Fino a pochi anni fa, dal punto di vista normativo, un robot industriale era considerato soprattutto una macchina: erano sufficienti la marcatura CE, la valutazione dei rischi e un solido progetto di sicurezza.

Oggi, invece, lo stesso robot è diventato un sistema fisico, digitale e connesso, sempre più spesso basato sull’intelligenza artificiale (AI), capace di raccogliere dati tramite sensori e telecamere, dialogare con il MES e con il cloud del fornitore, ricevere aggiornamenti software da remoto e lavorare fianco a fianco con le persone.

È importante sottolineare che ciascuna di queste caratteristiche comporta il rispetto di un diverso regime normativo, ovvero siamo di fronte alla multi-compliance: un insieme di regolamenti, standard e funzioni aziendali che intervengono contemporaneamente sullo stesso sistema, dalla progettazione e dall’acquisto fino all’operatività, alla manutenzione, agli aggiornamenti software e alla dismissione. Di fatto, gestire questi ambiti a compartimenti stagni espone al rischio di lacune, a sovrapposizioni ed a decisioni che, mentre risolvono un problema, ne generano un altro.

Occorre, quindi, comprendere quali norme si applicano, individuare i principali nodi di compliance lungo l’intero ciclo di vita del robot e tradurre questi elementi in un modello di governance unitario.

Perché la compliance è la nuova sfida

Prendiamo ad esempio un cobot che sposta pallet in un magazzino logistico ci aiuta a comprendere meglio il problema. Il responsabile di produzione e il RSSP sono responsabili della sua sicurezza funzionale; il software di visione basato sull’AI interessa chi deve classificare il sistema secondo l’AI Act; la connessione remota per la manutenzione è di responsabilità della funzione IT e di cybersicurezza; le immagini raccolte dalle telecamere coinvolgono il DPO; il controllo dell’attività dei lavoratori è di pertinenza delle risorse umane; il contratto con il fornitore comporta la gestione dell’accesso ai dati, aggiornamenti e responsabilità.

Di fatto, numerose funzioni sono coinvolte, ciascuna con il proprio linguaggio, i propri documenti e le proprie scadenze.

È importante evidenziare che, senza un coordinamento esplicito, emergono problemi ricorrenti, quali:

• Sovrapposizioni –  lo stesso rischio è valutato tre volte , con metodi e conclusioni diverse
• Lacune – Ciascuna funzione ritiene che un aspetto sia di competenza di un altro
• Conflitti – Una misura corretta per una norma, può compromettere la compliance a un’altra.

In termini operativi, la governance della multi-compliance richiede quattro presìdi comuni:

• una mappatura delle norme applicabili a ciascun robot;
• responsabilità condivise tra sicurezza, IT, privacy, risorse umane, legale, acquisti e produzione;
• un processo unico per valutare modifiche e aggiornamenti;
• un fascicolo documentale mantenuto lungo l’intero ciclo di vita.

Il quadro normativo che segue fornisce la base per costruire questi presidi.

Il quadro normativo che impatta sulla robotica

Le organizzazioni, in primis, devono conoscere le norme che si applicano al contesto robotico aziendale e con quali scadenze. Di seguito si fornisce una tabella riassuntiva del quadro normativo europeo ed italiano, mentre i paragrafi che seguono ne spiegano l’impatto pratico.

Il regolamento macchine: dal 20 gennaio 2027

Il Regolamento Macchine sostituisce la Direttiva 2006/42/CE e si applica dal 20 gennaio 2027. È importante evidenziare che, per la robotica, le novità più importanti sono:

• i requisiti di protezione contro la corruzione dei sistemi di controllo (i.e. cybersecurity collegata alla safety);
• le regole su sistemi con comportamento o logica evolutiva;
• una disciplina più chiara in termini di modifiche sostanziali, ovvero, chi modifica in modo sostanziale una macchina, può assumere il ruolo di fabbricante con tutti gli obblighi conseguenti.

Sul piano tecnico restano centrali le norme Iso 10218-1 e 10218-2 (sicurezza dei robot industriali: la Parte 1 riguarda il robot, la Parte 2 i sistemi robotici, le applicazioni e l’integrazione delle celle; l’edizione 2025 integra i requisiti della robotica collaborativa, già trattata dalla ISO/TS 15066); la ISO 13849-1 ((sicurezza del macchinario: parti dei sistemi di comando legate alla sicurezza, con Performance Level e categorie) e la ISO12100 (sicurezza del macchinario: principi generali di progettazione, valutazione e riduzione del rischio).

AI Act e Digital Omnibus: cosa cambia per le macchine

È doveroso ricordare che l’AI Act è stato modificato dal cosiddetto Digital Omnibus sull’IA ed il Regolamento (UE) 2026/1744 è entrato in vigore il 27 luglio 2026. Due punti interessano direttamente chi usa robot:

• Nuove date per l’alto rischio: rispettivamente il 2 dicembre 2027 per i sistemi autonomi dell’Allegato III e 2 agosto 2028per i sistemi integrati in prodotti regolati dall’Allegato I;
• Approccio settoriale per le macchine: il Regolamento Macchine è stato spostato dalla Sezione A alla Sezione B dell’Allegato I. I requisiti per l’AI ad alto rischio nelle macchine dovranno, pertanto, essere inseriti nel Regolamento Macchine tramite atti delegati della Commissione, evitando la doppia applicazione dei due regimi.

Restano invece pienamente in vigore i divieti dell’AI Act, tra cui quello di inferire emozioni dei lavoratori sul luogo di lavoro, e gli obblighi di trasparenza per i sistemi che interagiscono con le persone, rilevanti per robot di servizio e umanoidi.

Inoltre, in Italia, è in vigore la Legge 132/2025, che designa AgID e ACN come autorità nazionali per l’AI e contiene disposizioni specifiche sull’uso dell’IA nel lavoro, tra cui l’informazione ai lavoratori.

Cyber Resilience Act (CRA) e NIS2: due livelli di cybersicurezza

Il Cyber Resilience Act (CRA, riguarda il prodotto: robot, controller e software sono prodotti con elementi digitali e devono essere progettati , mantenuti ed aggiornati con i requisiti di sicurezza lungo tutto il ciclo di vita del prodotto.

I fabbricanti , dall’11 settembre 2026, devono segnalare le vulnerabilità altamente sfruttate e gli incidenti gravi tramite la Single Reporting Platform gestita da ENISA, con un preallarme entro 24 ore. Mentre la marcatura CE e il grosso degli obblighi arriveranno l’11 dicembre 2027. 

La NIS2 impatta sulle organizzazioni che usano i robot. Ovvero, se l’azienda è un soggetto essenziale o importante deve gestire i rischi cyber, la sicurezza della catena di fornitura e la notifica degli incidenti. In pratica, il robot connesso diventa un asset da inserire nell’analisi dei rischi e nei piani di risposta agli incidenti, senza dimenticare che il fornitore  costituisce un anello della supply chain da controllare per contratto.

Dati: GDPR e Data Act

È importante evidenziare che un robot genera dati di processo, di prestazione e, spesso, dati personali. Il GDPR richiede base giuridica, minimizzazione, valutazioni d’impatto, ove necessario, oltre che una chiara ripartizione dei ruoli con il fornitore. Il Data Act, applicabile da settembre 2025, introduce i diritti di accesso e condivisione dei dati generati dai prodotti connessi. Di fatto il contratto di acquisto o di servizio deve stabilire chi può usare i dati del robot, per quali finalità e con quali tutele per i segreti industriali.

Norme lavorative e responsabilità

Sul piano della tutela dei lavoratori continuano ad applicarsi: il D.Lgs. 81/2008, che disciplina la valutazione dei rischi, l’utilizzo delle attrezzature e la formazione del personale; art. 4 dello Statuto dei Lavoratori, che regola l’impiego di strumenti dai quali possa derivare un controllo dell’attività lavorativa. In questo contesto, un robot in grado di registrare tempi di lavoro, spostamenti o prestazioni degli operatori può avere rilevanza anche sotto questo profilo.

Inoltre, per quanto riguarda la responsabilità, la nuova Direttiva (UE) 2024/2853 sui prodotti difettosi, che dovrà essere recepita entro il 9 dicembre 2026, amplia il concetto di prodotto, includendo anche il software e considera espressamente aggiornamenti e vulnerabilità di sicurezza. Di conseguenza, l’assenza di adeguati aggiornamenti o di una corretta manutenzione della sicurezza potrebbe comportare responsabilità per i soggetti coinvolti.

Il ciclo di vita del robot: dove nascono i nodi di compliance

È importante comprendere che la multi-compliance non è un adempimento una tantum, ma un processo da mantenere nel tempo. I principali nodi emergono nelle diverse fasi del ciclo di vita del robot — progettazione e acquisto, integrazione, operatività, manutenzione, aggiornamenti e dismissione — e richiedono controlli e responsabilità coerenti tra loro.

Progettazione e requisiti per l’acquisto

In questa fase emergono molti dei principali problemi di compliance. Per prevenirli, è opportuno definire con precisione i requisiti nelle specifiche di fornitura. In particolare, occorre richiedere la dichiarazione di conformità e la marcatura CE aggiornate al nuovo Regolamento Macchine, informazioni chiare sull’impiego dell’IA e sul trattamento dei dati, nonché adeguate evidenze di cybersicurezza, come la distinta base del software (SBOM) e il processo di gestione delle vulnerabilità.

È inoltre necessario indicare la durata e le modalità del supporto software e prevedere clausole trasparenti sull’accesso ai dati, sul ricorso a subfornitori e sull’utilizzo di servizi cloud.

Integrazione e messa in servizio

Quando un robot viene integrato in una cella o in una linea produttiva, la valutazione dei rischi non può limitarsi al singolo robot, ma deve riguardare l’intero sistema. Occorre quindi considerare anche gli utensili, le protezioni, l’area di lavoro e le modalità di interazione con le persone.

Il riferimento all’integratore è rilevante perché, di norma, è il soggetto che installa il robot e lo combina con utensili, protezioni, sistemi di comando e altre macchine per realizzare la cella o la linea produttiva.

Se questa attività dà origine a un nuovo insieme di macchine e l’integratore ne assume la responsabilità complessiva, esso è considerato il fabbricante dell’insieme e deve predisporre la dichiarazione di conformità e il fascicolo tecnico del sistema completo.

Se, invece, l’integratore esegue soltanto l’installazione secondo le istruzioni del fabbricante, senza creare o modificare sostanzialmente l’insieme, tali obblighi non gli si trasferiscono automaticamente.

In ogni caso, durante l’integrazione devono essere coinvolte anche le funzioni IT e Risorse Umane e, quando sono trattati dati personali, il DPO, per definire la segmentazione della rete e la gestione degli accessi, predisporre le informative necessarie e verificare il rispetto dell’articolo 4 dello Statuto dei Lavoratori.

Operatività

Durante l’utilizzo quotidiano possono emergere situazioni che non erano state previste in fase di progettazione o di collaudo. Il comportamento del robot può infatti cambiare in base alle condizioni reali di lavoro, alle modalità con cui gli operatori interagiscono con il sistema, agli aggiornamenti software, all’usura dei componenti o a problemi di rete e configurazione.

Pertanto, per evitare che queste anomalie si trasformino in incidenti, l’organizzazione deve monitorare nel tempo il funzionamento del sistema attraverso indicatori definiti, registrare e analizzare anche i quasi incidenti, cioè gli eventi che non hanno causato danni ma avrebbero potuto farlo, e stabilire una procedura chiara per segnalare tempestivamente le criticità.

Inoltre, è necessario prevedere un canale di comunicazione stabile tra sicurezza sul lavoro, IT e produzione, affinché ogni anomalia sia valutata congiuntamente e siano definite rapidamente le misure correttive.

Manutenzione e aggiornamenti software

È il punto più delicato. Una patch, un nuovo modello di AI o un cambio di parametri possono alterare il comportamento certificato del robot. Pertanto, è necessario stabilire: criteri per distinguere un’”attività ordinaria” da una “modifica sostanziale”; una procedura di change management condivisa tra sicurezza e IT; test di non regressione sulle funzioni di safety; un processo per ricevere e gestire le vulnerabilità segnalate dal fornitore, anche in vista degli obblighi del CRA.

Dismissione

Il robot, a fine vita, contiene configurazioni, credenziali, log e, talvolta, dati personali o segreti industriali. Pertanto, prima di dismetterlo, occorre cancellare in modo verificabile i dati, revocare accessi e certificati, mantenere la tracciabilità del fascicolo tecnico e gestire lo smaltimento nel rispetto della normativa ambientale. Mentre, se il robot viene ceduto o rivenduto, vanno trasferiti anche documentazione e informazioni sul suo stato di conformità.

Le principali sfide per le organizzazioni

Le organizzazioni non solo devono conoscere le norme, ma devono altresì essere in grado di gestire le difficoltà reali che emergono quando bisogna applicarle insieme, su macchine già installate, con risorse e competenze limitate. DI seguito le sfide più ricorrenti che organizzazioni devono affrontare:

• Frammentazione normativa e calendari sfalsati – Regolamenti europei, leggi nazionali e norme tecniche hanno date, autorità e linguaggi diversi. Capire cosa si applica a quale robot, e da quando, è già un’impresa ardua.
• Silos organizzativi – Le funzioni di sicurezza, IT, privacy, HR e acquisti operano con processi separati e, spesso, senza un responsabile unico del sistema robotico. Inoltre, le decisioni prese in un’area producono effetti non previsti nelle altre.
• Dipendenza dai fornitori e dalla catena di fornitura – Molte informazioni necessarie (i.e. componenti software, vulnerabilità, logiche di AI, flussi di dati) sono in mano al fabbricante o all’integratore. Pertanto, senza clausole contrattuali adeguate, l’utilizzatore resta responsabile di ciò che non può verificare.
• Aggiornamenti continui e modifiche sostanziali – Patch, nuove versioni e modelli di AI che si evolvono rendono difficile mantenere nel tempo la validazione di sicurezza e il fascicolo tecnico.
• Parco macchine eterogeneo – Nelle organizzazioni, accanto a robot di nuova generazione convivono impianti installati anni fa, con interfacce di rete e sistemi operativi non pensati per le minacce attuali e con un supporto del fornitore che può essere limitato oppure cessato.
• Competenze ibride e risorse limitate – La gestione della multi-compliance richiede professionisti capaci di integrare safety, cybersecurity, privacy, AI e diritto del lavoro. Questi profili multidisciplinari sono rari e costosi; per le PMI, che spesso non dispongono internamente di tutte queste competenze né di budget dedicati, diventa difficile non solo reperirli, ma anche garantirne la continuità nel tempo.
• Equilibrio tra dati, produttività e tutela delle persone – Si tratta di essere in grado di sfruttare i dati dei robot per efficienza e manutenzione predittiva, senza invadere la sfera dei lavoratori e senza violare riservatezza e vincoli contrattuali.

A queste sfide appena descritte si somma l’incertezza regolatoria: atti delegati, norme armonizzate e linee guida sono ancora in arrivo, rendendo difficile per le organizzazioni che devono pianificare investimenti, oggi, sulla base di un quadro che continuerà a definirsi ed evolversi.

Come governare la multi-compliance

Per tradurre la multi-compliance in un modello di governance concreto e sostenibile, anche per le PMI, le organizzazioni possono adottare un percorso operativo articolato nelle sette fasi descritte di seguito.

1. Mappatura normativa unica: un solo documento che elenca, per ogni robot, le norme applicabili, le scadenze e le autorità competenti.
2. Matrice di responsabilità (RACI – Responsible, Accountable, Consulted, Informed): per ogni requisito,  chi decide, chi esegue, chi va consultato e chi deve essere informato.
3. Comitato interfunzionale: un tavolo stabile con sicurezza, IT, DPO, HR, legale, acquisti e produzione, che esamina nuovi robot, modifiche e incidenti.
4. Registro dei requisiti per ogni robot: una scheda con classificazione, configurazione, versioni software, stato della conformità e documenti di riferimento.
5. Gestione integrata dei rischi: una valutazione che metta insieme rischi fisici, cyber, AI, privacy e lavoro, con un’unica lista di misure e priorità.
6. Fascicolo tecnico e documentale condiviso: un archivio unico, con controllo delle versioni, accessibile alle funzioni che ne hanno bisogno.
7. Audit e revisione periodica: verifiche programmate e a ogni modifica rilevante, con indicatori e piano di miglioramento.

Best practice per una multi-compliance efficace

Definito il modello di governance, occorre tradurlo in comportamenti ricorrenti lungo il ciclo di vita dei sistemi robotici. Le pratiche che seguono rendono operativi i sette presìdi appena descritti e collegano organizzazione, acquisti, gestione dei rischi, aggiornamenti, incidenti e formazione.

• Partire dal censimento – Un inventario completo di robot, controller, software, connessioni e fornitori è la base di qualsiasi mappatura normativa e analisi dei rischi.
• Compliance by design negli acquisti – È fondamentale inserire nei capitolati requisiti su compliance al nuovo Regolamento Macchine, SBOM, tempi di correzione delle vulnerabilità, durata del supporto software, accesso e uso dei dati, obblighi di notifica degli incidenti.
• Un’unica valutazione dei rischi – Analizzare insieme safety e security, perché una vulnerabilità informatica può diventare un rischio fisico.
• Change management condiviso – Ogni aggiornamento passa da un processo comune con classificazione della modifica, test di non regressione sulle funzioni di sicurezza, piano di ripristino (rollback) e aggiornamento della documentazione.
• Segmentazione di rete e accessi controllati – Garantire reti dedicate per l’automazione, autenticazione forte, tele-manutenzione del fornitore autorizzata caso per caso e tracciata.
• Privacy e lavoro fin dall’inizio – Valutazione d’impatto, informative e, dove necessario, accordo sindacale o autorizzazione prima di attivare funzioni che raccolgono dati sui lavoratori.
• Supervisione umana e governance dell’IA – Censire i sistemi con funzioni di AI, definire chi può intervenire, quando e con quali strumenti, e documentare test e limiti d’uso.
• Piano integrato di risposta agli incidenti – Definire un unico protocollo che unisca arresto in sicurezza dell’impianto, contenimento cyber, notifica alle autorità e comunicazione interna, con simulazioni periodiche.
• Formazione per ruolo – Contenuti diversi per operatori, manutentori, IT, dirigenti e acquisti, con aggiornamenti a ogni evoluzione normativa o tecnica.
• Monitoraggio normativo e indicatori – Stabilire un presidio che segua atti delegati, norme armonizzate e scadenze, e KPI semplici (robot censiti, requisiti coperti, vulnerabilità aperte, audit completati, quasi-incidenti segnalati).
• Appoggiarsi a sistemi di gestione già adottati – ISO 45001, ISO/IEC 27001 e ISO/IEC 42001 permettono di integrare i requisiti robotici nei processi esistenti invece di crearne di nuovi.

Multi compliance in Italia: a che punto siamo? La parola all’esperto normativo Andrea Lisi

Tra regolamenti europei in arrivo, scadenze che si spostano e un quadro nazionale ancora in evoluzione, non è sempre chiaro quanto le imprese siano davvero pronte. Per capire a che punto siamo oltre i testi di legge, abbiamo raccolto il punto di vista di un esperto di normative

Secondo l’avvocato Andrea Lisi (esperto in diritto applicato all’informatica e protezione dei dati, Titolare di Studio Legale Lisi e coordinatore di Digitalaw e D&L NET. Ideatore del DIGEAT Festival. Presidente di ANORC Professioni. Docente universitario e direttore scientifico di Master universitari e percorsi specialistici di settore), “la necessità di azioni pervasive di ‘multi-compliance’ in materia di intelligenza artificiale e robotica è il risultato di una progressiva polverizzazione normativa, caratterizzata dalla coesistenza di discipline differenti, sovrapposizioni, calendari applicativi non sempre coordinati e continui interventi correttivi e/o dilatori. Normative complesse e spesso farraginose incontrano, infatti, evidenti difficoltà di applicazione pratica all’interno delle organizzazioni pubbliche e private.

La regolamentazione sembra, ormai, inseguire costantemente l’evoluzione tecnica e ha progressivamente perduto quella caratteristica di astrattezza e generalità che, in passato, consentiva alle norme di resistere maggiormente nel tempo. Il diritto tende così a diventare sempre più analitico, settoriale e tecnologicamente condizionato, con il rischio di risultare già parzialmente superato quando giunge alla sua piena e matura applicazione.

In questo scenario, gli ormai costanti rinvii degli obblighi normativi non devono essere avvertiti e interpretati come una sospensione della responsabilità organizzativa, né come un invito ad attendere. Al contrario, dovrebbero essere utilizzati come tempo prezioso per preparare processi, ruoli, competenze e strumenti di governo.

La compliance integrata non può, infatti, essere costruita alla vigilia dell’entrata in applicazione di una norma, perché riguarda sistemi tecnologici, contratti, infrastrutture e modelli organizzativi destinati a produrre effetti per molti anni”.

Inoltre, Lisi evidenzia: “Per innovare oggi, le organizzazioni devono essere mosse da: elasticità, perché occorre adattare continuamente assetti e procedure a una realtà normativa e tecnologica mutevole; pazienza, perché la compliance non si esaurisce in un adempimento formale o in una certificazione, ma richiede verifiche, aggiornamenti e miglioramenti progressivi; coraggio, infine, perché l’incertezza non può diventare l’alibi per la paralisi decisionale.

Il principale presidio organizzativo è costituito da team realmente interdisciplinari, nei quali competenze giuridiche, informatiche, ingegneristiche, organizzative, di sicurezza, protezione dei dati e gestione del lavoro possano confrontarsi stabilmente. Non basta, però, riunire professionalità differenti: è necessario, invece, attribuire ruoli chiari, poteri adeguati, risorse e responsabilità effettive, proporzionate alla delicatezza delle funzioni delegate.

Sono soltanto team così configurati che possono garantire una compliance realmente integrata, mappando gli obblighi applicabili, verificando i rischi lungo l’intero ciclo di vita del sistema e, soprattutto, consentendo all’organizzazione di assumere decisioni consapevoli e documentate.

Senza una simile regia, la soluzione apparentemente più prudente rischia di essere proprio quella più pericolosa: non decidere, rinviare gli investimenti o procedere per compartimenti stagni”.

Lisi aggiunge: “La governance, inoltre, non termina con l’acquisto o la messa in esercizio del sistema. I sistemi di AI e robotici possono essere modificati da aggiornamenti software, cambiamenti di configurazione, nuovi dati, diverse condizioni operative o interventi del fornitore. È, quindi, necessario predisporre un controllo continuativo, capace di intercettare anomalie, modifiche rilevanti, incidenti e nuovi rischi, assicurando una gestione coordinata tanto dell’ordinaria evoluzione del sistema quanto delle situazioni emergenziali.

L’humus indispensabile resta, tuttavia, un ambiente organizzativo consapevole. L’innovazione non può essere affidata esclusivamente agli specialisti: deve essere collettiva. I percorsi di alfabetizzazione e formazione devono coinvolgere, con contenuti differenziati in relazione ai ruoli e alle responsabilità, tutti i lavoratori e i collaboratori dell’organizzazione, a partire dai suoi vertici”.

Infine, Lisi conclude: “La chiave per innovare, dunque, non è soltanto normativa. È soprattutto una questione di forma mentis. Le regole possono indicare limiti, obblighi e responsabilità; ma soltanto un’organizzazione consapevole, interdisciplinare e capace di decidere può trasformare la compliance da fattore di immobilismo a strumento di innovazione responsabile.

Tutti temi che affronteremo dal 5 al 8 novembre p.v. a Lecce in occasione del DIGEAT FESTIVAL da me coordinato”.

Conclusione

La multi-compliance in robotica non coincide con la semplice somma degli adempimenti applicabili, ma richiede una regia unitaria lungo l’intero ciclo di vita del sistema: dalla definizione dei requisiti di acquisto alla messa in servizio, fino alla gestione di aggiornamenti, incidenti e dismissione. Per governarla non basta moltiplicare consulenze e verifiche separate; occorrono una mappatura condivisa delle norme, responsabilità chiaramente attribuite, un fascicolo documentale aggiornato e processi comuni tra safety, cybersecurity, privacy, AI, risorse umane, acquisti e produzione.

Tale approccio è particolarmente importante per le PMI, che possono compensare la scarsità di competenze e risorse interne attraverso procedure proporzionate, priorità basate sul rischio e un rapporto più strutturato con fornitori e integratori.

Inoltre, con l’applicazione del Regolamento Macchine ormai vicina e i primi obblighi del Cyber Resilience Act già operativi, rinviare significa esporsi a interventi frammentari, costosi e tardivi: costruire oggi una governance integrata consente, invece, di trasformare la compliance in continuità operativa, maggiore sicurezza e qualità degli investimenti in robotica.