Il software diventa un prodotto UE

Una scadenza silenziosa, con conseguenze tutt'altro che silenziose

Entro il 9 dicembre 2026 ogni Stato membro dell'UE dovrà aver recepito la nuova direttiva sulla responsabilità per danno da prodotti difettosi — la direttiva (UE) 2024/2853. Sostituisce un impianto del 1985 pensato per tostapane e ricambi auto, e introduce un cambiamento che dovrebbe far drizzare le orecchie a chiunque distribuisca codice.

Il software è ora un prodotto.

Non solo il software incorporato in una macchina. Il software in quanto tale: applicazioni autonome, firmware, app mobili, sistemi di IA, file di fabbricazione digitale e software fornito come servizio. Se viene immesso sul mercato dell'UE o messo in servizio dopo il 9 dicembre 2026, rientra in un regime di responsabilità oggettiva: il danneggiato non deve dimostrare la vostra negligenza. Deve provare che il prodotto era difettoso, di aver subito un danno e il nesso tra i due.

È una materia diversa dalle scadenze di conformità che di solito occupano queste pagine. Cyber Resilience Act, NIS2 e regolamento sull'IA sono di natura regolamentare: li fa rispettare un'autorità pubblica. La responsabilità da prodotto, invece, è privata. Arriva sotto forma di causa, promossa da un cliente, davanti a un giudice nazionale.

«Non siamo nell'UE» non chiude la questione

Monaco non è uno Stato membro dell'Unione europea e le direttive europee non si applicano nel Principato per forza propria. L'appartenenza di Monaco al territorio IVA francese è tutt'altra questione e non incide su questa analisi — una distinzione che conviene tenere netta, dato che le due cose vengono confuse di continuo.

Ciò che conta è lo stesso criterio del Cyber Resilience Act: dove il prodotto viene immesso sul mercato, non dove l'azienda è registrata.

La direttiva è costruita perché un consumatore danneggiato nell'UE abbia sempre qualcuno da citare all'interno dell'Unione. Quando il fabbricante è stabilito fuori dall'UE, la responsabilità scende lungo una cascata:

• l'importatore che immette il prodotto sul mercato dell'Unione;
• il rappresentante autorizzato del fabbricante nell'Unione;
• un prestatore di servizi di logistica, se nell'UE non è individuabile né fabbricante né importatore né rappresentante;
• un distributore, se richiesto di indicare l'operatore responsabile non vi riesce entro un mese;
• una piattaforma online, nei casi definiti in cui presenta il prodotto come proprio o non comunica l'identità del fornitore.

Per una software house monegasca la lettura pratica è questa: la causa potrebbe non colpirvi direttamente, ma colpirà qualcuno con cui avete un contratto — e quel contratto quasi certamente ve la rimanderà indietro. Gli accordi stipulati prima di questa direttiva raramente allocano il rischio in modo esplicito. Ecco perché qui il lavoro utile è spesso contrattuale prima ancora che tecnico.

Quando un software è «difettoso»

La direttiva elenca i fattori che il giudice valuta, e diversi riguardano direttamente il digitale:

• l'effetto degli aggiornamenti sul prodotto, compresi quelli forniti dopo il lancio;
• la mancata fornitura di aggiornamenti di sicurezza, quando resta nel vostro controllo farlo;
• il mancato rispetto di requisiti di sicurezza del prodotto o di cybersicurezza — una violazione del Cyber Resilience Act può quindi essere usata come prova della difettosità;
• la capacità di continuare ad apprendere dopo la messa in servizio, formula con cui il legislatore ha inteso l'apprendimento automatico.

Ne discendono due conseguenze. Primo: «alla consegna era a posto» non è più una risposta completa: se conservate la possibilità di correggere e non lo fate, quell'inerzia entra nella valutazione. Secondo: chi modifica sostanzialmente un prodotto dopo l'immissione sul mercato può essere trattato come fabbricante per i difetti derivanti da quella modifica. La manutenzione e assistenza del sito smette così di essere una voce di comodo e diventa parte della vostra esposizione.

Il software libero e open source sviluppato e fornito al di fuori di un'attività commerciale è escluso. L'esclusione è più stretta di quanto sembri: se lo monetizzate, o lo fornite in cambio di dati personali oltre a quanto serve per sicurezza e compatibilità, può rientrare nell'ambito di applicazione.

Che cosa si può effettivamente chiedere

Le voci di danno risarcibili sono state ampliate:

• morte e lesioni personali, comprese le lesioni alla salute psicologica medicalmente riconosciute;
• danni ai beni, escluso il prodotto difettoso stesso e i beni destinati esclusivamente a uso professionale;
• distruzione o danneggiamento di dati non utilizzati per finalità professionali.

Quest'ultima voce è nuova e riguarda direttamente chiunque gestisca software rivolto ai consumatori. Il danno puramente economico, la lesione della riservatezza in quanto tale e la discriminazione restano fuori dalla direttiva.

La vecchia soglia di 500 euro per i danni ai beni è stata eliminata e non esistono massimali. Il danneggiato è aiutato anche sul piano probatorio: i giudici nazionali possono ordinare l'esibizione delle prove rilevanti e, quando la complessità tecnica o scientifica rende la prova eccessivamente difficile, possono applicare presunzioni relative di difettosità o di nesso causale. L'azione si prescrive in tre anni dalla conoscenza del danno, con un termine ultimo di dieci anni dall'immissione sul mercato — esteso a venticinque anni per le lesioni personali a manifestazione tardiva.

Chi a Monaco deve preoccuparsi, e chi no

La maggior parte delle imprese monegasche non è interessata. Una pagina di prenotazione di un ristorante, un sito istituzionale, la vetrina di un gestore patrimoniale: il normale sviluppo web non diventa un prodotto a responsabilità oggettiva solo perché è online.

Chi invece deve guardare seriamente:

• chi pubblica un'applicazione mobile o desktop per utenti europei;
• chi vende hardware connesso con software di accompagnamento — a Monaco ben rappresentato nello yachting, nella building technology e nel controllo accessi;
• chi consegna a clienti UE un prodotto con funzioni di IA, quando l'automazione con IA è passata da strumento interno a qualcosa nelle mani del cliente;
• chi vende beni fisici nell'UE tramite il proprio canale e-commerce, dato che la direttiva copre anche i prodotti tradizionali.

Quattro cose da fare prima di dicembre

1. Mettete per iscritto cosa immettete sul mercato UE: prodotti, forma, Paesi. Per la maggior parte delle aziende di Monaco la risposta sarà «nulla», e vale la pena averla agli atti.
2. Individuate il vostro operatore nell'UE e rileggete il contratto. Importatore, rappresentante o piattaforma: chi porta il rischio prodotto? Rinegoziate ora, non dopo una richiesta di risarcimento.
3. Verificate l'assicurazione. Una polizza scritta sul regime del 1985 potrebbe non contemplare il software, la perdita di dati o una coda di venticinque anni. Ponete la domanda al broker per iscritto.
4. Rendete il patching un impegno documentato. Periodo di supporto, cadenza degli aggiornamenti, gestione delle vulnerabilità: definiteli e dimostrate di rispettarli. È la vostra prova migliore di non difettosità — e appartiene al piano di prodotto, non a un ticket operativo.

Una precisazione onesta: si tratta di una direttiva, non di un regolamento. Il dettaglio che vi vincola dipenderà dalla legge di recepimento di ciascuno Stato membro, e queste differiranno. Il diritto monegasco disciplina i vostri contratti e la propria responsabilità in modo autonomo. Quando la risposta incide sulla roadmap di prodotto, sull'assicurazione o sulla capacità di vendere in Europa, fatela verificare da un legale qualificato. Nulla di quanto sopra costituisce consulenza legale.

Se a Monaco sviluppate software o prodotti connessi e li vendete a clienti europei, questo è l'anno per capire dove vi trovate — prima che lo capisca qualcun altro al posto vostro. Contattateci e lo mappiamo insieme.