prodotto ha un impatto positivo o nullo sull’ambiente, è meno dannoso di altri o ha migliorato il proprio impatto nel tempo. Un simbolo che il pubblico associa al riciclo, usato in una comunicazione commerciale rivolta ai consumatori, può rientrare in questa definizione. La direttiva inserisce inoltre espressamente la riciclabilità fra le caratteristiche principali del prodotto su cui un’asserzione falsa o fuorviante può costituire pratica ingannevole, nel nuovo testo dell’articolo 6 della direttiva 2005/29/CE, e un Mobius su un prodotto che non è riciclabile nell’area di vendita può rientrare in questa fattispecie. La direttiva si applica alle pratiche commerciali tra imprese e consumatori, mentre i cataloghi e le schede tecniche destinati solo ad altre imprese restano fuori dal suo campo di applicazione.

Il quadro si completa con il Regolamento (UE) 2025/40 sugli imballaggi, che si applica dal 12 agosto 2026 e introduce per fasi i requisiti di riciclabilità e di etichettatura degli imballaggi. L’etichetta armonizzata sulla composizione dei materiali, pensata per la raccolta differenziata, diventa obbligatoria dal 12 agosto 2028, o 24 mesi dopo l’entrata in vigore degli atti di esecuzione della Commissione se posteriori, con l’esclusione degli imballaggi per il trasporto e di quelli soggetti a deposito cauzionale e con tre anni per smaltire le scorte già prodotte. L’etichetta sulla percentuale di contenuto riciclato resta una scelta dell’impresa, ma dal 12 agosto 2028 deve seguire le specifiche dell’atto di esecuzione e la metodologia di calcolo prevista dal regolamento. Il regolamento vieta inoltre di esporre etichette, marchi, simboli o iscrizioni che possano indurre in errore o confondere i consumatori sulle opzioni di gestione dei rifiuti di imballaggio per le quali prevede un’etichettatura armonizzata. Per chi mette sul mercato imballaggi, la grafica sul contenuto riciclato, se usata, andrà allineata alle specifiche armonizzate degli atti di esecuzione della Commissione, e un simbolo che suggerisce una riciclabilità non dimostrata è un rischio su più fronti.

Cosa cambia in pratica per chi comunica materiale riciclato

Il primo passo è un censimento. Il Mobius con la percentuale può comparire sull’etichetta, sul packaging, nelle schede tecniche in PDF, nel catalogo, nelle pagine prodotto del sito e nelle presentazioni commerciali, spesso con grafiche diverse tra un canale e l’altro. Ogni occorrenza va registrata, perché è buona pratica che la stessa asserzione sia coerente ovunque compaia.

Il secondo passo è la sostituzione. Il contenuto riciclato si comunica con un testo che porta la percentuale e, quando altrimenti il messaggio sarebbe incompleto o equivoco, dice a quale componente si riferisce, per esempio al solo supporto o al solo contenitore, oppure con una grafica che non sia il ciclo di Mobius e che riporti comunque la percentuale accanto. Quando la percentuale varia da lotto a lotto, può essere espressa come almeno X % o maggiore di X %. . L’asserzione va poi rivalutata quando cambiano in modo significativo tecnologia, prodotti concorrenti, fornitori o altre circostanze che ne alterano l’accuratezza, e comunque entro cinque anni dall’ultima valutazione (punto 6.5.1.5).

Il terzo passo riguarda il Mobius in sé. Va usato come asserzione di riciclabilità, e quindi per i prodotti e gli imballaggi che vengono davvero raccolti e riciclati nell’area in cui si vendono, con le evidenze sui sistemi di raccolta, sugli impianti e sul tasso di riciclo che la norma chiede di includere nelle informazioni di supporto, e con il testo esplicativo accanto al simbolo quando non è chiaro se si riferisce al prodotto o alla confezione. Dove la raccolta non è comodamente disponibile per una quota ragionevole degli acquirenti, la norma ammette solo un’asserzione qualificata che dica in modo adeguato la limitata disponibilità della raccolta, e vieta formule generiche come riciclabile dove esistono impianti. Dove il materiale non viene di fatto raccolto e riciclato, il simbolo va tolto, anche se l’imballaggio è di cartone o di plastica riciclabile in astratto.

Infine, la nuova edizione chiede che ogni asserzione sia accompagnata da informazioni di supporto accessibili nel momento in cui il cliente decide l’acquisto, per esempio con un indirizzo web o un riquadro nella scheda tecnica.

Un’occasione per riordinare le asserzioni ambientali

Il simbolo che cambia significato è il dettaglio più visibile di una revisione che chiede alle imprese di trattare le asserzioni ambientali come un sistema, con un programma documentato, evidenze conservate e informazioni di supporto accessibili a chi acquista. Per chi produce o distribuisce beni con contenuto riciclato il passaggio alla ISO 14021:2026 è l’occasione per rileggere tutto ciò che viene comunicato sul prodotto, dal catalogo al sito, e per allineare grafica, testi e documentazione prima che a chiederlo sia un cliente, un organismo di verifica o un’autorità.

Affianchiamo le imprese nella costruzione e nell’aggiornamento dei sistemi di gestione delle asserzioni ambientali, nella preparazione delle evidenze per la verifica di terza parte e nella revisione dei materiali di comunicazione secondo le regole della ISO 14021 e della normativa europea sul greenwashing.

L'articolo Ciclo di Mobius, con la ISO 14021:2026 il simbolo indica la riciclabilità e non il contenuto riciclato proviene da Effe Diligence.

Il riferimento comune è il Regolamento (CE) n. 1935/2004 del 27 ottobre 2004, che ha abrogato le direttive del 1980 e del 1989 e ha costruito il quadro europeo per i materiali e gli oggetti a contatto con alimenti, indicati con l’acronimo MOCA. Attorno a questo regolamento quadro ruotano una serie di atti specifici e, sul piano nazionale, il Decreto Legislativo 10 febbraio 2017, n. 29, entrato in vigore il 2 aprile 2017, che fissa la disciplina sanzionatoria e introduce un obbligo di comunicazione a carico degli operatori.

Che cosa sono i MOCA e quale perimetro coprono

Sono MOCA i materiali e gli oggetti allo stato di prodotti finiti, compresi quelli attivi e intelligenti, destinati a venire a contatto con gli alimenti, quelli già a contatto con gli alimenti e destinati a tal fine e quelli di cui si può ragionevolmente prevedere il contatto o la cessione di costituenti all’alimento nelle condizioni d’impiego normali o prevedibili. La definizione è ampia per scelta del legislatore europeo e comprende gli imballaggi primari, i contenitori per il trasporto e lo stoccaggio, i nastri trasportatori, le tubazioni, le guarnizioni, le superfici di lavoro, gli utensili, le stoviglie e le attrezzature da cucina.

Restano fuori dal perimetro i materiali di rivestimento o ricopertura che sono parte dell’alimento e possono essere consumati con esso, gli impianti fissi pubblici o privati di erogazione dell’acqua e le antichità. Tutto il resto rientra, e questo significa che in un’impresa alimentare i punti in cui la normativa MOCA si applica sono numerosi e spesso non censiti in modo completo.

Il requisito generale di sicurezza dell’articolo 3

L’articolo 3 del Regolamento (CE) n. 1935/2004 stabilisce il principio su cui poggia l’intero impianto. I materiali e gli oggetti devono essere prodotti conformemente alle buone pratiche di fabbricazione affinché, nelle condizioni d’impiego normali o prevedibili, non trasferiscano ai prodotti alimentari componenti in quantità tale da costituire un pericolo per la salute umana, comportare una modifica inaccettabile della composizione dei prodotti alimentari oppure un deterioramento delle loro caratteristiche organolettiche.

Il requisito unisce un obbligo di processo, le buone pratiche di fabbricazione, e un obbligo di risultato, l’assenza di cessioni inaccettabili. Non è sufficiente aver acquistato un materiale dichiarato idoneo. Occorre che l’idoneità regga nelle condizioni concrete di impiego, quindi in relazione al tipo di alimento, alla temperatura, al tempo di contatto e alla ripetizione dell’uso, perché un materiale idoneo per alimenti secchi a temperatura ambiente può non esserlo per alimenti grassi o per trattamenti termici.

Chi è obbligato lungo la filiera

Gli obblighi si distribuiscono su tutti gli operatori economici che intervengono nella catena, dal produttore della materia prima al trasformatore, dal converter, cioè l’azienda che trasforma il materiale in imballaggio finito, fino all’utilizzatore finale. Il fabbricante deve garantire la conformità del materiale che immette sul mercato e documentarla. Nelle fasi diverse dalla vendita al dettaglio il materiale circola accompagnato dalla dichiarazione di conformità. All’impresa alimentare conviene acquisire e conservare le dichiarazioni dei fornitori e verificarne la coerenza con l’uso reale, anche perché per i materiali plastici il D.Lgs. 29/2017 sanziona anche chi utilizza materiali privi di dichiarazione e documentazione conformi.

Nella nostra esperienza quest’ultimo passaggio è il più trascurato. L’azienda alimentare non deve ripetere le prove analitiche del proprio fornitore, ma le dichiarazioni di conformità aggiornate sono il documento con cui dimostra all’autorità di controllo l’idoneità dei materiali che impiega. In caso di verifica, la mancanza della documentazione può essere contestata anche all’utilizzatore, oltre che al fornitore.

La dichiarazione di conformità, il documento che accompagna il materiale

L’articolo 16 del Regolamento (CE) n. 1935/2004 prevede che i materiali e gli oggetti oggetto di misure specifiche siano accompagnati da una dichiarazione scritta che attesti la conformità alle norme applicabili, con documentazione di supporto disponibile per le autorità competenti. In Italia una dichiarazione è richiesta anche per i materiali non armonizzati, come carta, vetro, metalli e legno, dall’articolo 4, comma 5, del D.P.R. 777/1982, nelle fasi diverse dalla vendita al consumatore finale. Per i materiali plastici il contenuto della dichiarazione è definito in dettaglio dal Regolamento (UE) n. 10/2011.

Per la plastica una dichiarazione utilizzabile identifica l’operatore che la rilascia e il fabbricante, individua in modo univoco il materiale o l’oggetto, riporta la data di emissione, attesta la conformità ai regolamenti applicabili, indica le sostanze soggette a restrizione, comprese le informazioni sulle sostanze aggiunte non intenzionalmente, e soprattutto specifica le condizioni d’uso ammesse in termini di tipologia di alimento, temperatura, tempo di contatto e rapporto fra superficie a contatto e volume di alimento. Per gli altri materiali il contenuto dipende dalla misura specifica o dalla norma nazionale applicabile, ma indicare le condizioni d’impiego resta una buona prassi, perché una dichiarazione generica non dice nulla sull’uso reale.

Il Regolamento (UE) 2025/351 ha poi modificato le regole sulla plastica, sulla plastica riciclata e sulle buone pratiche di fabbricazione, fra l’altro chiedendo nella dichiarazione di conformità della plastica informazioni sulle sostanze aggiunte non intenzionalmente e sulle sostanze ottenute da rifiuti. Il periodo transitorio si è chiuso il 16 settembre 2026, fatta salva la vendita delle scorte immesse sul mercato prima di quella data. Anche per questo le dichiarazioni dei fornitori di plastica raccolte negli anni scorsi vanno riesaminate.

La documentazione di supporto, che comprende i rapporti di prova sulle migrazioni e le informazioni sulle materie prime, resta presso l’operatore che rilascia la dichiarazione e deve essere resa disponibile su richiesta dell’autorità. Quando l’uso previsto si discosta da quello dichiarato, l’impresa utilizzatrice può chiedere al fornitore una verifica o una nuova dichiarazione.

Le buone pratiche di fabbricazione del Regolamento (CE) n. 2023/2006

Il Regolamento (CE) n. 2023/2006 del 22 dicembre 2006 traduce il richiamo alle buone pratiche di fabbricazione in obblighi organizzativi definiti. Chi fabbrica, trasforma o distribuisce MOCA deve dotarsi di un sistema di assicurazione della qualità, di un sistema di controllo della qualità e di un sistema documentale.

Il sistema di assicurazione della qualità riguarda l’organizzazione dei processi, la selezione delle materie prime, il controllo delle condizioni operative e la gestione del personale. Il sistema di controllo della qualità serve a monitorare l’attuazione e verificare che quanto pianificato sia effettivamente realizzato, con azioni correttive quando emergono scostamenti. Il sistema documentale deve rendere ricostruibili le specifiche delle materie prime, le formulazioni, i processi e i risultati dei controlli, in forma tale da consentire la verifica da parte dell’autorità.

Per un’impresa che possiede già un sistema di gestione per la qualità o che applica un piano di autocontrollo strutturato, l’adeguamento è quasi sempre un’integrazione documentale più che una costruzione da zero. Il regolamento non impone la certificazione di alcuno standard, ma richiede sistemi documentati di assicurazione e controllo della qualità, proporzionati alle dimensioni dell’impresa.

Materiali plastici, limiti di migrazione e prove

Il Regolamento (UE) n. 10/2011 è la misura specifica più articolata e riguarda i materiali plastici. Fissa un limite di migrazione globale, che rappresenta la quantità massima di sostanze non volatili cedibile ai simulanti alimentari, pari a 10 milligrammi per decimetro quadrato di superficie a contatto, e di 60 milligrammi per chilogrammo di simulante per i materiali destinati agli alimenti per lattanti e bambini nella prima infanzia. Accanto al limite globale operano i limiti di migrazione specifica riferiti alle singole sostanze autorizzate ed elencate nell’elenco dell’Unione.

Le prove di migrazione si eseguono su simulanti alimentari selezionati in funzione del tipo di alimento e in condizioni di tempo e temperatura rappresentative dell’uso reale, comprese le condizioni più severe prevedibili. Per questo è opportuno che l’impresa alimentare comunichi al fornitore le proprie condizioni di impiego. Senza quella informazione la prova viene impostata su ipotesi che possono non coincidere con la realtà produttiva.

Accanto alla plastica vergine, il Regolamento (UE) 2022/1616 disciplina i materiali di plastica riciclata destinati al contatto con alimenti e ha sostituito il precedente regolamento del 2008, mentre il Regolamento (CE) n. 450/2009 riguarda i materiali attivi e intelligenti.

Che cosa è cambiato con il divieto del bisfenolo A

La novità più rilevante degli ultimi anni riguarda il bisfenolo A, la sostanza usata nelle resine epossidiche e nelle vernici che rivestono l’interno di lattine e barattoli. Nel regime precedente il suo impiego era ammesso con un limite di migrazione specifica, salvo il divieto per biberon e tazze in policarbonato per lattanti e bambini nella prima infanzia e il divieto di migrazione dalle vernici e dai rivestimenti dei materiali destinati agli alimenti per l’infanzia. Il Regolamento (UE) 2024/3190, in vigore dal 20 gennaio 2025, ha rovesciato l’impostazione e vieta l’utilizzo del bisfenolo A e di altri bisfenoli pericolosi nella fabbricazione di adesivi, gomme, resine a scambio ionico, materie plastiche, inchiostri da stampa, siliconi, vernici e rivestimenti destinati al contatto con gli alimenti, con deroghe circoscritte.

Il divieto opera con periodi transitori. Gli oggetti monouso fabbricati con il bisfenolo A potevano essere immessi per la prima volta sul mercato fino al 20 luglio 2026, termine che arriva al 20 gennaio 2028 per alcuni oggetti destinati alla conservazione di ortofrutticoli e prodotti della pesca e quelli verniciati solo sulla superficie metallica esterna. Gli oggetti immessi entro quei termini possono essere riempiti nei dodici mesi successivi, e gli alimenti così imballati possono restare in vendita fino a esaurimento delle scorte. Termini transitori propri valgono per gli oggetti a uso ripetuto.

Per l’impresa alimentare la conseguenza pratica è documentale. La dichiarazione di conformità deve ora riportare l’elenco dei bisfenoli e dei derivati impiegati nella fabbricazione, un’informazione che prima era richiesta solo in parte, per esempio per la plastica attraverso le sostanze soggette a restrizione. È quindi opportuno richiedere dichiarazioni aggiornate ai fornitori di tutti i materiali rientranti nel regolamento, dalle plastiche agli adesivi, agli inchiostri, alle gomme, ai siliconi, alle vernici e ai rivestimenti.

I materiali non armonizzati a livello europeo

Non tutti i materiali dispongono di una misura specifica europea completa. Carta e cartone, vetro, metalli e leghe, legno, gomma e sughero non hanno un regolamento armonizzato dedicato, salvo disposizioni puntuali come quelle sui bisfenoli, che toccano anche gomme, inchiostri, vernici e rivestimenti usati su metalli e carta. Per il resto si applicano le disposizioni nazionali. In Italia il riferimento storico è il Decreto Ministeriale 21 marzo 1973, che disciplina l’igiene degli imballaggi, dei recipienti e degli utensili destinati a venire a contatto con le sostanze alimentari, integrato dalle norme successive per specifiche categorie di materiali.

La conseguenza operativa è che, per questi materiali, il requisito generale dell’articolo 3 del regolamento quadro continua ad applicarsi pienamente e la dimostrazione della conformità si appoggia anche alle disposizioni nazionali, dove esistono, che restano soggette alle regole del mercato interno. Alle imprese che importano o esportano all’interno dell’Unione conviene quindi verificare quali disposizioni nazionali si applichino nel mercato di destinazione.

La comunicazione dello stabilimento prevista dal D.Lgs. 29/2017

Il Decreto Legislativo 10 febbraio 2017, n. 29 ha introdotto un obbligo di comunicazione all’autorità sanitaria territorialmente competente per gli stabilimenti che svolgono attività di produzione, trasformazione e distribuzione di MOCA disciplinate dalle buone pratiche di fabbricazione. Sono esclusi gli stabilimenti in cui si svolge esclusivamente la distribuzione al consumatore finale, mentre i distributori all’ingrosso e i depositi sono tenuti alla comunicazione. Secondo la nota del Ministero della Salute del 28 luglio 2017 non vi è tenuto nemmeno il semplice utilizzatore, cioè l’impresa che si limita a usare i MOCA senza trasformarli. Se l’attività dell’operatore MOCA è già registrata o riconosciuta come impresa alimentare, la comunicazione va riportata nella stessa segnalazione.

È un adempimento a basso costo e ad alta rilevanza. La sua omissione è sanzionata in via amministrativa e sottrae l’impresa alle informazioni su cui l’autorità programma i controlli ufficiali.

Il quadro sanzionatorio del D.Lgs. 29/2017

Il decreto costruisce un sistema di sanzioni amministrative pecuniarie graduato in funzione della gravità della violazione, in buona parte applicabili salvo che il fatto costituisca reato. Il valore più elevato riguarda la cessione di costituenti pericolosi per la salute, mentre gli obblighi documentali e di etichettatura si collocano su fasce inferiori.

• Da 10.000 a 80.000 euro per la cessione di costituenti in quantità tale da costituire un pericolo per la salute umana.
• Da 7.500 a 60.000 euro per le cessioni che superano i limiti di migrazione globale, dove previsti, o che altrimenti non rispettano le buone pratiche di fabbricazione, in violazione del requisito sulla composizione degli alimenti.
• Da 6.000 a 60.000 euro per i materiali plastici non conformi ai requisiti di composizione del Regolamento (UE) n. 10/2011.
• Da 5.000 a 60.000 euro per sistemi e procedure di rintracciabilità assenti o inadeguati.
• Da 4.000 a 40.000 euro per l’assenza del sistema di assicurazione della qualità e, con la stessa forbice, per il mancato rispetto delle norme specifiche di buona fabbricazione.
• Da 4.000 a 30.000 euro per l’assenza del sistema di controllo della qualità.
• Da 2.500 a 25.000 euro per la documentazione di fabbricazione prevista dalle buone pratiche assente, inadeguata o non messa a disposizione dell’autorità.
• Da 1.500 a 15.000 euro per i materiali plastici non conformi ai requisiti sulla dichiarazione di conformità e sulla documentazione di supporto, sanzione che riguarda chi li produce, li immette sul mercato o li utilizza.
• Da 1.500 a 15.000 euro per l’etichettatura non conforme ai requisiti previsti.
• Da 1.500 a 9.000 euro per l’omessa comunicazione dello stabilimento all’autorità competente.

Per le violazioni di lieve entità il decreto prevede la diffida, e l’adeguamento nei termini estingue l’illecito. Gli importi sono soggetti ad aggiornamento periodico in base agli indici ISTAT. Il decreto non contiene disposizioni dedicate al Regolamento (UE) 2024/3190. A nostro giudizio le violazioni raramente si presentano isolate, perché un’impresa priva di dichiarazioni di conformità aggiornate è spesso anche priva di un sistema di rintracciabilità efficace, e il cumulo delle contestazioni può superare il costo di un adeguamento strutturato.

Come si integra con l’HACCP e con i sistemi già presenti

La gestione dei MOCA non è un adempimento parallelo rispetto al piano di autocontrollo. Il contatto con il materiale è un punto del processo produttivo e il rischio di cessione è un pericolo di natura chimica che l’analisi dei pericoli deve considerare. L’integrazione più efficace passa da tre elementi. Il primo è il censimento completo dei materiali a contatto presenti in stabilimento, dalle superfici alle attrezzature agli imballaggi, associato per ciascuno alla relativa dichiarazione di conformità. Il secondo è l’inserimento della verifica documentale MOCA nella procedura di qualifica e monitoraggio dei fornitori. Il terzo è la definizione di una scadenza di riesame delle dichiarazioni. Per la plastica vanno rinnovate quando cambiamenti di composizione o di fabbricazione modificano la migrazione o emergono nuovi dati scientifici, ed è buona prassi riesaminarle anche quando cambia il fornitore o la destinazione d’uso.

Per le imprese certificate secondo standard di sicurezza alimentare la gestione dei MOCA rientra di norma nel perimetro degli audit. Per le imprese non certificate l’ordinamento documentale richiesto dal quadro MOCA rappresenta spesso il primo passo verso una gestione più solida della filiera.

Un presidio che protegge il prodotto e la relazione commerciale

La disciplina dei materiali a contatto con gli alimenti si è mossa negli ultimi anni in direzione di una maggiore severità sulle sostanze e di una maggiore richiesta di evidenze documentali lungo la filiera. Il divieto del bisfenolo A, le nuove regole sulla plastica e l’attenzione crescente dei committenti della grande distribuzione rendono la conformità MOCA un elemento di qualificazione commerciale, oltre che un obbligo. Nella nostra esperienza un fascicolo ordinato di dichiarazioni di conformità è spesso tra i primi documenti richiesti in una verifica di seconda parte.

Affianchiamo le imprese alimentari e gli operatori della filiera degli imballaggi nel censimento dei materiali a contatto, nella verifica e nell’archiviazione delle dichiarazioni di conformità, nella costruzione del sistema documentale richiesto dalle buone pratiche di fabbricazione e nell’integrazione di questi elementi nel piano di autocontrollo.

L'articolo MOCA: obblighi, dichiarazione di conformità e regime sanzionatorio proviene da Effe Diligence.

Il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026 e in vigore dal 23 ottobre, adegua la normativa nazionale al Regolamento (UE) 2024/1689, noto come AI Act, in materia di poteri delle autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione. Al rapporto di lavoro e alla sicurezza dedica gli articoli 41 e 42, mentre l’articolo 48 riguarda l’uso dell’intelligenza artificiale nei servizi per il lavoro. L’articolo 42 porta nella valutazione dei rischi, e quindi nel DVR, i sistemi di intelligenza artificiale che incidono sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti ai fini della sicurezza.

Che cosa prevede l’articolo 42 del D.Lgs. 179/2026

L’articolo 42, intitolato «Intelligenza artificiale, salute e sicurezza nei luoghi di lavoro», si compone di quattro commi. Due riguardano il Ministero del Lavoro, che nell’ambito delle competenze attribuitegli dal testo unico sulla sicurezza coordina le misure perché l’introduzione e l’uso dell’intelligenza artificiale nei contesti lavorativi rispettino i principi di tutela della salute e della sicurezza, e ne promuove l’utilizzo responsabile anche come strumento di prevenzione degli infortuni e delle malattie professionali, in raccordo con l’Ispettorato nazionale del lavoro e con gli altri soggetti istituzionali competenti.

Gli altri due commi riguardano i datori di lavoro. Il comma 2 stabilisce che l’utilizzo di sistemi di intelligenza artificiale che incidono sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti ai fini della sicurezza è valutato nell’ambito della valutazione dei rischi dell’articolo 28 del D.Lgs. 81/2008. Il comma 3 chiede ai datori di lavoro di assicurare un’adeguata informazione e formazione dei lavoratori sui rischi specifici connessi all’utilizzo dei sistemi di intelligenza artificiale e sulle misure di prevenzione e protezione adottate.

Quali sistemi di intelligenza artificiale entrano nella valutazione dei rischi

Per sistema di intelligenza artificiale il decreto richiama la definizione dell’AI Act, cioè un sistema automatizzato progettato per funzionare con livelli di autonomia variabili, che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall’input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali.

Il comma 2 nomina poi l’effetto sul lavoro che rende la valutazione espressamente obbligatoria. Basta che il sistema incida su uno solo dei quattro profili indicati dalla norma, che nella pratica di un’impresa corrispondono a situazioni riconoscibili.

• L’organizzazione del lavoro, per esempio la pianificazione dei turni, l’assegnazione dei compiti o la composizione delle squadre.
• I ritmi produttivi, come i tempi ciclo, gli obiettivi orari o le sequenze di prelievo dettate dal sistema.
• Le modalità di esecuzione della prestazione, cioè il modo in cui il lavoro viene svolto.
• I processi decisionali rilevanti ai fini della sicurezza, come i sistemi che regolano il comportamento di macchine e robot collaborativi o che segnalano situazioni di pericolo.

La norma non fissa soglie di incidenza, quindi la verifica si fa caso per caso. Un assistente di scrittura usato saltuariamente in ufficio incide poco sul lavoro, ma se diventa lo strumento con cui si svolge la mansione o con cui se ne misurano i tempi può toccare le modalità di esecuzione della prestazione. Un algoritmo che decide turni e carichi di lavoro in magazzino incide invece almeno sull’organizzazione del lavoro e sui ritmi produttivi. Poiché il comma 2 guarda all’utilizzo dei sistemi, conta come lo strumento è usato in azienda più della sua descrizione commerciale, ed è opportuno ripetere la verifica quando si attivano nuove funzioni.

Il filtro dei quattro profili non restringe l’obbligo generale. Uno strumento che non li tocca resta comunque soggetto alla regola dell’articolo 28, che impone di valutare ogni rischio, anche quello legato a strumenti digitali di altro tipo.

Cosa cambia rispetto al D.Lgs. 81/2008

Il testo unico sulla sicurezza offriva già gli strumenti per valutare questi effetti, con regole generali valide per ogni rischio. L’articolo 28 impone di valutare tutti i rischi per la sicurezza e la salute dei lavoratori, compresi quelli collegati allo stress lavoro-correlato, l’articolo 29 prevede che la valutazione sia rielaborata in occasione di modifiche del processo produttivo o dell’organizzazione del lavoro significative ai fini della salute e sicurezza, e l’articolo 37 chiede di formare i lavoratori in occasione dell’introduzione di nuove tecnologie.

Dal 23 ottobre l’intelligenza artificiale è nominata espressamente e la norma indica i quattro profili che rendono la valutazione espressamente obbligatoria. Non resta quindi da stabilire se uno strumento di questo tipo rientri fra i fattori da considerare, perché lo dice la legge, e l’informazione e la formazione devono riguardare i rischi specifici connessi all’utilizzo dei sistemi di intelligenza artificiale e le misure di prevenzione e protezione adottate. L’articolo 42 non modifica il testo del D.Lgs. 81/2008, e poiché il comma 2 rinvia alla valutazione dell’articolo 28, questa segue le regole ordinarie del testo unico su modalità, consultazione e aggiornamento.

Il decreto non prevede sanzioni per la violazione dell’articolo 42 e non rinvia a quelle del testo unico. Una lettura prudente porta però a considerare che un sistema con questi effetti trascurato nel DVR, o una formazione che non ne tratta i rischi, possano integrare la violazione degli obblighi di valutazione e di formazione del D.Lgs. 81/2008, che quel testo punisce all’articolo 55 con sanzioni di natura penale a carico del datore di lavoro.

Come si integra il DVR quando l’intelligenza artificiale cambia il lavoro

La valutazione segue le regole ordinarie. La effettua il datore di lavoro, che non può delegarla, in collaborazione con il responsabile del servizio di prevenzione e protezione e, nei casi previsti, con il medico competente, previa consultazione del rappresentante dei lavoratori per la sicurezza.

Il decreto non prevede un regime transitorio né un termine per adeguare i DVR esistenti, quindi dal 23 ottobre la regola vale anche per i sistemi già in uso, e il punto di partenza è verificare se il DVR li considera. Ogni nuovo sistema che rientra nei quattro profili va valutato. Se la sua adozione modifica in modo significativo l’organizzazione del lavoro ai fini della salute e sicurezza, scatta anche la rielaborazione immediata della valutazione prevista dall’articolo 29. Il documento va rielaborato entro trenta giorni dalla modifica, e il datore di lavoro deve dare subito evidenza documentale dell’aggiornamento delle misure e comunicarlo al rappresentante dei lavoratori per la sicurezza.

Quanto ai contenuti, la valutazione non riguarda il software in sé ma ciò che produce sul lavoro delle persone. Le domande da porsi riguardano i ritmi e i carichi imposti dal sistema, l’effetto del monitoraggio continuo sullo stress lavoro-correlato, che il testo unico già include fra i rischi da valutare, ciò che accade quando il sistema sbaglia o si ferma in un processo rilevante per la sicurezza e chi ha il potere di correggerne le indicazioni. Le misure di prevenzione e protezione che ne derivano vanno indicate nel documento, come per ogni altro rischio.

La formazione dei lavoratori sui rischi dell’intelligenza artificiale

Il comma 3 dell’articolo 42 non fissa una durata, un programma minimo o una periodicità, e non richiama il filtro dei quattro profili del comma 2. Chiede un’adeguata informazione e formazione sui rischi specifici connessi all’uso dei sistemi di intelligenza artificiale e sulle misure adottate, ed è coerente ricavarne i contenuti dalla valutazione dei rischi, che individua rischi e misure. Se il DVR individua un rischio legato ai ritmi dettati da un algoritmo, la formazione spiega quel rischio e le misure scelte dall’azienda per governarlo.

Sui tempi il riferimento resta l’articolo 37 del testo unico, che chiede di formare i lavoratori quando una nuova tecnologia viene introdotta e di ripetere periodicamente la formazione in relazione all’evoluzione dei rischi o all’insorgenza di nuovi rischi.

È un obbligo distinto dall’informativa sull’uso di sistemi decisionali o di monitoraggio integralmente automatizzati prevista dall’articolo 1-bis del D.Lgs. 152/1997, che riguarda la trasparenza verso il lavoratore e che lo stesso decreto richiama all’articolo 41. Per lo stesso strumento possono servire entrambe, e conviene costruirle in modo coerente.

Le decisioni sul personale nell’articolo 41

L’articolo 41 completa il quadro sul rapporto di lavoro. Quando il datore di lavoro si avvale di sistemi di intelligenza artificiale nei processi decisionali, le decisioni finali sulla costituzione, sulla modifica o sulla risoluzione del rapporto, compresi i provvedimenti disciplinari e le valutazioni delle prestazioni, non possono essere adottate unicamente sulla base di un trattamento automatizzato, e la decisione definitiva spetta a una persona fisica che eserciti un potere effettivo e autonomo. Il consenso del lavoratore non costituisce un’eccezione, mentre le attività di ricerca e selezione delle candidature non rientrano fra le decisioni finali, anche quando escludono un candidato dalle fasi successive.

Questa esclusione vale solo per la regola dell’articolo 41. Il decreto fa salvo l’articolo 22 del Regolamento (UE) 2016/679, il GDPR, che riconosce il diritto a non essere sottoposti a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente sulla persona, salve le eccezioni che lo stesso articolo prevede, e l’uso di questi sistemi deve sempre rispettare la dignità e la riservatezza del lavoratore e il principio di non discriminazione.

Prima dell’avvio del trattamento il datore di lavoro assolve agli obblighi di informativa dell’articolo 1-bis, e il lavoratore ha diritto di ottenere, su richiesta e con l’intervento di una persona fisica, una motivazione intelligibile della decisione che lo riguarda, con l’indicazione dell’eventuale incidenza dell’intelligenza artificiale e dei principali parametri considerati. Il licenziamento e le altre decisioni adottate in violazione del comma 1 dell’articolo 41 sono nulli.

Sul piano europeo i sistemi destinati alla selezione, alle decisioni sul rapporto di lavoro, all’assegnazione dei compiti sulla base del comportamento individuale o di tratti e caratteristiche personali o al monitoraggio e alla valutazione delle prestazioni sono di regola ad alto rischio secondo l’allegato III dell’AI Act, e per questi gli obblighi di chi li utilizza si applicano dal 2 dicembre 2027. Si applica invece già dal 2 febbraio 2025 il divieto di usare sistemi che deducono le emozioni delle persone sul luogo di lavoro, salvo motivi medici o di sicurezza. Per le violazioni dell’AI Act lo stesso D.Lgs. 179/2026 fissa all’articolo 23 sanzioni che, per le pratiche vietate, arrivano a 35 milioni di euro o, se superiore, al 7 per cento del fatturato mondiale annuo, con un criterio più favorevole per le piccole e medie imprese.

Come prepararsi all’entrata in vigore del 23 ottobre 2026

Per un’impresa che usa strumenti digitali nella gestione del lavoro le verifiche utili sono sei, e ciascuna porta a una conclusione precisa.

• Il censimento degli strumenti in uso nei reparti, negli uffici e nella gestione del personale che rientrano nella definizione di sistema di intelligenza artificiale.
• Per ciascuno, la verifica dei quattro profili dell’articolo 42, che individua gli strumenti per i quali la legge chiede espressamente la valutazione, fermo l’obbligo generale di valutare tutti i rischi.
• L’aggiornamento del DVR per gli strumenti che incidono sul lavoro, con il servizio di prevenzione e protezione, il medico competente nei casi previsti e la consultazione del rappresentante dei lavoratori per la sicurezza.
• Un intervento di informazione e formazione costruito sui rischi emersi e sulle misure scelte, che è opportuno documentare come ogni altra attività formativa.
• L’adempimento degli obblighi di informativa dell’articolo 1-bis del D.Lgs. 152/1997 prima di avviare il trattamento, per i sistemi usati nelle decisioni sul personale.
• Il controllo che le decisioni finali sul rapporto di lavoro, compresi provvedimenti disciplinari e valutazioni delle prestazioni, spettino a una persona fisica che eserciti un potere effettivo e autonomo rispetto all’indicazione del sistema, e che l’impresa sia in grado di fornire al lavoratore che la chiede una motivazione comprensibile.

L’articolo 42 non introduce un documento separato, perché la valutazione confluisce in quella dell’articolo 28, ma aggiunge un obbligo specifico di informazione e formazione e chiede di guardare l’intelligenza artificiale per ciò che cambia nel lavoro delle persone. Le imprese che la integrano fin d’ora nella valutazione dei rischi e nella formazione possono adottare nuovi strumenti con maggiore sicurezza, dimostrare a organi di controllo e clienti come li governano e trasformare un obbligo in un presidio organizzativo. Affianchiamo le imprese nella mappatura dei sistemi di intelligenza artificiale, nell’aggiornamento del DVR e nella progettazione della formazione dei lavoratori, integrando sicurezza sul lavoro, privacy e compliance.

L'articolo AI e sicurezza sul lavoro: l’intelligenza artificiale diventa un rischio da valutare con il D.Lgs. 179/2026 proviene da Effe Diligence.

Le qualificazioni possibili sono tre. L’OdV può essere visto come titolare autonomo del trattamento, cioè il soggetto che decide finalità e mezzi, come responsabile del trattamento, la figura che il Regolamento europeo sulla protezione dei dati personali, il GDPR, riserva a chi tratta dati per conto di altri, oppure come parte dell’ente. L’Associazione dei Componenti degli Organismi di Vigilanza ex D.Lgs. 231/2001, nel position paper approvato il 21 marzo 2019, lo considerava parte dell’ente vigilato, con un inquadramento privacy assorbito da quello dell’ente. Con un parere reso all’associazione, il Garante per la protezione dei dati personali ha condiviso questa ricostruzione e ha escluso le altre due qualificazioni.

Natura, composizione e trattamenti dell’Organismo di Vigilanza

Il D.Lgs. 8 giugno 2001, n. 231 subordina l’effetto esimente del Modello all’affidamento della vigilanza sul suo funzionamento e sulla sua osservanza a un organismo dell’ente dotato di autonomi poteri di iniziativa e di controllo, senza prescriverne la composizione, e consente che la funzione sia svolta dall’organo dirigente negli enti di piccole dimensioni e, nelle società di capitali, dal collegio sindacale, dal consiglio di sorveglianza o dal comitato per il controllo della gestione. L’OdV può quindi essere monocratico o collegiale, con componenti interni, esterni o misti.

Nell’esercizio delle proprie attribuzioni l’organismo accede in via ordinaria a dati personali, cioè ai nominativi coinvolti nei procedimenti disciplinari, agli esiti degli audit interni, ai flussi informativi che il Modello gli indirizza, ai verbali delle riunioni e, se l’ente gli affida la gestione del canale interno, al contenuto delle segnalazioni. La vigilanza comporta quindi, per sua stessa natura, un trattamento continuativo di dati riferiti a persone identificate o identificabili.

Le due esclusioni operate dal Garante

Con il parere sulla qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza, reso il 12 maggio 2020 su quesito dell’Associazione dei Componenti degli Organismi di Vigilanza ex D.Lgs. 231/2001, l’Autorità ha escluso entrambe le letture alternative.

L’OdV non è titolare autonomo del trattamento. Titolare, per il Regolamento (UE) 2016/679, è chi determina le finalità e i mezzi del trattamento, mentre i compiti dell’organismo sono fissati dalla legge, che ne indica le attribuzioni, e dall’organo dirigente, che nel Modello definisce il funzionamento dell’organismo, l’attribuzione delle risorse, i mezzi e le misure di sicurezza. In altre parole, l’autonomia dell’OdV è autonomia di giudizio dentro l’organizzazione dell’ente, non potere decisionale sulle finalità e sui mezzi del trattamento.

L’OdV non è neppure responsabile del trattamento. Quella figura presuppone un soggetto giuridicamente distinto dal titolare, che tratta dati per conto di quest’ultimo sulla base di un contratto o di un altro atto giuridico e seguendo istruzioni documentate. L’organismo non è un centro di imputazione separato ma è parte integrante dell’ente, perché esercita una funzione interna di vigilanza e non rende un servizio a un committente terzo. Il Garante lo afferma a prescindere dal fatto che i componenti siano interni o esterni.

La qualificazione corretta e gli adempimenti a carico dell’ente

L’ente conserva la titolarità del trattamento e i componenti dell’OdV, in quanto persone fisiche, vanno designati soggetti autorizzati al trattamento, cioè le persone che operano sotto l’autorità del titolare seguendone le istruzioni. È lo schema previsto dagli articoli 29 e 32 del Regolamento (UE) 2016/679 e dall’articolo 2-quaterdecies del Codice privacy, il D.Lgs. 30 giugno 2003, n. 196, per chi tratta dati sotto l’autorità del titolare. La ricostruzione preserva l’autonomia funzionale richiesta dalla disciplina 231 e riconduce i trattamenti a un unico centro di responsabilità, in coerenza con il principio di accountability, cioè l’obbligo del titolare di dimostrare di avere rispettato le regole.

Secondo il parere l’ente designa i singoli componenti come soggetti autorizzati e impartisce loro le istruzioni necessarie perché il trattamento rispetti i principi dell’articolo 5 del Regolamento. Il titolare adotta inoltre misure tecniche e organizzative adeguate e assicura all’organismo autonomia e indipendenza rispetto agli organi di gestione. Sul piano operativo, nella prassi, un atto di designazione ben costruito indica anche la durata dell’incarico, delimita il perimetro dei trattamenti accessibili e delle categorie di dati, definisce le misure applicabili ad archivi e verbali, fissa il vincolo di riservatezza sui flussi informativi e le clausole a presidio dell’indipendenza. I trattamenti riconducibili all’OdV vanno inoltre censiti nel registro delle attività di trattamento dell’ente previsto dall’articolo 30 del Regolamento.

La qualificazione vale anche per gli organismi a composizione esterna, perché, nella lettura del parere, discende dalla funzione esercitata e non dal titolo contrattuale sottostante. Diversa è la posizione dei soggetti terzi che forniscono all’OdV piattaforme informatiche o attività istruttorie, che, se trattano dati personali per conto dell’ente, vanno nominati responsabili del trattamento con un contratto o altro atto giuridico in forma scritta, come prevede l’articolo 28 del Regolamento.

Quando l’OdV è esterno e gli archivi restano nello studio professionale

Un’ipotesi frequente è quella dell’OdV affidato a un professionista esterno che conserva verbali e flussi informativi sui sistemi del proprio studio. Il parere non tratta il tema degli archivi, e quella che segue è la lettura applicativa che ne ricaviamo. La qualificazione del professionista non cambia, perché discende dalla funzione, e resta quella di soggetto autorizzato. Cambia il profilo dei mezzi. Il parere del 2020 rimette all’organo dirigente la definizione, dentro il Modello, del funzionamento dell’organismo, delle risorse, dei mezzi e delle misure di sicurezza, e chi opera sotto l’autorità del titolare tratta i dati secondo le sue istruzioni, comprese quelle sugli strumenti da usare. Un’infrastruttura scelta dal solo professionista resta quindi fuori dal governo dell’ente.

Le ricadute sono concrete. L’ente non può documentare nel registro dei trattamenti, né dimostrare in caso di accertamento, misure di sicurezza applicate a un sistema di cui non ha conoscenza. Una violazione dei dati personali avvenuta su quell’infrastruttura, cioè un data breach, resta imputabile all’ente e va notificata al Garante senza ingiustificato ritardo e, quando possibile, entro 72 ore da quando l’ente ne è venuto a conoscenza, salvo che sia improbabile che presenti un rischio per i diritti e le libertà delle persone, come prescrive il Regolamento (UE) 2016/679. In questo assetto la conoscenza dipende soltanto dalla comunicazione del professionista. Il personale dello studio e i suoi fornitori di servizi cloud, di posta elettronica e di assistenza informatica trattano dati dell’ente senza un ruolo privacy definito, se l’ente non li ha autorizzati né ha nominato responsabile lo studio. Alla cessazione dell’incarico, infine, l’archivio dell’organismo è l’evidenza documentale dell’efficace attuazione del Modello ed è opportuno che rientri nella piena disponibilità dell’ente.

Le strade per rimettere ordine sono due, in ordine di solidità. La prima è la fornitura dei mezzi da parte dell’ente, cioè uno spazio di archiviazione dedicato sui sistemi aziendali o su un’infrastruttura cloud contrattualizzata dall’ente con il fornitore nominato responsabile, una casella di posta dedicata sul dominio aziendale, accessi riservati ai soli componenti, cifratura e tracciamento degli accessi, esclusione degli amministratori di sistema dall’area riservata oppure loro assoggettamento a vincoli specifici di riservatezza. È la configurazione più coerente con il parere, che mette in capo al titolare insieme la sicurezza dei dati e l’indipendenza dell’organismo. L’indipendenza riguarda i rapporti con gli organi di gestione e non l’infrastruttura, e la separazione tecnica degli accessi è proprio ciò che la protegge.

La seconda strada è l’autorizzazione espressa dell’ente all’uso degli strumenti del professionista, come scelta documentata del titolare. In questo caso l’atto di designazione individua gli strumenti ammessi, fissa le misure minime, cioè cifratura, autenticazione a più fattori, copie di sicurezza e accessi nominativi, indica i tempi di conservazione e le modalità di restituzione o cancellazione dell’archivio alla fine dell’incarico, e impone l’obbligo di segnalare tempestivamente ogni incidente e di comunicare i fornitori impiegati. Quando lo studio è una struttura con collaboratori, il professionista resta soggetto autorizzato per la funzione di vigilanza e lo studio viene nominato responsabile del trattamento per i servizi di archiviazione e di segreteria, con la stessa logica applicata alle piattaforme esterne.

Il whistleblowing, cioè la gestione delle segnalazioni di illeciti, segue un regime proprio. Il parere del 2020 riguarda i flussi informativi ordinari dell’organismo, mentre le segnalazioni sono disciplinate dal D.Lgs. 10 marzo 2023, n. 24, che pone la titolarità del trattamento in capo all’ente, gli impone di disciplinare secondo l’articolo 28 del Regolamento il rapporto con i fornitori esterni che trattano dati per suo conto e di individuare le misure di sicurezza del proprio modello di gestione delle segnalazioni sulla base di una valutazione d’impatto sulla protezione dei dati. Se l’ente adotta una piattaforma informatica, come raccomandano le linee guida ANAC n. 1/2025 sui canali interni, questa va contrattualizzata dall’ente e il fornitore nominato responsabile. Se il canale è affidato a un soggetto esterno, per esempio lo stesso professionista che compone l’OdV, l’ente regola il rapporto con un contratto e il soggetto esterno può trattare i dati come responsabile del trattamento, come indicano le stesse linee guida. In ogni caso gli strumenti usati devono garantire la riservatezza richiesta dal decreto, anche con il ricorso alla crittografia. Per il canale di segnalazione valgono inoltre le sanzioni dell’ANAC, da 10.000 a 50.000 euro anche per la violazione della riservatezza.

Le conseguenze di un inquadramento errato

Qualificare l’OdV come titolare autonomo o come responsabile del trattamento produce effetti a catena sui documenti che l’ente deve esibire quando arriva un accertamento, cioè registri dei trattamenti incompleti, informative che indicano un titolare inesistente, nomine prive di presupposto giuridico e misure di sicurezza non attribuibili ad alcun soggetto. La mancata definizione di dove e con quali strumenti si conservano gli archivi dell’organismo apre lo stesso vuoto sul piano dei presidi di sicurezza.

Il Regolamento (UE) 2016/679 gradua le sanzioni su due fasce. La violazione degli obblighi organizzativi, tra cui la tenuta del registro dei trattamenti, la nomina dei responsabili e l’adozione delle misure di sicurezza, arriva a 10 milioni di euro oppure, per le imprese, al 2 per cento del fatturato mondiale totale annuo dell’esercizio precedente se superiore. La violazione dei principi di base del trattamento e delle condizioni di liceità arriva a 20 milioni di euro oppure al 4 per cento del fatturato, con lo stesso criterio.

C’è poi un profilo che riguarda direttamente la difesa dell’ente in giudizio. A nostro avviso un inquadramento privacy incoerente può indebolire la dimostrazione dell’efficace attuazione del Modello davanti al giudice chiamato a valutarne l’idoneità. La coerenza tra Modello, atti di designazione e sistema privacy è essa stessa un indice di solidità del presidio.

Allineare Modello 231 e sistema privacy con una verifica a perimetro definito

La verifica da fare è circoscritta e ha un esito misurabile. Si controlla come l’OdV è qualificato nel Modello, nel registro dei trattamenti e nelle informative, e si aggiornano gli atti di designazione dei componenti con istruzioni, misure di sicurezza e clausole a presidio dell’indipendenza. Si stabilisce poi dove e con quali strumenti si conservano verbali, flussi informativi e archivi, formalizzando la scelta del titolare, e si nominano responsabili del trattamento i fornitori esterni di piattaforme, di servizi di archiviazione e di attività istruttorie. Si individua infine chi gestisce il canale di segnalazione interna, con quale ruolo privacy e con quale valutazione d’impatto di riferimento, e si formano i componenti dell’organismo sugli obblighi che derivano dalla designazione.

Al termine l’ente dispone dell’evidenza documentale della propria catena di responsabilità oppure sa in quale punto preciso essa si interrompe, e sa quali documenti deve rifare.

Affianchiamo le imprese nella progettazione di sistemi di compliance integrata, in cui Modello 231 e protezione dei dati personali rispondono a un’unica architettura di governance, attraverso la consulenza privacy, la gap analysis degli adempimenti normativi e la formazione dei componenti degli organismi di controllo.

L'articolo L’inquadramento privacy dell’Organismo di Vigilanza: il parere del Garante del 12 maggio 2020 proviene da Effe Diligence.

Che cosa chiede la UNI EN 15635 e a chi si applica

La UNI EN 15635:2009 è la norma tecnica dedicata all’utilizzo e alla manutenzione dei sistemi di stoccaggio statici in acciaio. Prevede ispezioni periodiche affidate al PRSES, la persona responsabile della sicurezza delle attrezzature di stoccaggio, a intervalli stabiliti in base all’intensità operativa, allo stato di conservazione e all’estensione della scaffalatura, e prevede che almeno una volta ogni dodici mesi un tecnico esperto affianchi il PRSES in un’ispezione periodica pianificata. I dodici mesi sono quindi la frequenza minima dell’ispezione con il tecnico esperto, non l’intervallo massimo fra due ispezioni qualsiasi, che nei magazzini più utilizzati è spesso più breve.

La norma non è cogente, e INAIL lo scrive in modo esplicito. INAIL la considera però la norma di riferimento per la gestione della sicurezza delle scaffalature in magazzino, e a nostro giudizio applicarla è il modo più solido per documentare i controlli. La guida INAIL riguarda in particolare le scaffalature porta pallet statiche utilizzate con carrelli a guida manuale, mentre i magazzini automatici seguono la disciplina europea sulle macchine. L’estensione della scaffalatura è uno dei fattori da cui dipende la frequenza delle ispezioni del PRSES.

Attorno a questa norma ruota una famiglia di documenti tecnici che presidiano fasi diverse della vita della scaffalatura, dalla progettazione strutturale alle tolleranze di montaggio, dalle specifiche di fornitura alla progettazione in zona sismica. Sul versante italiano la UNI 11636:2023 disciplina la validazione delle attrezzature di immagazzinamento e definisce l’esperto validatore, dalla cui definizione INAIL ricava i requisiti del tecnico esperto previsto dalla UNI EN 15635.

Controlli periodici e verifiche periodiche non sono la stessa cosa

Per le scaffalature porta pallet non esiste un riferimento legislativo esplicito, ma trova comunque applicazione il D.Lgs. 81/2008. Se le scaffalature sono trattate come attrezzature di lavoro, valgono gli obblighi dell’articolo 71 del decreto, che impone di installarle e utilizzarle in conformità alle istruzioni d’uso, di sottoporle a idonea manutenzione e di tenere aggiornato il registro di controllo dove previsto. Per le attrezzature esposte a influssi che ne provocano il deterioramento il decreto richiede interventi di controllo periodici, con frequenze stabilite in base alle indicazioni fornite dai fabbricanti ovvero dalle norme di buona tecnica, e interventi di controllo straordinari ogni volta che intervengano eventi eccezionali. I controlli devono essere eseguiti da persona competente e i risultati messi per iscritto e conservati almeno per gli ultimi tre anni.

Il decreto non fissa quindi la frequenza dei controlli e non nomina la UNI EN 15635. Per le scaffalature INAIL rinvia anzitutto alle istruzioni del fornitore contenute nel manuale e indica la UNI EN 15635 come riferimento tecnico. Nella pratica il manuale del fornitore e la norma vanno letti insieme per fissare per iscritto la cadenza dei controlli.

Va chiarito un equivoco frequente. Le scaffalature non rientrano tra le attrezzature elencate nell’Allegato VII e non sono quindi soggette alle verifiche periodiche affidate a soggetti pubblici o privati abilitati, quelle previste per esempio per gli apparecchi di sollevamento. Ricadono nei controlli gestiti direttamente dal datore di lavoro tramite persona competente e documentati nel registro dei controlli. Nessun ente esterno rilascia un verbale obbligatorio, il che non alleggerisce l’adempimento ma lo sposta interamente sull’organizzazione interna.

Le quattro ispezioni previste in magazzino

La guida INAIL distingue quattro momenti di controllo, ciascuno con un proprio destinatario e una propria cadenza.

• ispezione a fine montaggio, effettuata al termine dei lavori dalla squadra di installazione insieme all’ispettore incaricato dal datore di lavoro;
• ispezione d’uso, affidata all’operatore di magazzino, che consiste nell’ispezione visiva della zona interessata dalla manovra prima di ogni attività;
• ispezione periodica, svolta dal PRSES con la cadenza fissata per iscritto e, almeno una volta ogni dodici mesi, con l’affiancamento di un tecnico esperto che riesamina anche i rapporti delle ispezioni precedenti;
• ispezione straordinaria, eseguita subito dal PRSES quando la scaffalatura subisce un danno o presenta un difetto, e prima di riprendere l’utilizzo dopo un evento sismico.

Dopo una riconfigurazione della scaffalatura è il PRSES a verificarne l’esito e ad autorizzare nuovamente l’utilizzo. Il tecnico esperto è la persona che per formazione, esperienza e istruzione ha le conoscenze necessarie per eseguire efficacemente il compito, e secondo INAIL i suoi requisiti si desumono dalla definizione di esperto validatore della UNI 11636. La norma non ne esplicita i requisiti e le fonti INAIL non indicano un’abilitazione specifica. Secondo INAIL il tecnico esperto deve saper redigere per il PRSES un resoconto scritto con osservazioni e proposte di intervento.

Il presidio organizzativo affidato al PRSES

La UNI EN 15635 individua nel PRSES il presidio organizzativo del sistema, con la responsabilità di mantenere il funzionamento in sicurezza delle scaffalature. I suoi compiti comprendono la pianificazione e la registrazione delle ispezioni, la programmazione della manutenzione secondo le indicazioni del fornitore, l’annotazione delle anomalie nel registro dei controlli, la valutazione della gravità dei danni e la richiesta di intervento, la vigilanza sul corretto impiego delle strutture e l’autorizzazione all’utilizzo dopo ogni riconfigurazione.

La nomina del PRSES non è obbligatoria per legge, ma lo diventa quando il datore di lavoro sceglie di applicare la UNI EN 15635. INAIL indica che la nomina spetta al datore di lavoro e va ufficializzata e comunicata a tutto il personale di magazzino, e che serve almeno un PRSES per ogni sito produttivo e per ogni turno di lavoro. Formalizzarla chiarisce a chi si risale quando occorre stabilire chi doveva rilevare il danno, chi doveva sospendere il carico e chi ha autorizzato la ripresa dell’esercizio.

Come si legge l’esito dell’ispezione, tra verde, giallo e rosso

Al termine dell’ispezione ogni danno rilevato viene classificato in uno dei tre livelli di rischio. È questo l’esito concreto del controllo, perché ogni elemento della scaffalatura risulta collocato in un livello e ogni livello dice se si può continuare a caricare e come occorre intervenire.

Il livello verde consente alla scaffalatura di restare in servizio, con il danno registrato e monitorato in ogni ispezione d’uso successiva e riclassificato come giallo se si aggrava. Il livello giallo consente di utilizzare l’elemento danneggiato fino a quando non viene scaricato, dopo di che l’elemento non deve essere più caricato fino al completo ripristino, che va pianificato e svolto in tempi brevi. Il livello rosso impone lo scarico immediato, l’interdizione all’uso di quella porzione di struttura con indicazioni visibili a chiunque e il ripristino completo prima di qualsiasi nuovo carico.

Le riparazioni non si eseguono con saldature, urti o deformazioni degli elementi. Il fornitore propone l’intervento di ripristino e, se l’intervento è accettato, l’utilizzatore esige un documento di corretto ripristino firmato dal fornitore, mentre la rimessa in servizio è autorizzata dal PRSES.

Registro dei controlli, cartello di portata e protezioni passive

La tracciabilità documentale è parte integrante dell’adempimento. Le ispezioni di fine montaggio, quelle periodiche, quelle straordinarie e gli interventi di manutenzione vanno registrati sul registro dei controlli, chiamato anche libretto della scaffalatura, che riporta l’identificazione della struttura, i riferimenti del fabbricante e del fornitore, luogo e data, l’identificazione di chi esegue ispezione e manutenzione, i controlli effettuati con i relativi esiti e la descrizione degli interventi. Secondo la guida INAIL il registro dovrebbe essere conservato in magazzino insieme al manuale ed essere a disposizione per la consultazione.

La scaffalatura deve inoltre essere dotata del cartello di portata, sempre esposto, corretto e aggiornato, con i pittogrammi di obbligo, divieto e attenzione e con lo schema grafico delle quote dei primi due livelli di carico e delle portate nominali ammesse. Le protezioni passive, alte almeno 30 centimetri, vanno fissate esclusivamente a terra tramite tasselli in testata, nelle corsie di circolazione sotto la scaffalatura e agli incroci delle corsie dove i mezzi cambiano direzione, per limitare il rischio di deformazione e di collasso della struttura in caso di urto.

Le sanzioni previste per il datore di lavoro

La violazione dei principali obblighi sulle attrezzature di lavoro è una contravvenzione penale. Il D.Lgs. 81/2008 punisce il datore di lavoro e il dirigente con l’arresto da tre a sei mesi o con l’ammenda che, secondo la tabella dell’Ispettorato Nazionale del Lavoro, va da 3.561,44 a 9.117,29 euro, e la stessa pena copre la mancata esecuzione dei controlli periodici, la mancata manutenzione e la mancata tenuta del registro di controllo per le attrezzature per cui è previsto. La mancata registrazione scritta dei risultati dei controlli e la loro mancata conservazione per tre anni sono invece punite con una sanzione amministrativa pecuniaria.

Gli importi comprendono le rivalutazioni periodiche disposte per le sanzioni in materia di salute e sicurezza, l’ultima delle quali pari al 15,9 per cento, e la maggiorazione del 10 per cento introdotta dalla legge 145/2018, che raddoppia se nei tre anni precedenti il datore di lavoro è stato sanzionato per gli stessi illeciti. Secondo l’Ispettorato Nazionale del Lavoro la rivalutazione del 15,9 per cento si applica alle violazioni commesse a partire dal 6 ottobre 2023.

Come arrivare preparati all’ispezione periodica

Il percorso di adeguamento è lineare e si costruisce su pochi passaggi ordinati.

• censire le scaffalature presenti in azienda e recuperare per ciascuna manuale d’istruzioni, disegno di montaggio e dichiarazione di corretto montaggio dell’installatore;
• se si applica la UNI EN 15635, ufficializzare la nomina del PRSES, almeno uno per sito e per turno, e definirne compiti, autonomia e modalità di segnalazione alla direzione;
• fissare per iscritto la frequenza delle ispezioni periodiche del PRSES, tenendo conto del manuale del fornitore, dell’intensità d’uso, dello stato di conservazione e dell’estensione della scaffalatura;
• programmare almeno ogni dodici mesi l’ispezione con il tecnico esperto;
• attivare o aggiornare il registro dei controlli, verificando che contenga tutte le informazioni minime previste;
• verificare presenza, correttezza e aggiornamento dei cartelli di portata e l’idoneità delle protezioni passive;
• formare gli operatori sull’ispezione visiva prima di ogni attività, sulla segnalazione dei danni e sulla corretta movimentazione dei carichi.

Programmare per tempo l’ispezione delle scaffalature significa proteggere la continuità del magazzino, ridurre i fermi non pianificati e disporre di una documentazione ordinata in caso di controllo o di sinistro. L’adempimento si integra con la valutazione dei rischi e con i sistemi di gestione che molte imprese già presidiano, diventando una leva di affidabilità verso clienti e partner della filiera. Affianchiamo le imprese nel censimento delle attrezzature di immagazzinaggio, nella costruzione del registro dei controlli e nella programmazione delle ispezioni periodiche previste dalla UNI EN 15635.

L'articolo Ispezione scaffalature, il PRSES e il tecnico esperto almeno ogni dodici mesi proviene da Effe Diligence.

Il quadro si è mosso di recente. Il 27 luglio 2026 è entrato in vigore il Regolamento (UE) 2026/1744, il regolamento di semplificazione noto come Omnibus digitale sull’IA, che ha modificato l’AI Act rinviando gli obblighi per i sistemi ad alto rischio e riscrivendo quello di alfabetizzazione, mentre gli obblighi di trasparenza sui contenuti generati si applicano dal 2 agosto 2026, con un termine fino al 2 dicembre 2026 per la marcatura da parte dei fornitori di sistemi già sul mercato. In Italia dal 10 ottobre 2025 è in vigore la legge sull’intelligenza artificiale, e il Garante ha continuato a decidere casi concreti, dal lavoro ai minori, dai deepfake al merito creditizio. Il rinvio di una parte dell’AI Act non sposta nulla sul versante privacy, perché il GDPR si applica ai trattamenti di dati personali che un’impresa svolge con un sistema di AI, oggi come prima.

Due regolamenti che si applicano insieme

L’AI Act regola i sistemi di AI in base al rischio e distribuisce gli obblighi fra diversi operatori, fra cui il fornitore, che sviluppa o fa sviluppare il sistema e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio, e il deployer, cioè chi utilizza un sistema di AI sotto la propria autorità, salvo che lo faccia nel corso di un’attività personale non professionale. Il Regolamento (UE) 2024/1689, cioè l’AI Act, dichiara di lasciare impregiudicato il GDPR, salvo due deroghe circoscritte, e gli obblighi dei due regolamenti si cumulano. Per il GDPR la stessa impresa è di regola titolare del trattamento, perché ne determina finalità e mezzi, ed è tenuta a individuare una base giuridica, a informare gli interessati e a valutare i rischi.

Un’impresa che acquista e usa uno strumento di AI sviluppato da altri è di regola deployer. L’AI Act la considera però fornitore di un sistema ad alto rischio, con obblighi molto più ampi, se appone il proprio nome o marchio su un sistema già ad alto rischio, salvo accordi contrattuali che ripartiscano diversamente gli obblighi, se modifica in modo sostanziale un sistema ad alto rischio che resta tale, o se cambia la finalità prevista di un sistema, anche di uso generale, in modo tale che diventi ad alto rischio. Il ruolo va quindi verificato strumento per strumento, perché da esso dipendono gli obblighi.

In Italia la Legge 23 settembre 2025, n. 132 aggiunge regole proprie. Chiede che le informazioni sul trattamento dei dati connesso all’uso di sistemi di AI siano rese con linguaggio chiaro e semplice, subordina l’accesso dei minori di quattordici anni alle tecnologie di AI al consenso di chi esercita la responsabilità genitoriale e obbliga il datore di lavoro o il committente a informare il lavoratore dell’uso dell’AI nei casi e con le modalità previsti dal decreto trasparenza. La stessa legge designa l’Agenzia per l’Italia digitale (AgID) e l’Agenzia per la cybersicurezza nazionale (ACN) come autorità nazionali per l’intelligenza artificiale e lascia fermi competenze e poteri del Garante per la protezione dei dati personali.

Un punto di contatto concreto fra le due discipline è la valutazione d’impatto sulla protezione dei dati, la DPIA (Data Protection Impact Assessment). Nell’elenco dei trattamenti per cui la DPIA è obbligatoria, allegato al provvedimento n. 467 dell’11 ottobre 2018, il Garante indica espressamente i trattamenti svolti con tecnologie innovative, fra cui i sistemi di intelligenza artificiale, ogni volta che ricorre anche almeno un altro dei criteri di rischio fissati dalle linee guida europee, come la valutazione delle persone, il monitoraggio sistematico, i dati sensibili o il trattamento su larga scala. Le stesse linee guida includono i dipendenti fra gli interessati vulnerabili, e ne discende che uno strumento di AI applicato al personale richiede di regola la DPIA.

Il calendario dell’AI Act dopo l’Omnibus digitale

Il Regolamento (UE) 2026/1744 interviene in modo mirato sull’AI Act, spostandone alcune date e riscrivendone alcuni obblighi. Per i sistemi ad alto rischio dell’allegato III, che comprende fra gli altri la selezione e la gestione del personale, la valutazione del merito creditizio delle persone fisiche e alcuni usi della biometria, gli obblighi dovevano applicarsi dal 2 agosto 2026 e ora si applicano dal 2 dicembre 2027. Per i sistemi ad alto rischio integrati in prodotti regolati dall’allegato I, come i dispositivi medici, il termine passa dal 2 agosto 2027 al 2 agosto 2028. Il rinvio degli obblighi per l’alto rischio, deciso in via definitiva dal Consiglio il 29 giugno 2026, non sposta la data dei divieti già in vigore né quella generale degli obblighi di trasparenza, salvo il termine fino al 2 dicembre 2026 per la marcatura da parte dei fornitori di sistemi già sul mercato, mentre lo stesso regolamento aggiunge due nuovi divieti dal 2 dicembre 2026.

Per i sistemi ad alto rischio già immessi sul mercato o messi in servizio prima della data di riferimento, l’AI Act prevede un regime transitorio, per cui il regolamento si applica a quei sistemi solo se la loro progettazione subisce modifiche significative, e il considerando 39 dell’Omnibus chiarisce che, se almeno un’unità di un certo tipo e modello è stata immessa legittimamente sul mercato o messa in servizio prima di quella data, la tolleranza vale anche per le altre unità dello stesso tipo e modello, finché la progettazione resta invariata. Per uno strumento già in uso conviene quindi verificare con il fornitore se rientra in questo regime.

Cambia anche l’obbligo di alfabetizzazione in materia di AI, che si applica dal 2 febbraio 2025. Il testo originario chiedeva a fornitori e deployer di adottare misure per garantire nella misura del possibile un livello sufficiente di alfabetizzazione del personale e delle altre persone che si occupano dei sistemi per loro conto. Dal 27 luglio 2026 l’obbligo è di adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione delle stesse persone, tenendo conto delle competenze, del contesto d’uso e delle persone su cui i sistemi sono utilizzati, e la norma precisa che non impone di garantire un livello specifico. L’obbligo resta, ma non chiede più di raggiungere un livello di alfabetizzazione determinato.

Per un’impresa che usa sistemi di AI le scadenze dell’AI Act si leggono quindi in questa sequenza.

• dal 2 febbraio 2025, divieti delle pratiche di AI vietate e obbligo di alfabetizzazione;
• dal 27 luglio 2026, entrata in vigore dell’Omnibus digitale e nuova formulazione dell’alfabetizzazione;
• dal 2 agosto 2026, obblighi di trasparenza su chatbot, contenuti generati, deepfake, testi di interesse pubblico, riconoscimento delle emozioni e categorizzazione biometrica;
• entro il 2 dicembre 2026, marcatura dei contenuti generati in formato leggibile da macchina da parte dei fornitori di sistemi immessi sul mercato prima del 2 agosto 2026, e dalla stessa data nuovi divieti sui contenuti intimi non consensuali e sul materiale di abuso sessuale su minori;
• dal 2 dicembre 2027, obblighi per i sistemi ad alto rischio dell’allegato III;
• dal 2 agosto 2028, obblighi per i sistemi ad alto rischio integrati nei prodotti dell’allegato I.

Sul versante privacy, invece, il GDPR non è stato modificato. L’Omnibus ha introdotto nell’AI Act una base giuridica eccezionale per trattare categorie particolari di dati al solo fine di rilevare e correggere distorsioni dei sistemi, mentre la proposta di modifica del GDPR presentata dalla Commissione europea il 19 novembre 2025, che fra l’altro prevedeva una norma espressa sul legittimo interesse come base giuridica per sviluppare e far funzionare sistemi di AI, è ancora all’esame del Parlamento europeo e del Consiglio. Fino alla sua eventuale approvazione valgono le regole vigenti e l’interpretazione che ne danno le autorità.

Negli uffici, assistenti di scrittura e AI generativa

Il primo caso riguarda gli strumenti di AI generativa, cioè i sistemi che producono testi, immagini, audio o video a partire da una richiesta. Un dipendente incolla in un assistente di questo tipo la mail di un cliente, un contratto o il verbale di una riunione per ottenerne una sintesi, e in quel momento l’impresa sta trasmettendo dati personali a un fornitore esterno. Se il fornitore tratta i dati per conto dell’impresa, il GDPR chiede che il rapporto sia regolato da un contratto o altro atto giuridico che lo vincoli, come responsabile del trattamento, a trattare i dati soltanto su istruzione documentata dell’impresa. Un riutilizzo dei dati immessi per finalità proprie del fornitore, come l’addestramento dei suoi modelli, non rientra in quel perimetro. La verifica riguarda quindi prima di tutto il ruolo del fornitore, poi le condizioni contrattuali, in particolare l’uso dei dati immessi e il luogo in cui vengono trattati, e infine la necessità stessa di immettere quei dati, perché il principio di minimizzazione vale anche quando il contratto è in regola.

Il luogo conta perché il fornitore può avere sede fuori dall’Unione europea. Il 30 gennaio 2025 il Garante ha disposto in via d’urgenza la limitazione del trattamento dei dati delle persone che si trovano in Italia da parte di un servizio di chatbot gestito da due società con sede fuori dall’Unione, che sostenevano di non operare in Italia e di non essere soggette al GDPR, ritenendo invece che il servizio fosse offerto a persone che si trovano nell’Unione, in particolare in Italia. Per l’impresa italiana che invia dati a un servizio di questo tipo si aggiunge la disciplina dei trasferimenti di dati verso paesi terzi, che il GDPR sottopone a condizioni specifiche.

Il terzo punto riguarda le persone. L’obbligo di alfabetizzazione dell’AI Act vale anche per chi usa strumenti di uso generale, e una policy interna che stabilisca quali strumenti sono autorizzati, quali dati vi si possono immettere e chi controlla gli output è un modo concreto per documentare le misure adottate. Per chi esercita una professione intellettuale le regole sono due, perché la legge italiana sull’intelligenza artificiale ammette l’uso dei sistemi di AI solo per attività strumentali e di supporto, con prevalenza del lavoro intellettuale del professionista, e chiede di comunicare al cliente, con linguaggio chiaro, semplice ed esaustivo, le informazioni sui sistemi di AI utilizzati.

Davanti ai clienti, chatbot e contenuti sintetici

Un chatbot sul sito o sull’app che risponde ai clienti pone due questioni distinte. Per l’AI Act, dal 2 agosto 2026 i sistemi destinati a interagire direttamente con le persone devono essere progettati e sviluppati in modo che queste siano informate di stare interagendo con un sistema di AI, salvo che ciò sia evidente per una persona ragionevolmente informata, attenta e avveduta, tenuto conto delle circostanze e del contesto d’uso. L’obbligo è del fornitore, ma un’impresa che sviluppa o fa sviluppare un assistente e lo mette in servizio con il proprio nome o marchio è essa stessa fornitore. Per il GDPR le conversazioni contengono di regola dati personali, e l’impresa ne è titolare del trattamento, con informativa, tempi di conservazione e misure di sicurezza da definire prima del lancio.

Se il servizio è accessibile anche a minori, servono tutele specifiche. Con i provvedimenti del 10 aprile 2025 e del 3 luglio 2026 il Garante ha sanzionato per 5 milioni e per 158.000 euro le società che gestiscono due servizi di chatbot di AI generativa offerti al pubblico, contestando fra l’altro l’assenza di una verifica dell’età efficace e, nel secondo caso, profili dei minori pubblici per impostazione predefinita e una valutazione d’impatto che andava svolta prima del lancio del servizio. Per un chatbot di assistenza ai clienti la lezione riguarda soprattutto la DPIA prima del lancio e la valutazione dell’eventuale uso da parte di minori, per i quali la legge italiana richiede, sotto i quattordici anni, il consenso di chi esercita la responsabilità genitoriale.

Le immagini, i video e le voci generati con AI usati nella comunicazione aziendale hanno regole proprie, in parte già operative. Dal 2 agosto 2026 chi usa un sistema di AI per generare o manipolare un deepfake, cioè un’immagine o un contenuto audio o video che assomiglia a persone, oggetti, luoghi, entità o eventi esistenti e che apparirebbe falsamente autentico o veritiero, deve rendere noto che il contenuto è stato generato o manipolato artificialmente. Per le opere palesemente artistiche, creative, satiriche o di finzione l’obbligo si limita a segnalarlo in modo da non ostacolare la fruizione dell’opera. Entro il 2 dicembre 2026 anche i fornitori dei sistemi immessi sul mercato prima del 2 agosto 2026 devono marcare i contenuti generati, e dalla stessa data è vietato usare sistemi di AI per generare o manipolare immagini, video o audio realistici delle parti intime di persone riconoscibili, o che le ritraggono in atti sessualmente espliciti, senza il loro consenso liberamente prestato, specifico, informato e inequivocabile.

Quando il contenuto ritrae una persona reale, il GDPR resta in primo piano. Il 23 luglio 2026 il Garante ha ammonito un’impresa che aveva diffuso video in cui immagine e voce di una persona reale erano state manipolate con AI per attribuirle dichiarazioni mai pronunciate, con avvertenze sulla natura artificiale non sufficientemente chiare, ritenendo violati i principi di liceità, correttezza e trasparenza e la protezione dei dati fin dalla progettazione, e le ha vietato l’ulteriore trattamento con quelle modalità. Sul piano penale, la legge sull’intelligenza artificiale ha introdotto il reato di illecita diffusione di contenuti generati o alterati con AI, che punisce con la reclusione da uno a cinque anni chi cagiona un danno ingiusto diffondendo senza consenso immagini, video o voci falsificati o alterati con sistemi di AI e idonei a indurre in inganno sulla loro genuinità, di regola a querela della persona offesa.

Nel rapporto di lavoro, dalla selezione al monitoraggio

Un software che filtra le candidature, ordina i candidati o ne valuta i colloqui rientra fra i sistemi ad alto rischio dell’AI Act, che lo indica espressamente fra gli usi in materia di occupazione. Dal 2 dicembre 2027, fatto salvo il regime transitorio per i sistemi già sul mercato, il datore di lavoro che lo utilizza dovrà seguire le istruzioni del fornitore, affidare la sorveglianza umana a persone con competenza, formazione e autorità adeguate, monitorarne il funzionamento, conservare i registri generati automaticamente dal sistema (log), per la parte sotto il proprio controllo, per un periodo adeguato e comunque di almeno sei mesi salvo diversa disposizione di legge, e informare le persone che sono soggette al suo uso. Se invece l’impresa usa per filtrare i curriculum un assistente di uso generale nato per altri scopi, può diventare essa stessa fornitore di un sistema ad alto rischio.

Il rinvio non lascia però un vuoto. Già oggi il GDPR vieta, salvo eccezioni circoscritte, le decisioni basate unicamente su un trattamento automatizzato che producono effetti giuridici o incidono in modo analogo significativamente sulla persona, e i considerando del regolamento citano come esempio proprio le pratiche di assunzione elettronica senza interventi umani. Un’esclusione automatica di candidature senza una persona che ne riesamini davvero l’esito ricade in questa disciplina. A questo si aggiungono la DPIA, perché alla tecnologia innovativa si somma la valutazione delle persone, e, se la decisione è automatizzata, informazioni significative sulla logica utilizzata.

Lo stesso vale per i sistemi che assegnano compiti in base al comportamento individuale, monitorano e valutano le prestazioni o supportano decisioni su promozioni e cessazioni, anch’essi ad alto rischio per l’AI Act. Dal 2 dicembre 2027, prima di metterli in servizio o di utilizzarli sul luogo di lavoro, il datore di lavoro dovrà informare i rappresentanti dei lavoratori e i lavoratori interessati. Già oggi, però, se dallo strumento deriva anche solo la possibilità di controllare a distanza l’attività dei lavoratori, l’articolo 4 dello Statuto dei lavoratori ne ammette l’impiego solo per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, previo accordo con le rappresentanze sindacali o, in mancanza, autorizzazione dell’Ispettorato nazionale del lavoro. L’accordo o l’autorizzazione non servono per gli strumenti usati dal lavoratore per rendere la prestazione e per quelli di registrazione degli accessi e delle presenze. Si aggiungono l’obbligo di informazione richiamato dalla legge sull’intelligenza artificiale, nei casi previsti dal decreto trasparenza, e la DPIA, che il Garante richiede per i trattamenti tecnologici da cui derivi la possibilità di controllo a distanza dei dipendenti.

Un precedente utile è la gestione algoritmica dei rider di una piattaforma di consegne, sanzionata dal Garante con il provvedimento del 13 novembre 2024 per 5 milioni di euro. L’Autorità ha contestato fra l’altro l’assenza di misure che consentissero ai lavoratori di ottenere l’intervento umano, esprimere la propria opinione e contestare le decisioni automatizzate, come la disattivazione dell’account, e ha vietato l’ulteriore trattamento dei dati biometrici raccolti con il riconoscimento facciale.

C’è poi un uso che non è rinviato ma vietato. Dal 2 febbraio 2025 l’AI Act vieta i sistemi di AI per inferire le emozioni di una persona sul luogo di lavoro, salvo che siano destinati a motivi medici o di sicurezza. Il Garante ha richiamato questo divieto nel provvedimento del 14 maggio 2026, con cui ha rivolto un avvertimento a una start-up italiana che offriva un plug-in per le piattaforme di messaggistica aziendale capace di stimare, con l’analisi dei messaggi scambiati nelle chat, il livello di stress dei dipendenti, con report aggregati per l’azienda cliente. Secondo l’Autorità quei trattamenti possono verosimilmente violare il GDPR e le norme a tutela della dignità di chi lavora, perché le informazioni sulla sfera emotiva dei dipendenti sono precluse al datore di lavoro, e le finalità di medicina preventiva dichiarate dalla società spettano al solo medico competente. Per l’impresa ne discende che uno strumento che stima umore, stress o emozioni dei dipendenti va evitato, anche quando analizza testi e non dati biometrici e anche quando è presentato con finalità di tutela della salute.

Biometria e videoanalisi, dove il GDPR pone limiti che l’AI Act non prevede

I terminali che riconoscono il volto o l’impronta per registrare le presenze sono un caso in cui le due discipline divergono. Per l’AI Act la sola verifica biometrica, che conferma che una persona è chi dichiara di essere, non rientra fra gli usi ad alto rischio. Per il GDPR, invece, i dati biometrici usati per identificare una persona sono categorie particolari di dati, trattabili solo nei casi previsti, e il Garante ha ribadito che l’ordinamento vigente non ne consente il trattamento per rilevare la presenza in servizio dei dipendenti. Con il provvedimento del 6 giugno 2024 ha sanzionato per 120.000 euro un’impresa che rilevava le presenze con il riconoscimento facciale, e con quello del 26 febbraio 2026 una cooperativa che usava le impronte digitali, per 15.000 euro, osservando che gli stessi obiettivi si possono perseguire con strumenti meno invasivi.

Anche per le telecamere con funzioni di analisi automatica il Garante guarda prima di tutto alla base giuridica. Con il provvedimento dell’11 gennaio 2024 ha sanzionato per 50.000 euro un comune che aveva partecipato a progetti di ricerca basati su videosorveglianza e intelligenza artificiale, chiarendo che la partecipazione a progetti di ricerca non esonera dal dotarsi di una base giuridica idonea e che i dati pseudonimizzati restano dati personali. Se le riprese riguardano i dipendenti, per un’impresa privata si applicano anche le regole dello Statuto dei lavoratori sui controlli a distanza. L’AI Act aggiunge in questo campo divieti già in vigore, come quello di creare o ampliare banche dati di riconoscimento facciale con lo scraping non mirato di immagini da internet o da telecamere a circuito chiuso, e quello di classificare le persone in base ai dati biometrici per dedurne razza, opinioni politiche, appartenenza sindacale, convinzioni religiose o filosofiche, vita od orientamento sessuale.

Scoring e decisioni automatizzate sui clienti

Un’impresa può ricevere da società di informazioni commerciali un punteggio di affidabilità dei potenziali clienti persone fisiche, lo scoring, e usarlo per decidere se stipulare un contratto, come facevano i venditori di energia esaminati dal Garante. Con la sentenza del 7 dicembre 2023 nella causa C-634/21 la Corte di giustizia dell’Unione europea ha stabilito che il calcolo automatizzato di un tasso di probabilità sulla capacità di una persona di onorare i pagamenti futuri costituisce un processo decisionale automatizzato ai sensi del GDPR quando da quel tasso dipende in modo decisivo la stipula, l’esecuzione o la cessazione di un rapporto contrattuale da parte del terzo che lo riceve.

Il Garante ha richiamato quella sentenza nei provvedimenti del 3 luglio 2026 rivolti a due società di informazioni commerciali, parte dei quattro provvedimenti sul merito creditizio nel settore dell’energia, per complessivi 7,72 milioni di euro a carico di venditori di energia e società di informazioni commerciali. Con la sentenza del 27 febbraio 2025 nella causa C-203/22 la Corte ha poi precisato che l’interessato può pretendere una spiegazione della procedura e dei principi concretamente applicati per arrivare al risultato, e che quando il titolare invoca un segreto commerciale spetta all’autorità di controllo o al giudice bilanciare i diritti in gioco. Per l’impresa che usa un punteggio di terzi la verifica riguarda il peso che quel punteggio ha nella decisione e la presenza di una persona in grado di riesaminarla, perché ne dipendono le garanzie sul trattamento automatizzato, compreso il diritto dell’interessato di ottenere l’intervento umano, esprimere la propria opinione e contestare la decisione.

Dal 2 dicembre 2027 i sistemi di AI usati per valutare l’affidabilità creditizia delle persone fisiche, esclusi quelli per individuare frodi finanziarie, saranno ad alto rischio, e chi li utilizza dovrà svolgere anche una valutazione d’impatto sui diritti fondamentali, la FRIA (Fundamental Rights Impact Assessment). L’Omnibus digitale ha previsto che, se alcuni obblighi sono già assolti con la DPIA, la FRIA possa rinviare alle sezioni pertinenti della DPIA o includerne le parti pertinenti.

Addestrare un modello con i dati dell’impresa

Un altro caso riguarda l’impresa che personalizza o addestra un modello con i propri dati, come documenti interni o richieste dei clienti. Un riferimento per farlo nel rispetto del GDPR è il parere 28/2024 del Comitato europeo per la protezione dei dati (EDPB), adottato il 17 dicembre 2024, che esamina alcuni aspetti di protezione dei dati legati ai modelli di AI. Il legittimo interesse può essere la base giuridica per sviluppare e usare un modello, ma solo se supera una verifica in tre passaggi, che riguarda l’interesse perseguito, la necessità del trattamento e il bilanciamento con i diritti delle persone. Un modello addestrato con dati personali non è anonimo per definizione, e può essere considerato tale solo se la probabilità di estrarne quei dati, direttamente o tramite le richieste, è insignificante.

Il parere riguarda anche chi non sviluppa nulla e si limita a usare un modello di terzi. Se il modello è stato sviluppato trattando dati in modo illecito, l’illiceità può riflettersi sul suo utilizzo, salvo che sia stato debitamente anonimizzato, e le autorità dovrebbero valutare se l’impresa che lo usa abbia condotto una verifica adeguata nell’ambito della propria accountability, cioè dell’obbligo di poter dimostrare il rispetto del GDPR. La scelta del fornitore diventa così parte della conformità privacy.

Il Garante ha già sanzionato errori commessi in questa fase. Con il provvedimento del 21 maggio 2025 ha inflitto 21.000 euro a un’impresa del settore biomedicale che aveva usato dati sanitari di pazienti per addestrare e validare un algoritmo di classificazione automatica di immagini cellulari, contestando un’informativa che descriveva in modo fuorviante lo scopo della raccolta e tempi di conservazione sproporzionati rispetto alla finalità di ricerca, fissati anche in vista di usi futuri solo eventuali. Per i dati sensibili l’Omnibus digitale ha introdotto nell’AI Act una base giuridica eccezionale, estesa anche ai deployer, che consente di trattare categorie particolari di dati solo nella misura strettamente necessaria a rilevare e correggere distorsioni dei sistemi, con garanzie stringenti come la pseudonimizzazione, il divieto di trasmissione a terzi e la cancellazione a correzione avvenuta o alla fine del periodo di conservazione, se precedente.

C’è infine il caso opposto, quello dell’impresa che pubblica dati personali sul proprio sito e li vede raccolti da altri per addestrare modelli. Con la nota del 20 maggio 2024 il Garante ha indicato ai gestori di siti alcune misure contro il web scraping, cioè la raccolta automatizzata di contenuti dalle pagine web, come aree riservate accessibili solo previa registrazione, clausole nei termini di servizio, monitoraggio del traffico e istruzioni nel file robots.txt, che indica ai programmi automatici quali pagine non visitare, precisando che non sono obbligatorie e vanno valutate secondo il principio di accountability. Sullo stesso tema l’EDPB ha posto in consultazione pubblica, fino al 30 ottobre 2026, le linee guida 03/2026 sul web scraping nel contesto dell’AI generativa.

Che cosa comporta per l’impresa

Le conseguenze economiche sono rilevanti su entrambi i fronti. Il GDPR prevede sanzioni fino a 20 milioni di euro o, per le imprese, fino al 4 per cento del fatturato mondiale annuo per la violazione dei principi, delle basi giuridiche e dei diritti degli interessati. L’AI Act arriva fino a 35 milioni di euro o al 7 per cento per le pratiche vietate e fino a 15 milioni o al 3 per cento per gli obblighi dei deployer dei sistemi ad alto rischio e per quelli di trasparenza. In entrambi i regolamenti si applica il più alto dei due importi, ma per le PMI l’AI Act fissa il massimo nel più basso.

Il punto di partenza è sapere quali strumenti di AI sono in uso, compresi quelli adottati dai singoli reparti senza passare dall’ufficio acquisti. Per ciascuno conviene ricostruire che cosa fa e su quali persone, quale ruolo ha l’impresa secondo l’AI Act e secondo il GDPR, e da quando le si applicano le regole. L’esito di questa ricognizione permette di distinguere tre situazioni ricorrenti, a cui si aggiungono i casi in cui l’impresa addestra modelli con i propri dati o diventa essa stessa fornitore.

• usi vietati o non consentiti, come gli strumenti che stimano le emozioni o lo stress dei dipendenti e la biometria per le presenze, da dismettere;
• usi leciti con obblighi già applicabili, come assistenti generativi, chatbot e contenuti sintetici, per cui servono un contratto con il fornitore quando tratta dati per conto dell’impresa, l’informativa, la DPIA quando ricorrono i criteri del Garante, l’indicazione dei deepfake generati con AI e misure di alfabetizzazione, che una policy interna aiuta a documentare;
• usi che l’AI Act classifica ad alto rischio, come i sistemi di AI per la selezione e la gestione del personale e quelli che valutano il merito creditizio delle persone fisiche, già soggetti al GDPR e, per i lavoratori, alle regole dello Statuto dei lavoratori e del decreto trasparenza, a cui dal 2 dicembre 2027 si aggiungono gli obblighi dei deployer dell’AI Act, salvo il regime transitorio per i sistemi già sul mercato.

Il rinvio dell’alto rischio è un margine di tempo, non una sospensione. Oggi il presidio passa soprattutto dal GDPR, che il Garante applica a casi molto concreti, e le imprese che usano questi mesi per mettere in ordine contratti con i fornitori, valutazioni d’impatto e informative arriveranno al dicembre 2027 con una parte del lavoro già impostata, anche perché chi sarà tenuto alla FRIA potrà rinviare alla DPIA già svolta per gli aspetti che questa copre. Affianchiamo le imprese nella mappatura degli strumenti di AI in uso, nella valutazione d’impatto e nella revisione dei contratti con i fornitori, e, per chi vuole un presidio strutturato, nell’impostazione di un sistema di gestione dell’intelligenza artificiale secondo la ISO/IEC 42001.

L'articolo Intelligenza artificiale e GDPR, undici casi fra AI Act e provvedimenti del Garante proviene da Effe Diligence.

Dal 1° luglio 2026 sono applicabili i tenori massimi di nichel nei cereali fissati dal Regolamento (UE) 2024/1987 della Commissione del 30 luglio 2024. Si tratta della seconda e ultima tranche di un calendario aperto il 1° luglio 2025, e riguarda una materia prima molto diffusa nelle produzioni alimentari italiane.

Perché il nichel è entrato nell’elenco dei contaminanti regolamentati

Il nichel è un metallo presente nel suolo e assorbito dalle piante durante la crescita, e la sua presenza negli alimenti può derivare sia da fonti naturali sia da fonti legate all’attività umana. I tenori massimi non sono uniformi ma differenziati per categoria di prodotto e tengono conto, per il riso, del grado di lavorazione e, per l’avena, della presenza del tegumento non commestibile.

La spinta è arrivata dalla valutazione del rischio dell’Autorità europea per la sicurezza alimentare, che ha fissato una dose giornaliera tollerabile di 13 microgrammi di nichel per chilogrammo di peso corporeo e ha rilevato il superamento di quel valore nei bambini nella prima infanzia, nei bambini fra 36 mesi e 10 anni e in alcuni casi nei lattanti. Su questa base la Commissione ha introdotto per la prima volta tenori massimi di nichel nell’allegato I del Regolamento (UE) 2023/915, il testo unico europeo dei contaminanti negli alimenti.

Dalla raccomandazione di monitoraggio ai tenori massimi vincolanti

Fino al 30 giugno 2025 il regolamento europeo sui contaminanti negli alimenti non fissava tenori massimi di nichel, mentre per l’acqua il diritto europeo prevedeva già dei limiti, come quello per le acque minerali naturali della direttiva 2003/40/CE. Per gli altri alimenti il metallo era oggetto di raccolta dati, chiesta agli Stati membri con la raccomandazione (UE) 2016/1111 per gli anni dal 2016 al 2018. In quel quadro mancava una soglia specifica con cui confrontare il risultato analitico sul nichel.

Dal 1° luglio 2025 la situazione è cambiata per una prima serie di categorie, fra cui ortaggi, legumi, frutta a guscio, semi oleosi, alghe marine, cacao e cioccolato, succhi e alimenti per lattanti e bambini nella prima infanzia. Fra i valori applicabili da allora ci sono 0,40 mg/kg per gli ortaggi a frutto e per quelli a stelo, 0,50 mg/kg per i cavoli e per gli ortaggi a foglia diversi dalle erbe fresche, per le quali il limite è 1,2 mg/kg, 0,90 mg/kg per gli ortaggi a radice, a tubero e a bulbo, 1,0 mg/kg per i legumi diversi da semi di soia ed edamame, che come legumi hanno un limite di 6,0 mg/kg, 3,5 mg/kg per la frutta a guscio, con un limite di 10 mg/kg per castagne, pinoli, noci comuni, noci del Brasile e anacardi, 4,0 mg/kg per i legumi da granella, con un limite di 12 mg/kg per fagioli secchi e lupini secchi, 8,0 mg/kg per i semi di girasole e 15 mg/kg per i semi di soia considerati come semi oleosi.

Chi produce alimenti a base di cereali per lattanti e bambini nella prima infanzia applica già dal 1° luglio 2025 un tenore proprio di 3,0 mg/kg. Il 1° luglio 2026 chiude il calendario aggiungendo i cereali come tali, i cui valori erano stati rinviati a questa data. Non si tratta quindi di una soglia che ne sostituisce una precedente più alta o più bassa, ma di un limite del tutto nuovo, per cui non esiste alcun valore previgente da recuperare. Il monitoraggio però non si chiude, perché con la raccomandazione (UE) 2024/907 la Commissione ha chiesto agli Stati membri, in collaborazione con gli operatori del settore alimentare, di proseguire la raccolta di dati sul nichel nel 2025, nel 2026 e nel 2027, anche sui prodotti a base di cereali come cereali da colazione, fiocchi di cereali e prodotti della macinazione dell’avena.

I valori applicabili ai cereali

I tenori massimi entrati in applicazione il 1° luglio 2026 sono cinque e coprono l’intera categoria dei cereali, con soglie diverse secondo la specie e, per il riso, secondo il grado di lavorazione.

• 0,80 mg/kg per i cereali diversi da quelli elencati di seguito
• 1,5 mg/kg per il frumento duro, il grano duro da pasta, e per il riso, con l’eccezione del riso semigreggio
• 2,0 mg/kg per il riso semigreggio, cioè il riso dal quale è stata asportata soltanto la lolla
• 3,0 mg/kg per gli pseudocereali come quinoa, amaranto e grano saraceno, e per il miglio
• 5,0 mg/kg per l’avena

Due precisazioni tecniche pesano nella pratica più dei valori nominali. Il valore di 5,0 mg/kg vale per i chicchi di avena privi del tegumento non commestibile, mentre per l’avena che lo conserva ancora si applica un fattore di trasformazione pari a 1,5, che porta il tenore massimo a 7,5 mg/kg. Il limite non si applica invece ai cereali impiegati per la produzione di birra o di distillati, purché il residuo di cereali non venga immesso sul mercato come alimento per il consumatore finale. Se il residuo viene immesso sul mercato come alimento, il tenore massimo si applica tenendo conto dell’articolo 3, paragrafi 1 e 2, del Regolamento (UE) 2023/915, cioè delle variazioni di concentrazione dovute alla trasformazione. Tracciare e documentare la separazione tra i due flussi è il modo più semplice per dimostrare che la condizione è rispettata.

Cosa succede ai lotti già in commercio

La norma prevede una misura transitoria che evita il ritiro immediato di quanto è già in circolazione. Gli alimenti legalmente immessi sul mercato prima del 1° luglio 2026 possono restare in commercio fino al termine minimo di conservazione o alla data di scadenza, anche quando superano i nuovi tenori massimi. L’onere di dimostrare la data dell’immissione legale sul mercato ricade sull’operatore, che deve quindi poterla ricostruire con i documenti di produzione e di vendita.

Chi ha aggiornato il proprio piano di autocontrollo nell’estate del 2025 potrebbe ritenersi in regola pur non essendolo, perché in quel momento i valori per i cereali non erano ancora applicabili. È il punto più delicato di questa transizione, perché per i cereali introduce un tenore massimo nuovo, che si aggiunge a quelli applicabili dal 1° luglio 2025 alle altre categorie.

Chi è coinvolto lungo la filiera

La responsabilità del rispetto dei tenori massimi ricade sull’operatore del settore alimentare, l’OSA, cioè la persona fisica o giuridica responsabile di garantire il rispetto della legislazione alimentare nell’impresa alimentare posta sotto il suo controllo, in tutte le fasi di produzione, trasformazione e distribuzione. Nella filiera cerealicola questo significa che l’obbligo attraversa più anelli, dalle riserie ai molini, dai pastifici ai produttori di prodotti da forno, fino a chi trasforma pseudocereali e miglio per il mercato dei prodotti senza glutine e a chi produce fiocchi e derivati dell’avena.

Una regola specifica riguarda gli impianti integrati. Quando tutti i lotti in entrata sono puliti, selezionati e trasformati nello stesso stabilimento, il tenore massimo si applica al cereale non trasformato nella fase che precede la prima trasformazione. Per un molino di questo tipo il punto di controllo è quindi il grano pulito e selezionato prima della macinazione, fermo restando che per le farine e gli altri prodotti trasformati immessi sul mercato valgono le regole dell’articolo 3 del Regolamento (UE) 2023/915.

Il perimetro tocca in modo particolare due comparti. Il primo è quello dei prodotti a base di pseudocereali e miglio, dove i valori consentiti sono più alti di quelli previsti per i cereali in generale, per il frumento duro e per il riso. Il secondo è quello dell’avena, per cui la soglia di 5,0 mg/kg va letta insieme al fattore di trasformazione previsto per il prodotto non decorticato.

Come si adegua il piano di autocontrollo

Nella nostra esperienza l’adeguamento non richiede una revisione dell’intero sistema HACCP, il metodo di analisi dei pericoli e di controllo dei punti critici su cui si fonda l’autocontrollo aziendale, ma un intervento mirato su tre elementi. Il primo è l’analisi dei pericoli, dove il nichel va considerato come pericolo chimico legato soprattutto alla materia prima, con una valutazione che tenga conto dell’origine geografica dei lotti e delle variazioni di concentrazione dovute alla trasformazione. Il secondo è il piano di campionamento e analisi, in cui è opportuno indicare quali specie vengono analizzate, con quale frequenza e con quali metodi, scegliendo limiti di quantificazione coerenti con quelli richiesti ai laboratori del controllo ufficiale, che per il nichel nei cereali non devono superare un terzo del tenore massimo. Il terzo è la gestione delle non conformità, in cui è utile definire in anticipo il comportamento in caso di superamento, dal blocco del lotto alla comunicazione lungo la filiera.

Nel controllo ufficiale la conformità di una partita si valuta su campioni prelevati secondo il Regolamento (CE) n. 333/2007, confrontando il risultato con il tenore massimo e tenendo conto dell’incertezza di misura estesa e della correzione per il recupero. Un lotto che supera il tenore massimo non può essere immesso sul mercato né impiegato come materia prima o come ingrediente di altri alimenti, e non può essere miscelato con partite conformi, perché il Regolamento (UE) 2023/915 vieta di miscelare alimenti conformi con alimenti che superano i tenori massimi.

Nella pratica il presidio più efficace non sta nell’analisi sul prodotto finito, ma nella selezione della materia prima. Le operazioni di trasformazione possono modificare la concentrazione del nichel, come mostra il fattore 1,5 previsto per l’avena con tegumento, ma non ne eliminano la presenza. Questo sposta il baricentro del controllo sui capitolati di acquisto e sulla qualifica dei fornitori.

Un parametro che si governa a monte

La lettura strategica di questa scadenza è che introduce un criterio di selezione in più lungo la catena di fornitura. A nostro giudizio chi acquista cereali senza un dato analitico sul nichel assume un rischio difficile da correggere in produzione, che rischia di manifestarsi quando il prodotto è già sul mercato. Chi invece integra il parametro nei capitolati e nella qualifica dei fornitori trasferisce il controllo nel punto in cui è ancora efficace.

È la stessa logica che governa gli altri contaminanti di origine ambientale e che, applicata con metodo, riduce la variabilità dei lotti e la probabilità di ritiri. Supportiamo le imprese alimentari nell’aggiornamento dei piani di autocontrollo, nella definizione dei piani di campionamento e nella revisione dei capitolati di fornitura, perché un limite normativo governato a monte costa meno di una non conformità gestita a valle.

L'articolo Nichel nei cereali: tenori massimi dal 1° luglio 2026 proviene da Effe Diligence.