Edirama semplifica gli standard e le normative, rendendoli chiari e facili da applicare.
Che tu sia alle prime armi o un professionista esperto, i nostri software, strumenti documentali, corsi di formazione e risorse complete ti offrono tutto il necessario per gestire con successo qualsiasi progetto di conformità ISO o UE:
sicurezza del lavoro, privacy, D.lgs 231/01, sistemi di gestione ISO, cybersecurity, Dora Act, Direttiva NIS 2, Intelligenza artificiale, ecc.
Dal 2002 oltre 7.500 clienti utilizzano i ns. prodotti editoriali
ULTIMI POST PUBBLICATI
04/09/2026AI - intelligenza artificiale / Cyber securityIl Cyber Resilience Act (CRA), Regolamento (UE) 2024/2847, introduce nell’Unione europea un quadro comune di requisiti di cybersicurezza applicabili ai prodotti con elementi digitali, comprendendo sia hardware sia software.
Sebbene la piena applicazione del Regolamento sia prevista per l’11 dicembre 2027, alcuni importanti adempimenti diventano operativi già nel 2026.
Per fabbricanti, sviluppatori software, importatori e distributori è quindi necessario iniziare fin da ora a verificare prodotti, procedure e sistemi di gestione delle vulnerabilità.
Di seguito le principali domande e risposte operative.
1. Che cos’è il Cyber Resilience Act?
Il Cyber Resilience Act è il Regolamento (UE) 2024/2847 relativo ai requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali.
L’obiettivo è aumentare il livello di sicurezza dei prodotti digitali immessi sul mercato europeo, imponendo requisiti di cybersecurity lungo il loro ciclo di vita.
La sicurezza informatica non viene quindi considerata solamente un’attività successiva alla commercializzazione, ma deve essere integrata nella progettazione, sviluppo, produzione e manutenzione del prodotto.
2. Quali prodotti rientrano nel Cyber Resilience Act?
Il CRA riguarda, in linea generale, i prodotti con elementi digitali messi a disposizione sul mercato dell’Unione europea.
Il concetto comprende prodotti software e hardware e le relative soluzioni di trattamento dati da remoto quando rientrano nella definizione prevista dal Regolamento.
Possono quindi essere interessati, a seconda delle caratteristiche del prodotto, software, applicazioni, dispositivi connessi, apparati di rete, sistemi operativi, strumenti di sicurezza informatica e numerose altre soluzioni digitali.
La prima attività di compliance dovrebbe pertanto essere una mappatura del portafoglio prodotti, individuando quali prodotti rientrano effettivamente nel campo di applicazione del CRA.
3. Chi deve rispettare il CRA?
Gli obblighi coinvolgono diversi operatori economici della catena di fornitura e, in particolare:
fabbricanti;
rappresentanti autorizzati;
importatori;
distributori.
Gli obblighi variano in funzione del ruolo ricoperto.
Il fabbricante assume una posizione centrale perché deve garantire che il prodotto sia progettato, sviluppato e gestito nel rispetto dei requisiti previsti dal Regolamento.
4. Quando entra pienamente in applicazione il Cyber Resilience Act?
La data principale è l’11 dicembre 2027.
Da questa data il Regolamento (UE) 2024/2847 sarà generalmente applicabile.
Esistono tuttavia due importanti anticipazioni:
11 giugno 2026: diventano applicabili gli articoli da 35 a 51 relativi, in particolare, agli organismi di valutazione della conformità.
11 settembre 2026: diventa applicabile l’articolo 14, relativo agli obblighi di segnalazione dei fabbricanti.
Il 2026 rappresenta quindi il primo vero passaggio dalla preparazione alla compliance operativa.
5. Cosa è cambiato dall’11 giugno 2026?
Dall’11 giugno 2026 è applicabile il Capo IV del CRA, comprendente gli articoli da 35 a 51.
Queste disposizioni disciplinano il sistema relativo agli organismi notificati e alla valutazione della conformità.
Il tema assume particolare importanza per i prodotti per i quali il percorso di valutazione della conformità richiede l’intervento di soggetti terzi.
Per le aziende è quindi opportuno verificare tempestivamente quale procedura di valutazione della conformità sarà applicabile ai propri prodotti.
6. Qual è la prossima scadenza importante del CRA?
La prossima data fondamentale è l’11 settembre 2026.
Da questa data diventa applicabile l’articolo 14 del Regolamento, che introduce specifici obblighi di segnalazione a carico dei fabbricanti.
Si tratta di uno degli adempimenti più rilevanti del CRA perché impone alle aziende di essere in grado di rilevare, valutare, classificare e comunicare rapidamente determinati eventi di cybersecurity.
7. Cosa deve essere segnalato ai sensi dell’articolo 14?
L’articolo 14 disciplina principalmente due situazioni:
vulnerabilità attivamente sfruttate contenute nei prodotti con elementi digitali;
incidenti gravi aventi un impatto sulla sicurezza dei prodotti con elementi digitali.
Non è quindi sufficiente disporre genericamente di una procedura di incident response.
Il fabbricante deve essere in grado di stabilire rapidamente se l’evento rilevato rientra nelle fattispecie che determinano l’obbligo di segnalazione previsto dal CRA.
8. Quanto tempo ha il fabbricante per effettuare la segnalazione?
Le tempistiche previste sono particolarmente stringenti.
Per una vulnerabilità attivamente sfruttata, il processo prevede un allarme rapido entro 24 ore dal momento in cui il fabbricante ne viene a conoscenza, seguito dalle ulteriori informazioni richieste entro 72 ore.
È inoltre prevista una relazione finale, secondo le modalità e le tempistiche stabilite dall’articolo 14.
Anche per gli incidenti gravi sono previste comunicazioni progressive e una relazione finale.
Questo significa che un’azienda non può attendere il verificarsi dell’incidente per stabilire chi debba raccogliere le informazioni, valutarle e autorizzare la comunicazione.
9. Attraverso quale sistema vengono effettuate le segnalazioni?
Il CRA prevede l’utilizzo di una piattaforma unica di segnalazione (Single Reporting Platform).
Il sistema è destinato a centralizzare e coordinare le comunicazioni previste dal Regolamento, coinvolgendo i CSIRT competenti e l’ENISA secondo le modalità stabilite dal quadro europeo.
Per le imprese diventa quindi importante definire preventivamente responsabilità, escalation interne e soggetti autorizzati a effettuare le notifiche.
10. Cosa deve fare un’azienda prima dell’11 settembre 2026?
Una delle priorità è predisporre una vera procedura CRA per la gestione e la segnalazione delle vulnerabilità e degli incidenti.
La procedura dovrebbe almeno stabilire:
come vengono rilevate le vulnerabilità;
chi valuta se una vulnerabilità è attivamente sfruttata;
come vengono classificati gli incidenti;
chi attiva l’escalation interna;
chi decide se effettuare la segnalazione;
chi materialmente effettua la comunicazione;
quali informazioni devono essere raccolte;
come vengono rispettate le scadenze delle 24 e 72 ore;
come vengono documentate le attività svolte.
L’obiettivo è poter dimostrare non soltanto di aver effettuato una segnalazione, ma anche di disporre di un processo organizzativo strutturato e documentato.
11. Cos’è la SBOM e perché diventa importante?
La Software Bill of Materials (SBOM) è, in termini semplificati, un inventario strutturato dei componenti software utilizzati all’interno di un prodotto.
Il CRA richiede ai fabbricanti di identificare e documentare componenti e vulnerabilità, anche attraverso una SBOM in formato comunemente utilizzato e leggibile da macchina, comprendente almeno le dipendenze di primo livello.
La SBOM permette quindi di comprendere rapidamente se una vulnerabilità individuata in una libreria o componente software può interessare uno o più prodotti dell’organizzazione.
12. Il CRA impone il principio di “security by design”?
Sì.
Uno dei principi fondamentali del Regolamento è che la cybersecurity debba essere incorporata nel prodotto fin dalla progettazione.
Il fabbricante deve effettuare una valutazione dei rischi di cibersicurezza associati al prodotto e tenerne conto durante le fasi di pianificazione, progettazione, sviluppo, produzione, consegna e manutenzione.
La cybersecurity diventa quindi una componente strutturale del ciclo di sviluppo del prodotto.
13. Cosa significa “secure by default”?
Il CRA richiede che i prodotti siano messi a disposizione sul mercato con una configurazione sicura per impostazione predefinita, quando applicabile.
In pratica, l’utilizzatore non dovrebbe essere costretto a effettuare complesse configurazioni per ottenere il livello di sicurezza essenziale previsto dal prodotto.
Il principio interessa direttamente le modalità con cui vengono progettate configurazioni iniziali, autenticazione, privilegi, accessi e altre impostazioni rilevanti ai fini della cybersecurity.
14. Per quanto tempo devono essere gestite le vulnerabilità?
Il fabbricante deve gestire efficacemente le vulnerabilità durante il periodo di assistenza del prodotto.
La durata deve essere determinata considerando il periodo durante il quale ci si aspetta ragionevolmente che il prodotto venga utilizzato, tenendo conto anche della natura del prodotto e delle aspettative degli utenti.
Il CRA stabilisce inoltre specifiche regole sulla durata minima del periodo di assistenza, salvo i casi previsti dal Regolamento.
Questo implica la necessità di definire formalmente il security support lifecycle di ciascun prodotto.
15. Tutti i prodotti hanno gli stessi obblighi?
No.
Il CRA distingue anche particolari categorie di prodotti importanti con elementi digitali e prodotti critici con elementi digitali.
La classificazione del prodotto incide soprattutto sulle modalità con cui deve essere dimostrata la conformità.
Per questo motivo uno dei primi passaggi del progetto CRA dovrebbe essere una vera e propria procedura di qualificazione e classificazione del portafoglio prodotti.
16. È sempre sufficiente l’autovalutazione del fabbricante?
No.
La procedura di valutazione della conformità dipende dalla tipologia e dalla classificazione del prodotto e dall’eventuale applicazione di norme armonizzate o altri strumenti previsti dal Regolamento.
Per determinate categorie possono essere richieste procedure più rigorose con il coinvolgimento di un organismo notificato.
Di conseguenza, la classificazione errata del prodotto può determinare anche la scelta di una procedura di valutazione della conformità non corretta.
17. Qual è il rapporto tra Cyber Resilience Act e NIS2?
CRA e NIS2 perseguono finalità complementari ma intervengono su piani differenti.
In termini generali, la NIS2 riguarda soprattutto la cybersecurity delle organizzazioni e dei servizi appartenenti ai settori interessati dalla direttiva, mentre il CRA introduce requisiti specifici relativi alla cybersecurity dei prodotti con elementi digitali.
Una stessa impresa può quindi essere interessata da entrambe le discipline.
In questi casi è opportuno coordinare:
incident management, vulnerability management, sistemi di escalation, responsabilità interne e procedure di notifica.
L’obiettivo dovrebbe essere evitare processi separati e duplicazioni documentali, creando invece un sistema integrato di cybersecurity compliance.
18. Quali sono le sanzioni previste dal CRA?
Il sistema sanzionatorio è particolarmente rilevante.
Per le violazioni dei requisiti essenziali di cibersicurezza dell’Allegato I e degli obblighi previsti dagli articoli 13 e 14 possono essere previste sanzioni amministrative pecuniarie fino a 15 milioni di euro oppure, per le imprese, fino al 2,5% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Per altre violazioni il Regolamento prevede ulteriori fasce sanzionatorie, fino a 10 milioni e 5 milioni di euro, o alle corrispondenti percentuali del fatturato previste dal CRA.
19. Quali documenti dovrebbe iniziare a predisporre un’azienda?
Un progetto di adeguamento al CRA dovrebbe prevedere almeno un sistema documentale capace di coprire:
qualificazione dei prodotti con elementi digitali;
classificazione del portafoglio prodotti;
valutazione dei rischi di cybersecurity;
requisiti essenziali di cybersecurity;
secure development lifecycle;
vulnerability management;
gestione della SBOM;
gestione degli aggiornamenti e delle patch;
vulnerability disclosure;
gestione e segnalazione degli incidenti;
gestione dei fornitori e dei componenti software;
periodo di assistenza del prodotto;
documentazione tecnica;
valutazione della conformità;
dichiarazione UE di conformità;
marcatura CE;
obblighi di importatori e distributori.
20. Da dove dovrebbe partire concretamente un’azienda?
Un percorso operativo può essere articolato in cinque fasi.
1. Definizione del perimetro
Censire hardware, software e prodotti digitali commercializzati nell’UE e stabilire quali rientrano nel CRA.
2. Classificazione
Verificare se ciascun prodotto appartiene alla categoria ordinaria oppure alle categorie di prodotti importanti o critici.
3. Gap analysis
Confrontare processi e documentazione esistenti con i requisiti del Regolamento.
4. Adeguamento organizzativo e documentale
Predisporre policy, procedure, registri, responsabilità, SBOM e sistemi di gestione delle vulnerabilità.
5. Preparazione alla conformità
Definire il percorso di valutazione della conformità, predisporre la documentazione tecnica e programmare gli interventi necessari per arrivare preparati alla piena applicazione del CRA.
21. Qual è la priorità immediata a settembre 2026?
Per i fabbricanti la priorità è verificare di essere effettivamente pronti all’applicazione dell’articolo 14 dall’11 settembre 2026.
In particolare, occorre poter rispondere immediatamente a queste domande:
Chi riceve internamente una segnalazione di vulnerabilità?
Chi stabilisce se è attivamente sfruttata?
Chi valuta la gravità di un incidente?
Chi decide se scatta l’obbligo di notifica CRA?
Chi effettua la comunicazione?
Come viene garantito il rispetto della scadenza delle 24 ore?
Dove vengono conservate le evidenze delle valutazioni e delle comunicazioni effettuate?
Se l’organizzazione non è ancora in grado di rispondere in modo documentato a queste domande, esiste un gap operativo che dovrebbe essere affrontato prima dell’11 settembre 2026.
Conclusioni
Il Cyber Resilience Act non deve essere considerato un adempimento da rinviare al dicembre 2027.
Il 2026 rappresenta l’inizio della fase operativa del Regolamento.
Dall’11 giugno è diventato applicabile il quadro relativo agli organismi di valutazione della conformità e dall’11 settembre 2026 diventano applicabili gli obblighi di segnalazione previsti dall’articolo 14.
Per fabbricanti e sviluppatori di prodotti con elementi digitali la priorità è quindi trasformare il CRA da semplice requisito normativo a processo aziendale documentato, integrando cybersecurity, sviluppo prodotto, vulnerability management, incident response e compliance.
Il tempo disponibile per organizzarsi non deve essere misurato rispetto al dicembre 2027: per alcuni degli obblighi più delicati del Regolamento, la scadenza è già 11 settembre 2026. [...]
04/09/2026AI - intelligenza artificialeIntroduzione
Negli ultimi anni, l’Intelligenza Artificiale (IA) ha rivestito un ruolo sempre più centrale nel panorama aziendale e tecnologico, apportando significativi cambiamenti nelle modalità di operare delle imprese. Tuttavia, con il crescente utilizzo di queste tecnologie, le sfide legate alla compliance normativa e alla protezione dei dati diventano sempre più rilevanti. L’entrata in vigore del Regolamento Europeo sull’Intelligenza Artificiale (AI Act) e il continuo sviluppo del Regolamento generale sulla protezione dei dati (GDPR) richiedono una progettazione e gestione adeguata dei sistemi di IA.
Oggi, quindi, è fondamentale per aziende, professionisti e consulenti comprendere le implicazioni di queste normative, non solo per evitare sanzioni, ma anche per garantire la fiducia degli utenti e dei clienti. L’articolo di seguito esamina le novità più recenti relative all’AI Act e al GDPR in relazione ai sistemi di IA, evidenziando strumenti pratici e approcci “inspection ready”.
Obblighi e adempimenti previsti dall’AI Act
L’AI Act, proposto dalla Commissione Europea per regolamentare l’uso dell’Intelligenza Artificiale, introduce una serie di obblighi specifici in base alla classificazione dei sistemi di IA, che si divide in tre categorie: sistemi a rischio minimo, a rischio medio e ad alto rischio.
Sistema ad alto rischio
Questi sistemi richiedono adempimenti rigorosi, tra cui:
Valutazione del rischio prima dell’implementazione.
Documentazione dettagliata sui processi e risultati.
Gestione della qualità e monitoraggio continuo delle prestazioni.
Sistema a rischio medio
Le imprese devono:
Adottare misure di trasparenza, come informare gli utenti sull’uso dell’IA.
Implementare meccanismi di valutazione dell’impatto.
Sistema a rischio minimo
Anche se la regolamentazione è meno severa, si consiglia di seguire buone pratiche per garantire l’affidabilità e la trasparenza delle tecnologie.
Classificazione dei sistemi di IA e impatto sul GDPR
La classificazione dei sistemi di IA non è solo cruciale per la conformità all’AI Act, ma ha anche importanti ricadute sul GDPR. Ad esempio, i sistemi ad alto rischio, che gestiscono dati personali o informazioni sensibili, richiedono un’attenta pianificazione delle attività di trattamento dei dati.
Implicazioni GDPR
DPIA (Data Protection Impact Assessment): Necessaria per i sistemi ad alto rischio, permette di valutare e mitigare i rischi associati al trattamento dei dati.
Accountability: Le aziende devono dimostrare di rispettare i principi di protezione dei dati, implementando controlli adeguati e procedure di audit.
Gestione del rischio, accountability, DPIA e FRIA
La gestione proattiva dei rischi è un elemento chiave sia per l’AI Act che per il GDPR. I professionisti devono concentrarsi sui seguenti aspetti:
Rischio e governance
Identificazione e valutazione dei rischi legali, reputazionali e tecnici.
Risposta e monitoraggio: Misure per contenere i rischi e garantire un processo di miglioramento continuo.
Accountability e FRIA
L’adozione di un framework di governance dell’IA (FRIA) è fondamentale per collegare l’AI Act e il GDPR, favorendo una cultura della responsabilità in materia di trattamento dei dati.
Profili ispettivi e sanzionatori
Con l’intensificarsi degli sforzi normativi, le aziende devono essere pronte ad affrontare ispezioni da parte delle autorità competenti. Le vulnerabilità in materia di compliance possono comportare sanzioni significative, sia sotto il GDPR che con l’AI Act. È cruciale, quindi, prepararsi a questi controlli attraverso una documentazione accurata e la formazione costante del personale.
Errori comuni da evitare
Molte aziende commettono errori nella gestione della compliance legata all’IA. I più comuni includono:
Difetti nella documentazione: Non mantenere registri adeguati può compromettere la capacità di dimostrare conformità.
Mancanza di formazione: Non educare il personale sui principi di protezione dei dati e sull’AI Act può portare a violazioni.
Sottovalutazione del rischio: Non considerare adeguatamente i rischi associati all’uso dell’IA.
Parte finale orientata alla pratica
Oggi, le aziende e i consulenti devono attuare una serie di misure per garantire la compliance con l’AI Act e il GDPR. Alcuni passi fondamentali includono:
Audit e valutazioni di rischio: Effettuare una revisione completa dei sistemi di IA per identificare potenziali aree di non conformità.
Formazione del personale: Garantire che tutto il personale sia formato adeguatamente sulle normative pertinenti.
Documentazione e procedure: Creare e mantenere una documentazione chiara e accessibile per dimostrare la compliance in caso di ispezione.
Implementazione di pratiche di governance: Adottare un approccio sistematico nella gestione dell’IA, integrando le linee guida del FRIA.
Conclusione
L’evoluzione normativa riguardante l’Intelligenza Artificiale, in particolare con l’AI Act e il GDPR, presenta sfide significative per le aziende e i professionisti. È cruciale che queste realtà sviluppino un approccio strutturato alla compliance, prestando attenzione alla classificazione dei sistemi di IA, alla gestione dei rischi e alla preparazione per eventuali ispezioni. Investire in documentazione, procedure e formazione è fondamentale per garantire affidabilità, trasparenza e rispetto delle normative, contribuendo così a costruire un ecosistema di fiducia attorno all’Intelligenza Artificiale. [...]
03/09/2026Bandi e avvisi incarichi di consulenzaDisponibili su www.alertbandi.com nuovi bandi per incarichi professionali in ambito compliance:
_ Bando incarico RSPP
_ Bando incarico docenza formazione professionale attrezzature
_ Bando incarico consulenza cybersecurity
Totale importo compensi: 148.000 euro
Attualmente su www.alertbandi.com
BANDI ATTIVI IN AMBITO COMPLIANCE — 19 — opportunità con scadenza ancora aperta
VALORE COMPLESSIVO DEI BANDI ATTIVI: 6.733.200 € [...]
02/09/2026Cyber securityDall’11 settembre 2026 le aziende che sviluppano, importano o distribuiscono prodotti con elementi digitali nell’Unione Europea devono segnalare vulnerabilità sfruttate e incidenti gravi entro tempi strettissimi: 24 ore per la prima allerta, 72 ore per la notifica completa, 14 giorni (o 1 mese) per il rapporto finale.
E questa è solo la prima di due scadenze: la piena applicazione del Regolamento (UE) 2024/2847 arriva l’11 dicembre 2027.
Molte organizzazioni — produttori software, system integrator, consulenti compliance, DPO, RSSI — si trovano davanti alla stessa domanda: da dove si comincia?
Per questo abbiamo costruito un Toolkit completo: 74 documenti professionali (61 procedure e modelli Word + 13 registri Excel con calcoli automatici), organizzati in 13 sezioni che coprono l’intero percorso richiesto dal Regolamento:
✅ Governance e mappatura del portafoglio prodotti
✅ Obblighi di fabbricanti, importatori, distributori
✅ Classificazione del rischio (Default / Importante / Critico)
✅ Requisiti essenziali di cibersicurezza
✅ Gestione delle vulnerabilità e SBOM
✅ Valutazione del rischio e threat modelling
✅ Documentazione tecnica
✅ Valutazione di conformità e marcatura CE
✅ Obblighi di segnalazione (la scadenza già attiva)
✅ Supporto post-vendita e monitoraggio
✅ Informazioni all’utente e rapporti con le autorità
✅ Interfacce con ISO 27001, IEC 62443, AI Act, NIS2
✅ Audit interno e preparazione alle verifiche
Non un modello generico da adattare da soli, ma un impianto già pronto da personalizzare e adottare, con priorità chiare per chi ha poco tempo e una scadenza già alle porte.
Scopri il Toolkit di Conformità CRA su edirama.org [...]
01/09/2026AI - intelligenza artificialeIntroduzione
Negli ultimi anni, l’Intelligenza Artificiale (IA) ha acquisito un ruolo centrale in molteplici settori, trasformando in modo sostanziale i processi aziendali e le modalità di interazione con i clienti. Tuttavia, l’adozione di tecnologie di IA comporta anche sfide significative in termini di compliance normativo, in particolare con il Regolamento Europeo sull’Intelligenza Artificiale (AI Act) e il Regolamento Generale sulla Protezione dei Dati (GDPR). Questi strumenti normativi mirano a garantire che l’utilizzo dell’IA avvenga in modalità etica e responsabile, proteggendo i diritti degli individui e promuovendo la sicurezza.
Con l’imminente attuazione dell’AI Act e la continua evoluzione del GDPR, le imprese e i professionisti si trovano a dover navigare in un panorama normativo complesso e in continua evoluzione. Questa dinamica richiede un approfondimento e un aggiornamento costanti per garantire la compliance e la governance efficace dei sistemi di IA. In questo contesto, è cruciale una riflessione su come le aziende possano prepararsi adeguatamente a rispettare le normative vigenti.
Obblighi e adempimenti previsti dall’AI Act
L’AI Act introduce una serie di obblighi per le organizzazioni che sviluppano o utilizzano sistemi di IA, basati sulla classificazione del rischio associato a tali sistemi. Questa classificazione varia da “rischio minimo” a “rischio inaccettabile,” e le regole da seguire cambiano a seconda della categoria in cui rientra il sistema di IA.
Classificazione dei sistemi di IA
Rischio inaccettabile: Sistemi che rappresentano minacce per i diritti e le libertà fondamentali; vi è un divieto esplicito per la loro distribuzione e utilizzo.
Rischio elevato: Sistemi soggetti a rigorose normative e valutazioni previa commercializzazione (ad esempio, IA utilizzata in ambito sanitario o giuridico).
Rischio limitato: Sistemi che richiedono trasparenza e informazioni agli utenti, senza vincoli severi.
Rischio minimo: Non ci sono obblighi specifici al di là della leggi esistenti.
Le aziende devono identificare a quale categoria appartiene il loro sistema di IA e adottare le misure necessarie per garantire la compliance.
Classificazione dell’IA e impatto sul GDPR
L’interazione tra l’AI Act e il GDPR è complessa: mentre l’AI Act si concentra sulla regolamentazione dell’uso dei sistemi di IA, il GDPR disciplina la protezione dei dati personali. È fondamentale che l’implementazione di soluzioni di IA sia allineata con le disposizioni del GDPR, in particolar modo per quanto riguarda:
Trasparenza: Necessità di informare gli utenti su come i dati vengono trattati.
Minimizzazione dei dati: Raccolta e uso di soli dati necessari ai fini dell’operazione di IA.
Diritti degli utenti: Garanzia dei diritti di accesso, rettifica e cancellazione dei dati.
Gestione del rischio, accountability, DPIA e FRIA
Gestione del rischio e accountability
L’AI Act richiede alle organizzazioni di mettere in atto pratiche di gestione del rischio, che includono una valutazione adeguata dei potenziali impatti dei sistemi di IA. Questo implica che le aziende debbano adottare misure di accountability, documentando i processi e le decisioni presi durante lo sviluppo e l’implementazione di sistemi di IA.
DPIA e FRIA
La Data Protection Impact Assessment (DPIA) è uno strumento fondamentale in caso di trattamento di dati personali ad alto rischio, come previsto dal GDPR. È essenziale per identificare, valutare e mitigare i rischi associati all’uso di sistemi di IA.
In aggiunta, il Framework Risk Impact Assessment (FRIA) è un metodo suggerito dall’AI Act per valutare i rischi associati ai sistemi di IA. La DPIA e la FRIA devono essere integrate per una gestione efficace dei rischi e per garantire conformità.
Profili ispettivi e sanzionatori
Le ispezioni relative all’AI Act e al GDPR saranno effettuate da autorità competenti, con il potere di sanzionare le aziende che non rispetteranno i requisiti previsti. Le multe per la violazione del GDPR possono arrivare fino al 4% del fatturato annuale globale, mentre le sanzioni per l’AI Act saranno proporzionali alla gravità della violazione e all’impatto sui diritti delle persone.
Errori comuni da evitare
Sottovalutare l’importanza della compliance: Ignorare i requisiti normativi può portare a significative conseguenze legali e finanziarie.
Non documentare adeguatamente i processi: La mancanza di trasparenza nei processi di IA può esporre l’azienda a verifiche onerose.
Trattare i dati in modo non conforme: Non rispettare le linee guida del GDPR può portare a sanzioni severe.
Cosa dovrebbe fare oggi un’azienda o un consulente
Le aziende e i consulenti dovrebbero adottare un approccio proattivo, che includa:
Valutazione dei sistemi di IA: Identificazione e classificazione del rischio associato.
Implementazione di processi di compliance: Integrazione di procedure di gestione del rischio e adottare politiche interne che considerino entrambi i regolamenti.
Documentazione e formazione: Produzione di documentazione dettagliata e formazione continua per i dipendenti sui requisiti normativi.
Importanza di documentazione, procedure e strumenti pronti in caso di controllo
La preparazione è essenziale. Le aziende devono disporre di procedure documentate e strumenti operativi per rispondere prontamente a eventuali ispezioni da parte delle autorità competenti. Ciò include la gestione della documentazione relativa alla governance dell’IA e alle attività di trattamento dei dati.
Conclusione
In un panorama normativo in evoluzione come quello attuale, la compliance rispetto all’AI Act e al GDPR è fondamentale per le imprese che operano con sistemi di Intelligenza Artificiale. La corretta gestione del rischio, l’adozione di pratiche di accountability e la preparazione alla possibilità di ispezioni sono tutte aree criticali che richiedono attenzione. Essere pronti e informati non solo garantisce la compliance, ma aiuta anche a costruire la fiducia dei clienti e a promuovere un uso responsabile dell’IA. [...]
01/09/2026ISO 42001:2023Il primo passo per l’implementazione della ISO/IEC 42001, il sistema di gestione per l’intelligenza artificiale, è la valutazione approfondita delle attuali pratiche e dei processi aziendali in uso. È fondamentale condurre un’analisi delle lacune per identificare le aree di miglioramento e allineare le attività aziendali agli standard ISO 42001. Questo processo implica la collaborazione tra vari dipartimenti, inclusi IT, marketing, legale e sicurezza, garantendo una visione olistica e integrata delle operazioni aziendali.
1. Governance dell’Intelligenza Artificiale
La governance è il pilastro centrale per sostenere l’adozione della ISO 42001. È essenziale definire una struttura di governance chiara che includa ruoli e responsabilità specifiche. Raccomandazioni pratiche includono:
– Creazione di un comitato per la governance dell’IA, composto da rappresentanti delle aree chiave come IT, compliance, risorse umane e business. – Definizione di politiche interne per la gestione dei rischi legati all’IA, comprese linee guida per lo sviluppo e l’implementazione di sistemi AI. – Stabilire procedure di monitoraggio e revisione periodica delle performance dei sistemi AI, valutando l’efficacia delle politiche implementate.
2. Identificazione e Gestione dei Rischi
La gestione dei rischi è cruciale per garantire la conformità e l’affidabilità dei sistemi AI. Di seguito sono riportate alcune pratiche da seguire:
– Implementare un processo di valutazione dei rischi specifico per l’AI, che includa una mappatura dei rischi associati a algoritmi, dati e decisioni automatizzate. – Utilizzare framework di risk assessment, come il “Risk Management Framework” (RMF), per analizzare la probabilità e l’impatto dei rischi identificati. – Stabilire misure preventive e correttive per mitigare i rischi significativi, nonché scenari di risposta ad incidenti.
3. Formazione e Consapevolezza
Un aspetto chiave dell’implementazione della ISO 42001 è la formazione continua del personale. È fondamentale:
– Creare programmi di formazione su responsabilità etiche e legali connesse all’uso dell’AI, inclusi temi di bias, privacy e sicurezza dei dati. – Monitorare periodicamente l’efficacia della formazione attraverso feedback e valutazioni, apportando modifiche necessarie per migliorare costantemente il programma. – Sensibilizzare i dipendenti sull’importanza della governance dell’intelligenza artificiale e su come le loro azioni quotidiane possano influenzare la compliance aziendale.
4. Documentazione e Controlli
Un robusto sistema di documentazione è essenziale per garantire la tracciabilità e la trasparenza. Le pratiche raccomandate comprendono:
– Creazione di un repository centrale per la documentazione riguardante le politiche, le procedure e le responsabilità, facilitando l’accesso e l’aggiornamento. – Assicurarsi che esistano controlli interni per la validazione e il testing dei sistemi AI, registrando i risultati per la revisione. – Stabilire un processo di audit interno che verifichi regolarmente la conformità alle politiche e alle procedure stabilite.
5. Audit e Miglioramento Continuo
Prepararsi adeguatamente per un audit ISO 42001 è fondamentale per garantire che i sistemi siano in linea con gli standard. Le seguenti indicazioni possono rivelarsi utili:
– Pianificare audit interni regolari per identificare potenziali aree di non conformità prima di un audit esterno. – Stabilire un piano di azione correttiva per affrontare eventuali osservazioni e raccomandazioni emerse durante gli audit. – Promuovere una cultura di miglioramento continuo, incoraggiando il feedback e l’innovazione nelle pratiche di gestione dell’IA.
Conclusioni
L’implementazione della ISO/IEC 42001 richiede un approccio metodico e integrato che coinvolga tutti gli aspetti dell’organizzazione. Concentrandosi sulla governance, sulla gestione dei rischi, sulla formazione, sulla documentazione e sugli audit, le aziende possono garantire non solo la conformità ai requisiti normativi, ma anche l’efficacia e l’affidabilità dei sistemi di intelligenza artificiale. Seguendo le indicazioni operative fornite, le organizzazioni possono navigare con successo nel complesso ecosistema dell’AI, promuovendo pratiche sostenibili e responsabili. [...]
01/09/2026AI - intelligenza artificiale / AI ActCos’è la Shadow AI: utilizzo, da parte di dipendenti e collaboratori, di strumenti di IA generativa non preventivamente valutati, approvati o governati dall’organizzazione.
Come nasce concretamente: uso di chatbot e assistenti IA per analizzare contratti, redigere pareri, elaborare email, sintetizzare documenti, lavorare su Excel, verbali, procedure o documentazione aziendale.
Il problema non è l’IA in sé, ma la perdita di controllo dell’organizzazione sugli strumenti utilizzati, sui dati trasmessi e sulle modalità con cui vengono elaborati.
Rischio GDPR: nei prompt possono essere inseriti dati personali relativi a clienti, dipendenti, fornitori o altre persone, con conseguenti problemi di liceità, minimizzazione, sicurezza, conservazione e accountability.
Rischio di trasferimento dei dati: utilizzando servizi non autorizzati l’organizzazione potrebbe non sapere dove vengono conservate le informazioni, per quanto tempo, da quali soggetti e se avvengano trasferimenti verso Paesi terzi.
Rischio di riutilizzo delle informazioni: occorre verificare se e in quale misura il provider possa utilizzare prompt, documenti e altri contenuti trasmessi per proprie finalità.
Non esistono soltanto dati personali: contratti, strategie commerciali, procedure, know-how, analisi fiscali, documenti societari, elenchi clienti e trattative possono contenere informazioni riservate che devono essere protette anche indipendentemente dal GDPR.
Rischio sugli output: l’utilizzo incontrollato dell’IA può introdurre nei processi aziendali informazioni errate, incomplete, inventate o provenienti da fonti non verificate.
Necessità della supervisione umana: devono essere stabiliti i casi nei quali l’output dell’IA deve essere controllato e chi sia responsabile della verifica.
Il semplice divieto di utilizzare l’IA non è sufficiente: una policy efficace dovrebbe indicare concretamente strumenti consentiti, utilizzi ammessi e vietati e modalità per richiedere l’autorizzazione di nuovi strumenti.
Prima misura: censire gli strumenti IA: l’organizzazione dovrebbe verificare quali applicazioni siano effettivamente utilizzate dai dipendenti e per quali attività.
Creare un registro dei sistemi IA: per ogni applicazione possono essere registrati provider, utenti, finalità, dati trattati, versione utilizzata, condizioni contrattuali e livello di rischio.
Valutare preventivamente i fornitori: privacy, sicurezza, conservazione, utilizzo dei dati, trasferimenti internazionali e condizioni delle versioni consumer/business/enterprise.
Adottare una AI Policy aziendale: deve specificare almeno strumenti autorizzati, utilizzi consentiti, informazioni vietate nei prompt, obblighi di verifica degli output, responsabilità e gestione delle eccezioni.
Definire concretamente le informazioni vietate: ad esempio dati sanitari, documenti dei clienti, contratti riservati, credenziali, dati HR, documentazione fiscale, contenziosi, segreti commerciali e informazioni strategiche.
Formare il personale: l’art. 4 dell’AI Act richiede misure volte ad assicurare un livello adeguato di alfabetizzazione in materia di IA delle persone che utilizzano sistemi AI per conto dell’organizzazione.
La formazione deve essere pratica: non solo spiegare come funziona l’IA, ma insegnare cosa può essere inserito in un prompt, quali documenti possono essere caricati, quali strumenti utilizzare e quando è necessario il controllo umano.
Prevedere una procedura per nuovi strumenti: il dipendente che individua un nuovo servizio IA utile dovrebbe poter richiederne la valutazione senza essere indotto a utilizzarlo autonomamente.
Monitorare periodicamente la Shadow AI: il censimento non può essere effettuato una sola volta, perché strumenti, funzionalità e condizioni contrattuali cambiano rapidamente.
Obiettivo finale: trasformare la Shadow AI da fenomeno incontrollato a utilizzo dell’intelligenza artificiale conosciuto, autorizzato, documentato e sottoposto a responsabilità definite. [...]
31/08/2026D.lgs 231/01La Circolare n. 6/E del 6 agosto 2026 dell’Agenzia delle Entrate introduce importanti indicazioni sul nuovo regime di cooperative compliance.
Al centro del sistema si trova il Tax Control Framework (TCF), destinato a presidiare e gestire preventivamente il rischio fiscale.
Particolarmente significativo è il rapporto tra TCF e Modello Organizzativo ex D.Lgs. 231/2001.
I due sistemi devono infatti dialogare ed essere opportunamente integrati, soprattutto nella prevenzione delle frodi fiscali.
Diventa fondamentale verificare la corretta mappatura dei reati tributari ex art. 25-quinquiesdecies D.Lgs. 231/2001.
Occorre inoltre coordinare i presidi antifrode e i controlli previsti dal Modello 231 con quelli del Tax Control Framework.
Un ruolo centrale viene assunto dai flussi informativi tra Organismo di Vigilanza e funzione responsabile della compliance fiscale.
Per consulenti 231 e OdV si apre quindi una nuova area di verifica e possibile aggiornamento dei Modelli Organizzativi.
La direzione è quella di una compliance sempre più integrata, capace di coordinare rischio fiscale, rischio penal-tributario e responsabilità 231.
L’articolo completo con l’analisi delle implicazioni operative per imprese, consulenti 231 e Organismi di Vigilanza è disponibile su Alert231.it. [...]
31/08/2026Novità
Autore Matteo La Circolare n. 6/E del 6 agosto 2026 dell’Agenzia delle Entrate, dedicata al nuovo regime di adempimento collaborativo (cooperative compliance), contiene indicazioni particolarmente rilevanti anche per le imprese che hanno adottato un Modello di organizzazione, gestione e controllo…
CONTENUTO RISERVATO AGLI ABBONATI
Se sei abbonato effettua il login CLICCA QUIe ritorna su questa pagina
Se NON SEI ABBONATO, abbonati qui
[...]
31/08/2026D.lgs 231/01Introduzione
L’Organismo di Vigilanza (OdV) si trova ad affrontare diverse sfide nella sua opera di monitoraggio e controllo, tra cui la gestione delle non conformità ai sensi del D.Lgs. 231/01. Queste non conformità possono derivare dalla mancanza di conformità ai principi del Modello di Organizzazione, gestione e controllo, e possono rappresentare un serio rischio per l’ente. In questo contesto, è fondamentale che l’OdV adotti un approccio metodologico e sistematico per identificare, segnalare e gestire le non conformità, garantendo così l’efficacia del Modello e contribuendo a ridurre il rischio di commissione di reati.
Quadro normativo e principi guida applicabili
Il D.Lgs. 231/01 e le successive linee guida stabiliscono i requisiti fondamentali per l’adozione di un Modello di organizzazione, gestione e controllo. Un elemento cruciale è l’implementazione di procedure per la gestione delle non conformità. Tali procedure devono:
Essere basate su un approccio risk-based.
Garantire la tracciabilità delle verifiche effettuate.
Assicurare flussi informativi strutturati e tempestivi tra i vari organi dell’ente.
Mantenere l’autonomia e l’indipendenza dell’OdV, affinché possa operare senza influenze esterne.
Questi principi non solo supportano la compliance normativa, ma favoriscono anche una cultura aziendale improntata alla legalità e alla trasparenza.
Attività di vigilanza da pianificare
Nella pianificazione delle attività di vigilanza, l’OdV deve considerare la varietà di potenziali non conformità e le modalità di rilevazione. Le attività da implementare possono includere:
Audit interni: Eseguire verifiche periodiche su specifiche aree operative a rischio di reato.
Monitoraggio delle segnalazioni: Esaminare in modo continuativo le segnalazioni di whistleblowing e valutare la correttezza dei procedimenti disposti in caso di evidenza di non conformità.
Formazione e sensibilizzazione: Verificare l’efficacia della formazione del personale riguardo il Modello e la cultura della compliance.
Un approccio sistematico assicura che nessuna potenziale non conformità venga trascurata e che tutte le aree a rischio siano costantemente monitorate.
Modalità di controllo e raccolta evidenze
Per una verifica efficace delle non conformità, è essenziale definire modalità di controllo chiare e raccolta di evidenze. Alcune delle tecniche da utilizzare includono:
Interviste strutturate: Conduzione di interviste con dipendenti, responsabili e collaboratori per raccogliere informazioni di prima mano.
Analisi documentale: Verificare la documentazione relativa a procedure operative, report di audit passati e registrazioni di formazione.
Osservazioni dirette: Monitoraggio delle attività quotidiane per riscontrare eventuali difformità rispetto ai processi stabiliti.
L’acquisizione di evidenze solide è cruciale per un sistema di reporting efficace e per la redazione di un report conclusivo sullo stato delle non conformità.
Errori ricorrenti da evitare
Nell’esercizio delle sue funzioni, l’OdV deve prestare attenzione a evitare alcuni errori comuni:
Sottovalutare le non conformità: È importante non minimizzare l’impatto potenziale di una non conformità. Ogni caso deve essere valutato con la dovuta attenzione.
Precedenze nella gestione delle segnalazioni: Non tutte le segnalazioni devono essere trattate con la stessa urgenza. Un’attenta valutazione del rischio è fondamentale per decidere il livello di intervento.
Carenze nella documentazione: È essenziale mantenere adeguati registri delle attività di controllo e delle azioni intraprese su ciascuna non conformità per garantire la trasparenza e la tracciabilità.
Prevenire questi errori contribuirà a migliorare l’efficacia dell’OdV e a creare una cultura della conformità all’interno dell’ente.
Schema operativo per l’OdV (checklist sintetica)
Ecco uno schema operativo sintetico che l’OdV può utilizzare per gestire le non conformità:
Identificazione:
Verifica delle segnalazioni interne ed esterne.
Audit e controlli programmati.
Valutazione:
Analisi del rischio associato ad ogni non conformità.
Prioritizzazione in base all’impatto sulla compliance.
Trattamento:
Definizione di azioni correttive e preventive.
Assegnazione di responsabilità a funzioni interne.
Monitoraggio:
Verifica dell’efficacia delle azioni intraprese.
Riesame delle segnalazioni e delle evidenze raccolte.
Comunicazione:
Strutturare rapporti periodici per il management.
Aggiornare le procedure e il Modello sulla base delle non conformità emerse.
Formazione:
Programmare momenti formativi per il personale.
Sensibilizzare sull’importanza della segnalazione e della compliance.
Schema operativo sintetico per l’OdV
Controllo delle segnalazioni di whistleblowing
Audit interni programmati
Analisi di documenti e procedure
Verifica della formazione sulla Normativa 231
Reporting sistematico delle non conformità
Implementazione di azioni correttive e preventive
Monitoraggio dell’efficacia delle azioni adottate
Questa checklist può fungere da guida pratica per l’OdV nella gestione delle non conformità, garantendo così che l’ente operi in modo conforme ai requisiti del D.Lgs. 231/01 e ne consolidi la reputazione e la credibilità sul mercato. [...]
