Per manager, consulenti IT e dirigenti d'azienda, la compliance non è più un semplice adempimento burocratico, ma un fattore determinante per proteggere l'organizzazione da sanzioni pecuniarie e rischi informatici devastanti.
L'AI Act dell'Unione Europea: Approccio Basato sul Rischio
L’AI Act si propone di bilanciare l'innovazione tecnologica con la tutela dei diritti fondamentali e della sicurezza. Il regolamento introduce una classificazione dei sistemi di intelligenza artificiale strutturata su quattro livelli di rischio:
- Rischio Inaccettabile (Vietato): Sistemi che minacciano la sicurezza o i diritti umani, come la manipolazione subliminale o il social scoring pubblico.
- Alto Rischio: Applicazioni in ambiti critici (dispositivi medici, infrastrutture essenziali, selezione del personale, valutazione del credito). Tali sistemi richiedono requisiti stringenti in materia di qualità dei dati, documentazione, sorveglianza umana e robustezza della cybersecurity.
- Rischio Limitato: Soluzioni come chatbot e deepfake, che richiedono precisi obblighi di trasparenza per informare l'utente finale dell'interazione con un'AI.
- Rischio Minimo o Nullo: La maggioranza dei sistemi in uso, incoraggiata comunque a seguire codici di condotta volontari.
La Direttiva NIS2 e il D.Lgs. 138/2024: La Cybersicurezza come Responsabilità di Governo
Parallelamente alla disciplina dell'AI, l'adeguamento alla Direttiva NIS2 è diventato un obbligo vincolante per una vasta gamma di organizzazioni classificate come Soggetti Essenziali e Importanti. Sotto la vigilanza dell'Agenzia per la Cybersicurezza Nazionale (ACN), le aziende devono implementare misure di sicurezza proporzionate al rischio, allineandosi alle indicazioni del framework FNCS 2025.
La normativa introduce novità sostanziali, che richiedono un'attenzione costante agli aggiornamenti normativi:
- Governance e Responsabilità del Board (Art. 23): La responsabilità civile per la mancata adozione delle misure di sicurezza ricade direttamente sugli organi di vertice aziendali e non è delegabile. È richiesta l'approvazione formale di 11 documenti obbligatori.
- Incident Management e Reporting: Vengono definite tempistiche rigide di pre-notifica e notifica degli incidenti informatici significativi al CSIRT Italia, fondamentali per contenere attacchi critici come ransomware e phishing.
- Aggiornamenti ACN di Aprile 2026 e Nuova Roadmap: A seguito delle determinazioni ACN del 13 aprile 2026 (n. 127434 e n. 127437), il quadro operativo per il 2026-2027 è stato ulteriormente dettagliato. È ora obbligatorio censire e comunicare tramite il portale ACN l'elenco dei "fornitori rilevanti NIS" (inclusi quelli non-ICT strategici per la supply chain). Inoltre, per le organizzazioni iscritte per la prima volta nel 2026, è stata definita una nuova roadmap che fissa l'inizio dell'obbligo di notifica degli incidenti al 1° gennaio 2027 e la scadenza per il completamento dell'adeguamento alle misure di sicurezza al 31 luglio 2027.
- Operatività: Le aziende devono navigare queste scadenze e procedure del portale ACN dotandosi di metodologie mirate per la gap analysis e simulazioni pratiche di attacchi cyber, così da arrivare preparate agli audit.
Il Nuovo Profilo dei Professionisti Digitali e IT
La convergenza tra AI Act e NIS2 richiede figure professionali capaci di unire competenze tecniche e competenze normativo-strategiche. Il mercato richiede oggi esperti capaci di:
- Sviluppare architetture AI ed algoritmi complessi conformi ai requisiti di trasparenza, equità e sicurezza.
- Governare la sicurezza informatica e la gestione del rischio, garantendo che la protezione dei dati e delle filiere (inclusi i fornitori rilevanti) rispetti le nuove tempistiche e il GDPR.
- Gestire le procedure ACN e l'Incident Response, integrando le metriche di resilienza nelle prassi operative aziendali.
- Supportare il vertice aziendale (CISO, IT Manager, Board) nella preparazione della documentazione obbligatoria e nel governo della transizione digitale.
I Percorsi Formativi di Musa Formazione
Per rispondere alla forte domanda di aggiornamento professionale e normativo, Musa Formazione mette a disposizione percorsi altamente specialistici progettati da professionisti del settore:
- Corso Normativa NIS2 e D.Lgs. 138/2024 e Aggiornamento 2026 Un percorso operativo e costantemente aggiornato – incluse le recenti disposizioni ACN di aprile 2026 – rivolto a CISO, IT Manager, consulenti e membri del Board. Il programma guida l'organizzazione nell'adeguamento alla direttiva, coprendo le responsabilità di governance (Art. 23), le procedure di censimento dei fornitori rilevanti sul portale ACN, le regole per la pre-notifica al CSIRT Italia, la gestione delle nuove roadmap di scadenze 2026/2027 e le simulazioni pratiche per superare gli audit.
- Corso di Machine Learning e Intelligenza Artificiale Un programma strategico ideato per acquisire le competenze teoriche e pratiche necessarie a progettare, implementare e gestire soluzioni AI etiche, sicure e perfettamente in linea con le classificazioni di rischio imposte dall'AI Act dell'Unione Europea.
