Il 79% dei founder tech europei ha subito un impatto concreto da attrito regolatorio nell’ultimo anno. Lo dice un report di DutchBasecamp, realizzato con la Computer & Communications Industry Association su 155 founder intervistati tra febbraio e giugno 2026, ripreso da ITPro. Il dato arriva mentre Bruxelles promuove da mesi il Digital Omnibus come il pacchetto che dovrebbe alleggerire il carico normativo su AI Act, GDPR e Data Act. Il confronto tra la semplificazione annunciata e i ritardi raccontati dai founder è il punto da cui partire.
Il 79% dei founder europei ha già pagato il prezzo dell’incertezza
I numeri del report vanno letti in sequenza, perché ciascuno racconta una fase diversa del danno. Il 58% dei founder ha rimandato l’ingresso in un altro mercato UE, il 45% ha cancellato una funzione di prodotto, il 44% ha perso o ritardato un accordo commerciale per vincoli regolatori.
Quasi un quarto degli intervistati, il 24%, ha speso oltre il 30% del proprio budget in costi di conformità. Un’altra quota identica sta valutando o ha già avviato il trasferimento della sede legale fuori dai confini UE. Un 21% dichiara di non aver subito impatti materiali: la burocrazia pesa sulla maggioranza, non su tutti allo stesso modo.
Il 79% dei founder europei ha già pagato il prezzo dell’incertezza normativa.
Il problema è l’incertezza sulla regola futura, non la regola stessa
I founder intervistati non descrivono l’AI Act come un ostacolo insormontabile in sé. Descrivono l’ansia di pianificare un prodotto attorno a obblighi che possono ancora cambiare o restare ambigui fino a ridosso della scadenza applicativa.
Questa distinzione conta più del generico lamento sulla “troppa burocrazia” da comunicato stampa. Un costo di compliance noto si mette a budget e si negozia con gli investitori. Un costo che dipende da una norma ancora in negoziato tra Parlamento e Consiglio non si può stimare, e questo blocca decisioni di prodotto che con una regola stabile sarebbero già state prese.
Il Digital Omnibus doveva semplificare, e si sta sgonfiando a Bruxelles
Il pacchetto Digital Omnibus, su cui Consiglio e Parlamento hanno raggiunto un accordo a maggio, prevedeva una segnalazione unica per gli incidenti cyber al posto di sette framework di notifica sovrapposti, e una base giuridica di “legittimo interesse” per l’addestramento responsabile dei modelli AI.
Entrambe le misure stanno perdendo sostanza nel negoziato. Alcuni Stati membri resistono alla segnalazione unica, e la base giuridica sul legittimo interesse è stata stralciata dal testo in discussione. Daniel Friedlaender, responsabile di CCIA Europe, lo dice senza mezzi termini nel comunicato che accompagna il report: “Avevamo avvertito fin dall’inizio che le proposte della Commissione per semplificare il mosaico di regole digitali europee erano solo il minimo indispensabile. Invece di andare oltre, Parlamento e Consiglio stanno ora indebolendo, respingendo o rinviando anche le correzioni più basilari. Se continuiamo a non risolverli, non possiamo stupirci se i nostri founder cercano il successo fuori dall’UE.”
I founder hanno paura di una regola che non conoscono ancora, non della regola in sé.
Va detto, per completezza, che qualche passo di alleggerimento è reale. Gli obblighi per i sistemi ad alto rischio sono stati rinviati al 2 dicembre 2027 per i sistemi standalone e al 2 agosto 2028 per quelli integrati in prodotti già regolati, come raccontato quando l’Europa aveva rimandato l’entrata in vigore delle regole più severe. Le soglie per la definizione di PMI semplificata sono state estese fino a 750 dipendenti e 150 milioni di euro di fatturato, un perimetro che copre aziende ben più grandi di una startup in fase seed. Si potrebbe pensare che questi rinvii bastino a risolvere il problema, ma la sostanza del report dice altro: la morbidezza intermittente non equivale a prevedibilità, e chi ha già segnalato che le regole ammorbidite creano più problemi alle imprese lo aveva scritto prima che i dati DutchBasecamp lo confermassero.
Chi ha le risorse legali per assorbire la compliance vince comunque
Per una startup di 15 persone, mettere in regola un solo sistema AI classificato ad alto rischio costa tra 15.000 e 40.000 euro nel primo anno, secondo la roadmap di conformità AI Act pubblicata su queste pagine, cifra che esclude il tempo interno assorbito da product manager e ingegneri.
Per Meta, Google, OpenAI o Amazon la stessa somma è un errore di arrotondamento sul budget legale. Il costo di compliance è identico in valore assoluto, ma non lo è in valore relativo: chi ha un ufficio legale già strutturato assorbe l’adempimento come attività ordinaria, chi deve costruire quella capacità da zero brucia mesi di runway che altrimenti andrebbero a prodotto o assunzioni.
La compliance costa uguale a tutti, ma non tutti hanno gli stessi soldi.
Il meccanismo ha un nome nella letteratura sulla regolazione: compliance come barriera d’ingresso. Una regola pensata per proteggere il mercato dai rischi dell’AI finisce per consolidare chi il mercato lo controlla già, perché il costo fisso pesa in proporzione inversa alla dimensione dell’azienda che lo sostiene.
Le PMI italiane pagano una doppia tassa normativa
Per le startup italiane il quadro si complica di un livello. La Legge 132/2025 aggiunge obblighi nazionali che si sommano, non si sostituiscono, a quelli europei, con sanzioni fino a 35 milioni di euro per le violazioni più gravi. Il tema è raccontato nella sezione dedicata alla doppia compliance che inchioda le imprese italiane.
Chi lavora in Italia deve muoversi su due tavoli regolatori mentre le regole di dettaglio su entrambi restano incomplete: per un founder italiano è la differenza tra un solo cantiere aperto e due.
Trasformare la compliance in prodotto: la checklist che serve davvero
La lettura critica del quadro normativo non esclude che esistano strumenti concreti per ridurre il danno. Quattro passaggi possono trasformare la conformità da voce di costo puro a leva difensiva, e in alcuni casi commerciale.
Mappare gli obblighi per sistema, non per azienda. Ogni sistema AI in uso o in progetto va classificato per livello di rischio secondo l’Annex III dell’AI Act, verificato per presenza di dati personali (il GDPR si applica in parallelo, non in alternativa), controllato per esposizione al Data Act sullo scambio e la portabilità dei dati (obblighi pieni dal 12 settembre 2026, descritti nella panoramica sul framework di switching) e valutato per rilevanza NIS2. Trattare la compliance come pratica generica, invece che sistema per sistema, produce solo confusione.
Usare le sandbox come scorciatoia, non solo come obbligo. Ogni Stato membro deve attivare almeno una sandbox regolatoria AI Act entro il 2 agosto 2026, gratuita e ad accesso prioritario per le PMI. Un founder che testa il proprio sistema in sandbox prima del lancio scopre le criticità prima del go-live, riducendo rischio sanzionatorio e tempo perso a rincorrere correzioni in produzione.
Trasformare l’audit trail in argomento di vendita. Per un cliente enterprise che deve rispondere a sua volta di due diligence sui propri fornitori AI, un founder che arriva al tavolo con una valutazione d’impatto sui diritti fondamentali già pronta e un log di audit tracciabile chiude un accordo più in fretta di un concorrente che si presenta senza. La documentazione smette di essere solo un costo difensivo e diventa un differenziale competitivo, soprattutto con clienti esposti a responsabilità a cascata sui propri fornitori.
La nota pragmatica per chi ha fretta. Tutto questo funziona per chi pianifica su 6-12 mesi. Chi deve lanciare un MVP in poche settimane non ha tempo per un audit trail completo da subito: conviene isolare i sistemi a rischio più alto dell’Annex III e rimandare la documentazione di quelli a rischio minimo, accettando un’esposizione minima nel breve periodo.
Che succede a chi non aspetta e se ne va
Secondo Banca Europea per gli Investimenti e Commissione UE, circa una scale-up europea su dieci si è già trasferita all’estero, e l’85% di queste ha scelto gli Stati Uniti. Il Joint Research Center della Commissione stima il tasso di trasferimento delle startup venture-backed tra il 3,3% e il 4,3%, dieci volte superiore a quello delle aziende comparabili senza capitali di rischio.
Un quarto dei founder valuta di trasferirsi altrove. Quasi tutti scelgono gli USA.
Masha Moisseyeva, managing director di DutchBasecamp, l’ha sintetizzato così: “L’Europa sta già perdendo founder tech, prodotti e crescita. Il bisogno urgente di semplificazione normativa non è più un dibattito teorico. Il danno è già in corso.”
L’Unione Europea parla da anni di sovranità digitale, anche attraverso il proprio Tech Sovereignty Package, e presenta l’AI Act come garanzia di fiducia che dovrebbe rendere il mercato europeo attraente. Nello stesso periodo, un quarto dei founder che quel mercato dovrebbero costruirlo sta valutando di trasferirsi altrove, verso il Paese dove hanno sede proprio i vendor che l’AI Act vuole regolare. Questa contraddizione è esplicita ed evidente. Chi ha scritto che serve smettere di difendersi e iniziare a competere sulla sovranità digitale aveva individuato lo stesso paradosso da un altro angolo.
A pagare il conto non è il mercato astratto: è chi ha una startup di poche persone e deve decidere, con le sue sole forze, se destinare i prossimi mesi di runway a un legale esterno o a un ingegnere in più. Le big tech statunitensi con uffici compliance già rodati non sentono la differenza. Chi legge questo pezzo da founder o da responsabile di una PMI europea sì, e la scelta su dove aprire la prossima sede non è più solo fiscale: è una scelta su quale giurisdizione permette di costruire un prodotto senza dover indovinare le regole con tre anni di anticipo.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Sara Romano
Source link
