MiCA, DORA, l’AI Act e NIS2: come il corpus normativo UE sta escludendo dall’Europa start-up e piccole imprese

Mi guadagno da vivere con la normativa UE. I clienti si rivolgono a noi perché MiCA, le norme antiriciclaggio e il resto del corpus normativo europeo sono troppo complessi da gestire da soli, e noi li gestiamo per loro. Non è quindi la lamentela di qualcuno che perde quando Bruxelles scrive una nuova legge. Semmai, io ne guadagno.

Eppure, osservando ciò che negli ultimi anni è ricaduto sulle piccole e medie imprese (PMI), ritengo che l’Europa stia commettendo un errore. Non è un singolo atto scritto male. È la somma di tutti, la velocità con cui l’UE si corregge e il fatto che il conto ricada sulle imprese meno capaci di sostenerlo. La nostra posizione sulla regolamentazione dell’AI è illustrata specificamente in un articolo separato; questo riguarda il modello che attraversa l’intero corpus normativo.

Uno strato sopra l’altro

Ecco cosa richiede oggi la normativa UE a un’impresa europea, a seconda di ciò che fa.

• GDPR per chiunque detenga dati personali.
• Il Digital Services Act e il Digital Markets Act per piattaforme online e marketplace.
• Il Data Act per dispositivi connessi e contratti cloud.
• NIS2 e il Cyber Resilience Act per la cybersecurity e per prodotti con software incorporato.
• MiCA per servizi relativi a cripto-attività.
• DORA per banche, imprese di pagamento e crypto, e i fornitori IT che le servono.
• L’AI Act per chiunque sviluppi sistemi AI o li utilizzi nella propria attività.
• Il nuovo regolamento AML con un’autorità di vigilanza a livello UE, AMLA.
• eIDAS 2.0 con i suoi portafogli di identità digitale.
• Obblighi di rendicontazione sui trasferimenti crypto (la travel rule), i dati fiscali crypto (DAC8), la sostenibilità (CSRD) e le catene di approvvigionamento (CSDDD).

Nessuno di questi è secondario. Ognuno ha proprie definizioni, moduli, autorità di vigilanza e sanzioni. Una fintech con dodici dipendenti può ricadere contemporaneamente sotto cinque o sei di essi.

Ogni legge è difendibile. L’accumulo no

Considerate singolarmente, ciascuna di queste leggi risponde a una questione reale. Il denaro dei clienti non dovrebbe sparire quando un exchange crypto crolla, una banca non dovrebbe smettere di funzionare perché il suo fornitore cloud ha avuto una brutta notte, e nessuno desidera che un software decida chi ottiene un prestito senza che una persona possa verificare il risultato. Se si contesta una qualunque di queste leggi da sola, si perde il confronto, come è giusto che sia.

Il problema è la somma, e il problema è l’orologio. La Commissione ha proposto l’AI Act nell’aprile 2021 e l’UE lo ha adottato nel 2024. Le sue regole principali per l’AI ad alto rischio, come i sistemi usati per assunzioni, valutazione del merito creditizio o istruzione, dovevano applicarsi dal 02/08/2026. Nel luglio 2026, settimane prima di quella data, l’UE ha approvato una correzione chiamata Digital Omnibus on AI. Ha rinviato le regole a dicembre 2027 e ad agosto 2028 per l’AI integrata in prodotti regolamentati. La ragione ufficiale era che gli standard tecnici e le autorità nazionali di vigilanza non erano pronti. Cinque anni dopo la proposta, l’apparato destinato ad applicare la legge non esisteva. Le imprese che avevano trascorso due anni a prepararsi per agosto si erano preparate per una data che è stata spostata.

Ecco cosa significa lentezza nella pratica. Arrivano le leggi. Le correzioni arrivano due o tre anni dopo che tutti possono vedere il problema, sotto forma di un’altra normativa.

Perché le stesse regole costano di più a una piccola impresa

Questa è la parte che mi disturba maggiormente. Il costo della conformità dipende appena dalle dimensioni dell’impresa. Un manuale delle politiche, un registro dei fornitori IT, una procedura di segnalazione degli incidenti, un audit esterno, una domanda di licenza: costano pressappoco uguale, sia che si servano 50 clienti sia 5 milioni.

DORA è il caso più chiaro. Nel sondaggio di Deloitte sulle istituzioni finanziarie di 28 Paesi europei, pubblicato nel marzo 2025, circa due terzi degli intervistati prevedevano di spendere tra €2 milioni e €5 milioni per la conformità, e solo uno su dieci prevedeva di restare sotto €2 milioni. Una grande banca lo assorbe. Un istituto di pagamento con venti dipendenti non può farlo e, per le imprese più piccole, il conto della conformità può superare quanto vale per loro il mercato UE.

MiCA racconta la stessa storia in numeri. Prima di MiCA, secondo i conteggi del settore, più di mille imprese detenevano registrazioni crypto nazionali nell’UE. Il periodo transitorio è terminato il 01/07/2026 e, entro ottobre 2026, il registro ESMA elencava circa 370 fornitori autorizzati. Alcune delle imprese scomparse meritavano di uscire. Molte altre erano piccole, locali e legittime, e sono uscite perché una licenza MiCA (autorizzazione CASP) costa sei cifre in consulenti, capitale e tempo della direzione, risorse che un exchange con due fondatori non possiede. Ho analizzato separatamente cosa MiCA ha fatto alle start-up crypto europee; qui è un esempio di un modello più ampio.

I grandi operatori raramente si lamentano. Per un incumbent ben finanziato ogni nuovo atto è un fossato: il team di conformità esiste già, gli avvocati sono a contratto, e ogni nuova regola alza il biglietto d’ingresso per chiunque voglia competere. Una regolamentazione scritta per proteggere i consumatori finisce per proteggere la quota di mercato.

Dove vanno i fondatori

Le start-up sono mobili in un modo in cui le banche non lo sono. Un fondatore con un’idea e un laptop confronta i Paesi come tutti noi confrontiamo i voli. Quando Apple e Meta hanno deciso nel 2024 di trattenere dagli utenti UE nuove funzionalità AI, citando il Digital Markets Act e un ambiente normativo «imprevedibile», i titoli riguardavano due giganti. L’effetto più silenzioso ha colpito ogni sviluppatore europeo che volesse sviluppare su quei modelli e che ora doveva attendere, oppure trasferirsi.

Nel mio lavoro il modello è meno drammatico ma altrettanto costante. La domanda dei fondatori è passata da «possiamo ottenere una licenza in Estonia» a «vale davvero la pena una licenza europea rispetto a Dubai, Singapore o uno Stato USA». Qualche anno fa questa seconda domanda era rara. Oggi è ordinaria, e non sempre riesco a dissuaderli.

I numeri dicono lo stesso. Uno studio della Banca europea per gli investimenti pubblicato nel gennaio 2026 ha rilevato che tra il 2008 e il 2021 quasi il 30% degli unicorni europei, start-up valutate oltre $1 miliardo, ha trasferito la propria sede fuori dall’UE. La maggior parte è andata negli Stati Uniti, e le tecnologie digitali, l’AI e le biotecnologie hanno guidato il fenomeno. Mario Draghi ha detto il resto nel suo rapporto sulla competitività europea del settembre 2024: l’onere normativo impone troppi vincoli all’innovazione e rende difficile per le start-up crescere. Due anni dopo, secondo il conteggio del Draghi Observatory presso l’European Policy Innovation Council, solo il 16% delle misure monitorate era stato pienamente attuato. La diagnosi è condivisa. Il trattamento è lento.

Perché Tallinn non può correggere ciò che Bruxelles ha scritto

L’Estonia è un buon luogo da cui osservare questo fenomeno. È piccola, digitale e generalmente ragionevole verso le imprese. Su questo tema è anche quasi impotente.

MiCA, DORA e l’AI Act sono regolamenti, non direttive. Una direttiva fissa un obiettivo e lascia a ogni Paese il compito di scrivere la propria legge; un regolamento si applica parola per parola in ogni Stato membro, e nessun parlamento a Tallinn, Vilnius o Lisbona può attenuare un solo articolo. Il margine nazionale va in una sola direzione: un Paese può sempre essere più severo di Bruxelles, ma non può essere più leggero.

Quindi, quando un fondatore mi dice che l’Estonia dovrebbe «semplicemente sistemare tutto», devo spiegare che la soluzione dipende da 27 governi, una Commissione, un Parlamento e un ciclo legislativo misurato in anni. Dall’inizio del 2025 la Commissione ha presentato dodici pacchetti «omnibus», ciascuno modificando più leggi insieme, e ha promesso di ridurre gli oneri amministrativi di almeno il 25%, e del 35% per le PMI, prima della fine del proprio mandato. Le associazioni imprenditoriali affermano che il risultato finora non si avvicina affatto a tali cifre. Ci credo, perché leggo i testi.

L’Europa sta riducendo il proprio rischio

Chiunque abbia avuto a che fare con una banca negli ultimi anni conosce il termine de-risking. Un cliente appare leggermente insolito, il costo di monitorarlo supera le commissioni che paga e il conto viene chiuso. Nessuna frode, nessuna violazione, solo una decisione più economica per la banca. Il cliente cerca un’altra banca, spesso in un altro Paese, e il rapporto sui rischi della banca appare migliore di prima.

Penso sempre più che l’Unione europea faccia lo stesso con interi settori. Le crypto apparivano rischiose, quindi l’Europa ha creato MiCA e ha visto uscire la maggior parte delle imprese registrate a livello nazionale. L’AI sembra rischiosa, quindi l’Europa ha scritto la prima legge globale al mondo sull’AI prima di disporre di un’industria AI abbastanza grande da replicare. Ogni volta il rischio diminuisce, e ogni volta diminuisce con esso l’attività che lo comportava. In un bilancio che conta solo i rischi evitati, è un successo. In uno che conta le imprese fondate e i posti di lavoro creati, non lo è.

Sotto vi è un meccanismo più silenzioso. Un’istituzione il cui prodotto è misurato in regolamenti produrrà regolamenti. Ogni atto necessita di linee guida, standard tecnici e Q&A, quindi di un’autorità di vigilanza che li applichi, poi di un omnibus per riparare ciò che le linee guida hanno compromesso. Ogni fase aggiunge personale che sarà necessario per il prossimo atto. Nessuno in questa catena agisce in malafede. Il processo semplicemente non ha una ragione intrinseca per fermarsi, e nessuno al suo interno paga per la start-up mai fondata.

Tre scenari per le start-up europee

Per rendere tutto ciò concreto, ecco dove ritengo si stia dirigendo il lato start-up dell’economia europea. Il riferimento proviene da Dealroom: nell’UE vengono fondate ogni anno circa 14.800 start-up, circa 4.400 delle quali raccolgono finanziamenti esterni, e l’UE ospita circa 450 unicorni. L’Europa nel suo complesso, incluso il Regno Unito, ha ricevuto un record del 19% del capitale di rischio globale nel 2023 e il 16% nel 2024, mentre gli Stati Uniti hanno ricevuto il 57%.

Perché un declino anziché un crollo nel primo scenario? Perché il corpus normativo colpisce i fondatori al momento della decisione, non le imprese esistenti. Una banca di Francoforte non se ne va per DORA. Una start-up AI di tre persone a Tartu si registra semplicemente invece in Delaware e mantiene per un po’ gli sviluppatori in patria. L’UE perde la sede, la base imponibile e l’exit, e conserva per qualche tempo il monte salari.

E perché il terzo scenario non è una fantasia? Perché le sue cifre sono vicine a quelle raggiunte dall’Europa nel suo momento migliore: una quota del 19–20% del venture capital globale è il livello raggiunto alcuni anni fa, prima che l’attuale strato di regole iniziasse ad applicarsi. Scrivere la normativa UE pensando alle piccole imprese non sarebbe costato all’Europa la protezione dei consumatori. Le sarebbe costato qualche paragrafo di redazione.

Il caso dell’altra parte

Non meriterebbero di prendermi sul serio se fingessi che il corpus normativo non abbia vantaggi, quindi eccoli. Una licenza MiCA consente a un’impresa di servire clienti in tutti i 30 Paesi UE e SEE; prima, un’impresa crypto necessitava di 27 conversazioni separate con 27 autorità di regolamentazione. GDPR è diventato il modello globale per la normativa sulla privacy. Un unico regolamento AML dovrebbe, in teoria, porre fine alla situazione in cui un cliente accettato in uno Stato membro viene respinto nel successivo. L’armonizzazione è un bene reale e ne beneficio ogni giorno.

Il compromesso onesto è questo. L’armonizzazione su scala europea si acquista con velocità e con una struttura di costi che grava più duramente sui più piccoli. L’Europa ha deciso, per lo più per impostazione predefinita, di preferire un mercato sicuro a uno veloce. È una scelta legittima. Ritengo solo che dovrebbe essere fatta apertamente, con il prezzo indicato, anziché scoperta un omnibus alla volta.

Cosa dovrebbe fare invece l’Europa

La mia posizione non è che l’Europa dovrebbe smettere di regolamentare. È che dovrebbe smettere di regolamentare una start-up di tre persone come se fosse una banca. Un piccolo team non può gestire un dipartimento di conformità, e una legge che tacitamente ne presuppone uno non è una regola di sicurezza ma una barriera all’ingresso. Sei cambiamenti eliminerebbero gran parte del danno, e nessuno è radicale: ciascuno ha già un precedente da qualche parte nel diritto UE.

1. Soglie dimensionali reali, scritte nell’atto. Sotto la definizione UE di piccola impresa (meno di 50 dipendenti e meno di €10 milioni di fatturato), gli obblighi gravosi non dovrebbero applicarsi affatto, oppure dovrebbero applicarsi in una forma breve e fissa. GDPR lo fa già per la tenuta dei registri ai sensi dell’articolo 30(5), che esenta la maggior parte delle organizzazioni con meno di 250 dipendenti, e nel 2025 la Commissione ha proposto di ampliare tale esenzione. La stessa logica trova posto in DORA, NIS2 e nell’AI Act.
2. Standard prima dell’applicazione della legge. Nessun obbligo dovrebbe entrare in vigore finché gli standard tecnici non esistono e almeno un’autorità di vigilanza in ogni Stato membro non sia pronta ad applicarli. Il rinvio dell’AI Act ha dimostrato il punto nel modo più duro. La regola dovrebbe essere messa per iscritto, affinché il prossimo atto non necessiti di un omnibus per salvarla.
3. Prima sandbox, poi applicazione. Un nuovo settore dovrebbe ricevere un periodo di sperimentazione vigilata in cui un’impresa possa operare con il regolatore che osserva, prima che sia richiesta una licenza completa. L’AI Act promette tali sandbox, ma sono state rinviate ad agosto 2027, dopo alcuni obblighi. L’ordine dovrebbe essere inverso.
4. Un’autorità di vigilanza per impresa. Una fintech con dodici persone può oggi rispondere separatamente al supervisore finanziario, alla FIU, all’autorità per la protezione dei dati e presto a un’autorità AI. Lo sportello unico di GDPR, nel quale una sola autorità capofila gestisce un’impresa, mostra il modello. Dovrebbe essere esteso a tutto il corpus normativo.
5. Una data di scadenza in ogni atto. Se un regolamento decade salvo che sia riconfermato dopo una vera revisione dei suoi costi, la correzione diventa obbligatoria anziché un favore politico. L’omnibus diventa la regola, non il salvataggio.
6. Contare l’impresa che non è mai stata fondata. Ogni valutazione d’impatto UE misura il costo per le imprese esistenti. Nessuna misura le start-up che hanno scelto invece Delaware, Dubai o Singapore. Finché quel numero non sarà sul tavolo, chi redige il prossimo atto continuerà a sottovalutare quanto costa.

Niente di ciò significa copiare gli Stati Uniti, che non hanno ancora una legge federale AI completa e hanno soltanto un mosaico di norme statali, o il Regno Unito, che finora ha scelto di non approvare un unico atto AI e chiede invece ai regolatori esistenti di applicare una serie di principi. Significa ammettere che sono questi i luoghi rispetto ai quali un fondatore europeo oggi confronta l’Europa. Se si aggiunge EU Inc., l’unica forma societaria europea proposta nel marzo 2026, con registrazione in meno di 48 ore per meno di €100 e senza capitale minimo, come promette la Commissione, l’Europa avrebbe un’offerta che un piccolo team può effettivamente cogliere.

Cosa dico ai fondatori

Il mio consiglio ai fondatori è diventato noiosamente pratico. Trattate i costi di conformità come una voce del costo del venduto, non come un onorario legale una tantum. Scegliete il vostro Paese UE in base alla qualità del suo regolatore e alla velocità del suo registro, perché le regole stesse saranno uguali ovunque. Usate le finestre di transizione e i ritardi omnibus come tempo per sviluppare anziché come permesso di ignorare la legge; le regole dell’AI Act ad alto rischio sono state rinviate, non cancellate. E se il vostro modello aziendale funziona solo fuori dal corpus normativo UE, ammettetelo presto, prima della domanda di licenza anziché dopo.

Costruire un’impresa in Europa nonostante il corpus normativo

L’Europa resta un buon posto per gestire un’impresa, e lo dico ai clienti ogni settimana. Lo scopo di questo articolo non è scoraggiare nessuno dall’Estonia o dall’UE. È dire che la normativa UE è un costo reale e dovrebbe essere considerata fin dal primo giorno. La struttura giusta, il giusto percorso di licenza e il giusto Paese nell’UE fanno oggi una differenza maggiore di cinque anni fa. Se state valutando queste scelte per un’impresa nuova o esistente, il nostro team di Eesti Firma può illustrarvi cosa significheranno realmente le regole nel vostro caso, dalla costituzione di società alla concessione di licenze.

Invia una richiesta