Aggiornato al 6 luglio 2026. Per affittare in regola un appartamento in locazione breve a Milano nel 2026 servono, in ordine: la verifica del regolamento condominiale, la CIA (Comunicazione di Inizio Attività) al SUAP del Comune, il CIR (Codice Identificativo Regionale) ottenuto tramite l'applicativo lombardo Ross1000, il CIN (Codice Identificativo Nazionale) dalla Banca Dati BDSR, i dispositivi di sicurezza obbligatori (rilevatori di gas e monossido + estintore), poi — a regime — l'identificazione degli ospiti e la comunicazione ad Alloggiati Web, la comunicazione dei flussi su Ross1000, la riscossione e il versamento dell'imposta di soggiorno, e infine gli adempimenti fiscali annuali.
Non è una SCIA: per la locazione turistica pura, anche di una sola casa, a Milano si presenta la CIA, non la SCIA. Sì, servono estintore e rilevatori anche in un appartamento privato. E sì, Ross1000 è un obbligo separato da Alloggiati Web. Questa pagina è la checklist cronologica specifica per Milano e la Lombardia: cosa fare, quando, chi ne risponde e cosa si rischia a saltarlo. È lunga apposta — è pensata per essere l'unico documento che ti serve prima del primo ospite.
La checklist in una tabella (poi ogni voce spiegata sotto)
| # | Adempimento | Quando | Base normativa | Sanzione tipica |
|---|---|---|---|---|
| 0 | Verifica regolamento condominiale e destinazione d'uso | Prima di tutto | Codice civile; giurisprudenza 2025-2026 | Blocco dell'attività se vietata |
| 1 | Inquadramento: locazione turistica o CAV, privato o impresa | Prima della pratica | L. 431/1998; l.r. Lombardia 27/2015 | — |
| 2 | CIA (Comunicazione Inizio Attività) al SUAP di Milano | Prima di iniziare | Regolamento comunale / l.r. 27/2015 | Varia per Comune |
| 3 | CIR via Ross1000 (registrazione struttura) | Dopo/insieme alla CIA | l.r. 27/2015, art. 38 | — |
| 4 | CIN via BDSR (Ministero del Turismo) | Prima di pubblicare l'annuncio | Art. 13-ter D.L. 145/2023 | 800–8.000 € |
| 5 | Dispositivi di sicurezza (rilevatori + estintore) | Prima del primo ospite | Art. 13-ter, co. 7, D.L. 145/2023 | 600–6.000 € |
| 6 | CIR + CIN esposti e indicati in ogni annuncio | Alla pubblicazione | Art. 13-ter D.L. 145/2023; l.r. 27/2015 | 500–5.000 € |
| 7 | Identificazione ospiti + Alloggiati Web | A ogni arrivo (entro 24h / 6h) | Art. 109 TULPS | Reato (arresto o ammenda) |
| 8 | Imposta di soggiorno: riscossione e versamento | A ogni soggiorno + trimestrale | Art. 4 D.L. 50/2017; delibere comunali | 100–200% dell'imposta |
| 9 | Comunicazione flussi turistici (Ross1000) | Mensile, entro il giorno 5 | l.r. 27/2015, art. 38/40 | 250–2.500 €/mese |
| 10 | Adempimenti fiscali annuali (CIN in dichiarazione, DAC7) | In dichiarazione dei redditi | L. 199/2025; Guida AdE aprile 2026 | Varia |
| 11 | Privacy: cancellazione copie documenti dopo l'invio | Dopo ogni comunicazione | GDPR; nota Garante 29/4/2026 | Sanzioni GDPR |
Le sanzioni indicate sono i range di riferimento dalle fonti normative citate più sotto; alcuni commi esatti vanno riletti sul testo primario (vedi note per il publisher).
0. Prima di tutto: il regolamento condominiale e la destinazione d'uso
Il primo controllo non è una pratica, è una lettura. Prima di avviare qualsiasi cosa, verifica il regolamento condominiale: l'assemblea non può vietare a maggioranza gli affitti brevi, ma un regolamento contrattuale (accettato all'unanimità o trascritto) può farlo, e la Corte di Cassazione nel 2025-2026 ha interpretato in modo estensivo le clausole che vietano "affittacamere" o "pensione", riferendole anche alle locazioni turistiche gestite in forma organizzata. Anche clausole generiche su decoro e tranquillità possono bloccare l'attività se il via-vai è provato. Attenzione: avere il CIN non supera un divieto condominiale valido — sono piani distinti (l'approfondimento è in GI-18).
Verifica anche la destinazione d'uso catastale e che non ci siano vincoli comunali o di zona. Saltare questo passaggio significa rischiare di aver fatto tutte le altre pratiche per poi doversi fermare.
1. Inquadramento: locazione turistica o CAV, privato o impresa
Da come inquadri l'attività dipende tutto il resto della checklist.
- Locazione turistica (LT), ai sensi della L. 431/1998: è la forma tipica del privato che affitta la propria casa per soggiorni brevi (≤ 30 giorni). Non è una struttura ricettiva. Niente obbligo dei 90 giorni di chiusura.
- CAV (Case e Appartamenti per Vacanze), art. 26 l.r. Lombardia 27/2015: è una struttura ricettiva non alberghiera, gestita unitariamente con servizi complementari. La CAV non imprenditoriale deve osservare almeno 90 giorni all'anno di interruzione dell'attività.
- Privato o impresa: se destini alla locazione breve più di due appartamenti per periodo d'imposta, dal 2026 l'attività si presume svolta in forma imprenditoriale (con partita IVA e, per le strutture ricettive, SCIA). È la soglia che la Legge di Bilancio 2026 ha abbassato da quattro a due unità.
Una nota terminologica che vale mezza pagina di errori altrui: la legge regionale lombardia di riferimento è la n. 27/2015, non la "26/2015". È un refuso diffusissimo, anche in materiali che sembrano autorevoli. Se un contenuto cita la "26/2015", diffidane.
2. La CIA al SUAP: no, non è la SCIA (e sì, serve anche per una sola casa)
Per la locazione turistica a Milano si presenta una Comunicazione di Inizio Attività (CIA) al SUAP (Sportello Unico Attività Produttive) del Comune. Vale anche per una sola casa. Non è la SCIA: la SCIA riguarda le attività ricettive esercitate in forma imprenditoriale (struttura ricettiva vera e propria), non la locazione turistica pura del privato.
Quindi, alla domanda "devo fare la SCIA al Comune per una sola casa?", la risposta corretta a Milano è: no, per la locazione turistica presenti la CIA; la SCIA scatta se svolgi l'attività come impresa (tipicamente oltre la soglia dei due appartamenti, o se scegli il modello CAV imprenditoriale). Chi esercita in forma imprenditoriale senza la SCIA rischia una sanzione che le fonti collocano fino a 10.000 € (il range esatto va verificato sul comma applicabile).
La modulistica SUAP di Milano si presenta telematicamente. Alla comunicazione vanno di norma allegate le planimetrie e i dati dell'immobile richiesti dal regolamento regionale attuativo.
3. Il CIR: la registrazione regionale via Ross1000
In Lombardia, prima o insieme alla pubblicazione dell'annuncio, la struttura va registrata nel sistema regionale, che rilascia il CIR (Codice Identificativo Regionale). La registrazione e la gestione dell'anagrafica passano dall'applicativo Ross1000 (che eredita il vecchio Turismo5 — è lo stesso adempimento, il nome storico sopravvive solo nell'URL flussituristici.servizirl.it/Turismo5).
Il CIR è un codice diverso dal CIN e i due convivono: uno è regionale, l'altro nazionale. In Lombardia, negli annunci vanno indicati entrambi (l'obbligo di indicare il CIR negli annunci è in vigore dal 2018).
4. Il CIN: obbligatorio, sanzionato, richiesto sul portale BDSR
Il CIN (Codice Identificativo Nazionale) è obbligatorio per tutte le unità destinate a locazione breve o turistica. Si richiede sul portale BDSR (Banca Dati Strutture Ricettive) del Ministero del Turismo, dal titolare o dal property manager con delega. Per la Lombardia la BDSR interopera con la banca dati regionale: in pratica serve prima la registrazione regionale/CIR.
- Senza CIN, la sanzione va da 800 a 8.000 € per unità.
- Il CIN non sostituisce il CIR: sono codici distinti che vanno gestiti e indicati entrambi.
- Dal 20 maggio 2026 è pienamente applicabile il Regolamento (UE) 2024/1028: le piattaforme devono verificare il numero di registrazione (in Italia, il CIN) degli annunci e trasmettere dati mensili di attività. Gli annunci senza CIN valido non sono pubblicabili.
Il passo-passo dettagliato del CIN è in GI-11; qui basti sapere che è una tappa non saltabile, e che va ottenuto prima di pubblicare l'annuncio.
5. Rilevatori ed estintore: sì, servono anche in un appartamento privato
Sì. Con l'art. 13-ter, comma 7, del D.L. 145/2023 (collegato all'obbligo di CIN), tutte le unità destinate a locazione breve o turistica devono avere:
- rilevatori di gas combustibili e di monossido di carbonio funzionanti;
- estintori portatili a norma (le FAQ del Ministero del Turismo indicano, a titolo orientativo, uno ogni 200 mq di superficie e uno per piano — per un appartamento, in pratica, almeno uno).
Non è un requisito riservato a chi ha partita IVA o gestisce una struttura ricettiva: vale per il privato che affitta la propria casa. La sanzione per la violazione va da 600 a 6.000 €. È un investimento di poche decine di euro che azzera un rischio a quattro cifre: è tra le prime cose da mettere a posto, non l'ultima.
6. Gli annunci: CIR e CIN vanno esposti e indicati
Quando pubblichi, il CIN va esposto all'esterno dell'immobile e indicato in ogni annuncio (su ogni portale, sul sito diretto, ovunque compaia la casa). In Lombardia, come detto, accanto al CIN va indicato anche il CIR. La sanzione per la mancata esposizione o la mancata indicazione negli annunci va da 500 a 5.000 € per unità, con rimozione immediata dell'annuncio irregolare. Dal 20 maggio 2026, con il Regolamento UE, sono le piattaforme stesse a filtrare gli annunci privi di codice valido.
7. A ogni arrivo: identificazione degli ospiti e Alloggiati Web
Questo è il blocco che si ripete a ogni prenotazione, ed è quello dove gli errori costano di più, perché toccano la pubblica sicurezza.
Identificazione degli ospiti. Il Consiglio di Stato (sentenza n. 9101 del 21 novembre 2025) ha confermato che l'identità degli ospiti va verificata de visu, di persona o con verifica video in tempo reale al momento dell'accesso. La raccolta dei documenti online prima dell'arrivo è legittima e velocizza le pratiche, ma non sostituisce l'identificazione: l'identità va accertata "qui e ora", contestualmente all'ingresso. A Milano, dal 2026, è inoltre vietato installare keybox su suolo pubblico e su elementi affacciati sullo spazio pubblico (multe 100–400 € più rimozione). Il tema, cruciale per chi non è presente in loco, è approfondito in GI-13.
Alloggiati Web. I dati di tutti gli ospiti (non solo il capogruppo) vanno comunicati alla Questura tramite il portale Alloggiati Web (art. 109 TULPS), entro 24 ore dall'arrivo, o entro 6 ore se il soggiorno dura meno di 24 ore. L'obbligo vale anche per i locatori non professionali. Attenzione alla natura della violazione: l'omessa comunicazione è un reato contravvenzionale (arresto o ammenda), non una semplice multa amministrativa. La ricevuta di trasmissione generata dal portale è la prova dell'adempimento, da conservare.
Imposta di soggiorno (riscossione). A ogni soggiorno va riscossa dall'ospite l'imposta di soggiorno — a Milano, per il 2026, 9,50 € a persona per notte fino a 14 notti consecutive. La riscossione va organizzata prima dell'arrivo. Il dettaglio (chi versa, il doppio binario Airbnb/altri canali, le esenzioni) è in GI-14.
8. Le comunicazioni periodiche: Ross1000 (flussi) e imposta di soggiorno
Cos'è Ross1000? È l'applicativo della Regione Lombardia con cui tutte le strutture ricettive e le locazioni turistiche comunicano i flussi turistici (arrivi e presenze). Assolve anche l'obbligo statistico ISTAT ("Movimento dei clienti nelle strutture ricettive"). La comunicazione è mensile, entro il giorno 5 del mese successivo, e va fatta anche nei mesi senza ospiti (il cosiddetto "movimento zero"). La base normativa è l'art. 38 della l.r. 27/2015; per l'omessa o incompleta comunicazione le fonti indicano l'art. 40, con sanzione da 250 a 2.500 € per ogni mese (il comma esatto va verificato sul testo regionale).
Un punto che confonde molti: Ross1000 e Alloggiati Web sono due obblighi distinti, con finalità diverse (statistica vs pubblica sicurezza) e due invii separati. Comunicare su uno non ti mette in regola con l'altro.
Imposta di soggiorno (versamento). Oltre alla riscossione a ogni soggiorno, vanno fatti i riepiloghi e versamenti trimestrali tramite i servizi telematici del Comune e la dichiarazione annuale entro il 30 giugno dell'anno successivo. Riguarda anche chi ha avuto solo ospiti Airbnb (per cui la piattaforma riscuote e versa direttamente, ma l'adempimento dichiarativo resta tuo). Dettagli, scadenze e casi limite in GI-14.
9. Gli adempimenti fiscali annuali
Una volta a regime, restano gli adempimenti in dichiarazione dei redditi. Dal Modello 730/2026 e Redditi PF 2026 (redditi 2025) il CIN va indicato in dichiarazione. Se incassi tramite intermediari o piattaforme, questi applicano una ritenuta del 21% a titolo d'acconto sui canoni e rilasciano la Certificazione Unica (CU); l'Agenzia delle Entrate riceve inoltre i dati tramite DAC7. Dal 2026 il regime della cedolare secca vale al massimo per due appartamenti per periodo d'imposta, con aliquota 21% su una sola unità a scelta e 26% sull'eventuale seconda; oltre due unità scatta la presunzione d'impresa. Il quadro fiscale completo, con gli esempi numerici milanesi, è in GI-08 e GI-09.
10. Privacy: dopo l'invio delle schedine, le copie dei documenti si cancellano
È l'adempimento più recente e il meno conosciuto. Con la nota di chiarimento del 29 aprile 2026, il Garante per la protezione dei dati personali ha chiarito che hotel, B&B e locazioni brevi non possono conservare copie o scansioni dei documenti d'identità degli ospiti oltre il tempo strettamente necessario alla comunicazione ad Alloggiati Web: dopo la trasmissione, le copie vanno cancellate. La conservazione quinquennale è già assicurata sui sistemi del Ministero dell'Interno; a te resta da conservare per 5 anni solo la ricevuta di trasmissione del portale.
La base giuridica dell'identificazione è l'obbligo di legge (art. 6.1.c GDPR in relazione all'art. 109 TULPS): non serve il consenso dell'ospite per identificarlo e inviare le schedine. Il consenso serve solo per finalità ulteriori (es. marketing). Se usi un software di check-in online, verifica che preveda cancellazione automatica dei documenti dopo l'invio: è un punto oggi critico per molti flussi digitali.
L'ordine giusto, in sintesi
Cronologicamente: verifiche preliminari (condominio, destinazione) → inquadramento (LT/CAV, privato/impresa) → CIA al SUAP → CIR via Ross1000 → CIN via BDSR → sicurezza (rilevatori + estintore) → pubblicazione con CIR e CIN → poi, a regime, identificazione + Alloggiati Web + imposta a ogni ospite, flussi Ross1000 ogni mese, imposta ogni trimestre e al 30 giugno, fisco una volta l'anno, e privacy (cancellazione documenti) dopo ogni invio.
Nessuno di questi passaggi è, preso singolarmente, complicato. Il problema è che sono undici adempimenti, con undici scadenze e undici sanzioni diverse, e che alcuni si ripetono a ogni prenotazione. È esattamente il tipo di lavoro che a Milano si delega a un gestore: per gli immobili che gestiamo, SmartStay tiene insieme la catena — dalla CIA all'ultima schedina Alloggiati, con l'identificazione de visu fatta da personale in loco e le comunicazioni periodiche che partono da dati già registrati, non ricostruiti a fine anno. Se vuoi vedere come funziona il servizio completo, parti dalla pagina per i proprietari o prenota una call di 15 minuti dai contatti.
Domande frequenti
Devo fare la SCIA al Comune di Milano per una sola casa?
No. Per la locazione turistica — la forma tipica del privato che affitta la propria casa per soggiorni brevi — a Milano si presenta la CIA (Comunicazione di Inizio Attività) al SUAP, anche per una sola unità. La SCIA riguarda le attività ricettive esercitate in forma imprenditoriale. La forma d'impresa si presume, dal 2026, quando si destinano alla locazione breve più di due appartamenti per periodo d'imposta.
Servono estintori e rilevatori di gas anche in un appartamento privato?
Sì. L'art. 13-ter, comma 7, del D.L. 145/2023 impone a tutte le unità in locazione breve o turistica — private incluse — di avere rilevatori di gas combustibili e di monossido di carbonio funzionanti ed estintori portatili a norma. Non è riservato a chi ha partita IVA. La sanzione per la violazione va da 600 a 6.000 €. Per un appartamento serve, in pratica, almeno un estintore oltre ai rilevatori.
Cos'è Ross1000 e chi deve compilarlo in Lombardia?
Ross1000 è l'applicativo della Regione Lombardia con cui strutture ricettive e locazioni turistiche comunicano i flussi turistici (arrivi e presenze), assolvendo anche l'obbligo ISTAT. La comunicazione è mensile, entro il giorno 5 del mese successivo, anche nei mesi senza ospiti. Eredita il vecchio Turismo5 (stesso adempimento). Tramite Ross1000 si gestisce anche il CIR. È un obbligo distinto da Alloggiati Web.
Il CIN sostituisce il CIR in Lombardia?
No. Il CIN è nazionale, il CIR è regionale: sono due codici distinti che convivono. In Lombardia, negli annunci vanno indicati entrambi. Il CIN si richiede sul portale BDSR del Ministero del Turismo (per la Lombardia serve prima la registrazione regionale/CIR via Ross1000). Averne uno non ti mette in regola con l'altro.
Entro quando devo comunicare gli ospiti alla Questura?
I dati di tutti gli ospiti (non solo il capogruppo) vanno comunicati tramite Alloggiati Web entro 24 ore dall'arrivo, o entro 6 ore se il soggiorno dura meno di 24 ore (art. 109 TULPS). L'omessa comunicazione è un reato, non una semplice sanzione amministrativa: la legge prevede l'arresto o l'ammenda. La ricevuta del portale è la prova dell'adempimento e va conservata.
Il condominio può impedirmi di affittare in regola?
Può, ma solo a certe condizioni. L'assemblea non può vietare gli affitti brevi a maggioranza: serve un regolamento contrattuale accettato all'unanimità o trascritto. La Cassazione, nel 2025-2026, ha però esteso a locazioni turistiche e B&B le clausole che vietano "affittacamere" o "pensione", e anche le clausole su decoro e tranquillità possono bloccare l'attività. Avere il CIN non supera un divieto condominiale valido: verifica il regolamento prima di iniziare (vedi GI-18).
Posso conservare le copie dei documenti degli ospiti?
No, non oltre il necessario. Con la nota del 29 aprile 2026 il Garante ha chiarito che, dopo l'invio dei dati ad Alloggiati Web, le copie e scansioni dei documenti vanno cancellate: la conservazione quinquennale è già garantita dai sistemi del Ministero dell'Interno. Devi conservare per 5 anni solo la ricevuta di trasmissione del portale. Per identificare gli ospiti e inviare le schedine non serve il consenso: è un obbligo di legge.
In che ordine devo fare tutte queste pratiche?
Prima le verifiche preliminari (regolamento condominiale, destinazione d'uso), poi l'inquadramento (locazione turistica o CAV, privato o impresa). Quindi le pratiche di avvio: CIA al SUAP, CIR via Ross1000, CIN via BDSR. Prima del primo ospite: rilevatori ed estintore. Alla pubblicazione: CIR e CIN esposti e negli annunci. A regime, a ogni ospite: identificazione, Alloggiati Web, imposta di soggiorno; ogni mese i flussi Ross1000; ogni trimestre e al 30 giugno l'imposta; una volta l'anno gli adempimenti fiscali; e la cancellazione delle copie dei documenti dopo ogni invio.