Digital Markets Act Italia 2026: cosa cambia davvero per le piattaforme digitali
Il panorama normativo europeo che regola i mercati e i servizi digitali ha subito una trasformazione radicale negli ultimi anni. Il Digital Markets Act (DMA) e il Digital Services Act (DSA), entrambi ormai pienamente operativi nel 2026, ridisegnano le regole del gioco per chiunque operi online: dai grandi colossi tecnologici americani e asiatici alle imprese italiane di medie dimensioni che gestiscono marketplace, app, social network o piattaforme di contenuti.
Capire che cosa impongono il DMA e il DSA, a chi si applicano concretamente e quali conseguenze pratiche derivano dall'inosservanza è oggi una priorità non solo per i responsabili legali delle grandi aziende, ma anche per gli studi legali che assistono clienti nel settore tecnologico, per le startup e per qualsiasi operatore che distribuisce servizi attraverso piattaforme digitali.
Questo articolo offre una guida aggiornata al 2026, pensata per avvocati, consulenti aziendali e imprenditori che vogliono comprendere il quadro normativo vigente senza affidarsi a sintesi superficiali.
Il contesto: perché l'UE ha creato DMA e DSA
Prima dell'entrata in vigore di queste due discipline, la regolazione delle piattaforme digitali nell'Unione Europea era frammentata: si applicavano la direttiva sul commercio elettronico del 2000, le norme sulla concorrenza, il GDPR per la protezione dei dati e, in Italia, il Codice del Consumo. Un apparato pensato per un mondo analogico o, al più, per i primissimi anni dell'internet commerciale.
L'accelerazione digitale degli anni 2010-2020, la concentrazione del potere di mercato in pochissimi operatori e la proliferazione di contenuti illegali online hanno reso evidente l'inadeguatezza di quel quadro. Il legislatore europeo ha risposto con due strumenti distinti ma complementari, approvati entrambi nel 2022 e progressivamente entrati in vigore tra il 2023 e il 2024.
Nel 2026, dopo i primi cicli di enforcement, il sistema è ormai rodato: la Commissione Europea ha già avviato procedimenti formali nei confronti di diversi gatekeeper, alcune piattaforme hanno modificato radicalmente le proprie interfacce e condizioni contrattuali, e le autorità nazionali stanno affinando i propri strumenti di controllo sui soggetti che rientrano nell'ambito del DSA.
Digital Markets Act: la disciplina dei gatekeeper
Chi sono i gatekeeper e perché la distinzione conta
Il DMA si applica esclusivamente ai cosiddetti gatekeeper, vale a dire le imprese che forniscono servizi di piattaforma di base di importanza sistemica per il mercato interno europeo. La designazione formale spetta alla Commissione Europea e avviene sulla base di soglie quantitative e di un'analisi qualitativa.
Le soglie quantitative includono: un fatturato annuo nell'Unione Europea pari o superiore a 7,5 miliardi di euro negli ultimi tre esercizi, oppure una capitalizzazione di mercato di almeno 75 miliardi, e almeno 45 milioni di utenti finali mensili attivi nell'UE e 10.000 utenti commerciali annui attivi.
Nel 2026 i gatekeeper formalmente designati includono le principali piattaforme di Alphabet, Apple, Meta, Amazon, Microsoft e ByteDance. Si tratta di un numero limitato di soggetti, ma le loro piattaforme sono utilizzate da milioni di imprese italiane come canale di vendita, distribuzione o comunicazione.
Per le imprese italiane che non raggiungono le soglie, il DMA non impone direttamente obblighi. Tuttavia, queste imprese subiscono indirettamente gli effetti della regolazione: i gatekeeper, per adeguarsi agli obblighi del DMA, modificano le condizioni di utilizzo dei loro servizi, le API, le politiche di interoperabilità e le modalità di raccolta dati.
Gli obblighi principali imposti ai gatekeeper
Il DMA distingue tra obblighi di fare (do's) e divieti (don'ts). Tra i più rilevanti per le imprese italiane che operano come utenti commerciali di queste piattaforme:
Il gatekeeper non può imporre agli utenti commerciali condizioni che li obblighino a distribuire i propri servizi esclusivamente attraverso la sua piattaforma. Questo apre formalmente spazio per strategie di distribuzione multicanale che in precedenza erano contrattualmente ostacolate.
Il gatekeeper deve consentire all'utente commerciale di offrire agli utenti finali prezzi e condizioni differenti da quelli praticati sulla piattaforma, anche attraverso altri canali. È la cosiddetta clausola di parità, che il DMA vieta nella sua forma più restrittiva.
Il gatekeeper deve garantire l'interoperabilità dei propri servizi di messaggistica con quelli di terzi, a richiesta. Nel 2026 questo obbligo ha già prodotto i primi risultati pratici nel settore della messaggistica istantanea, anche se la piena implementazione tecnica è ancora in corso.
Il gatekeeper non può trattare i propri servizi in modo preferenziale rispetto a quelli di terzi nella classifica dei risultati di ricerca o nell'ordinamento dei contenuti del marketplace. Il cosiddetto self-preferencing è espressamente vietato.
Le sanzioni previste dal DMA
Le sanzioni per la violazione del DMA sono significative: fino al 10% del fatturato mondiale annuo dell'impresa, che sale al 20% in caso di infrazione reiterata. Nei casi di violazioni sistematiche, la Commissione può imporre misure comportamentali o strutturali, inclusa la separazione forzata di parti del business.
Digital Services Act: la disciplina dei contenuti e della responsabilità
L'architettura del DSA: quattro categorie di obblighi
Il Digital Services Act ha un ambito di applicazione molto più ampio rispetto al DMA. Si rivolge a tutti i fornitori di servizi intermediari che operano nell'Unione Europea, applicando obblighi proporzionali alla dimensione e al tipo di servizio. L'articolo già pubblicato sul blog di IUS AI affronta gli obblighi pratici per piattaforme e marketplace italiani nel dettaglio; in questa sede è utile richiamare l'architettura generale e concentrarsi sui profili più rilevanti per chi opera in Italia.
Il DSA distingue quattro categorie: i semplici conduit (mere conduit), i provider di caching, i provider di hosting e, al vertice, le piattaforme online e i motori di ricerca online di grandi dimensioni (VLOP e VLOSE), cioè quelli con più di 45 milioni di utenti mensili nell'UE.
Obblighi per i provider di hosting e le piattaforme di medie dimensioni
Per le imprese italiane che gestiscono un marketplace, un forum, una piattaforma di contenuti generati dagli utenti o un comparatore di prezzi, il DSA impone obblighi concreti già a partire da soglie dimensionali moderate.
I provider di hosting devono predisporre un meccanismo per la segnalazione di contenuti illeciti che sia accessibile, facile da usare e consenta di trattare le segnalazioni in modo tempestivo. La piattaforma che riceve una segnalazione circostanziata di contenuto illecito è tenuta ad agire con la diligenza di un operatore professionale responsabile.
Le piattaforme online devono pubblicare una relazione annuale di trasparenza sulle attività di moderazione dei contenuti. Devono inoltre fornire agli utenti commerciali informazioni chiare sulle motivazioni delle decisioni di sospensione o rimozione dei loro account o contenuti, con la possibilità di contestare tali decisioni attraverso un sistema di gestione dei reclami interno.
Le piattaforme che consentono la conclusione di contratti a distanza tra consumatori e professionisti (i marketplace) sono soggette all'obbligo di tracciabilità del venditore: devono raccogliere, verificare e conservare le informazioni identificative dei professionisti che utilizzano la piattaforma. Nel 2026 questo obbligo ha generato un significativo onere di due diligence per i marketplace italiani di medie dimensioni.
Il divieto di pubblicità mirata basata su dati sensibili
Il DSA vieta alle piattaforme di presentare pubblicità mirata agli utenti basandosi su dati personali sensibili, incluse le categorie protette di cui all'articolo 9 del GDPR, e vieta la pubblicità profilata rivolta ai minori. Questo divieto ha implicazioni significative per le piattaforme che monetizzano attraverso la pubblicità e che utilizzano dati di profilazione avanzata.
Le VLOP e i VLOSE: obblighi aggiuntivi per le grandi piattaforme
Le piattaforme online di grandi dimensioni e i motori di ricerca online di grandi dimensioni sono soggetti a obblighi aggiuntivi che includono: valutazioni annuali dei rischi sistemici, audit indipendenti, accesso ai dati per i ricercatori, sistemi di raccomandazione alternativi che non si basino sulla profilazione. Per queste piattaforme la vigilanza è affidata principalmente alla Commissione Europea, mentre le autorità nazionali mantengono competenze residuali.
Il ruolo dell'Autorità garante in Italia
L'AGCOM come Digital Services Coordinator
Il DSA ha introdotto la figura del Digital Services Coordinator (DSC), l'autorità nazionale designata a supervisionare l'applicazione del regolamento per i servizi non classificati come VLOP o VLOSE. In Italia, il DSC è l'Autorità per le Garanzie nelle Comunicazioni (AGCOM), che nel 2026 ha consolidato la propria attività di enforcement con l'adozione di linee guida operative e l'avvio dei primi procedimenti sanzionatori nei confronti di piattaforme che non avevano adeguato i propri sistemi di reclamo.
Il coordinamento con le altre autorità nazionali
L'applicazione del DMA e del DSA in Italia non coinvolge solo l'AGCOM. L'Autorità Garante della Concorrenza e del Mercato (AGCM) mantiene le proprie competenze in materia di pratiche commerciali scorrette e abuso di posizione dominante, che si sovrappongono parzialmente con l'ambito del DMA. Il Garante per la protezione dei dati personali conserva la propria competenza esclusiva sul trattamento dei dati, incluse le questioni che emergono nel contesto dell'applicazione di DMA e DSA. In questo scenario multi-regolatorio, il rischio di procedimenti paralleli da parte di autorità diverse è concreto e impone alle imprese una strategia di compliance coordinata.
Cosa devono fare concretamente le imprese italiane nel 2026
Il primo passo: mappare la propria posizione normativa
Non tutte le imprese italiane che operano online sono soggette agli stessi obblighi. Il punto di partenza è una mappatura accurata della propria attività: si è un semplice fornitore di hosting? Un marketplace? Un motore di ricerca verticale? Una piattaforma con funzioni di intermediazione contrattuale? La risposta determina quale categoria del DSA si applica e quali obblighi specifici vanno adempiuti.
Per le imprese più strutturate, questa mappatura dovrebbe essere formalizzata in un documento di analisi normativa periodicamente aggiornato, anche in considerazione dell'evoluzione delle linee guida della Commissione e delle decisioni dell'AGCOM.
Gli adempimenti prioritari per le piattaforme italiane di medie dimensioni
Sulla base della prassi applicativa del 2026, i principali adempimenti che le piattaforme italiane di medie dimensioni devono considerare sono:
Predisporre o aggiornare il sistema di segnalazione e rimozione dei contenuti illeciti, verificandone l'accessibilità e la conformità ai requisiti del DSA. Il sistema deve consentire all'utente di segnalare il contenuto, ricevere un riscontro e contestare l'eventuale decisione di non rimozione.
Implementare il sistema di gestione dei reclami per le decisioni relative agli account e ai contenuti degli utenti commerciali. Questo sistema deve essere documentato e operativo, con tempistiche di risposta ragionevoli e tracciate.
Per i marketplace: attivare i processi di verifica dell'identità dei venditori professionali (il cosiddetto Know Your Business Customer), conservare le informazioni raccolte e renderle disponibili alle autorità competenti su richiesta.
Predisporre e pubblicare la relazione di trasparenza annuale sulle attività di moderazione, nelle forme e con i contenuti indicati dal DSA.
Aggiornare i termini e le condizioni del servizio per renderli conformi agli obblighi di informazione del DSA, in particolare per quanto riguarda i sistemi di raccomandazione algoritmici.
Come DMA e DSA interagiscono con il GDPR
Un aspetto spesso sottovalutato nella pratica è l'interazione tra DMA, DSA e GDPR. Le tre discipline si sovrappongono significativamente nell'area della gestione dei dati degli utenti. Il DMA vieta ai gatekeeper di combinare i dati personali degli utenti raccolti su servizi diversi senza il loro consenso esplicito, riprendendo in larga misura il principio di limitazione della finalità del GDPR ma applicandolo con meccanismi di enforcement diversi. Le imprese italiane che lavorano come utenti commerciali delle piattaforme devono verificare che i propri trattamenti di dati rimangano conformi al GDPR anche quando cambiano le condizioni tecniche imposte dai gatekeeper per adeguarsi al DMA.
Le implicazioni per gli studi legali che assistono clienti digitali
Per gli avvocati e gli studi legali che assistono imprese del settore tecnologico o che operano su piattaforme digitali, il biennio 2025-2026 ha già prodotto un'espansione significativa del perimetro della consulenza rilevante. Le questioni che si pongono più frequentemente in pratica includono:
La revisione e negoziazione dei contratti con i gatekeeper, alla luce delle nuove obbligazioni di interoperabilità e del divieto di clausole di parità. Le modifiche unilaterali dei termini di servizio da parte delle grandi piattaforme, avvenute per adeguarsi al DMA, hanno spesso introdotto nuove condizioni che richiedono una valutazione attenta da parte degli utenti commerciali.
L'assistenza nelle procedure di reclamo e opposizione previste dal DSA per le decisioni di rimozione di contenuti o sospensione di account. Il DSA ha introdotto la possibilità di ricorrere a organismi di risoluzione extragiudiziale delle controversie certificati, che nel 2026 stanno progressivamente operando anche in Italia.
La gestione dei procedimenti avviati dall'AGCOM e dall'AGCM nei confronti di piattaforme italiane, che richiedono una comprensione integrata del DSA, del DMA e delle norme nazionali applicabili.
Domande frequenti (FAQ)
Il DSA si applica anche alle piccole imprese italiane che gestiscono un e-commerce?
Il DSA si applica a qualsiasi fornitore di servizi intermediari che ha utenti nell'Unione Europea, indipendentemente dalla sede. Tuttavia, le microimprese e le piccole imprese (con meno di 50 dipendenti e un fatturato annuo inferiore a 10 milioni di euro) sono esentate dalla maggior parte degli obblighi più onerosi, come la pubblicazione della relazione di trasparenza e il sistema di gestione dei reclami per le decisioni di moderazione. Rimangono invece applicabili gli obblighi di base relativi alla segnalazione e rimozione dei contenuti illeciti e, per i marketplace, l'obbligo di verifica dei venditori professionali.
Un'impresa italiana può essere designata come gatekeeper ai sensi del DMA?
La designazione formale da parte della Commissione Europea richiede il raggiungimento delle soglie quantitative previste dall'articolo 3 del DMA. Allo stato attuale, nessuna impresa italiana raggiunge tali soglie. Tuttavia, alcune realtà italiane che operano in settori verticali molto concentrati potrebbero in futuro essere oggetto di analisi da parte della Commissione, che ha il potere di designare un gatekeeper anche in assenza del superamento delle soglie qualora si riscontri la rilevanza sistemica del servizio.
Quali sono le sanzioni per la violazione del DSA in Italia?
Le sanzioni per la violazione del DSA possono arrivare fino al 6% del fatturato mondiale annuo dell'impresa. Per le violazioni da parte di VLOP e VLOSE, la competenza sanzionatoria è della Commissione Europea; per le piattaforme di minori dimensioni, è dell'AGCOM nella sua funzione di Digital Services Coordinator. In caso di violazioni reiterata, il DSA prevede la possibilità di misure temporanee, inclusa la sospensione del servizio nell'Unione Europea.
Il DMA ha modificato le possibilità di ricorso per le imprese danneggiate dai gatekeeper?
Il DMA è uno strumento di regolazione pubblica e non attribuisce direttamente diritti di azione privata alle imprese danneggiate. Tuttavia, la violazione del DMA da parte di un gatekeeper può essere invocata in procedimenti civili come elemento che contribuisce a dimostrare l'illiceità del comportamento, in combinazione con le norme nazionali e unionali in materia di concorrenza sleale e responsabilità extracontrattuale. Alcune corti nazionali europee stanno già elaborando giurisprudenza in questo senso.
Come IUS AI può supportare studi legali e imprese nella compliance DMA e DSA
La gestione della compliance rispetto a DMA e DSA richiede un approccio sistematico: mappatura degli obblighi applicabili, redazione e aggiornamento di contratti, policy e informative, monitoraggio dell'evoluzione normativa e giurisprudenziale, assistenza nelle relazioni con le autorità.
IUS AI mette a disposizione degli avvocati e dei loro clienti strumenti concreti: un generatore di contratti e atti legali alimentato dall'intelligenza artificiale, un archivio di oltre 100.000 sentenze consultabile in modo intelligente, e un assistente legale via chat disponibile per rispondere a quesiti normativi in tempo reale.
Se stai gestendo l'adeguamento al DSA o al DMA per conto di un cliente, o se hai bisogno di preparare contratti conformi al nuovo quadro normativo, puoi iniziare subito su IUS AI.