Perché due pagine di policy possono ridisegnare i confini dell’AI enterprise*
A fine aprile 2026 SAP ha pubblicato, con relativa discrezione sull’Help Portal, un documento di due pagine destinato a far discutere: la SAP API Policy v4/2026a. Tre sezioni, linguaggio legale asciutto, impatto potenzialmente enorme su chiunque abbia mai integrato un sistema non-SAP o stia costruendo scenari AI su dati ERP.
La motivazione dichiarata è la tutela di “solution health and security” di fronte all’esplosione delle chiamate API da sistemi esterni, comprese le architetture AI. Motivazione legittima. Ma il testo della policy, a parere di molti, va molto oltre la gestione del traffico e questo è il punto che ha generato reazioni a catena tra clienti, partner, analisti e studi legali internazionali.
SAP gestisce i dati che alimentano il 90% delle supply chain mondiali. Quando ridefinisce le regole di accesso a quei dati, non si tratta di aggiornare il manuale d’uso: si tratta di ridisegnare i confini di un ecosistema che vale miliardi.
Il testo ufficiale è disponibile sull’SAP Help Portal. Consiglio a tutti gli interessati di leggerlo senza intermediari. Per comodità e contesto, a seguire ne riassumo e cito alcune parti.
La sezione 1 introduce una classificazione netta in tre categorie:
Il punto critico per molte organizzazioni è che RFC calls, BAPI e altre route tradizionali, da decenni backbone dei flussi dati SAP, rientrano presumibilmente nella categoria delle API non pubblicate. Ma passiamo alla sezione 2 dove parliamo di controlli.
Recita testualmente:
Except through and within the limits of SAP-endorsed architectures, data services, or service-specific pathways expressly identified and intended for such purposes, SAP prohibits API use for: (a) interaction or integration with (semi-)autonomous or generative AI systems that plan, select, or execute sequences of API calls, and (b) scraping, harvesting, or systematic and/or large-scale data extraction or replication.
In italiano “semplificato”: se il tuo AI agent interroga SAP in autonomia (pianificando, selezionando o eseguendo sequenze di chiamate API) stai violando la policy, a meno che non passi per architetture espressamente approvate da SAP come Joule (l’AI di SAP), BTP e SAP Business AI Platform.
SAP si riserva il diritto di monitorare l’uso delle API e di adottare “reasonable enforcement actions” in caso di non conformità. Le misure previste sono: throttling, sospensione o terminazione dell’accesso. Ed è esplicitamente vietato aggirare i controlli attraverso “intermediary services, custom code or developments, proxies, gateways, impersonation techniques, or similar mechanisms.“
L’unica tutela esplicitamente garantita è quella verso gli obblighi di legge: la policy non limita le obbligazioni di SAP relative a data export o data egress richiesti da norme specifiche (portabilità dei dati, switching, conservazione legale).
Da qualche mese molti si sono espressi.
La Deutschsprachige SAP-Anwendergruppe (DSAG) ha pubblicato una nota ufficiale il 29 aprile 2026, dura nei toni e precisa nei contenuti identificando tre richieste specifiche: definizioni chiare e documentazione completa delle API coinvolte, garanzie contrattuali esplicite, e tempi di transizione realistici per chi dipende da API non documentate.
Forrester ha sintetizzato il quadro senza mezzi termini: “Three weeks ago, the SAP API Policy v.4.2026a looked like a legal document with no enforcement infrastructure. After Sapphire 2026, it looks like a strategy with a product line attached.“. L’enforcement tecnico inizia il 9 giugno 2026, con una security patch che blocca ODP via RFC calls non conformi.
La risposta è “dipende”.
Nota: quanto sopra è la mia interpretazione sulla base dei molti contratti visionati nel mio lavoro. Tuttavia, consiglio un parere legale sull’argomento, specialmente nei casi “grigi”.
*Articolo a firma di Jary Busato, SAM/ITAM Consultant in WEGG – The Impact Factory
ATTENZIONE! Questo articolo è redatto da Jary Busato a scopo informativo e di condivisione. Le analisi e i commenti espressi rappresentano il punto di vista dell’autore e non costituiscono parere legale o consulenza contrattuale. I contenuti si basano su fonti pubblicamente disponibili, citate a fine articolo. SAP SE e i prodotti menzionati sono marchi registrati dei rispettivi proprietari. L’autore non ha affiliazioni commerciali con SAP SE né con i vendor citati. I contenuti sono aggiornati a giugno 2026.
Approfondimenti
La policy si applica a tutte le soluzioni SAP cloud e on-premise, inclusi S/4HANA Private Cloud (RISE) e tutte le line-of-business solution.
I NOSTRI UFFICI
I NOSTRI UFFICI
PADOVA
Via Arnaldo Fusinato 42, 35137
MILANO
Viale Enrico Forlanini 23, 20134
ROMA
Viale Giorgio Ribotta 11, 00144
Copyright © 2025 WEGG S.r.l. • P.I 03447430285 • C.F. 02371140233 • REA 311023
Azienda Certificata ISO 9001:2015 – ITA / ISO 9001:2015 – EN
