Introduzione
Il panorama normativo italiano ed europeo sulla sicurezza e la sostenibilità dei prodotti digitali sta evolvendo rapidamente. Con l’entrata in vigore, il 27 settembre 2026, del D.Lgs. 30/2026 e l’avvicinarsi del Cyber Resilience Act (CRA), la durata degli aggiornamenti software non è più una questione tecnica, ma diventa una decisione aziendale che coinvolge l’intera filiera, dal produttore al distributore fino al consumatore finale.
Il quadro normativo attuale
Fino a poco tempo fa le norme sul software si concentravano sui requisiti di progettazione e sulla conformità al mercato: Regolamento (UE) 2017/745 (MDR) per i dispositivi medici, Regolamento (UE) 2024/1689 (AI Act) per i sistemi di intelligenza artificiale e Regolamento (UE) 2024/2847 (Cyber Resilience Act) per i prodotti con elementi digitali.
Il D.Lgs. 30/2026, che recepisce la Direttiva (UE) 2024/825 e modifica il Codice del consumo, sposta l’attenzione dalla fase di produzione a quella di commercializzazione, imponendo obblighi informativi e vietando pratiche ingannevoli legate agli aggiornamenti.
Il D.Lgs. 30/2026: informazioni precontrattuali
Il decreto, pubblicato in Gazzetta Ufficiale n. 56 del 9 marzo 2026 ed entrato in vigore il 24 marzo 2026, prevede due piani distinti. Il primo riguarda l’informazione precontrattuale, disciplinata dal nuovo art. 48, comma 1, lett. e‑quinquies e dal art. 49, comma 1, lett. n‑quater del Codice del consumo.
- Il venditore deve indicare, prima della conclusione del contratto, il periodo minimo (espresso in termini di durata o data) durante il quale il produttore o il fornitore fornirà aggiornamenti del software.
Questa informazione è obbligatoria per tutti i beni che comprendono elementi digitali, i contenuti digitali e i servizi digitali, ma solo nei contratti tra professionista e consumatore (art. 46, comma 1, Cod. cons.). Le microimprese sono escluse da questo obbligo.
Le pratiche commerciali ingannevoli
Il secondo piano riguarda le pratiche commerciali ingannevoli, introdotte dall’art. 23, comma 1 del Codice del consumo. Sono vietate tre ipotesi specifiche:
- bb‑quinquies: non informare il consumatore del fatto che un aggiornamento del software può incidere negativamente sul funzionamento del bene o sull’uso del contenuto/servizio digitale.
- bb‑sexies: presentare come necessario un aggiornamento del software che si limita a migliorare alcune caratteristiche di funzionalità.
- bb‑septies: promuovere una caratteristica introdotta per limitare la durabilità (obsolescenza programmata), spesso realizzata tramite aggiornamenti software.
Queste disposizioni mirano a contrastare forme di “greenwashing” digitale e a garantire trasparenza sul ciclo di vita del prodotto.
Definizione di aggiornamento del software
Il decreto introduce una nuova definizione di «aggiornamento del software» (art. 18, comma 1, lett. n‑decies) che comprende:
- Aggiornamenti necessari a mantenere la conformità del bene, del contenuto o del servizio digitale, inclusi gli aggiornamenti di sicurezza.
- Aggiornamenti delle funzionalità, anche se non strettamente necessari per la sicurezza.
Questa definizione è fondamentale per determinare quali interventi rientrano nell’obbligo di informazione e quali sono soggetti ai divieti di pratica ingannevole.
Ambito soggettivo e destinatari
È importante distinguere i soggetti interessati da ciascun piano:
- Informazione precontrattuale: si applica solo ai contratti tra professionista e consumatore, escludendo le microimprese.
- Divieti sulle pratiche commerciali: si estendono anche alle pratiche tra professionisti e microimprese, secondo l’art. 19, comma 1, Cod. cons.
Esempio pratico: una software house che vende un gestionale a uno studio professionale con tre dipendenti non è tenuta a indicare il periodo minimo di aggiornamenti; però, se presenta un aggiornamento migliorativo come “necessario”, commette una pratica ingannevole.
Obblighi informativi e condizioni
L’obbligo di indicare il periodo minimo di aggiornamenti scatta solo se “il produttore o il fornitore mette a disposizione dell’operatore economico le informazioni”. Se il produttore non comunica nulla, il distributore non ha alcun dato da fornire al consumatore.
Il D.Lgs. 30/2026, quindi, non obbliga il produttore a garantire aggiornamenti per un determinato periodo, ma impone al venditore di riferire la data solo se è disponibile.
Vigilanza e sanzioni
La competenza per la vigilanza spetta all’Autorità Garante della Concorrenza e del Mercato (AGCM), sia per le pratiche commerciali (art. 27, Cod. cons.) sia per gli obblighi informativi (art. 66, comma 2, Cod. cons.). Le sanzioni previs