Un martedì mattina, il titolare di una piccola impresa non incontra la normativa digitale europea in tribunale o in un documento programmatico. La incontra in tre email. Un cliente più grande chiede informazioni sulla sicurezza. Un fornitore di software modifica le condizioni contrattuali. L’agenzia web parla di accessibilità. Intanto, un dipendente usa una funzione di IA integrata in uno strumento di marketing e nessuno ha messo per iscritto quali dati vi confluiscano.
È da qui che comincia la pressione. Non dalla teoria, ma dal lavoro quotidiano di una piccola impresa.
L’impresa digitale è già una realtà
CBS reported in March 2026 that 89 percent of Dutch SMEs with 10 to 250 employees reached at least a basic level of digital intensity in 2025. The EU average was 71 percent. CBS uses that threshold for companies using at least four of twelve selected digital technologies.
Anche l’IA si sta diffondendo nella stessa direzione. Il CBS ha rilevato che nel 2025 il 33 per cento delle imprese con almeno 10 addetti utilizzava una o più delle tecnologie di IA esaminate. Nel 2024 erano il 23 per cento e nel 2023 il 14 per cento. Tra le microimprese con 2-9 addetti, il CBS ha registrato nel 2025 un utilizzo dell’IA pari al 13,8 per cento.
For small firms, that often means software bought from a supplier, not a system built in-house. The owner may use AI through bookkeeping software, customer service tools, planning systems, HR products, document drafting, or online advertising.
A quel punto la domanda cambia. Chi ha scelto lo strumento? Quali dati vi vengono inseriti? Chi controlla i risultati? Che cosa accade quando l’esito riguarda un cliente, un dipendente o un contratto?
Il calendario normativo è già partito
La Rijksoverheid indica che il Regolamento sull’IA è entrato in vigore il 1° agosto 2024 e si applica per fasi successive. Le norme sui sistemi di IA vietati si applicano dal 2 febbraio 2025. Quelle sui modelli di IA per finalità generali dal 2 agosto 2025. Gli obblighi di trasparenza e quelli relativi alle applicazioni di IA ad alto rischio si applicano dal 2 agosto 2026; i requisiti sui prodotti di IA ad alto rischio e la piena applicazione del regolamento scatteranno dal 2 agosto 2027.
Per un titolare, la domanda utile non è se l’intero impianto normativo arriverà nel 2027. È capire quali attività aziendali riguardano già clienti, lavoratori, credito, salute, sicurezza, reclami, prezzi, pianificazione o documenti legali. È lì che uno strumento usato con leggerezza diventa un processo aziendale da governare.
Nell’aprile 2026 la Rijksoverheid ha avviato la consultazione sull’attuazione nei Paesi Bassi, proponendo il coinvolgimento delle autorità di vigilanza già esistenti nei rispettivi ambiti e ruoli di coordinamento per l’Autoriteit Persoonsgegevens e la Rijksinspectie Digitale Infrastructuur. Può sembrare una materia lontana dal capannone o dal negozio. Non lo è rispetto al momento in cui un cliente chiede dove venga utilizzata l’IA nel lavoro.
Gran parte della pressione passa dai contratti
Per molte piccole imprese, il diritto digitale arriva anzitutto attraverso le condizioni contrattuali. L’AFM sottolinea che il DORA dedica grande attenzione al rischio informatico legato ai fornitori terzi nel settore finanziario. I soggetti rientranti nel perimetro devono includere il rischio relativo ai fornitori ICT nella gestione dei rischi, tenere un registro degli accordi contrattuali e inserire ulteriori elementi nei contratti di esternalizzazione essenziali o importanti.
Un fornitore di software, una società che gestisce il cloud o un centro dati possono subire questa pressione anche se operano fuori dal settore finanziario. La banca, l’assicurazione o l’impresa di pagamento chiede supporto in caso di incidente, diritti di audit, informazioni sulla continuità operativa, dettagli sui subfornitori e procedure di uscita. La trattativa cambia prima ancora che cambi lo statuto o la documentazione interna del fornitore.
Lo stesso passaggio riguarda i prodotti connessi. L’ACM afferma che il Data Act si applica dal 12 settembre 2025 e disciplina la condivisione dei dati generati dai prodotti connessi e dai relativi servizi. La norma attribuisce agli utenti maggiore controllo sui dati prodotti dai dispositivi intelligenti e favorisce il passaggio da un servizio cloud all’altro. La Rijksoverheid indica inoltre che il Cyber Resilience Act è entrato in vigore il 10 dicembre 2024. Dal 11 settembre 2026, i produttori saranno soggetti a obblighi di segnalazione per le vulnerabilità sfruttate attivamente e per gli incidenti gravi.
Un produttore, importatore o rivenditore di un prodotto dotato di software deve ormai guardare oltre la vendita. Aggiornamenti, gestione delle vulnerabilità, documentazione dei fornitori e accesso dei clienti ai dati entrano a far parte dell’intero ciclo di vita del prodotto.
Dimostrare costa
Il CBS ha rilevato che nel 2024 la quota di imprese che avevano subito almeno un incidente informatico esterno era inferiore a quella del 2016: il 4 per cento contro l’11 per cento. È un dato positivo. Lo stesso aggiornamento del CBS mostra però un forte divario nella preparazione. Nel 2025, l’86 per cento delle grandi imprese utilizzava almeno dieci delle dodici misure di sicurezza informatica esaminate. Tra le imprese con 2-10 addetti, la quota era appena del 13 per cento.
Prima ancora che una questione di crisi, è una questione di margini. Le piccole imprese hanno meno tempo, meno specialisti e responsabilità più distribuite. Chi autorizza le fatture può anche gestire le password, parlare con l’agenzia web e rispondere all’assicuratore. La documentazione digitale deve restare abbastanza compatta da poter essere utilizzata davvero.
Il costo emerge anche in attività che un tempo sembravano informali. Modifiche ai software, interventi sul sito, misure di sicurezza, verifiche sui fornitori, documentazione, test e preparazione agli incidenti richiedono tempo o denaro. Se questi costi non compaiono nei budget, nelle note di progetto e nelle informazioni di gestione, il titolare non può valorizzare il lavoro. Una clausola di audit ampia, accettata senza corrispettivo, può trasformare la conformità in lavoro non pagato.
L’accessibilità segue la stessa logica
Per i venditori online, l’accessibilità rientra nello stesso quadro operativo. Dal 28 giugno 2025 l’ACM vigila sul commercio elettronico e sui servizi di comunicazione in base alle norme dell’European Accessibility Act. Gli obblighi si applicano alle imprese con almeno 10 dipendenti e/o un fatturato annuo superiore a 2 milioni di euro. Nel campione controllato nel 2026, l’ACM ha rilevato che il 61 per cento dei più grandi negozi online olandesi non era accessibile digitalmente.
Per un venditore di dimensioni più contenute, vicino alla soglia, conviene partire dal processo di acquisto, dai moduli, dai documenti, dalle pagine per dispositivi mobili e dall’assistenza clienti. Non sono isole normative separate. Sono i punti in cui il cliente entra in contatto con l’impresa e da cui può partire un reclamo.
Che cosa serve al titolare
Non trasformerei tutto in un raccoglitore monumentale. Partirei da un inventario aggiornato: strumenti di IA, servizi cloud, prodotti connessi, negozio online, portale clienti, sistema di pagamento e fornitori principali. Segnerei gli strumenti che riguardano clienti, lavoratori, documenti legali, reclami, prezzi, credito o sicurezza. Aggiungerei, quando disponibili, il contratto, l’informativa sulla sicurezza, il canale di assistenza, la politica sugli aggiornamenti e il responsabile interno.
Torniamo al titolare, quel martedì mattina. Non gli serve una messa in scena. Gli serve rispondere al cliente, verificare le condizioni del fornitore, chiedere all’agenzia web un piano chiaro per correggere i problemi e registrare chi è responsabile degli strumenti di IA. L’impresa può essere piccola, ma la sua impronta digitale non è più informale.
È questo il cambiamento silenzioso nella conformità delle imprese olandesi. La digitalizzazione ha portato velocità. La fase successiva chiede responsabilità dimostrabili. Non panico, né burocrazia fine a se stessa, ma prove sufficienti per tenere in movimento fiducia, contratti, liquidità e clienti.
Vuole discutere cosa significa questo per la sua azienda?
I dati, le fonti e l’analisi alla base di questo articolo sono stati elaborati da Paolo Maria Pavan. L’AI non è stata usata per individuare le fonti, costruire la base fattuale o formulare il giudizio analitico qui contenuto. L’AI è stata usata solo come supporto alla redazione. Il testo italiano definitivo è stato rivisto, modificato e approvato personalmente da Paolo Maria Pavan prima della pubblicazione.
