{
  "version": "1.1",
  "generated": "2026-07-29",
  "source": "https://csidia.com/strumenti/scadenze-conformita",
  "note_it": "Scadenze normative seguite dal gruppo CSIDIA. Ogni voce rimanda alla nota operativa che la approfondisce; le fonti primarie sono citate all’interno. Servizio informativo: non costituisce consulenza legale.",
  "note_en": "Regulatory deadlines tracked by the CSIDIA group. Each entry links to the operational note covering it; primary sources are cited there. Information service: not legal advice.",
  "verification_policy_it": "Ogni voce viene riverificata sulla fonte primaria almeno una volta al mese. Una voce ferma da oltre 45 giorni viene esclusa dagli invii automatici e segnalata.",
  "verification_policy_en": "Every entry is re-checked against its primary source at least monthly. An entry not verified for more than 45 days is withheld from automated sending and flagged.",
  "deadlines": [
    {
      "id": "ai-act-2025-02-02",
      "date": "2025-02-02",
      "scope": "ai",
      "status": "done",
      "who_it": "Fornitori e deployer: ogni organizzazione che usa sistemi di IA, non solo chi li produce.",
      "who_en": "Providers and deployers: every organisation that uses AI systems, not only those that build them.",
      "title_it": "Pratiche vietate e alfabetizzazione AI",
      "title_en": "Prohibited practices and AI literacy",
      "what_it": "Sono in vigore i divieti sulle pratiche inaccettabili — manipolazione, social scoring, riconoscimento delle emozioni sul lavoro — e l’obbligo di alfabetizzazione AI dell’art. 4 del Regolamento (UE) 2024/1689, applicabile per effetto dell’art. 113, lett. a). Il regolamento (UE) 2026/1744 ha riscritto l’art. 4 con effetto dal 27 luglio 2026: fornitori e deployer adottano misure a sostegno dell’alfabetizzazione di chi opera con i sistemi per loro conto, e la norma precisa che non è richiesto garantire un livello determinato per nessuno. Allo stesso art. 5 quel regolamento aggiunge due divieti nuovi, che però si applicano dal 2 dicembre 2026.",
      "what_en": "The bans on unacceptable practices — manipulation, social scoring, emotion recognition in the workplace — are in force, together with the AI literacy duty of art. 4 of Regulation (EU) 2024/1689, applicable under art. 113(a). Regulation (EU) 2026/1744 rewrote art. 4 with effect from 27 July 2026: providers and deployers take measures to support the AI literacy of those operating the systems on their behalf, and the rule states that they are not required to guarantee any particular level for anyone. The same regulation adds two new bans to art. 5, but those apply from 2 December 2026.",
      "url_it": null,
      "url_en": null,
      "verified_at": "2026-07-28",
      "verified_source": "Reg. (UE) 2024/1689 art. 113, terzo comma, lett. a) + artt. 4 e 5 come sostituiti e modificati dal Reg. (UE) 2026/1744, art. 1 punti 5, 7 e 40 lett. a) (GUUE L 2026/1744, 24.7.2026), riletti su publications.europa.eu/CELEX 32026R1744 il 28.7.2026: la lett. a) sostituita recita «i capi I e II si applicano a decorrere dal 2 febbraio 2025, ad eccezione dell’articolo 5, paragrafo 1, primo comma, lettere b bis) e b ter), e dell’articolo 5, paragrafi 1 bis e 1 ter, che si applicano a decorrere dal 2 dicembre 2026»; rettifiche dell’AI Act ferme a quattro, l’ultima del 4.5.2026"
    },
    {
      "id": "ai-act-2025-08-02",
      "date": "2025-08-02",
      "scope": "ai",
      "status": "done",
      "who_it": "Chi produce modelli di uso generale e, a valle, chiunque costruisca un servizio sopra un modello di terzi.",
      "who_en": "Those who build general-purpose models and, downstream, anyone building a service on top of a third-party model.",
      "title_it": "Obblighi sui modelli di uso generale",
      "title_en": "Obligations on general-purpose models",
      "what_it": "Entrano formalmente in vigore gli obblighi del Capo V sui modelli di uso generale: documentazione tecnica e trasparenza per i modelli standard (art. 53), obblighi rafforzati di valutazione e mitigazione per quelli con rischio sistemico (art. 55).",
      "what_en": "The Chapter V obligations on general-purpose models formally enter into force: technical documentation and transparency for standard models (art. 53), reinforced assessment and mitigation duties for those with systemic risk (art. 55).",
      "url_it": null,
      "url_en": null,
      "verified_at": "2026-07-28",
      "verified_source": "Reg. (UE) 2024/1689 capo V (artt. 53 e 55), applicabile dal 2.8.2025 ex art. 113, terzo comma, lett. b); il Reg. (UE) 2026/1744, art. 1 punto 40, riletto il 28.7.2026 su publications.europa.eu/CELEX 32026R1744, modifica del terzo comma dell’art. 113 le sole lett. a) e c) e vi aggiunge la lett. d): la lett. b) resta invariata. Rettifiche dell’AI Act ferme a quattro, l’ultima del 4.5.2026"
    },
    {
      "id": "legge-132-2025",
      "date": "2025-10-10",
      "scope": "all",
      "status": "done",
      "who_it": "Chi usa sistemi di IA in contesti che toccano persone: pazienti, cittadini, dipendenti, candidati.",
      "who_en": "Anyone using AI systems in contexts that touch people: patients, citizens, employees, candidates.",
      "title_it": "La legge italiana sull’AI entra in vigore",
      "title_en": "Italy’s AI law enters into force",
      "what_it": "La legge 23 settembre 2025, n. 132 — prima legge nazionale organica sull’IA in Europa — fissa i principi, disegna la governance nazionale con AgID e ACN come autorità di riferimento e detta regole settoriali per sanità, pubblica amministrazione, lavoro e giustizia. In sanità la decisione resta sempre rimessa agli esercenti la professione medica (art. 7, comma 5); nella PA la responsabilità dei provvedimenti resta della persona, non del sistema (art. 14, comma 2).",
      "what_en": "Law 132 of 23 September 2025 — the first comprehensive national AI law in Europe — sets the principles, designs national governance with AgID and ACN as the reference authorities, and lays down sector rules for healthcare, public administration, employment and justice. In healthcare the decision always stays with those practising the medical profession (art. 7(5)); in public administration responsibility for the decision stays with the person, not the system (art. 14(2)).",
      "url_it": null,
      "url_en": null,
      "verified_at": "2026-07-28",
      "verified_source": "Normattiva, L. 23 settembre 2025 n. 132 (GU n. 223 del 25.9.2025, in vigore 10.10.2025), artt. 7, 11, 14, 15, 20, 16 e 24; stato delle deleghe verificato il 28.7.2026 sull’elenco degli Atti del Governo sottoposti a parere della XIX legislatura (camera.it/leg19/142): AG 418, «schema di decreto legislativo recante adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 […] in materia di utilizzo dei sistemi di intelligenza artificiale per l’attività di polizia e di responsabilità penale e civile», assegnato il 26 giugno 2026 alle Commissioni riunite I e II con termine al 25 agosto 2026, fase «in corso di esame»; AG 421, «[…] in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione», assegnato il 7 luglio 2026 alle Commissioni riunite IX e X con termine al 16 agosto 2026, fase «in corso di esame». Nessun decreto attuativo nel sommario della GU Serie Generale n. 172 del 27.7.2026"
    },
    {
      "id": "cloud-acn",
      "date": "2026-06-30",
      "scope": "all",
      "status": "expired",
      "who_it": "Amministrazioni ed enti pubblici che trattano dati critici o strategici.",
      "who_en": "Public administrations and bodies handling critical or strategic data.",
      "title_it": "Cloud ACN: la tolleranza transitoria è finita",
      "title_en": "ACN cloud rules: the transitional tolerance is over",
      "what_it": "Regolamento per le infrastrutture digitali e i servizi cloud per la pubblica amministrazione (ACN), art. 11, comma 10",
      "what_en": "ACN regulation on digital infrastructure and cloud services for public administration, art. 11(10)",
      "url_it": "/note-operative/cloud-acn-30-giugno-2026-dati-critici-pa",
      "url_en": "/en/notes/cloud-acn-30-giugno-2026-dati-critici-pa",
      "verified_at": "2026-07-29",
      "verified_source": "Regolamento cloud ACN riverificato il 29.7.2026 sul PDF pubblicato in acn.gov.it/portale/cloud/regolamento-cloud-per-la-pa (adottato con decreto direttoriale ACN n. 21007/24 del 27 giugno 2024, applicabile dal 1° agosto 2024 ex art. 27): il file servito non è stato modificato dal 28 giugno 2024 (header HTTP last-modified «Fri, 28 Jun 2024 13:14:15 GMT», ModDate del PDF 27.6.2024) e le uniche due occorrenze di «30 giugno 2026» nelle 88 pagine restano quelle dell’art. 11, commi 4 e 10. Testo dell’art. 11, comma 4: «Le amministrazioni completano le attività previste dal piano di migrazione, trasmesso ai sensi del comma 1, entro il 30 giugno 2026»; comma 10: «le pubbliche amministrazioni possono trattare i propri dati e servizi con le infrastrutture ed i servizi cloud già in uso fino al completamento della migrazione, in caso di piano di migrazione convalidato e, comunque, non oltre il 30 giugno 2026». Nessun atto ACN di proroga o sostituzione: l’elenco di amministrazione-trasparente/atti-generali non contiene atti in materia cloud successivi al n. 21007 del 27.6.2024 (gli atti 2026 riguardano solo NIS e CAD) e l’archivio comunicazione ACN fra giugno e il 28.7.2026 non contiene nulla sul cloud. Limite dichiarato: la pagina atti-generali riporta «Data Ultimo Aggiornamento: 22 Maggio 2026» e la ricerca interna del portale non è interrogabile senza JavaScript. Art. 11, comma 4 (completamento delle attività del piano di migrazione entro il 30 giugno 2026) e comma 10 («e, comunque, non oltre il 30 giugno 2026»), art. 3, comma 2 (classi ordinari, critici, strategici), art. 17, comma 4 (critici: QC2, QC3, QC4; strategici: QC3, QC4) e Allegato 2, sezione 4, requisito 6_S (richieste di accesso da entità extra-UE segnalate ad ACN, accesso solo previa autorizzazione esplicita dell’amministrazione); nessuna proroga del termine nel testo pubblicato"
    },
    {
      "id": "ai-act-2026-08-02",
      "date": "2026-08-02",
      "scope": "ai",
      "status": "next",
      "who_it": "Ogni organizzazione che espone AI verso clienti o cittadini, e chiunque adotti un modello di uso generale.",
      "who_en": "Every organisation exposing AI to customers or citizens, and anyone adopting a general-purpose model.",
      "title_it": "Trasparenza, sanzioni e poteri di enforcement",
      "title_en": "Transparency, penalties and enforcement powers",
      "what_it": "Scattano gli obblighi di trasparenza dell’art. 50 — chi interagisce con un sistema di IA deve saperlo, i contenuti sintetici vanno marcati in un formato leggibile da una macchina, i deep fake vanno dichiarati. Le sanzioni nazionali dell’art. 99 si applicano già dal 2 agosto 2025: da questa data entra in gioco l’ultimo pezzo, l’art. 101, che permette alla Commissione di sanzionare direttamente i fornitori di modelli di uso generale fino al 3% del fatturato mondiale annuo totale o 15 milioni di euro, se superiore. Per i sistemi generativi immessi sul mercato prima del 2 agosto 2026 la marcatura dell’art. 50, paragrafo 2, è dovuta dal 2 dicembre 2026. Gli orientamenti della Commissione del 20 luglio 2026 (C(2026) 5054 final) precisano al paragrafo 153 che la conformità è dovuta «a prescindere dalla data di immissione sul mercato o di messa in servizio», e che i sistemi in parte interattivi e in parte generativi godono del rinvio solo per la marcatura.",
      "what_en": "The transparency duties of art. 50 start — anyone interacting with an AI system must know it, synthetic content must be marked in a machine-readable format, deep fakes must be disclosed. The national penalties of art. 99 have applied since 2 August 2025: what lands on this date is the last piece, art. 101, which lets the Commission fine general-purpose model providers directly up to 3% of total worldwide annual turnover or 15 million euro, whichever is higher. For generative systems placed on the market before 2 August 2026, the marking required by art. 50(2) is due from 2 December 2026. The Commission guidelines of 20 July 2026 (C(2026) 5054 final) clarify at paragraph 153 that compliance is owed “regardless of their date of placement on the market or putting into service”, and that systems which are partly interactive and partly generative benefit from the deferral only for the marking obligation.",
      "url_it": null,
      "url_en": null,
      "verified_at": "2026-07-29",
      "verified_source": "Reg. (UE) 2024/1689 art. 113, secondo comma («Si applica a decorrere dal 2 agosto 2026») e terzo comma lett. b) (capo XII dal 2.8.2025 «ad eccezione dell’articolo 101»), artt. 50, 99 e 101 par. 1 (3 % del fatturato mondiale annuo totale o 15 000 000 EUR, se superiore) + art. 111, par. 4 inserito dal Reg. (UE) 2026/1744, art. 1 punto 39 lett. b). Reg. (UE) 2026/1744 riletto integralmente su publications.europa.eu/CELEX 32026R1744 il 28.7.2026: il considerando 40 conferma che «la data generale di applicazione è il 2 agosto 2026»; l’art. 1 punto 40 tocca il solo terzo comma dell’art. 113 (lett. a) sostituita, lett. c) sostituita, nuova lett. d) «Gli articoli da 102 a 110 si applicano a decorrere dal 27 luglio 2026»); l’art. 1 punto 20 modifica dell’art. 50 il solo paragrafo 7; l’art. 1 punto 38 aggiunge all’art. 99 la lett. d bis) del par. 4 e il par. 6 bis (tetto sanzionatorio per le piccole imprese a media capitalizzazione) e riscrive il par. 1; l’art. 101 non è mai richiamato. Rettifiche dell’AI Act ferme a quattro, l’ultima del 4.5.2026. Commissione europea, pagina di policy «Code of Practice on Transparency of AI-Generated Content»: ricontrollata il 29.7.2026, è ancora ferma all’aggiornamento del 20 luglio 2026 e l’elenco dei firmatari non risulta pubblicato, benché il termine di adesione fosse fissato al 27.7.2026 e la pubblicazione annunciata prima del 2.8.2026. Commissione europea, comunicazione C(2026) 5054 final del 20.7.2026 e relativo allegato «Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of Regulation (EU) 2024/1689» (51 pagine, scaricati e riletti il 29.7.2026 da ec.europa.eu/newsroom/dae/redirection/document/131214 e /131215; pagina library pubblicata il 20.7.2026, pagina di policy «Guidelines on transparency obligations…» aggiornata al 28.7.2026): orientamenti non vincolanti, §153 «Article 50 AI Act will apply as from 2 August 2026 […] regardless of their date of placement on the market or putting into service», con periodo transitorio dell’Omnibus limitato alla sola marcatura dell’art. 50, par. 2, e ai sistemi in parte interattivi e in parte generativi solo per quell’obbligo; §154 (nessuna etichettatura retroattiva, ma testi generati prima del 2.8.2026 e pubblicati da quella data in poi vanno etichettati); §§146-148 (adesione a un codice adeguato oppure «adequate alternative means», con gap analysis attesa dai non firmatari); §152 (sanzioni fino a 15 000 000 EUR o 3 % del fatturato mondiale annuo). La comunicazione precisa che il 20.7.2026 è stato approvato il contenuto della bozza e che l’adozione formale avverrà a traduzioni disponibili: «It is only from that moment that these Guidelines will be applicable» — l’applicazione dell’art. 50 resta comunque fissata al 2.8.2026"
    },
    {
      "id": "cra-segnalazioni",
      "date": "2026-09-11",
      "scope": "all",
      "status": "next",
      "who_it": "Fabbricanti di prodotti con elementi digitali — hardware e software connessi o connettibili — compresi i prodotti già sul mercato.",
      "who_en": "Manufacturers of products with digital elements — connected or connectable hardware and software — including products already on the market.",
      "title_it": "Cyber Resilience Act: obbligo di segnalazione",
      "title_en": "Cyber Resilience Act: the reporting duty",
      "what_it": "Regolamento (UE) 2024/2847, art. 14",
      "what_en": "Regulation (EU) 2024/2847, art. 14",
      "url_it": "/note-operative/cyber-resilience-act-segnalazione-settembre-2026",
      "url_en": "/en/notes/cyber-resilience-act-segnalazione-settembre-2026",
      "verified_at": "2026-07-29",
      "verified_source": "Reg. (UE) 2024/2847 art. 71, par. 2, secondo comma («Tuttavia, l’articolo 14 si applica a decorrere dall’11 settembre 2026 e il capo IV (articoli da 35 a 51) si applica a decorrere dall’11 giugno 2026»), art. 14 (preallarme entro 24 ore, notifica entro 72 ore) e art. 69, par. 3 («In deroga al paragrafo 2 del presente articolo, gli obblighi di cui all’articolo 14 si applicano a tutti i prodotti con elementi digitali che rientrano nell’ambito di applicazione del presente regolamento e che sono stati immessi sul mercato prima dell’11 dicembre 2027»): testo italiano riletto integralmente il 29.7.2026 su publications.europa.eu/resource/oj/L_202402847.ITA.xhtml. Corrigenda ricontrollati lo stesso giorno e fermi alla sesta rettifica: le richieste CELEX 32024R2847R(05) e R(06) rispondono, R(07) e R(08) non esistono. Commissione europea, comunicazione C(2026) 5252 final del 27.7.2026 e relativo allegato «Commission guidance on the application of Regulation (EU) 2024/2847 (Cyber Resilience Act)», entrambi scaricati e letti il 29.7.2026 da ec.europa.eu/newsroom/dae/redirection/document/131455 e /131456 (pagina library digital-strategy.ec.europa.eu del 27.7.2026): la comunicazione ripete che «Reporting obligations laid down in Article 14 apply from 11 September 2026»; l’allegato, adottato ex art. 26 del CRA e non vincolante, al §210 conferma che l’obbligo dell’art. 14 «applies from 11 September 2026 to all products with digital elements that fall within the scope of the CRA, including products with digital elements placed on the market before 11 December 2027» e che le segnalazioni continuano anche dopo la fine del periodo di assistenza, mentre gli obblighi di gestione delle vulnerabilità dell’Allegato I, parte II, in quei casi non si applicano; al §217 esclude la segnalazione retroattiva delle vulnerabilità il cui sfruttamento attivo era già noto al fabbricante prima dell’11 settembre 2026, salvo che lo sfruttamento si verifichi o divenga noto dopo tale data; ai §§213-215 fissa il momento in cui il fabbricante «becomes aware» (ragionevole grado di certezza dopo la valutazione iniziale, allineato al considerando 31 del Reg. di esecuzione (UE) 2024/2690 e alla sezione II(A) delle Linee guida 9/2022 sulla notifica di violazione dei dati). Nessuna proroga dell’11 settembre 2026. La comunicazione precisa che l’adozione formale dell’allegato avverrà quando saranno disponibili tutte le versioni linguistiche e che solo da quel momento gli orientamenti si applicheranno: la data dell’art. 14 resta comunque quella del regolamento"
    },
    {
      "id": "censimento-ict-pa",
      "date": "2026-09-30",
      "scope": "all",
      "status": "next",
      "who_it": "Pubbliche amministrazioni chiamate a rispondere al questionario sul patrimonio ICT.",
      "who_en": "Public administrations required to answer the questionnaire on their ICT estate.",
      "title_it": "Censimento ICT: la PA dichiara cosa ha in sala macchine",
      "title_en": "ICT census: public bodies declare what is in the machine room",
      "what_it": "Art. 33-septies, comma 1-ter, del decreto-legge 179/2012; rilevazione AgID avviata il 22 luglio 2026",
      "what_en": "Article 33-septies(1-ter) of Decree-Law 179/2012; AgID survey opened on 22 July 2026",
      "url_it": null,
      "url_en": null,
      "verified_at": "2026-07-29",
      "verified_source": "AgID, art. 33-septies, comma 1-ter, del D.L. 179/2012; termine riverificato il 29.7.2026 su due pagine agid.gov.it. Notizia di avvio del 22.7.2026 «Al via il censimento del patrimonio ICT della Pubblica Amministrazione»: «Il questionario, disponibile sulla piattaforma PA digitale 2026, dovrà essere compilato entro il 30 settembre 2026 […] (per le scuole e le università il questionario sarà disponibile a partire da settembre e la data entro cui compilarlo sarà comunicata successivamente)». Pagina dedicata agid.gov.it/it/agenzia/piano-triennale/censimento-del-patrimonio-ict-della-pubblica-amministrazione, sezione «Scadenza»: «Le PA centrali e locali dovranno compilare il questionario entro il 30 settembre 2026. Per le scuole e le università la data di scadenza verrà comunicata successivamente». Chiusura con firma del legale rappresentante o del responsabile per la transizione al digitale sull’attestato di compilazione. Nessuna proroga né nuova istruzione dopo il 22.7.2026: al 29.7.2026 l’ultimo contenuto pubblicato da AgID su tutte le sezioni di stampa e comunicazione e sul feed RSS è del 23.7.2026 e non riguarda il censimento"
    },
    {
      "id": "nis2",
      "date": "2026-10-12",
      "scope": "all",
      "status": "next",
      "who_it": "Soggetti essenziali e importanti della prima ondata: registrati fra dicembre 2024 e febbraio 2025, hanno ricevuto la comunicazione di inserimento in elenco a partire dal 12 aprile 2025.",
      "who_en": "Essential and important entities in the first wave: registered between December 2024 and February 2025, they received their listing notification from 12 April 2025 onwards.",
      "title_it": "NIS2: le misure di sicurezza di base, dimostrate",
      "title_en": "NIS2: the baseline security measures, evidenced",
      "what_it": "D.lgs. 4 settembre 2024, n. 138, artt. 23, 24 e 29, con il termine fissato dall’art. 42, comma 1, lettera c) e dalla determinazione ACN n. 379907/2025",
      "what_en": "Italian Legislative Decree 138 of 4 September 2024, arts. 23, 24 and 29, with the deadline set by art. 42(1)(c) and by ACN determination 379907/2025",
      "url_it": "/note-operative/nis2-ottobre-2026-prova-documentale",
      "url_en": "/en/notes/nis2-ottobre-2026-prova-documentale",
      "verified_at": "2026-07-28",
      "verified_source": "D.lgs. 138/2024 artt. 23, 24, 25 e 42, comma 1, lett. c) (Normattiva) + determinazione ACN n. 379907 del 19.12.2025, art. 3 (18 mesi dalla comunicazione di inserimento) e n. 127434/2026, art. 1 (31 luglio 2027 per gli inseriti nel 2026); comunicazioni partite il 12 aprile 2025 (news ACN 15.4.2025). Riletti il 28.7.2026 acn.gov.it/portale/nis/obblighi (misure di sicurezza a diciotto mesi dal consolidamento dell’elenco dell’aprile 2025, quindi entro ottobre 2026; notifica a nove mesi, quindi da gennaio 2026; aggiornamento annuale delle informazioni fra il 15 aprile e il 31 maggio) e la pagina FAQ «Misure di sicurezza e notifica di incidenti» (determinazione 379907/2025 efficace dal 15.1.2026 in sostituzione della n. 164179 del 14.4.2024; per gli inseriti in elenco nel 2026 misure entro il 31 luglio 2027 e notifica dal 1º gennaio 2027; FAQ MSB.13-MSB.19 aggiornate il 24.7.2026). Nessuna nuova determinazione né notizia ACN fra il 25 e il 28 luglio 2026"
    },
    {
      "id": "tracking-pixel-email",
      "date": "2026-10-29",
      "scope": "all",
      "status": "next",
      "who_it": "Chi inserisce pixel di tracciamento nelle comunicazioni di posta elettronica: titolari che inviano marketing e newsletter, fornitori di servizi di posta elettronica, gestori di piattaforme per l’inoltro massivo di messaggi.",
      "who_en": "Anyone placing tracking pixels in email: controllers sending marketing and newsletters, email service providers, operators of bulk email platforms.",
      "title_it": "Tracking pixel nelle email: consenso e informativa, per iscritto",
      "title_en": "Tracking pixels in email: consent and notice, in writing",
      "what_it": "Garante per la protezione dei dati personali, provvedimento n. 284 del 17 aprile 2026 — linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, pubblicate nella Gazzetta Ufficiale n. 98 del 29 aprile 2026",
      "what_en": "Italian Data Protection Authority, measure no. 284 of 17 April 2026 — guidelines on the use of tracking pixels in email communications, published in Official Gazette no. 98 of 29 April 2026",
      "url_it": "/note-operative/tracking-pixel-email-29-ottobre-2026",
      "url_en": "/en/notes/tracking-pixel-email-29-ottobre-2026",
      "verified_at": "2026-07-29",
      "verified_source": "Garante per la protezione dei dati personali, provvedimento 17 aprile 2026, registro dei provvedimenti n. 284, «Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica», adottate ex art. 154-bis, comma 1, lett. a), del Codice; testo letto il 29.7.2026 su garanteprivacy.it/home/docweb/-/docweb-display/docweb/10241943. Il termine è fissato nel dispositivo: «In considerazione della potenziale complessità di eventuali adeguamenti dei sistemi e dei trattamenti già in atto ai principi espressi dalle presenti Linee Guida, l’Autorità reputa congruo individuare un termine pari a 6 mesi dal momento della loro pubblicazione in Gazzetta Ufficiale entro il quale i soggetti tenuti dovranno conformarvisi» — decorrenza dalla pubblicazione in Gazzetta Ufficiale, non dalla data del provvedimento. Pubblicazione verificata direttamente il 29.7.2026 sulla Gazzetta Ufficiale Serie Generale n. 98 del 29 aprile 2026, pag. 95, codice redazionale 26A02030 (permalink ELI gazzettaufficiale.it/eli/id/2026/04/29/26A02030/sg: «GARANTE PER LA PROTEZIONE DEI DATI PERSONALI — PROVVEDIMENTO 17 aprile 2026 — Linee guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica. (Provvedimento n. 284)»): sei mesi dal 29 aprile 2026 danno il 29 ottobre 2026. Destinatari secondo il dispositivo: i fornitori di servizi della società dell’informazione di cui all’art. 1, par. 1, punto b), della direttiva (UE) 2015/1535, i soggetti che offrono servizi online accessibili al pubblico, i provider di posta elettronica, i gestori di piattaforme per l’inoltro massivo di messaggi e ogni altro soggetto che a qualsiasi titolo faccia uso di tracking pixel. Oggetto dell’adeguamento: trasparenza e informativa (art. 5, par. 1, lett. a), e artt. 12 ss. GDPR, par. 4 delle linee guida), consenso (art. 122 del Codice e artt. 4, punto 11), e 7 GDPR, par. 6), revoca anche granulare (art. 7, par. 3, GDPR) e protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25 GDPR). Comunicato stampa del 21.4.2026 (docweb 10241977): «I soggetti interessati dovranno adeguarsi entro sei mesi dalla pubblicazione delle Linee guida in Gazzetta Ufficiale»"
    },
    {
      "id": "ai-act-2026-12-02",
      "date": "2026-12-02",
      "scope": "ai",
      "status": "next",
      "who_it": "Chi fornisce sistemi di IA generativa già in produzione prima di agosto, e chiunque offra strumenti che generano o modificano immagini, video e audio.",
      "who_en": "Anyone providing generative AI systems that were already in production before August, and anyone offering tools that generate or edit images, video and audio.",
      "title_it": "Nuovi divieti e marcatura dei contenuti già sul mercato",
      "title_en": "New bans, and marking for systems already on the market",
      "what_it": "Due scadenze nella stessa data, entrambe introdotte dal regolamento (UE) 2026/1744. Si applicano i due divieti aggiunti all’art. 5 dell’AI Act: i sistemi che generano o manipolano immagini, video o audio realistici delle parti intime di una persona riconoscibile, o che la ritraggono in atti sessualmente espliciti, senza il suo consenso, e i sistemi che generano materiale pedopornografico. E scade il periodo transitorio di quattro mesi concesso ai fornitori di sistemi di IA generativa immessi sul mercato prima del 2 agosto 2026 per conformarsi alla marcatura dei contenuti sintetici dell’art. 50, paragrafo 2.",
      "what_en": "Two deadlines on the same date, both introduced by Regulation (EU) 2026/1744. The two bans added to art. 5 of the AI Act start to apply: systems that generate or manipulate realistic images, video or audio of the intimate parts of a recognisable person, or that depict them in sexually explicit acts, without their consent, and systems that generate child sexual abuse material. And the four-month transitional period ends for providers of generative AI systems placed on the market before 2 August 2026 to comply with the synthetic-content marking of art. 50(2).",
      "url_it": null,
      "url_en": null,
      "verified_at": "2026-07-28",
      "verified_source": "Reg. (UE) 2026/1744 (GUUE L 2026/1744, 24.7.2026), art. 1 punto 39 lett. b) (art. 111, par. 4 AI Act — testo verificato su publications.europa.eu/CELEX 32026R1744: riguarda i soli fornitori di sistemi che generano contenuti sintetici immessi sul mercato prima del 2.8.2026 e il solo art. 50, par. 2) e art. 1 punto 40 lett. a) (art. 113, terzo comma, lett. a) AI Act), con art. 1 punto 7 (art. 5, par. 1, lett. b bis e b ter). Testo riletto il 28.7.2026: l’art. 111, par. 4 recita «I fornitori di sistemi di IA, compresi i sistemi di IA per finalità generali, che generano contenuti audio, immagine, video o testuali sintetici, immessi sul mercato prima del 2 agosto 2026, adottano le misure necessarie per conformarsi all’articolo 50, paragrafo 2, entro il 2 dicembre 2026»"
    },
    {
      "id": "responsabilita-prodotto",
      "date": "2026-12-09",
      "scope": "ai",
      "status": "next",
      "who_it": "Chi immette sul mercato o integra software e sistemi di IA in un prodotto o servizio con il proprio marchio.",
      "who_en": "Anyone placing on the market, or integrating, software and AI systems in a product or service under their own brand.",
      "title_it": "Responsabilità da prodotto: la documentazione come difesa",
      "title_en": "Product liability: documentation as a defence",
      "what_it": "Direttiva (UE) 2024/2853",
      "what_en": "Directive (EU) 2024/2853",
      "url_it": "/note-operative/responsabilita-prodotto-ai-9-dicembre-2026",
      "url_en": "/en/notes/responsabilita-prodotto-ai-9-dicembre-2026",
      "verified_at": "2026-07-28",
      "verified_source": "Dir. (UE) 2024/2853 art. 22, par. 1 («entro il 9 dicembre 2026») e art. 21 («La direttiva 85/374/CEE è abrogata con effetto a decorrere dal 9 dicembre 2026»); art. 2, par. 1 come corretto dalla rettifica ELI dir/2024/2853/corrigendum/2026-05-07/oj, GUUE L, 2026/90364 del 7.5.2026, pag. 11 («leggasi: dopo l’8 dicembre 2026»), che al 28.7.2026 resta l’unica. Delega italiana: L. 17 marzo 2026, n. 36, legge di delegazione europea 2025 (GU n. 70 del 25.3.2026, in vigore 9.4.2026), Allegato A, punto 4, con termine di esercizio al 9 agosto 2026 ex art. 31, comma 1, della L. 234/2012 («quattro mesi antecedenti a quello di recepimento») e proroga di tre mesi ex art. 31, comma 3; al 28.7.2026 nessuno schema di decreto risulta trasmesso alle Camere (elenco degli Atti del Governo della XIX legislatura, camera.it/leg19/142) e per l’Italia non risultano misure nazionali di attuazione notificate (notice EUR-Lex del CELEX 32024L2853)"
    },
    {
      "id": "regolamento-macchine",
      "date": "2027-01-14",
      "scope": "all",
      "status": "next",
      "who_it": "Fabbricanti di macchine e quasi-macchine, importatori e distributori che immettono sul mercato dell’Unione.",
      "who_en": "Manufacturers of machinery and partly completed machinery, importers and distributors placing products on the Union market.",
      "title_it": "Regolamento Macchine: il manuale decide la marcatura CE",
      "title_en": "Machinery Regulation: the manual decides the CE marking",
      "what_it": "Regolamento (UE) 2023/1230, che dalla stessa data abroga la Direttiva Macchine 2006/42/CE",
      "what_en": "Regulation (EU) 2023/1230, which repeals Machinery Directive 2006/42/EC on the same date",
      "url_it": "/note-operative/regolamento-macchine-manuali-istruzioni-2027",
      "url_en": "/en/notes/regolamento-macchine-manuali-istruzioni-2027",
      "verified_at": "2026-07-28",
      "verified_source": "Reg. (UE) 2023/1230 art. 54, secondo comma («Esso si applica a partire dal 14 gennaio 2027»), testo riletto su publications.europa.eu/CELEX 32023R1230 il 28.7.2026; rettifiche ferme a tre, l’ultima dell’1.4.2025; le modifiche del Reg. (UE) 2024/2748 (procedure di emergenza nel mercato interno) e del Reg. (UE) 2026/1744 (art. 8, terzo comma, e art. 47) non toccano l’art. 54 né l’allegato III"
    },
    {
      "id": "data-center-sostenibilita",
      "date": "2027-05-15",
      "scope": "reti",
      "status": "next",
      "who_it": "Titolari e gestori di centri dati nell’Unione con una domanda di potenza delle tecnologie dell’informazione installate pari ad almeno 500 kW: aziendali, in coubicazione e in co-hosting.",
      "who_en": "Owners and operators of data centres in the Union with an installed information technology power demand of at least 500 kW: enterprise, colocation and co-hosting.",
      "title_it": "Centri dati: la rendicontazione annuale di sostenibilità",
      "title_en": "Data centres: the annual sustainability report",
      "what_it": "Direttiva (UE) 2023/1791, art. 12, e regolamento delegato (UE) 2024/1364, art. 3, paragrafo 1",
      "what_en": "Directive (EU) 2023/1791, art. 12, and Delegated Regulation (EU) 2024/1364, art. 3(1)",
      "url_it": null,
      "url_en": null,
      "verified_at": "2026-07-28",
      "verified_source": "Dir. (UE) 2023/1791 art. 12, par. 1 («Entro il 15 maggio 2024 e successivamente con cadenza annuale, gli Stati membri impongono ai titolari e ai gestori di centri dati sul loro territorio con una domanda di potenza di tecnologia dell’informazione (IT) installata pari ad almeno 500 kW di rendere pubbliche le informazioni di cui all’allegato VII») e allegato VII; regolamento delegato (UE) 2024/1364 della Commissione del 14 marzo 2024 (GUUE L, 2024/1364, 17.5.2024, in vigore 6.6.2024), adottato ex art. 33, par. 3, della stessa direttiva: art. 1 (soglia di 500 kW), art. 3, par. 1 («Entro il 15 settembre 2024, poi entro il 15 maggio 2025 e successivamente con cadenza annuale, i gestori dei centri dati che effettuano la comunicazione trasmettono alla banca dati europea le informazioni e gli indicatori chiave di prestazione di cui agli allegati I e II […] La comunicazione avviene tramite un apposito sistema nazionale se lo Stato membro […] ne ha istituito uno […] Le informazioni e gli indicatori chiave di prestazione riguardano l’anno civile immediatamente precedente l’anno in cui avviene la comunicazione»), art. 3, par. 2 e 3 (deroghe limitate rispettivamente al primo e ai primi due periodi di comunicazione), allegati I e II (informazioni, indicatori chiave di prestazione e registro decennale dei punti e dei dispositivi di misurazione). La scadenza del 15 maggio 2027, riferita all’anno civile 2026, discende dalla cadenza annuale dell’art. 3, par. 1; testi verificati su publications.europa.eu/CELEX 32023L1791 e 32024R1364 il 28.7.2026. Nessun atto modificativo del regolamento delegato e un’unica rettifica (ELI reg_del/2024/1364/corrigendum/2024-10-31/oj, GUUE L, 2024/90664), che non tocca l’art. 3"
    },
    {
      "id": "parita-retributiva",
      "date": "2027-06-07",
      "scope": "all",
      "status": "next",
      "who_it": "Aziende con almeno 250 dipendenti, con relazione annuale, e aziende fra 150 e 249, con la stessa prima scadenza e poi cadenza triennale. Fra 100 e 149 si parte il 7 giugno 2031.",
      "who_en": "Companies with at least 250 employees, reporting annually, and companies between 150 and 249, with the same first deadline and then every three years. Between 100 and 149 the start is 7 June 2031.",
      "title_it": "Parità retributiva: la prima relazione sul divario",
      "title_en": "Pay transparency: the first report on the gap",
      "what_it": "D.lgs. 7 maggio 2026, n. 96, artt. 9, 10 e 11",
      "what_en": "Italian Legislative Decree 96 of 7 May 2026, arts. 9, 10 and 11",
      "url_it": "/note-operative/parita-retributiva-7-giugno-2027-buste-paga",
      "url_en": "/en/notes/parita-retributiva-7-giugno-2027-buste-paga",
      "verified_at": "2026-07-29",
      "verified_source": "Normattiva, D.lgs. 7 maggio 2026, n. 96, attuazione della direttiva (UE) 2023/970 (GU n. 125 dell’1.6.2026, entrata in vigore 7.6.2026), riletto il 29.7.2026 sull’URN nir:stato:decreto.legislativo:2026-05-07;96 e sull’esportazione dell’atto completo: Normattiva espone «Testo in vigore dal: 7-6-2026», quindi nessuna modifica successiva all’entrata in vigore. Testo dell’art. 9, comma 9 verificato parola per parola: «Per i datori di lavoro che occupano almeno duecentocinquanta dipendenti, i dati sono raccolti entro il 7 giugno 2027 e successivamente ogni anno. Per i datori di lavoro che occupano tra i centocinquanta e i duecentoquarantanove dipendenti, i dati sono raccolti entro il 7 giugno 2027 e successivamente ogni tre anni. Per i datori di lavoro che occupano tra i cento e centoquarantanove dipendenti, i dati sono raccolti entro il 7 giugno 2031 e successivamente ogni tre anni»; art. 9, comma 8: «Le disposizioni di cui al presente articolo si applicano ai datori di lavoro con almeno cento dipendenti»; art. 10, comma 1, confermato nelle tre condizioni cumulative delle lett. a), b) e c) (differenza di almeno il 5 per cento in una qualsiasi categoria di lavoratori, mancata motivazione su criteri oggettivi e neutri sotto il profilo del genere, mancata correzione entro sei mesi dalla comunicazione). Riferimenti di dettaglio invariati: art. 9, comma 9 (almeno 250 dipendenti: dati raccolti entro il 7 giugno 2027 e successivamente ogni anno; 150-249: 7 giugno 2027 e poi ogni tre anni; 100-149: 7 giugno 2031), art. 9, comma 8 (soglia dei cento dipendenti), art. 10, comma 1 (valutazione congiunta solo se ricorrono tutte e tre le condizioni: divario di almeno il 5%, mancata motivazione con criteri oggettivi e neutri, mancata correzione entro sei mesi dalla comunicazione), art. 11 (accesso riservato e vincolo di finalità) e art. 7 (diritto di informazione, risposta entro due mesi, divieto delle clausole di riservatezza sulla retribuzione)"
    },
    {
      "id": "ai-act-2027-12-02",
      "date": "2027-12-02",
      "scope": "ai",
      "status": "next",
      "who_it": "Chi sviluppa e chi adotta sistemi che ricadono nell’Allegato III.",
      "who_en": "Those who build and those who adopt systems falling under Annex III.",
      "title_it": "Sistemi ad alto rischio dell’Allegato III",
      "title_en": "High-risk systems under Annex III",
      "what_it": "Dopo il rinvio deciso dal regolamento (UE) 2026/1744, gli obblighi sui sistemi ad alto rischio autonomi dell’Allegato III — selezione del personale, credito, istruzione, infrastrutture critiche, giustizia — si applicano dal 2 dicembre 2027. Con loro si sposta ciò che ne discende per chi li adotta, compresa la FRIA: la valutazione d’impatto sui diritti fondamentali richiesta a certi deployer, enti pubblici e privati che erogano servizi essenziali.",
      "what_en": "After the postponement decided by Regulation (EU) 2026/1744, the obligations on stand-alone high-risk systems under Annex III — recruitment, credit, education, critical infrastructure, justice — apply from 2 December 2027. What follows for those who adopt them moves with them, including the FRIA: the fundamental rights impact assessment required of certain deployers, public bodies and private operators providing essential services.",
      "url_it": null,
      "url_en": null,
      "verified_at": "2026-07-28",
      "verified_source": "Reg. (UE) 2026/1744 (GUUE L 2026/1744, 24.7.2026, in vigore 27.7.2026), art. 1 punto 40 lett. b), che sostituisce l’art. 113, terzo comma, lett. c) dell’AI Act: «il capo III, sezioni 1, 2 e 3, ad eccezione dell’articolo 6, paragrafo 5, si applica a decorrere dal: i) 2 dicembre 2027 per quanto riguarda i sistemi di IA classificati come ad alto rischio ai sensi dell’articolo 6, paragrafo 2, e dell’allegato III». La FRIA dell’art. 27 sta nella sezione 3 e si sposta con essa; l’art. 1 punto 13 ne riscrive i paragrafi 4 e 5 (rinvio espresso alla DPIA) con effetto dal 27.7.2026. Testo verificato su publications.europa.eu/CELEX 32026R1744"
    },
    {
      "id": "cra-fascicolo",
      "date": "2027-12-11",
      "scope": "all",
      "status": "next",
      "who_it": "Fabbricanti di prodotti con elementi digitali immessi sul mercato dell’Unione.",
      "who_en": "Manufacturers of products with digital elements placed on the Union market.",
      "title_it": "Cyber Resilience Act: fascicolo tecnico e distinta base del software",
      "title_en": "Cyber Resilience Act: technical file and software bill of materials",
      "what_it": "Regolamento (UE) 2024/2847, artt. 13, 28, 30, 31 e 32, Allegati I e VII",
      "what_en": "Regulation (EU) 2024/2847, arts. 13, 28, 30, 31 and 32, Annexes I and VII",
      "url_it": "/note-operative/cyber-resilience-act-sbom-fascicolo-tecnico-2027",
      "url_en": "/en/notes/cyber-resilience-act-sbom-fascicolo-tecnico-2027",
      "verified_at": "2026-07-28",
      "verified_source": "Reg. (UE) 2024/2847 art. 71, par. 2, primo comma («Il presente regolamento si applica dall’11 dicembre 2027»), con art. 13, par. 8, terzo comma («Fatto salvo il secondo comma, il periodo di assistenza è di almeno cinque anni») e quinto comma (le informazioni usate per determinarlo entrano nella documentazione tecnica dell’allegato VII); testo riletto su publications.europa.eu/CELEX 32024R2847 il 28.7.2026, corrigenda fermi a sei. Gli orientamenti della Commissione C(2026) 5252 del 27.7.2026 non spostano la data"
    },
    {
      "id": "ai-act-2028-08-02",
      "date": "2028-08-02",
      "scope": "ai",
      "status": "next",
      "who_it": "Fabbricanti di prodotti regolati che incorporano IA, e chi li integra in impianti più ampi.",
      "who_en": "Manufacturers of regulated products that incorporate AI, and those who integrate them into larger installations.",
      "title_it": "Sistemi ad alto rischio integrati in prodotti",
      "title_en": "High-risk systems embedded in regulated products",
      "what_it": "Per i sistemi di IA integrati in prodotti già regolati da normative di settore — Allegato I: dispositivi medici, macchine, automotive — la data è il 2 agosto 2028.",
      "what_en": "For AI systems embedded in products already covered by sector legislation — Annex I: medical devices, machinery, automotive — the date is 2 August 2028.",
      "url_it": null,
      "url_en": null,
      "verified_at": "2026-07-28",
      "verified_source": "Reg. (UE) 2026/1744 (GUUE L 2026/1744, 24.7.2026, in vigore 27.7.2026), art. 1 punti 2 e 41 (Reg. (UE) 2023/1230 spostato dalla sezione A alla sezione B dell’allegato I dell’AI Act), art. 3 punto 1 (atti delegati sull’allegato III del Regolamento Macchine «applicabili entro il 2 agosto 2028») e art. 1 punto 40 lett. b) → art. 113, terzo comma, lett. c), punto ii) AI Act; art. 1 punto 19 → art. 43, par. 3, secondo comma (domanda di designazione degli organismi notificati entro il 28 gennaio 2028). Testo verificato su publications.europa.eu/CELEX 32026R1744"
    }
  ]
}