Regulation Brief: Regole Tech Globali, 3-10 giugno 2026
La settimana dal 3 al 10 giugno 2026 non è stata dominata da Bruxelles o Washington. Le mosse più significative sono arrivate da luoghi che la maggior parte dei giornalisti tecnologici americani ignora: Baku, Bogotà, Honduras e un avviso della CISA che avrebbe meritato molta più attenzione di quanta ne abbia ricevuta.
Ecco i cinque elementi di questa settimana dal tracker World Watch che contano davvero.
Azerbaigian: la nuova Agenzia Nazionale di Cybersicurezza sostituisce il vecchio Servizio di Sicurezza Elettronica
Il 2 giugno, il presidente Aliyev ha firmato un decreto che istituisce una Agenzia Nazionale di Cybersicurezza sotto il Ministero dello Sviluppo Digitale e dei Trasporti, assorbendo il Servizio di Sicurezza Elettronica e aggiungendo un mandato esplicito sulla sicurezza dei sistemi di IA e sulla resilienza delle infrastrutture critiche.
Non si tratta di un semplice cambio di nome. Unire la supervisione dei sistemi di IA con la difesa delle infrastrutture critiche in un'unica agenzia è il modello che mi aspetto venga adottato da altri stati di medie dimensioni, perché dividere questi mandati come fa gli Stati Uniti (la CISA da una parte, il NIST AI RMF dall'altra, e i regolatori settoriali ovunque) è costoso e lento. Baku sta anche portando avanti il filo conduttore del Consiglio per lo Sviluppo Digitale e del piano d'azione 2026-2028 di febbraio, quindi si tratta di una costruzione strutturale, non di un'iniziativa isolata. Vedi la pagina IA dell'Azerbaigian per il thread in continuo aggiornamento.
Stati Uniti: la CISA conferma la presenza di un APT iraniano nei PLC delle infrastrutture critiche
L'advisory congiunto CISA AA26-097A conferma che un APT affiliato all'Iran sta compromettendo i controllori logici programmabili nelle infrastrutture idriche, energetiche, governative e manifatturiere degli Stati Uniti almeno dal marzo 2026. PLC. Non la posta elettronica aziendale, non i database dei clienti. I dispositivi che aprono valvole e azionano interruttori.
Credo che il settore continui a sottovalutare la compromissione degli ambienti OT perché non produce un numero pulito di perdite in dollari come un attacco a un protocollo DeFi. Eppure dovrebbe essere considerata più grave, non meno. Un gestore idrico di una città americana di medie dimensioni ha all'incirca il budget per la cybersecurity di una startup in fase Serie B, con una superficie di attacco da contractor della difesa. Il contesto completo è disponibile nell'Iran cybersecurity tracker.
Colombia: l'open finance diventa obbligatorio
Colombia ha impiegato aprile per finalizzare il Decreto 0368/2026, sostituendo il regime volontario del Decreto 1297/2022 con un sistema di open finance vincolante e obbligatorio. Banche, assicuratori, fondi pensione e intermediari finanziari dovranno tutti condividere i dati dei clienti tramite API standardizzate.
La SFC aveva già anticipato le difficoltà di conformità a febbraio, quando ha prorogato la scadenza per architettura e sicurezza a 30 mesi con la Circular Externa 001/2026. La mia lettura: si tratta di una delle mosse fintech più ambiziose dell'anno in America Latina, e la scadenza più lunga è una scelta ponderata, non un passo indietro. Lo seguo nella pagina fintech Colombia.
Honduras: rientra nell'ICSID, segnalando un deciso cambio di rotta sulla tutela degli investitori
Nel giorno del suo insediamento, il presidente Nasry Asfura ha nuovamente firmato la Convenzione ICSID, annullando il ritiro operato dall'amministrazione Castro nel 2024 e ripristinando l'arbitrato multilaterale investitore-Stato.
Per chi opera a livello transfrontaliero, questo conta più di quanto sembri. La copertura ICSID è la differenza tra una clausola arbitrale utilizzabile e un pezzo di carta. Se sei una fintech, un provider di hosting o una piattaforma di tokenizzazione che guarda all'espansione in America Latina, l'Honduras è passato da "rischioso" a "praticabile" con una sola firma. Approfondimento sul tracker Honduras: avvio di un'attività.
Cile: la Legge 21.719 fissa una scadenza precisa e un vero regolatore
La Legge 21.719 cilena entra pienamente in vigore il 1° dicembre 2026, contestualmente al lancio dell'Agencia de Protección de Datos Personales (APDP), la prima autorità indipendente per la protezione dei dati in Cile. Il quadro normativo è ampiamente allineato al GDPR, il che semplifica notevolmente la due diligence sui fornitori se già servite clienti europei.
Una nota controcorrente: ritengo che la notizia più rilevante sia il regolatore, non la legge. In America Latina esistono da anni statuti ispirati al GDPR. Le autorità di controllo indipendenti e dotate di risorse sono la rarità, e sono loro a cambiare davvero il comportamento dei titolari del trattamento.
Cosa osservo nei prossimi mesi
Lo schema comune a tutti e cinque gli elementi è lo stesso: le infrastrutture di enforcement (agenzie, tribunali, autorità di vigilanza) stanno finalmente recuperando il ritardo rispetto alle leggi approvate nell'ondata 2022-2025. Aspettatevi più avvii di agenzie e meno leggi-titolone per il resto del 2026.
La mappa interattiva multijurisdizionale è disponibile su anuragverma.co/worldwatch, e la newsletter settimanale viene inviata ogni mercoledì.
Ricerca condotta con assistenza AI da fonti ufficiali. L'analisi e le conclusioni sono personali.
Fonti
- Ministero dello Sviluppo Digitale dell'Azerbaigian: istituita l'Agenzia Nazionale per la Cybersicurezza
- Ministero dello Sviluppo Digitale dell'Azerbaigian: Piano d'Azione per l'Accelerazione Digitale 2026-2028
- Advisory congiunto CISA AA26-097A: attività APT iraniane contro i PLC delle infrastrutture critiche statunitensi
- Decreto 0368 del 2026 (Colombia): Sistema di Open Finance obbligatorio
- Superintendencia Financiera de Colombia: proroga della Circular Externa 001/2026
- ICSID: l'Honduras firma nuovamente la Convenzione ICSID
- Biblioteca del Congreso Nacional de Chile: Legge 21.719