La protezione dei dati personali non è più l’unico aspetto da considerare nella gestione digitale di un’impresa. Intelligenza artificiale e sicurezza informatica stanno introducendo nuove responsabilità, che richiedono un approccio organizzato e consapevole.
Negli ultimi anni le imprese hanno accelerato il processo di digitalizzazione, adottando nuovi strumenti informatici, servizi Cloud, piattaforme di comunicazione e sistemi automatizzati per gestire le proprie attività.
Questa evoluzione offre importanti opportunità, ma comporta anche nuove responsabilità nella gestione delle informazioni, nella protezione dei dati personali e nella sicurezza dei sistemi informatici.
Il 2024 rappresenta un anno particolarmente significativo per il panorama normativo europeo, con l’introduzione di due importanti riferimenti: il Regolamento europeo sull’Intelligenza Artificiale (AI Act) e la Direttiva NIS2.
Il nuovo Regolamento europeo sull’Intelligenza Artificiale
Il Regolamento UE 2024/1689, conosciuto come AI Act, è entrato in vigore il 1° agosto 2024.
L’obiettivo è stabilire regole comuni per lo sviluppo e l’utilizzo dei sistemi di intelligenza artificiale, introducendo un approccio basato sul livello di rischio.
Non tutte le applicazioni di intelligenza artificiale sono considerate allo stesso modo. Il regolamento distingue diverse categorie di rischio, prevedendo obblighi proporzionati alla tipologia di sistema e al suo utilizzo.
Anche le imprese che utilizzano strumenti di intelligenza artificiale devono quindi iniziare a comprendere quali sistemi vengono adottati, per quali finalità e con quali possibili conseguenze sulle persone.
L’intelligenza artificiale non deve essere considerata soltanto una nuova opportunità tecnologica, ma anche un ambito che richiede responsabilità, trasparenza e controllo.
La Direttiva NIS2 e la sicurezza informatica
Un secondo importante cambiamento riguarda la sicurezza informatica.
La Direttiva europea NIS2 (UE 2022/2555) è stata recepita in Italia attraverso il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024.
La normativa introduce un quadro rafforzato di misure per la sicurezza delle reti e dei sistemi informativi, individuando soggetti essenziali e importanti e prevedendo specifici obblighi organizzativi e operativi.
Tra gli aspetti centrali troviamo:
- gestione e valutazione dei rischi informatici;
- adozione di misure tecniche e organizzative di sicurezza;
- gestione e notifica degli incidenti informatici;
- responsabilizzazione degli organi di amministrazione e direzione;
- controllo della sicurezza della catena di fornitura.
La sicurezza informatica diventa quindi una responsabilità che coinvolge l’intera organizzazione e non soltanto chi si occupa dell’assistenza tecnica.
Privacy, Intelligenza Artificiale e Sicurezza: un unico approccio organizzativo
GDPR, AI Act e NIS2 hanno ambiti applicativi differenti, ma presentano importanti punti di contatto.
L’utilizzo di un servizio digitale, ad esempio, può comportare contemporaneamente:
- il trattamento di dati personali;
- l’impiego di strumenti di intelligenza artificiale;
- la necessità di garantire la sicurezza delle informazioni e dei sistemi.
Per questo motivo non è sufficiente affrontare ogni normativa come un adempimento isolato.
Le imprese devono sviluppare un sistema organizzativo capace di individuare le responsabilità, documentare le attività, valutare i rischi e mantenere aggiornate le procedure.