Accessibilità del sito web nel 2026 tra obblighi AgID e WCAG 2.2

Un sito aziendale deve essere accessibile per legge? Per una parte consistente delle imprese italiane che vendono ai consumatori la risposta, dal 28 giugno 2025, è sì: da quella data si applicano le norme del D.Lgs. 82/2022, che recepisce l'European Accessibility Act (direttiva UE 2019/882) e include il commercio elettronico tra i servizi coperti. Esiste però un'eccezione che riguarda le realtà più piccole, e tra l'obbligo formale e i controlli effettivi è passato più di un anno. Il 2026 ha portato linee guida, un regolamento sulle sanzioni e una nuova versione dello standard tecnico europeo. L'articolo ricostruisce il quadro attuale e ne ricava indicazioni per chi progetta, rifà o mantiene un sito.

Servizi, non siti: come si legge il perimetro

Il decreto non regola i siti web aziendali in quanto tali: elenca categorie di servizi. Secondo l'articolo 1 del D.Lgs. 82/2022 pubblicato su Normattiva rientrano i servizi di comunicazione elettronica, quelli che danno accesso ai media audiovisivi, alcuni elementi del trasporto passeggeri, i servizi bancari per consumatori, gli e-book con il relativo software e il commercio elettronico. Le Linee guida AgID, versione 1.0 del 4 marzo 2026, precisano che i destinatari sono i fornitori di servizi rivolti ai consumatori. Un servizio offerto soltanto a professionisti o imprese resta fuori dal perimetro, mentre un e-commerce aperto sia ai consumatori sia ai professionisti, come l'esempio citato da AgID di un negozio online di computer, deve essere conforme nella sua interezza.

Le microimprese sono esentate dagli obblighi di accessibilità sui servizi. La definizione richiamata dalle Linee guida è quella di un'impresa con meno di 10 persone e con fatturato annuo oppure totale di bilancio annuo non superiore a 2 milioni di euro, e la direttiva auspica comunque che anche queste realtà rendano inclusivi i propri servizi. Un regime distinto, quello della Legge Stanca, riguarda i soggetti privati con fatturato medio degli ultimi tre anni superiore a 500 milioni di euro, per i quali AgID può applicare una sanzione fino al 5% del fatturato.

Il decreto esclude inoltre alcuni contenuti: i file d'ufficio e i media preregistrati pubblicati prima del 28 giugno 2025, gli archivi non aggiornati dopo quella data e i contenuti di terzi che l'operatore non finanzia, non sviluppa e non controlla. Per un sito costruito con componenti esterni stabilire che cosa sia contenuto di terzi in senso stretto richiede attenzione, e per l'e-commerce le Linee guida richiedono comunque accessibili le funzioni di identificazione, sicurezza e pagamento quando fanno parte del servizio. Queste pagine descrivono il quadro generale e non sostituiscono una valutazione sul singolo servizio, per la quale è opportuno il parere di un consulente legale.

Il 2026 di AgID: linee guida, segnalazioni, regolamento

Per circa otto mesi dopo il 28 giugno 2025 il quadro è rimasto incompleto. Come ricostruisce Agenda Digitale, le linee guida operative sono state adottate con la Determinazione n. 38/2026 del 4 marzo e pubblicate in Gazzetta Ufficiale il 24 marzo, mentre la piattaforma con cui chiunque può segnalare ad AgID un servizio con barriere di accessibilità è stata aperta l'11 marzo.

Il passaggio successivo è la Determinazione n. 84 del 15 maggio 2026, che disciplina vigilanza e procedimento sanzionatorio. Le verifiche possono partire da segnalazioni degli utenti, da reclami o da attività di monitoraggio, e il Difensore civico per il digitale valuta le istanze predisponendo una relazione tecnica. Prima della contestazione AgID notifica un rapporto con le criticità e un termine, proporzionato alla gravità, per adeguarsi. Solo in assenza di interventi parte il procedimento vero e proprio: all'interessato sono concessi trenta giorni per presentare memorie o chiedere di essere ascoltato, e la conclusione è prevista di norma entro novanta giorni. Per i servizi del decreto sono contemplate anche misure diverse dalla sanzione, come l'oscuramento di servizi non conformi.

Quanto agli importi, lo stesso articolo di Agenda Digitale riporta che l'articolo 24 del decreto prevede, per la violazione dei requisiti di accessibilità, sanzioni da 5.000 a 40.000 euro, oltre a fasce da 2.500 a 30.000 euro per chi non ottempera alle disposizioni dell'autorità o non collabora. A maggio 2026 la stessa fonte segnalava che in Italia non risultavano procedimenti aperti né sanzioni comminate. Nelle fonti istituzionali consultate per questo articolo non emergono dati successivi, e il quadro va quindi considerato in evoluzione più che chiuso.

Lo standard tecnico: WCAG 2.1 oggi, WCAG 2.2 in arrivo

La conformità si misura sulla norma europea EN 301 549. Le Linee guida AgID indicano come norma armonizzata vigente la versione 3.2.1 del 2021, che per i contenuti web richiede il livello AA delle WCAG 2.1. Il 2 settembre 2026 è stata pubblicata online la versione 4.1.1, che sposta il riferimento alle WCAG 2.2 e aggiunge un allegato di corrispondenza con i requisiti dell'European Accessibility Act. L'autorità irlandese per la disabilità, che ne dà notizia, precisa che la nuova versione diventa vincolante solo quando la Commissione la cita nella Gazzetta ufficiale dell'Unione europea, data attesa il 16 dicembre 2026; fino ad allora resta in vigore la 3.2.1. Per un sito in fase di progettazione la scelta più prudente è quindi puntare già alle WCAG 2.2 livello AA, evitando un secondo giro di interventi nel giro di pochi mesi.

WCAG 2.2 è stata pubblicata come raccomandazione W3C il 5 ottobre 2023. Rispetto alla 2.1 introduce nove nuovi criteri di successo, sei dei quali ai livelli A e AA, e rimuove il criterio 4.1.1 sul parsing, ormai obsoleto, come si legge nella pagina del W3C sulle novità della versione 2.2. I sei criteri rilevanti per la norma europea, con l'esempio tipico in cui emergono su un sito aziendale, sono i seguenti.

• 2.4.11 Focus Not Obscured (Minimum), livello AA: un elemento che riceve il focus da tastiera non deve essere nascosto del tutto da contenuti creati dall'autore, per esempio da un'intestazione fissa o da un banner dei cookie.
• 2.5.7 Dragging Movements, AA: ogni funzione che richiede il trascinamento deve poter essere eseguita anche con un singolo puntatore e senza trascinare, come accade per i selettori di fascia di prezzo o per gli elenchi riordinabili.
• 2.5.8 Target Size (Minimum), AA: i bersagli per il puntatore misurano almeno 24 per 24 pixel CSS, con eccezioni come una spaziatura sufficiente o i link inseriti in una frase.
• 3.2.6 Consistent Help, livello A: i meccanismi di aiuto ripetuti su più pagine, come contatti, chat o pagina di assistenza, compaiono nello stesso ordine relativo rispetto al resto del contenuto.
• 3.3.7 Redundant Entry, A: un'informazione già fornita nello stesso processo, come l'indirizzo in un checkout, non va richiesta di nuovo senza precompilarla o renderla selezionabile, salvo eccezioni.
• 3.3.8 Accessible Authentication (Minimum), AA: l'accesso non deve richiedere un test cognitivo, come ricordare una password o risolvere un puzzle, a meno che non esistano un'alternativa o un meccanismo di supporto; il W3C cita come esempi il supporto ai gestori di password e il copia e incolla.

Dove sbagliano i siti: i dati del WebAIM Million 2026

L'analisi annuale di WebAIM sulle home page del milione di siti più visitati, condotta con strumenti automatici a febbraio 2026, ha rilevato errori di conformità WCAG 2 nel 95,9% dei casi, contro il 94,8% del 2025, con una media di 56,1 errori per pagina, in crescita del 10,1%. È la prima inversione dopo sei anni di piccoli miglioramenti. Tra le cause probabili il rapporto indica l'aumento della complessità delle pagine e del codice ARIA, il ricorso a framework e librerie di terze parti e lo sviluppo assistito dall'intelligenza artificiale. Le pagine che usano ARIA mostrano in media 59,1 errori contro 42 di quelle che non la usano, un dato che WebAIM non attribuisce necessariamente all'ARIA in sé, perché quelle pagine sono anche più complesse.

Il dato più utile per chi lavora a un sito è la concentrazione: sei categorie di errore coprono il 96% di tutti quelli rilevati, e sono le stesse da sette anni. Nel 2026 il testo con contrasto insufficiente compare sull'83,9% delle home page, le immagini senza testo alternativo sul 53,1%, i campi di modulo senza etichetta sul 51%, i link vuoti sul 46,3%, i pulsanti vuoti sul 30,6% e la lingua del documento non dichiarata sul 13,5%. In molti casi si tratta di difetti che dipendono dalla struttura del template e dei componenti più che dal singolo contenuto, il che li rende correggibili a monte, una volta sola.

Alcuni confronti dello stesso rapporto riguardano più da vicino il contesto italiano. Le home page in lingua italiana mostrano in media 64,4 errori, il 14,8% in più della media generale, e la categoria Shopping arriva a 71 errori per pagina. Tra i CMS, Joomla registra in media 45,7 errori su 3.981 home page e WordPress 52,8 su 252.302; WebAIM avverte però che la corrispondenza con una tecnologia non è sempre attribuibile alla tecnologia stessa, e il peso di template, estensioni e contenuti resta determinante. Lo stesso rapporto ricorda che gli strumenti automatici individuano solo una parte dei problemi: l'assenza di errori rilevati non indica che una pagina sia accessibile o conforme.

Rifare il sito o cambiare CMS: cosa prevedono le linee guida

Il tema più concreto per chi gestisce un progetto web riguarda il ciclo di vita del sito. Secondo le Linee guida AgID il fornitore può offrire il servizio solo dopo aver predisposto le informazioni sull'accessibilità previste dall'allegato IV del decreto, deve renderle pubbliche e conservarle finché il servizio è operativo, e se il servizio non è conforme deve adottare misure correttive e informare subito AgID. AgID raccomanda inoltre di verificare periodicamente quelle informazioni, per evitare disallineamenti dopo le modifiche al servizio.

Per i contratti di servizio conclusi prima del 28 giugno 2025 è previsto un regime transitorio: possono restare invariati fino alla scadenza e comunque non oltre cinque anni dalla data di applicazione, cioè fino a giugno 2030. Le Linee guida precisano però che il servizio deve restare immutato, e in caso di modifiche il regime transitorio non è più applicabile. Un rifacimento significativo del servizio va quindi valutato anche sotto questo profilo.

Le Linee guida trattano anche le due eccezioni previste dall'articolo 13 del decreto, la modifica sostanziale e l'onere sproporzionato. La valutazione spetta al fornitore, che deve documentarla, conservarla per almeno cinque anni dall'ultima fornitura del servizio e comunicarla ad AgID. Tra gli esempi di modifica sostanziale AgID cita il rifacimento dell'interfaccia utente di un sito e la migrazione da un CMS a un altro; non lo sono, in generale, né l'aggiornamento di versione di un CMS né l'introduzione di un chatbot. Chi invoca l'onere sproporzionato deve rivalutarlo almeno una volta l'anno e a ogni modifica del servizio, e non può invocarlo se ha ricevuto finanziamenti, pubblici o privati, destinati a migliorare l'accessibilità.

L'aggiornamento di versione come attività ordinaria di manutenzione, e la sua pianificazione, sono il tema dell'analisi su Joomla 5 in modalità solo sicurezza e il passaggio a Joomla 6: sul piano dell'accessibilità AgID non lo considera, in generale, una modifica sostanziale. Altri casi di progettazione e manutenzione sono raccolti tra gli articoli di realizzazione siti web.

Un ultimo punto riguarda gli script. Le Linee guida chiedono ai fornitori di dichiarare, tra le informazioni obbligatorie, di non ricorrere a tecniche di tracciamento, come cookie e browser fingerprinting, da cui si possa desumere una condizione di disabilità dell'utente, e di adottare misure per evitare la tracciatura degli strumenti e delle impostazioni che aiutano le persone con disabilità. Per chi cura un sito, questo fa dell'inventario degli script di terze parti una parte del lavoro sull'accessibilità e non soltanto della conformità alla privacy.

Una verifica ripetibile prima di ogni rilascio

Dai dati e dalle regole descritte discende una sequenza di controlli che può essere ripetuta a ogni rilascio. Il primo livello è automatico: una scansione dei template principali, come home page, elenco prodotti, scheda, carrello, checkout e modulo di contatto, per intercettare i sei errori più frequenti, a partire da contrasto, testo alternativo, etichette dei campi e link o pulsanti senza nome. Il secondo è manuale, perché criteri come Focus Not Obscured, Target Size o Accessible Authentication richiedono di usare davvero l'interfaccia: percorrere le pagine con la sola tastiera, controllare che il focus resti visibile sotto intestazioni fisse e banner, provare i moduli con uno screen reader e il login con un gestore di password.

Il terzo livello è documentale: informazioni sull'accessibilità aggiornate, esito della valutazione, misure correttive pianificate e, nei casi di modifica sostanziale o onere sproporzionato, la documentazione prevista dalle Linee guida. Poiché WebAIM collega l'aumento degli errori alla crescita di complessità e di componenti esterni, ogni nuova estensione, libreria o script è un possibile punto di regressione e merita un controllo prima della messa online.

Una prova che richiede pochi minuti e restituisce molte informazioni è completare un acquisto, o compilare il modulo di contatto, usando soltanto la tastiera: dove il percorso si interrompe, o dove non si capisce più in quale punto della pagina ci si trova, è probabile che ci sia un difetto strutturale da correggere a monte. Il prossimo passaggio normativo da seguire è la citazione della EN 301 549 versione 4.1.1 nella Gazzetta ufficiale dell'Unione europea, attesa per il 16 dicembre 2026: se la data sarà rispettata, il riferimento di conformità per i servizi del decreto si sposterà sulle WCAG 2.2.