Dal 2027 i costruttori italiani di macchine industriali dovranno rispettare simultaneamente il Regolamento Macchine (UE) 2023/1230, il Cyber Resilience Act e l’AI Act. Per uno studio legale che assiste produttori o acquirenti di macchinari, questo triplice intreccio normativo genera nuove clausole da inserire nei contratti, nuovi profili di responsabilità civile e penale, e una due diligence più complessa nelle operazioni M&A del settore manifatturiero.
Punti chiave
- Punto 1 — Il Regolamento (UE) 2023/1230 abroga la Direttiva Macchine 2006/42/CE dal 14 gennaio 2027.
- Punto 2 — Cyber Resilience Act e AI Act aggiungono obblighi di cybersicurezza e trasparenza algoritmica ai costruttori.
- Punto 3 — La sovrapposizione normativa espone produttori e importatori a responsabilità concorrenti difficili da contrattualizzare oggi.
Chi assiste costruttori di macchinari o chi è coinvolto in contenziosi da prodotto difettoso deve aggiornarsi subito: dal 14 gennaio 2027 il quadro normativo di riferimento cambia strutturalmente. Non si tratta di un aggiornamento marginale, ma di una riconfigurazione completa degli obblighi, con tre strumenti europei che entrano in vigore quasi in contemporanea e si sovrappongono su aspetti tecnici ancora non del tutto definiti.
Secondo quanto riportato da Agenda Digitale, il settore dei costruttori di macchine industriali si trova a dover gestire simultaneamente il Regolamento Macchine (UE) 2023/1230, il Cyber Resilience Act e l’AI Act. Il problema non è solo rispettare le scadenze, ma navigare la sovrapposizione tra sicurezza funzionale, cybersicurezza, sistemi AI e norme tecniche armonizzate ancora incomplete.
Il contesto normativo
Il Regolamento (UE) 2023/1230, pubblicato in Gazzetta Ufficiale UE il 29 giugno 2023, abroga la Direttiva Macchine 2006/42/CE — recepita in Italia con d.lgs. 17/2010 — con decorrenza 14 gennaio 2027. A differenza della direttiva, il regolamento è direttamente applicabile senza recepimento nazionale, il che elimina margini di adattamento ma anche di difesa tecnica basati sul diritto interno. Sul versante della responsabilità da prodotto, il riferimento resta la Direttiva 85/374/CEE, ora in via di aggiornamento con la nuova Product Liability Directive (UE) 2024/2853, che estende la responsabilità ai prodotti digitali e ai sistemi AI incorporati nelle macchine. Chi redige contratti di fornitura o clausole di garanzia che si eseguiranno dopo il 2027 deve già tenere conto di questo doppio livello: responsabilità da prodotto aggiornata e obblighi di conformità regolamentare rafforzati.
Cosa cambia per lo studio
- Revisione dei contratti di fornitura: le clausole di garanzia e di esclusione della responsabilità redatte sotto la Direttiva 2006/42/CE vanno riesaminate. Il Regolamento 2023/1230 modifica i requisiti essenziali di sicurezza, e un prodotto conforme oggi potrebbe non esserlo dal 2027.
- Due diligence nelle operazioni M&A manifatturiere: acquisire una società costruttrice di macchine richiede ora un’analisi della roadmap di conformità al Regolamento Macchine, al Cyber Resilience Act e all’AI Act. Il gap di conformità è una voce di rischio quantificabile nel prezzo.
- Assistenza in caso di ispezioni e market surveillance: le autorità di vigilanza del mercato — in Italia il Ministero del Lavoro e l’INAIL per i profili di sicurezza — potranno contestare difformità rispetto a un regolamento direttamente applicabile. La difesa tecnica cambia registro rispetto al regime precedente.
- Contrattualizzazione della cybersicurezza: il Cyber Resilience Act impone obblighi di aggiornamento software per tutta la vita utile del prodotto. Nei contratti di manutenzione e assistenza tecnica occorre definire chi risponde dell’inadempimento di questi obblighi nel lungo periodo.
- Gestione dei sistemi AI embedded: le macchine con componenti AI classificati come sistemi ad alto rischio ai sensi dell’AI Act (Allegato III) richiedono documentazione tecnica aggiuntiva e registrazione nella banca dati UE. Chi assiste il costruttore deve presidiare anche questo adempimento.
Attenzione a
Norme tecniche armonizzate ancora assenti. Al momento il corpus di norme EN armonizzate al Regolamento 2023/1230 non è completo. Inserire in contratto un riferimento generico alla “conformità alle norme tecniche applicabili” senza specificare la versione e la data crea una clausola ambigua che in caso di contenzioso si ritorce contro il costruttore. Specifica sempre la norma e la sua data di vigenza.
Sovrapposizione delle responsabilità tra produttore e importatore. Il Regolamento 2023/1230, analogamente al precedente regime, distribuisce obblighi tra fabbricante, importatore e distributore. Con l’aggiunta dei requisiti Cyber Resilience Act, un importatore italiano di macchine extraUE può trovarsi esposto come se fosse il produttore originale. Verifica sempre la catena di responsabilità prima di sottoscrivere qualsiasi accordo di distribuzione o rappresentanza esclusiva.
Domande frequenti
Il d.lgs. 17/2010 sulla direttiva macchine è ancora in vigore dopo il 2027?
No. Il Regolamento (UE) 2023/1230 abroga la Direttiva 2006/42/CE dal 14 gennaio 2027 e, essendo un regolamento, si applica direttamente in tutti gli Stati membri senza necessità di recepimento. Il d.lgs. 17/2010, che aveva recepito la direttiva in Italia, cesserà di avere rilevanza per le macchine immesse sul mercato dopo quella data.
Chi risponde per una macchina industriale non conforme al Cyber Resilience Act importata da fuori UE?
L’importatore stabilito nell’UE assume obblighi equivalenti a quelli del fabbricante quando immette sul mercato un prodotto di origine extraeuropea. Se il costruttore non UE non garantisce la conformità, l’importatore italiano è direttamente esposto alle sanzioni previste e alle azioni risarcitorie degli utilizzatori finali, anche ai sensi della nuova Product Liability Directive (UE) 2024/2853.
Come si gestisce contrattualmente il rischio di non conformità a norme tecniche armonizzate non ancora pubblicate?
Occorre inserire clausole di adeguamento dinamico che obblighino il fornitore ad aggiornare il prodotto o la documentazione tecnica al momento della pubblicazione delle norme EN armonizzate al Regolamento 2023/1230, con termini certi e penali per il ritardo. Evita rimandi generici alle ‘norme vigenti’: specifica la versione di riferimento e prevedi un meccanismo di revisione.
Fonte di riferimento: AgendaDigitale