Doppia rilevanza per tecnologia & ICT.
Per le imprese della tecnologia e dell’ICT la rilevanza d’impatto si concentra su consumi energetici, forza lavoro, diritti di consumatori e utilizzatori finali e condotta delle imprese, con in più AI Act, GDPR, DSA e le disposizioni sui data center della direttiva sull’efficienza energetica. Questa guida settoriale illustra gli IRO rilevanti tipici, il quadro normativo e gli errori di DMA osservati nelle rendicontazioni della prima ondata (Wave 1).
Dove si concentrano i temi rilevanti di tecnologia e ICT.
Tutti i 10 temi ESRS collocati su una mappa della doppia rilevanza calibrata sul settore. Fai clic su un tema per vedere gli IRO specifici, le motivazioni del punteggio e la mappatura dell’informativa. Passa dallo scenario tipico a quello elevato: quest’ultimo riflette l’esposizione a carichi di lavoro IA ad alta intensità, a grandi piattaforme rivolte ai consumatori o alla produzione di hardware.
12 IRO esemplificativi per tecnologia & ICT.
Impatti, rischi e opportunità tratti dagli ESRS tematici e dall’EFRAG IG 1, contestualizzati alle attività e alla catena del valore di tecnologia e ICT. Filtra per categoria.
Consumi elettrici dei data center
La crescita dei carichi di lavoro IA fa aumentare i consumi elettrici dei data center a ritmi a due cifre. È il principale impatto climatico per le imprese di cloud, piattaforme e IA.
Bias algoritmici e discriminazione nei sistemi di IA
I sistemi di IA usati in decisioni importanti (credito, assunzioni, sanità) possono penalizzare in modo sistematico i gruppi tutelati. Impatto S4 legato all’informazione, con riferimento normativo nell’AI Act.
Sicurezza online, in particolare per i minori
Le piattaforme usate dai minori hanno impatti documentati su salute mentale, esposizione a contenuti dannosi e design che crea dipendenza. Il DSA amplifica il quadro normativo.
Salute mentale del personale e burnout
Le culture lavorative sempre connesse del settore generano impatti documentati sulla salute mentale. La rilevanza d’impatto è ponderata per gravità ai sensi di ESRS S1-14.
Conformità all’AI Act per i sistemi ad alto rischio
Valutazione della conformità, sistemi di gestione dei rischi, governance dei dati e requisiti di sorveglianza umana per l’IA ad alto rischio. Rilevanza finanziaria diretta per S4 e G1.
Applicazione del GDPR ed esposizione a violazioni dei dati
Sanzioni fino al 4% del fatturato globale per le violazioni gravi. Regime di notifica delle violazioni dei dati e di ricorso individuale. Fattore diretto di rilevanza sui consumatori.
Designazione come gatekeeper ai sensi del DMA e obblighi delle piattaforme ai sensi del DSA
Gli obblighi per gatekeeper e VLOP comportano limiti rilevanti al modello operativo. Sanzioni per non conformità pari o superiori al 10% del fatturato globale.
Richieste a cascata di informativa Scope 3 dai clienti
I clienti enterprise chiedono sempre più spesso fattori di emissione verificati per singolo servizio. Non fornirli espone alla perdita di contratti e all’erosione della pipeline.
Data center alimentati tramite PPA rinnovabili
I PPA diretti con produttori di energia rinnovabile garantiscono sia la riduzione delle emissioni sia la copertura dei costi dell’elettricità. Beneficio di allineamento alla Tassonomia se la capacità è addizionale.
Certificazioni di IA affidabile e privacy by design
La certificazione formale secondo i nuovi framework di fiducia nell’IA e gli standard di privacy by design conquista la preferenza degli acquirenti enterprise, in particolare nel settore pubblico UE.
Hardware IT circolare e device-as-a-service
I programmi di ricondizionamento, ritiro e device-as-a-service riducono l’impatto dei rifiuti elettronici e creano modelli di ricavi ricorrenti con margini resilienti.
Rendicontazione sul capitale umano come elemento distintivo per gli investitori
Un’informativa ESRS S1 di qualità su DEI, remunerazione e metriche del capitale umano è sempre più apprezzata dagli investitori istituzionali nelle operazioni di M&A e IPO del settore tecnologico.
Le normative UE che si intersecano con la DMA.
Queste normative UE collegate determinano quali impatti ed effetti finanziari hanno maggiori probabilità di risultare rilevanti per un’impresa del settore. Integrale nella DMA come fonti di evidenza.
AI Act dell’UE
Regolamentazione dei sistemi di IA basata sul rischio. I sistemi ad alto rischio sono soggetti a valutazione della conformità e a requisiti di governance continuativi. Obblighi per i modelli GPAI da agosto 2025. Input centrale per S4 e G1.
Regolamento generale sulla protezione dei dati
Protezione dei dati personali e diritti degli interessati. Applicazione sempre più incisiva con il regolamento sulla cooperazione transfrontaliera. Rilevanza S4 centrale per le imprese che trattano dati dei consumatori.
Digital Services Act
Obblighi per piattaforme e servizi intermediari, valutazione dei rischi sistemici per le VLOP. Rilevanza diretta del rischio S4 e della governance G1 per le piattaforme.
Digital Markets Act
Obblighi per i gatekeeper sui servizi di piattaforma di base. Interoperabilità, portabilità dei dati e divieto di autopreferenza. Rilevanza diretta per G1 per le imprese designate.
Direttiva sull’efficienza energetica: disposizioni sui data center
Obblighi di rendicontazione per i data center e principio dell’efficienza energetica al primo posto. Soglia di rendicontazione a partire da 500 kW di capacità. Input diretto per E1 per gli operatori di cloud e piattaforme.
Direttiva sui rifiuti di apparecchiature elettriche ed elettroniche
Responsabilità estesa del produttore per i prodotti elettronici. Obiettivi di raccolta e riciclo. Rilevanza diretta per E5 per le imprese di hardware.
Sei errori di DMA osservati nelle rendicontazioni Wave 1 di tecnologia e ICT.
Schemi ricorrenti tratti dalla revisione dell’attuazione 2025 dell’EFRAG e dall’analisi dei report CSRD Wave 1 pubblicati da imprese di tecnologia e ICT. Usali come checklist preliminare prima dell’approvazione della DMA.
Emissioni dei data center rendicontate solo con metodo location-based
Sono richiesti sia lo Scope 2 location-based sia quello market-based. I PPA che non soddisfano i criteri di perimetro market-based non contano ai fini della riduzione dello Scope 2 market-based.
Etica dell’IA trattata come informativa a sé, non come S4
Bias ed equità dei sistemi di IA sono un impatto S4 legato all’informazione su consumatori e utilizzatori finali. Rientrano nel punteggio S4, non solo in una narrativa separata sull’IA responsabile.
Emissioni Scope 3 Cat. 1 dell’hardware sottostimate
Il carbonio incorporato nell’hardware acquistato (server, router, dispositivi degli utenti finali) spesso domina lo Scope 3 delle imprese ICT. Le stime basate sulla spesa sottostimano molto il profilo reale.
Personale dei fornitori di moderazione dei contenuti non valutato in S2
La moderazione dei contenuti esternalizzata è un tema relativo ai lavoratori della catena del valore, con una gravità documentata dei danni psicologici. La valutazione S2 deve estendersi a questi fornitori.
Impatto di algoritmi e IA sugli utenti vulnerabili non valutato in S4
Sia il DSA sia l’AI Act si concentrano sugli effetti per gli utenti vulnerabili (minori, persone con disabilità, minoranze linguistiche). Il punteggio S4 deve riflettere l’impatto differenziato tra i segmenti di utenti.
Trasparenza fiscale assente dall’informativa G1
ESRS G1-1 e la direttiva UE sulla rendicontazione pubblica paese per paese (CbC) convergono sulle aspettative di trasparenza fiscale. Pratiche fiscali che si discostano dalla sostanza commerciale sono un rischio di governance G1.
