Gli exchange sanno già chi sei, dal 2027 lo saprà anche l’Agenzia delle Entrate (DAC8)
Con il provvedimento protocollo n. 186865 del 22 giugno 2026, l’Agenzia delle Entrate ha chiuso il cerchio normativo aperto dalla direttiva europea 2023/2226, nota come DAC8 (acronimo di Directive on Administrative Cooperation, cooperazione amministrativa in materia fiscale, nella sua ottava revisione).
Non è una notizia di contorno, ma l’atto con cui un impianto finora solo delineato dalla normativa europea entra nella sua fase applicativa concreta.
Gli obblighi di raccolta dei dati sono attivi dal 1° gennaio 2026, le prime comunicazioni all’Agenzia arriveranno entro il 30 giugno 2027, e il primo scambio automatico tra autorità fiscali europee è fissato al 30 settembre 2027.
Il punto di partenza, per capire perché questo provvedimento conta, è collocare la DAC8 nella genealogia giusta.
La direttiva del 17 ottobre 2023 estende alle cripto-attività lo stesso meccanismo di scambio automatico già operativo dal 2017 sui conti bancari tramite il CRS (Common Reporting Standard, lo standard internazionale per lo scambio automatico di informazioni finanziarie tra amministrazioni fiscali), applicandolo a Bitcoin, Ethereum e, più in generale, a tutti gli asset digitali, attraverso la stessa rete informativa che da anni consente al fisco italiano di ricevere dati sui conti esteri dei propri residenti.
Il legislatore ha semplicemente allargato il campo d’applicazione, perché il campo si era spostato.
Prima del 1° gennaio 2026, quando gli obblighi introdotti dal decreto legislativo di recepimento (D.Lgs. 10 dicembre 2025, n. 194, pubblicato in Gazzetta Ufficiale il 22 dicembre 2025 ed entrato in vigore il 6 gennaio 2026) hanno cominciato a produrre i loro effetti, le cripto-attività costituivano una zona grigia nel sistema di controllo fiscale. L’obbligo dichiarativo per il contribuente esisteva già, con il Quadro RW per il monitoraggio degli asset esteri e il Quadro RT per le plusvalenze, come sistematizzato dalla Circolare n. 30/E del 27 ottobre 2023, con cui l’Agenzia delle Entrate aveva fornito i chiarimenti operativi sulla nuova disciplina introdotta dalla Legge di bilancio 2023, ma la capacità di verifica era dipendente da segnalazioni sporadiche, indagini mirate o eventi eccezionali come i fallimenti degli exchange.
Nessuno scambio sistematico, nessuna fotografia automatica.
La DAC8 cambia questa asimmetria, non gli obblighi dichiarativi del contribuente, che restano identici, bensì la capacità del fisco di incrociare ciò che hai dichiarato con ciò che i provider sanno di te.
Chi deve trasmettere i dati
I soggetti obbligati dalla nuova disciplina sono i CASP, acronimo di Crypto-Asset Service Providers, vale a dire i prestatori di servizi per le cripto-attività: piattaforme di scambio centralizzate come Coinbase, Binance o Kraken, ma anche custodian, broker e fornitori di wallet custodiali, purché consentano l’acquisto, la vendita, il trasferimento o la custodia di asset digitali.
Il D.Lgs. 194/2025 li designa con la denominazione CAO (Crypto-Asset Operators), sostanzialmente equivalente. Sono esclusi dall’obbligo i soggetti che assolvono obblighi analoghi in un altro Stato membro dell’Unione o in una giurisdizione extra-UE qualificata, con la precisazione che anche questi ultimi devono inviare annualmente all’Agenzia italiana una notifica attestante l’avvenuto adempimento altrove.
Il provvedimento del 22 giugno 2026 introduce un meccanismo di registrazione unica: ogni operatore ottiene un IIN (Individual Identification Number, codice identificativo individuale), che lo abilita ad adempiere agli obblighi previsti su tutto il territorio europeo senza necessità di registrazioni multiple.
La gestione dei controlli è affidata al COP, Centro Operativo di Pescara, competente per le attività di registrazione, le eventuali cancellazioni o revoche e la gestione del contenzioso.
Qualora un operatore ometta la comunicazione, l’Agenzia attiva una procedura progressiva di sollecito che, decorso inutilmente un secondo termine dopo il primo invito ad adempiere, porta alla revoca della registrazione.
Cosa viene trasmesso e con quale formato
I dati che i CASP raccolgono e trasmettono riguardano ogni cliente residente fiscalmente in Italia (o in un altro Stato membro): informazioni identificative, codice fiscale, residenza, saldi di fine anno, movimenti verso valuta fiat, scambi tra cripto-attività diverse, trasferimenti tra wallet e informazioni relative alle operazioni di uscita verso wallet esterni, voce che diventa centrale quando si considera il tema dell’autocustodia.
Le comunicazioni devono essere inviate in formato XML (Extensible Markup Language, lo standard tecnico per la strutturazione e la trasmissione di dati informatici) tramite i canali telematici Entratel o Fisconline dell’Agenzia, direttamente o tramite soggetti incaricati.
La scadenza ordinaria per la trasmissione è il 30 giugno dell’anno successivo a quello di riferimento, per cui le prime comunicazioni, relative all’anno 2026, dovranno essere effettuate entro il 30 giugno 2027, mentre il primo scambio automatico internazionale di informazioni tra le autorità fiscali dei diversi Paesi è previsto entro il 30 settembre 2027.
Il CARF e l’estensione globale
La dimensione europea della DAC8 si affianca, con effetti pratici pressoché identici, al CARF (Crypto-Asset Reporting Framework), il quadro elaborato dall’OCSE (Organizzazione per la Cooperazione e lo Sviluppo Economico) per la raccolta e lo scambio automatico di informazioni sulle cripto-attività a livello globale, al quale l’Italia ha aderito sottoscrivendo l’Accordo multilaterale di implementazione il 20 novembre 2024.
Il meccanismo coinvolge 48 Paesi firmatari, con implementazione scalare tra il 2027 e il 2029, includendo già dalla prima tornata Regno Unito, Svizzera, Singapore, Australia, Canada e Giappone.
La posizione degli Stati Uniti resta distinta, l’adesione al CARF è prevista ma i tempi di attuazione dipendono da sviluppi normativi interni ancora in corso, per cui qualsiasi indicazione in materia va trattata con la dovuta cautela.
Sul piano pratico, chi opera su piattaforme UE rientra nella DAC8, chi usa piattaforme extra-UE in Paesi CARF ottiene lo stesso risultato con uno scarto temporale di uno o due anni.
Il quadro si chiude in ogni caso.
Il wallet self-custody non è la via d’uscita
Circola da tempo, tra chi investe in asset digitali, l’idea che spostare le cripto su un cold wallet hardware (dispositivi fisici come Ledger o Trezor, che conservano le chiavi crittografiche offline, fuori dalla portata di eventuali attacchi informatici) o su un wallet software non custodiale come MetaMask (applicazioni che consentono all’utente di gestire direttamente le proprie chiavi private, senza affidarle a un intermediario) equivalga a uscire dal radar fiscale.
Questa forma di gestione autonoma è definita self-custody, custodia diretta, proprio perché esclude qualsiasi intermediario dal controllo degli asset.
L’idea è parzialmente infondata nell’impianto DAC8, almeno per la parte che attiene alla fase di uscita dall’exchange.
I wallet in self-custody non sono soggetti agli obblighi di reporting perché non esiste un intermediario centralizzato che tracci le operazioni, questo è corretto. Il problema è il momento del prelievo dalla piattaforma: il CASP comunica all’Agenzia anche le informazioni relative ai trasferimenti verso wallet esterni, cosicché il fisco riceve informazioni idonee ad associare il cliente alle operazioni di uscita e all’indirizzo di destinazione, acquisendo un punto di partenza per eventuali approfondimenti.
I movimenti successivi on-chain (le transazioni registrate direttamente sulla blockchain, la catena di blocchi che costituisce il registro pubblico delle operazioni in cripto-attività) rimangono visibili per le blockchain a registro pubblico e ricostruibili attraverso strumenti di analisi già in uso presso le autorità fiscali di diversi Paesi, con margini che variano a seconda della blockchain utilizzata, poiché non tutte garantiscono lo stesso livello di trasparenza.
L’obbligo dichiarativo, peraltro, non muta, chi possiede cripto-attività in wallet non custodiali è tenuto al monitoraggio nel Quadro RW esattamente come chi le detiene su un exchange.
La novità introdotta dalla DAC8 non riguarda le regole del contribuente, ma l’asimmetria informativa: fino al 2025, il fisco sapeva quello che gli dichiaravi; dal 2027 in poi riceve direttamente la fotografia dagli exchange e può incrociare i due dati.
E chi usa un DEX?
L’utilizzo di piattaforme decentralizzate, i cosiddetti DEX (Decentralized Exchange, piattaforme di scambio che operano senza un intermediario centralizzato, attraverso protocolli automatizzati), non elimina automaticamente gli obblighi fiscali.
I DEX non dispongono di un soggetto obbligato che possa svolgere il ruolo di CASP ai sensi della DAC8, per cui non rientrano nell’infrastruttura del reporting automatico.
Questo non modifica però gli obblighi dichiarativi del contribuente, che continuano a dipendere dal possesso delle cripto-attività e dalle operazioni realizzate, la DAC8 agisce sulla raccolta dei dati, non sulle norme che definiscono cosa deve essere dichiarato.
La finestra del ravvedimento
Per chi non ha dichiarato negli anni precedenti al 2026, il ravvedimento operoso resta praticabile, con riduzione delle sanzioni che scala in funzione della tempestività.
Sarà ragionevole attendersi che la finestra si restringa sensibilmente dopo il primo scambio internazionale, previsto per il settembre 2027, quando l’Agenzia disporrà dei primi flussi informativi strutturati su cui avviare gli accertamenti: il ravvedimento presuppone che la procedura non sia già stata avviata, e da quella data le posizioni non dichiarate diventeranno più facilmente individuabili.
Quello che la DAC8 realizza è l’equiparazione sostanziale delle cripto-attività agli altri strumenti finanziari sul piano del monitoraggio fiscale automatico; le regole esistevano già, il sistema ha adesso gli occhi per farle rispettare.
FAQ
La DAC8 introduce nuovi obblighi per chi investe in cripto-attività?
No, almeno non per il contribuente. L’obbligo di dichiarare le cripto-attività nel Quadro RW e le plusvalenze nel Quadro RT esiste dal 2023.
Quello che cambia è la capacità del fisco di verificare la correttezza di quanto dichiarato, incrociando i dati trasmessi automaticamente dagli exchange con le dichiarazioni presentate.
Tutti gli exchange sono obbligati a trasmettere i dati?
Sono obbligati i CASP soggetti alla DAC8 o al CARF, vale a dire i prestatori di servizi per cripto-attività con sede o operatività nei Paesi aderenti.
Gli exchange autorizzati nell’Unione Europea rientrano nella DAC8 dal 1° gennaio 2026.
Quelli extra-UE sono progressivamente inclusi tramite il CARF, con tempistiche che variano a seconda del Paese di riferimento.
Se uso un exchange straniero sono fuori dal sistema?
Dipende dalla giurisdizione.
La maggior parte dei mercati con volumi rilevanti, tra cui Regno Unito, Svizzera, Singapore, Australia, Canada e Giappone, ha aderito al CARF e inizierà a scambiare dati nel 2027. Chi usa piattaforme in Paesi non ancora aderenti si trova in una zona grigia temporanea, che non elimina tuttavia gli obblighi dichiarativi.
Tenere le cripto su un cold wallet mi protegge dai controlli?
In parte, e solo per la fase successiva al prelievo dall’exchange.
Il momento critico è l’uscita dalla piattaforma: il CASP comunica all’Agenzia le informazioni sui trasferimenti verso wallet esterni, incluso l’indirizzo di destinazione, cosicché il fisco riceve elementi idonei ad associare il cliente alle operazioni di uscita.
I movimenti on-chain successivi sono visibili sulle blockchain a registro pubblico e analizzabili con strumenti già in uso presso le autorità fiscali, con margini che variano a seconda della blockchain utilizzata.
La self-custody riduce l’esposizione al reporting automatico, non elimina gli obblighi dichiarativi né rende impossibile la ricostruzione dei flussi.
E se uso un DEX?
I DEX, le piattaforme di scambio decentralizzate che operano senza un intermediario centralizzato, non rientrano nell’infrastruttura del reporting DAC8 perché non esiste un soggetto obbligato che svolga il ruolo di CASP.
Questo non modifica gli obblighi fiscali del contribuente, che dipendono dal possesso delle cripto-attività e dalle operazioni realizzate, indipendentemente dalla piattaforma utilizzata.
Ho sempre dichiarato tutto, devo fare qualcosa di diverso dal 2026?
No, Gli obblighi dichiarativi non cambiano, quello che cambia è che l’Agenzia potrà verificare automaticamente la correttezza di quanto hai dichiarato, incrociando i dati ricevuti dagli exchange con la tua dichiarazione dei redditi.
Se hai dichiarato correttamente, la DAC8 non produce alcuna conseguenza pratica.
L’Agenzia vedrà anche le cripto su exchange esteri se non le ho mai portate in Italia?
Sì, se l’exchange opera in un Paese aderente alla DAC8 o al CARF e sei residente fiscalmente in Italia.
Il meccanismo funziona come per i conti bancari esteri: l’istituzione straniera comunica i dati all’autorità fiscale del Paese di residenza del cliente, indipendentemente da dove si trovino fisicamente gli asset.
Ho comprato cripto anni fa e non ho mai dichiarato nulla, posso ancora rimediare?
Dipende da cosa intendi con “non ho dichiarato”.
Se hai presentato la dichiarazione dei redditi ma hai omesso i quadri relativi alle cripto-attività, puoi presentare una dichiarazione integrativa e regolarizzarti tramite ravvedimento operoso, pagando l’imposta dovuta, gli interessi e la sanzione ridotta.
Se invece non hai mai presentato la dichiarazione dei redditi, il percorso è diverso e più complesso, perché la dichiarazione integrativa presuppone che una dichiarazione originaria esista.
In entrambi i casi, il ravvedimento è precluso nel momento in cui l’Agenzia avvia formalmente un controllo o notifica un atto.
Non esistono sanatorie straordinarie aperte: la procedura di emersione prevista dalla Legge di bilancio 2023 si è chiusa il 30 novembre 2023.
Cosa rischio concretamente se non ho dichiarato?
Le violazioni seguono due binari sanzionatori distinti. Il primo riguarda il monitoraggio fiscale: l’omessa compilazione del Quadro RW comporta una sanzione dal 3% al 15% del valore non dichiarato per ciascun anno d’imposta, ai sensi dell’art. 5, co. 2, D.L. 167/1990.
Il secondo riguarda le plusvalenze, e qui occorre distinguere.
Se hai presentato la dichiarazione dei redditi ma non hai compilato il Quadro RT, la fattispecie è quella della dichiarazione infedele, con sanzione base al 70% dell’imposta evasa, che scende al 50% in caso di ravvedimento spontaneo prima della contestazione.
Se invece non hai mai presentato la dichiarazione, la sanzione per omessa dichiarazione parte dal 120% dell’imposta evasa, con un minimo di €250. Ogni anno fiscale costituisce una violazione autonoma, per cui chi ha posizioni aperte da più anni deve calcolare separatamente ciascun periodo d’imposta.
Sul piano penale, il rischio scatta quando l’imposta evasa supera €50.000 per omessa dichiarazione, ai sensi dell’art. 5, D.Lgs. 74/2000, o €100.000 per dichiarazione infedele, ai sensi dell’art. 4 del medesimo decreto, ferma restando la necessità che ricorrano congiuntamente le ulteriori condizioni previste dalla norma.
Le sanzioni si riducono con il ravvedimento?
Sì, in misura significativa, e la riduzione è tanto maggiore quanto prima si interviene.
Per le violazioni del Quadro RW, le riduzioni applicabili oggi alle posizioni pregresse variano tra un sesto e un ottavo della sanzione base, a seconda degli anni trascorsi.
Per le plusvalenze del Quadro RT la logica è analoga, applicata però a una base sanzionatoria più alta.
Il calcolo preciso richiede di separare i singoli periodi d’imposta e le tre componenti di ciascuno: imposta dovuta, interessi e sanzione ridotta.
Date le variabili in gioco, la quantificazione è un lavoro da fare con un professionista, non a spanne.
Quanto tempo ha il fisco per accertare?
In condizioni ordinarie, cinque anni dalla presentazione della dichiarazione.
Il termine si allunga a sette anni in caso di dichiarazione omessa, e può estendersi ulteriormente quando la violazione assume rilevanza penale. Per le cripto-attività detenute su exchange esteri o wallet non custodiali, l’Agenzia potrebbe sostenere l’applicazione dei termini più lunghi previsti per le attività estere non dichiarate, sebbene la natura aterritoriale delle cripto-attività renda il punto non pacifico e ancora privo di orientamento giurisprudenziale consolidato.
C’è una scadenza entro cui conviene muoversi?
Non esiste un termine legale per il ravvedimento, che resta aperto fino alla notifica formale di un accertamento.
Sul piano pratico, però, il settembre 2027 rappresenta un punto di svolta: da quella data l’Agenzia riceverà i primi flussi automatici DAC8 relativi all’anno 2026 e potrà incrociare quei dati con le dichiarazioni presentate, rendendo più probabile l’avvio di controlli sulle posizioni non regolarizzate. Ogni anno che passa riduce inoltre l’entità dello sconto sanzionatorio applicabile.
Aspettare non conviene né sul piano del rischio né su quello economico.
Uso strumenti di intelligenza artificiale nel mio lavoro editoriale.
Le fonti, le verifiche e le scelte di contenuto sono mie.
🔔 Vuoi restare aggiornato ogni settimana su contenuti legali, attualità e consigli pratici?
Iscriviti gratuitamente a uno dei miei canali:
– 🟢 WhatsApp → https://avvocatonardini.it/whatsapp
– 🔵 Telegram → https://t.me/stefano_nardini
– 🔴 YouTube → https://www.youtube.com/@StefanoNardiniStudio
Autore: Avv. Stefano Nardini
Avvocato, esperto in diritto delle nuove tecnologie, privacy e sicurezza informatica. Opera da oltre 20 anni nella consulenza per imprese, professionisti ed enti pubblici su GDPR, compliance e innovazione digitale. Data Protection Officer e Privacy Officer certificato.
Si occupa inoltre di diritto civile e penale, con esperienza in contenzioso, contrattualistica, responsabilità civile, reati connessi all’ambito digitale (cybercrime, trattamento illecito dei dati) e difesa penale tradizionale.
Lavora sul fronte della prevenzione e della gestione pratica dei rischi, unendo competenza tecnica e attenzione ai principi di giustizia ed etica.
🔗 Scopri di più sull’autore
Condividi, scegli il tuo social network!
NEWSLETTER
Ti è piaciuto questo articolo? Ricevi via email i nuovi contenuti su privacy, tecnologia e diritto digitale.
Niente spam, solo contenuti di valore.
Cancellazione immediata quando vuoi.
