L'AI Act non è l'unica normativa europea che impatta la tua azienda digitale. DMA, DSA e NIS2 regolano come vendi nei marketplace, come gestisci i tuoi contenuti e come proteggi la tua infrastruttura. Questa è la guida pratica della mappa normativa completa
Se hai seguito i nostri articoli sull'AI Act, già sai che la normativa europea sull'intelligenza artificiale utilizza un approccio basato sul rischio. Ma l'AI Act non funziona in isolamento. Fa parte di un ecosistema normativo più ampio che regola diversi aspetti del tuo business digitale: come competi nei marketplace, come gestisci i contenuti sulle tue piattaforme e come proteggi i tuoi sistemi dai cyberattacchi.
Tre normative europee che probabilmente non sono sul tuo radar ma che sono già in vigore e stanno generando sanzioni milionarie: la DMA (Digital Markets Act) DSA (Digital Services Act) e la NIS2 (Directiva de Seguridad de Redes e Información). Juntas con el RGPD y el AI Act, configuran el marco completo que define las reglas del juego digital en Europa.
En este artículo te explicamos qué regula cada una, cómo te afectan como pyme o ecommerce, qué sanciones se están aplicando y qué acciones concretas debes tomar.
L'ecosistema normativo europeo: panoramica generale
Il quadro normativo digitale europeo è strutturato in strati complementari, ognuno che regola un aspetto diverso:
- GDPR: Protezione dei dati personali. La colonna vertebrale di tutta la normativa digitale.
- DMA: Concorrenza leale nei mercati digitali. Regola le grandi piattaforme (gatekeeper).
- DSA: Responsabilità sui contenuti digitali. Trasparenza algoritmica e moderazione.
- NIS2: Ciberseguridad obligatoria. Resiliencia de redes y notificación de incidentes.
- AI Act: Gestione dei rischi dell'IA. Documentazione tecnica, supervisione umana, etica.
Queste normative non sono indipendenti: si sovrappongono e si rafforzano a vicenda. Un sistema di IA che opera in un marketplace (AI Act + DMA), elabora dati personali (GDPR), consiglia contenuti (DSA) e funziona su infrastruttura critica (NIS2) può essere soggetto a tutte e cinque contemporaneamente.
Dato chiave: La Commissione Europea ha proposto nel 2025 un Pacchetto di Semplificazione Digitale per allineare e ridurre sovrapposizioni tra GDPR, AI Act, Data Act, NIS2 ed ePrivacy. Ma mentre viene approvato, ogni normativa opera in modo indipendente e con i propri tempi e sanzioni.
DMA: concorrenza leale nei mercati digitali
Il Digital Markets Act (DMA) regola le grandi piattaforme digitali designate come gatekeeper: aziende che controllano punti di accesso chiave al mercato digitale. Attualmente ci sono 7 gatekeeper designati: Meta, Alphabet (Google), Amazon, Apple, Microsoft, ByteDance (TikTok) e Booking, con 23 servizi di piattaforma principali sotto regolazione.
Come ti interessa come PMI?
Se vendi su Amazon, usi Google Shopping, annunci su Meta Ads o distribuisci la tua app nell'App Store, la DMA ti interessa indirettamente ma con un impatto reale:
- Divieto del self-preferencing: I gatekeeper non possono favorire i propri prodotti nei risultati di ricerca o nelle raccomandazioni. Google non può posizionare Google Shopping sopra il tuo store nei risultati organici. A settembre 2025, Google è stata sanzionata con una multa di 2,95 miliardi di euro per questa pratica.
- Interoperabilità obbligatoria: Le piattaforme devono consentire la comunicazione incrociata tra servizi di messaggistica, oltre all’interoperabilità tra hardware e software.
- Portabilità dei dati: Hai il diritto di accedere ed esportare i tuoi dati commerciali dalla piattaforma in tempo reale, in modo continuo e gratuito.
- Libertà di comunicazione: Los desarrolladores y vendedores pueden comunicar directamente con sus clientes fuera de la plataforma. Apple fue sancionada con 500 millones de euros en abril de 2025 por impedir que los desarrolladores informaran a sus usuarios sobre opciones de pago alternativas.
Sanzioni DMA: Fino al 10% del fatturato annuo globale. In caso di recidiva, fino al 20%. Le sanzioni già applicate dimostrano che non sono solo teoriche.
Azioni concrete per la tua PMI: Rivedi le tue condizioni con ogni piattaforma gatekeeper su cui operi. Esercita il tuo diritto alla portabilità dei dati. Se rilevi pratiche di self-preferencing che danneggiano la tua attività, puoi presentare un reclamo alla Commissione europea.
DSA: Responsabilità dei contenuti digitali
Il Digital Services Act (DSA) regola l' Responsabilità dei servizi digitali per i contenuti che ospitano e raccomandanoSi applica alle piattaforme online, ai marketplace, ai social network e ai motori di ricerca.
Come ti riguarda come eCommerce?
Il DSA ha implicazioni dirette per qualsiasi attività che operi come piattaforma o utilizzi algoritmi di raccomandazione:
- Trasparenza algoritmica: Se la tua piattaforma utilizza algoritmi per raccomandare prodotti, classificare contenuti o dare priorità ai risultati, devi spiegare come funzionano. Gli utenti hanno diritto a un’alternativa non personalizzata, come un feed cronologico.
- Pubblicità mirata: La pubblicità deve essere chiaramente etichettata. È vietata la pubblicità mirata basata su dati sensibili, come religione, orientamento sessuale o salute, ed è completamente vietata la pubblicità mirata ai minori.
- Gestione illegale dei contenuti: Le piattaforme devono gestire attivamente i contenuti illegali o dannosi, implementare meccanismi di segnalazione accessibili e rispondere entro termini definiti.
- Accesso ai dati per i ricercatori: Le piattaforme online di dimensioni molto grandi (VLOP, con oltre 45 milioni di utenti nell’UE) devono fornire accesso ai propri dati a ricercatori accreditati per individuare rischi sistemici.
Sanzioni DSA: Fino al 6% del fatturato annuo globale. A dicembre 2025, X (ex Twitter) è stata sanzionata con una multa di 120 milioni di euro per design ingannevole nel suo sistema di verifica, un archivio pubblicitario incompleto e barriere all’accesso dei ricercatori.
Azioni per il tuo e-commerce: Se utilizzi algoritmi di raccomandazione o personalizzazione, documenta come funzionano e offri un’opzione non personalizzata. Se gestisci un marketplace, implementa meccanismi di segnalazione dei contenuti e verifica l’identità dei tuoi venditori.
NIS2: Sicurezza informatica obbligatoria
La direttiva NIS2 rafforza la resilienza informatica Nei settori essenziali e importanti dell’economia europea. A differenza del DMA e del DSA, che sono regolamenti direttamente applicabili, la NIS2 è una direttiva che ogni Stato membro deve recepire nella propria legislazione nazionale.
Stato di recepimento
Il termine per il recepimento era ottobre 2024. A gennaio 2026, solo 20 dei 27 Stati membri avevano completato il processo:
- Italia: Recepita mediante il Decreto Legislativo 138/2024 nell’ottobre 2024. Già operativa.
- Spagna: Non ha completato il recepimento. La Commissione europea ha emesso un parere motivato nel maggio 2025 per inadempimento.
Chi è obbligato?
The NIS2 classifies entities into essenziale (energia, trasporti, banche, sanità, acqua, infrastruttura digitale) importante (servizi postali, gestione dei rifiuti, alimentazione, manifattura, fornitori digitali). Se la tua azienda opera in uno di questi settori o fornisce loro servizi critici, è interessata.
Principali obblighi
- Notifica scaglionata dell'incidente: Allerta precoce entro 24 ore, notifica completa entro 72 ore, relazione finale entro 30 giorni.
- Gestione del rischio: Approccio “all-hazards” con misure tecniche e organizzative proporzionate.
- Autenticazione a più fattori (MFA): Obbligatorio per l'accesso critico.
- Crittografia: Dati a riposo e in transito.
- Rilevamento delle intrusioni: Sistemi di monitoraggio e allerta attivi.
- Valutazioni periodiche dei rischi: Non si tratta di un esercizio una tantum, ma di un processo continuo.
- Backup testati: Non basta averle; bisogna dimostrare che funzionano.
Sanzioni NIS2: Para entidades esenciales, hasta 10 millones de euros o el 2% de la facturación global. Para entidades importantes, hasta 7 millones o el 1,4%.
Conexión con la IA: Si tu sistema de IA opera sobre infraestructura crítica o en un sector cubierto por NIS2, las obligaciones de ciberseguridad de NIS2 se suman a las del AI Act. El killswitch, el rollback y la monitorización continua que exige el modelo de gobernanza de IA que usamos en Impulsa3 encajan directamente con los requisitos de NIS2.
Cómo se relacionan entre sí: el mapa completo
Entender cada normativa por separado es necesario, pero la realidad es que se aplican simultáneamente. Un caso típico de ecommerce:
Imagina que tienes una tienda online que vende en Amazon (DMA te da derechos de portabilidad y anti-discriminación), usa un chatbot IA para atención al cliente (AI Act: riesgo limitado, transparencia; RGPD: DPIA si procesa datos personales), muestra recomendaciones personalizadas (DSA: transparencia algorítmica) y opera sobre una infraestructura cloud en un sector cubierto (NIS2: ciberseguridad).
Las cinco normativas aplican al mismo negocio. Pero la buena noticia es que comparten principios comunes:
- Transparencia: Informar a usuarios y reguladores de cómo funcionan tus sistemas (RGPD, DSA, AI Act).
- Proporcionalidad: Obligaciones ajustadas al riesgo real (AI Act, NIS2, RGPD).
- Responsabilidad demostrable: No basta con cumplir; debes poder demostrarlo con evidencias (todas).
- Derechos del ciudadano: Protección del consumidor, privacidad, no discriminación (RGPD, DMA, DSA).
Si ya cumples bien con el RGPD y estás trabajando en el AI Act, tienes una base sólida para abordar DMA, DSA y NIS2 sin empezar de cero.
Tensiones y solapamientos: lo que nadie te cuenta
Aunque las normativas comparten principios, también generan tensiones prácticas que debes conocer:
Interoperabilidad (DMA) vs. protección de datos (RGPD)
El DMA exige que las plataformas abran sus servicios de mensajería para comunicación cruzada. Pero compartir datos entre plataformas puede entrar en conflicto con la minimización de datos del RGPD. ¿Qué prevalece? La práctica está demostrando que se necesitan acuerdos técnicos específicos (como protocolos de cifrado end-to-end) para cumplir ambas simultáneamente.
Explicabilidad (AI Act) vs. minimización (RGPD)
El AI Act exige documentación técnica detallada y trazabilidad de las decisiones del sistema. El RGPD exige minimización de datos. Guardar logs detallados para cumplir con la trazabilidad puede implicar retener más datos personales de los estrictamente necesarios. La solución: pseudoanonimización de logs, retención limitada y acceso restringido.
Transparencia algorítmica (DSA) vs. secreto comercial
El DSA exige explicar cómo funcionan los algoritmos de recomendación. Pero los algoritmos propietarios son activos de propiedad intelectual. El equilibrio: explicar la lógica general y los criterios principales sin revelar los parámetros específicos del modelo.
Consiglio pratico: Cuando detectes una tensión entre normativas, documenta tu decisión y la justificación. Las autoridades reguladoras valoran que hayas identificado el conflicto y tomado una decisión razonada, incluso si no es perfecta.
Sanciones reales en 2025: ya no es teoría
El enforcement europeo se ha acelerado drásticamente. Estas son las sanciones más relevantes aplicadas en 2025:
- Apple: 500M€ (DMA, abril 2025). Por impedir que los desarrolladores de apps informaran a sus usuarios sobre opciones de pago alternativas fuera de la App Store.
- Google: 2.950M€ (DMA, septiembre 2025). Por favoritismo ilegal hacia sus propios servicios de publicidad digital en los resultados de búsqueda.
- Meta: 200M€ (DMA, abril 2025). Por su modelo de «pagar o consentir» que no cumplía con las condiciones de transparencia del DMA.
- X (Twitter): 120M€ (DSA, diciembre 2025). Por diseño engañoso en su sistema de verificación, repositorio de publicidad incompleto y barreras al acceso de datos para investigadores.
Estas sanciones afectan a grandes plataformas, no directamente a pymes. Pero el efecto en cascada es real: las plataformas están cambiando sus términos y condiciones, lo que afecta a cómo operas tú como vendedor o anunciante en ellas.
Tu plan de acción: qué hacer desde hoy
- Haz un mapa de tus normativas. Lista todos los sistemas digitales de tu empresa y marca qué normativas aplican a cada uno: RGPD, AI Act, DMA, DSA, NIS2. Usar una ficha por sistema te dará claridad.
- Prioriza por riesgo sancionador. El RGPD y el DMA ya están generando sanciones millonarias. El DSA también. NIS2 depende de la transposición en tu país. Empieza por donde el riesgo es inmediato.
- Revisa tus contratos con plataformas. Si vendes en Amazon, Google o Apple, revisa tus derechos bajo el DMA: portabilidad, anti-discriminación, comunicación directa con clientes.
- Audita tus algoritmos de recomendación. Si tu web o app personaliza contenido, documenta cómo funciona y ofrece una alternativa no personalizada (DSA).
- Revisa tu ciberseguridad. MFA, cifrado, detección de intrusiones, plan de incidentes con plazos NIS2 (24h/72h/30d). Aunque tu país no haya transpuesto aún, prepararte ahora es más barato que reaccionar después.
- Integra todo en un modelo de gobernanza. No gestiones cada normativa como un silo. Un comité de gobernanza que cubra datos, IA, seguridad y cumplimiento normativo es más eficiente que cuatro procesos independientes.
No gestiones cada normativa como un silo. Intégralas en un modelo de gobernanza único.
Si necesitas ayuda para mapear qué normativas aplican a tu negocio, priorizar acciones o integrar el cumplimiento en un modelo de gobernanza operativo, en Impulsa3 te acompañamos con un enfoque práctico y transversal.
