Accessibilità digitale, la paura delle sanzioni come leva commerciale: cosa sa AgID?

🔎 I punti chiave

• Documentazione acquisita da Matrice Digitale mostra comunicazioni in cui inosservanza normativa, urgenza e proposta commerciale compaiono nello stesso percorso.
• AGID e W3C distinguono tra controlli automatici, verifiche manuali e conformità: uno scanner non può stabilire da solo se un sito sia accessibile.
• Sanzioni, widget e obblighi normativi richiedono perimetri precisi: semplificarli può trasformare la compliance in una potente leva di vendita.

Prima arriva la diagnosi. Il destinatario viene informato che la propria posizione rispetto agli obblighi di accessibilità digitale richiede un intervento. Poi arriva l’urgenza: occorre agire rapidamente. Infine viene proposta la soluzione, composta da attività di verifica, assistenza agli adempimenti e strumenti tecnologici proprietari. È una sequenza commerciale che Matrice Digitale ha potuto ricostruire attraverso segnalazioni ricevute dalla redazione, documentazione acquisita e analisi di siti che vendono servizi di adeguamento all’accessibilità. L’inchiesta non riguarda una singola società e per questo non identifica gli operatori coinvolti né i destinatari delle comunicazioni. Il problema è più ampio: comprendere che cosa accade quando una normativa complessa, una competenza tecnica difficilmente disponibile all’interno di molti enti e il timore delle sanzioni si incontrano sul mercato. È in questa asimmetria che può svilupparsi quello che, in termini giornalistici, può essere definito terrorismo psicologico della compliance: non una categoria giuridica, ma un modello comunicativo nel quale il timore di essere fuori norma diventa un acceleratore della decisione commerciale.

Quando l’inosservanza viene rappresentata prima dell’audit

Secondo una comunicazione acquisita da Matrice Digitale, a un ente viene rappresentata una situazione di inosservanza rispetto agli obblighi in materia di accessibilità e, nello stesso contesto, viene indicata la necessità di intervenire rapidamente. Il percorso commerciale comprende servizi destinati proprio a valutare il livello effettivo di accessibilità del portale, predisporre documentazione e accompagnare il destinatario negli adempimenti.

La sequenza pone una domanda elementare: se la valutazione approfondita deve ancora essere effettuata, su quali elementi viene fondata la precedente rappresentazione dell’inosservanza?

Non significa che quell’ente fosse necessariamente in regola. Potrebbero mancare adempimenti facilmente verificabili oppure potrebbero essere già state individuate criticità tecniche. Ma esiste una differenza sostanziale tra tre situazioni che nella comunicazione commerciale non dovrebbero essere confuse: mancato adempimento amministrativo, errore tecnico rilevato sul sito e non conformità complessiva ai requisiti applicabili. Per le Pubbliche Amministrazioni, per esempio, AGID distingue chiaramente gli Obiettivi di Accessibilità dalla Dichiarazione di Accessibilità. I primi devono essere pubblicati entro il 31 marzo e descrivono gli interventi programmati dall’amministrazione; la seconda deve essere aggiornata entro il 23 settembre e rende pubblico lo stato di accessibilità di ciascun sito e applicazione mobile. La stessa pagina AGID dedicata alla Dichiarazione di Accessibilità precisa inoltre che la mancata pubblicazione costituisce un inadempimento normativo. È quindi perfettamente possibile accertare un’omissione documentale senza avere ancora stabilito che l’intero sito sia tecnicamente non conforme. Questa distinzione è decisiva perché la parola “inosservanza” possiede, soprattutto per un amministratore pubblico, un peso molto diverso da quello di “criticità rilevata” o “verifica necessaria”. Quando viene utilizzata all’interno di un processo commerciale, dovrebbe poter essere ricondotta a un obbligo preciso e a un’evidenza già disponibile.

Leggi anche: IA nella PA, le Linee guida AgID tra rischio lock-in e sovranità digitale

Lo scanner trova errori, ma non decide da solo la conformità

Il secondo passaggio riguarda la tecnologia utilizzata per costruire la diagnosi. Nei siti analizzati dalla redazione ricorrono riferimenti a scansioni automatiche, dashboard, punteggi, numeri di criteri WCAG verificati e percentuali di errore. Sono strumenti perfettamente legittimi e possono essere preziosi per gestire un progetto complesso. Diventano problematici quando il risultato tecnico viene percepito dal cliente come equivalente a un verdetto normativo. Il W3C pone un limite molto chiaro. Nella documentazione ufficiale dedicata agli strumenti di valutazione spiega che i software possono individuare rapidamente potenziali problemi e automatizzare diversi controlli, ma non possono verificare tutti gli aspetti dell’accessibilità. Alcuni richiedono giudizio umano e gli strumenti possono produrre risultati falsi o fuorvianti. La conclusione del W3C è esplicita: un evaluation tool non può determinare da solo se un sito sia accessibile.

AGID applica lo stesso principio nel proprio sistema di monitoraggio. Nel monitoraggio semplificato delle Pubbliche Amministrazioni utilizza MAUVE++, che analizza automaticamente 31 dei 50 criteri di successo A e AA delle WCAG 2.1 considerati per i siti web. L’automazione viene quindi impiegata su larga scala, ma l’Agenzia non la presenta come sostitutiva della valutazione completa. Nel monitoraggio approfondito entrano infatti in gioco esperti di accessibilità che verificano manualmente tutti i 50 criteri A e AA, utilizzando screen reader, navigazione da tastiera, analisi del codice e altri metodi. AGID spiega esplicitamente che il controllo umano permette di valutare i criteri che non possono essere verificati automaticamente.

Questo confronto non consente di affermare che uno specifico prodotto commerciale sia migliore o peggiore dello strumento istituzionale. Consente però di fissare un principio: il numero dei criteri richiamati da una piattaforma non coincide con il numero dei criteri che una macchina può decidere autonomamente come conformi o non conformi. Anche la nuova WCAG Evaluation Methodology 2.0, pubblicata dal W3C nel luglio 2026, struttura la valutazione attorno alla definizione del perimetro, all’esplorazione del prodotto, alla selezione di un campione rappresentativo, alla verifica dei processi completi e alla documentazione dei risultati. Lo scanner è uno strumento del processo, non il processo stesso.

Dal punteggio alla paura: il problema dell’asimmetria informativa

Per un tecnico è relativamente semplice comprendere la differenza tra errore rilevato, criterio non verificabile automaticamente e conclusione di conformità. Per chi amministra un ente o una piccola organizzazione la situazione cambia radicalmente. Una dashboard mostra percentuali, errori, livelli, priorità e indicatori. Se il destinatario non possiede competenze specialistiche, il rischio è che tutto venga tradotto in un’unica domanda: “Sono a norma oppure no?”

È qui che nasce l’asimmetria informativa più rilevante dell’intero mercato. Lo stesso soggetto che dispone degli strumenti per individuare il problema può essere anche quello che ne interpreta la gravità, ne comunica le conseguenze e propone il servizio necessario per risolverlo. Non c’è nulla di illecito in questo modello. È normale che un consulente esegua una diagnosi e venda le competenze necessarie alla rimediazione. Diventa però essenziale che il cliente possa distinguere ciò che deriva dalla legge da ciò che deriva dalla metodologia proprietaria del fornitore.

Un punteggio può essere estremamente utile per confrontare scansioni successive, stabilire priorità o misurare il progresso di un intervento. Non diventa per questo una percentuale normativa di conformità. Un sito può superare molti controlli automatici e mantenere una barriera decisiva in un processo essenziale; un altro può accumulare numerose occorrenze dello stesso errore senza rendere inutilizzabile una funzione fondamentale. Lo stesso W3C, nella WCAG-EM 2.0, ammette forme di aggregazione dei risultati ma avverte che non esiste una singola metrica universalmente riconosciuta come sufficientemente affidabile e che i punteggi possono risultare fuorvianti.

La trasparenza metodologica diventa quindi parte della correttezza commerciale: quali controlli sono automatici? Quali manuali? Quali pagine sono state esaminate? Come vengono trattati i criteri non applicabili? Come viene pesata la gravità?

Se il cliente non può rispondere a queste domande, rischia di acquistare non soltanto una soluzione, ma anche l’interpretazione del problema formulata da chi quella soluzione la vende.

Sanzioni e urgenza: quando la norma diventa pressione commerciale

Le segnalazioni ricevute dalla redazione indicano poi un elemento particolarmente sensibile: il ricorso al rischio normativo e alle conseguenze sanzionatorie come parte della comunicazione commerciale. Anche qui il problema non è l’esistenza delle sanzioni. Esistono e devono essere spiegate. Il problema è rappresentarle senza il relativo perimetro. Le FAQ ufficiali AGID sul decreto legislativo 82/2022 distinguono chiaramente diverse fattispecie. La violazione dei requisiti di accessibilità o degli obblighi stabiliti dal decreto comporta sanzioni amministrative da 5.000 a 40.000 euro, determinate anche sulla base dell’entità della non conformità, del numero dei servizi o prodotti coinvolti e degli utenti interessati. L’inottemperanza ai provvedimenti dell’autorità o il mancato invio delle informazioni richieste può invece comportare sanzioni da 2.500 a 30.000 euro. AGID specifica separatamente il regime applicabile ai soggetti dell’articolo 3, comma 1-bis, della Legge 4/2004, per i quali può operare la sanzione fino al 5% del fatturato prevista dalla stessa legge.

Il numero esiste, dunque. Ma non rappresenta la conseguenza universale di qualsiasi errore di accessibilità.

Anche il perimetro dell’European Accessibility Act, recepito con il decreto legislativo 82/2022, richiede cautela. La FAQ AGID sull’ambito di applicazione chiarisce che il decreto riguarda operatori che fabbricano, importano o distribuiscono determinati prodotti oppure forniscono i servizi elencati dall’articolo 1. Le microimprese che forniscono servizi sono escluse. La soglia inferiore a dieci dipendenti e fino a due milioni di euro di fatturato o totale di bilancio definisce quindi l’esenzione della microimpresa; non trasforma automaticamente qualsiasi impresa appena più grande in soggetto obbligato per qualsiasi sito web. Prima viene il perimetro oggettivo della norma.

Quando queste condizioni scompaiono dalla comunicazione e resta soltanto il riferimento alla possibile sanzione, il significato cambia. La norma smette di essere soltanto informazione e può trasformarsi in una leva capace di accelerare una decisione d’acquisto. L’urgenza funziona proprio perché il cliente raramente possiede competenze sufficienti per verificare subito la portata della minaccia. Nel digitale questo meccanismo è noto anche in contesti completamente differenti: le campagne di phishing che sfruttano SPID, pagoPA e identità della Pubblica Amministrazione aumentano l’efficacia quando associano autorità istituzionale, scadenza e timore delle conseguenze. Il parallelo riguarda esclusivamente il meccanismo psicologico dell’urgenza, non la natura delle condotte.

Ed è proprio questa distinzione a rendere delicato il linguaggio della compliance commerciale: chi opera professionalmente nel settore dovrebbe ridurre l’incertezza, non amplificarla.

Widget e soluzioni automatiche: ciò che la norma non impone

Nella documentazione e nei siti analizzati compare infine un altro elemento ricorrente: widget, overlay e strumenti proprietari che promettono di correggere automaticamente una quota rilevante degli errori più comuni o di aggiungere funzioni di accessibilità all’interfaccia. Possono essere strumenti utili. Un sistema che modifica contrasto, dimensione del testo, spaziatura, animazioni o altre caratteristiche può facilitare l’esperienza di alcuni utenti. Ma questo non permette di confondere la presenza del widget con la conformità. Nelle fonti normative e tecniche esaminate da Matrice Digitale non emerge un obbligo generalizzato di installare sul sito un proprio lettore vocale, un pannello per ipovedenti o un overlay commerciale. Al contrario, il quadro AGID sui requisiti generali del decreto 82/2022 richiama anche l’interoperabilità con strutture e dispositivi assistivi.

È una differenza sostanziale. Il sito deve poter essere utilizzato attraverso gli strumenti scelti dall’utente. Se un pulsante non è raggiungibile dalla tastiera, deve essere corretto. Se un campo non possiede un’etichetta semanticamente associata, deve essere corretto. Se un messaggio di errore non viene comunicato allo screen reader, il problema va risolto nell’interfaccia e nel codice.

Un software aggiunto a runtime può mitigare alcune criticità, ma non cancella la necessità della rimediazione strutturale.

Questo dovrebbe essere particolarmente chiaro quando il prodotto tecnologico viene inserito nello stesso percorso commerciale nel quale si parla di adeguamento normativo. Il cliente deve sapere quali interventi siano indispensabili per rispettare i requisiti, quali rappresentino semplici strumenti di supporto e quali siano funzionalità ulteriori che può liberamente scegliere di acquistare.

Continua con:

IA nella PA: quando il requisito tecnico deve diventare un vincolo contrattuale

CERT-AgID: 540 campagne malevole mostrano quanto pesino urgenza e autorità nelle comunicazioni digitali

La domanda ad AgID: chi vigila sul mercato che vende la conformità?

Il punto finale dell’inchiesta non riguarda quindi il valore di una dashboard, l’efficacia di un singolo widget o la qualità professionale di uno specifico operatore. La questione è sistemica. AGID definisce procedure, mette a disposizione gli strumenti ufficiali per gli adempimenti, conduce il monitoraggio sui siti della Pubblica Amministrazione e, nel perimetro del decreto legislativo 82/2022, svolge funzioni di vigilanza sui servizi. Matrice Digitale ha però acquisito documentazione e ricevuto segnalazioni che mostrano come, nel mercato costruito intorno a queste regole, la paura della non conformità possa diventare parte integrante del processo di vendita. La sequenza è riconoscibile: il potenziale cliente viene informato di un problema normativo; il problema viene rappresentato attraverso indicatori che non sempre è in grado di interpretare autonomamente; viene sottolineata l’urgenza; vengono richiamate conseguenze potenzialmente rilevanti; infine viene proposta la soluzione commerciale. Definire tutto questo “terrorismo psicologico della compliance” significa utilizzare deliberatamente una formula giornalistica forte. Non significa sostenere che esista una condotta penalmente rilevante né che ogni società del settore operi nello stesso modo. Significa porre l’attenzione su un mercato nel quale la conoscenza del rischio è detenuta soprattutto da chi vende la protezione da quel rischio.

Ed è proprio questo squilibrio a richiedere trasparenza.

Chi comunica a un ente che si trova in stato di inosservanza dovrebbe indicare quale obbligo risulta violato e sulla base di quali verifiche. Chi utilizza un punteggio dovrebbe spiegare come viene calcolato. Chi cita una sanzione dovrebbe indicare quale norma, quale fattispecie e quale soggetto riguarda. Chi propone un widget dovrebbe chiarire che cosa risolve tecnicamente e che cosa, invece, deve essere corretto nel codice o nei processi. Perché l’accessibilità non nasce per generare paura. Nasce per garantire che una persona possa utilizzare un servizio digitale indipendentemente dalla propria disabilità e dagli strumenti assistivi necessari.

La domanda che resta aperta è quindi istituzionale: AGID conosce il modo in cui obblighi, scadenze e sanzioni sull’accessibilità vengono rappresentati nel mercato della compliance e ritiene sufficientemente tutelati enti e imprese chiamati ad acquistare questi servizi?

La risposta interessa molto più di un singolo fornitore. Riguarda la credibilità di un settore nel quale la conformità dovrebbe essere dimostrata attraverso evidenze tecniche, non venduta attraverso il timore di essere già fuori legge.