Consulenza e formazione su
AI Act, GDPR, NIS2 e ISO 27001

L’applicabilità dipende da attività svolte, settore, dimensioni, clienti, tecnologie utilizzate e tipologia di dati trattati. La valutazione parte dalla mappatura dei processi aziendali, dei sistemi di intelligenza artificiale, dei trattamenti di dati personali e dei servizi digitali erogati. In questo modo è possibile verificare gli adempimenti previsti dal Regolamento europeo sull’AI, dal GDPR e dalla normativa NIS2, oltre agli eventuali requisiti contrattuali sulla sicurezza delle informazioni. Un assessment iniziale consente di definire priorità, responsabilità e un piano di adeguamento proporzionato ai rischi effettivi.

La NIS2 non si applica automaticamente a tutte le PMI. In Italia il perimetro dipende principalmente dal settore, dalla tipologia di servizio, dalle dimensioni dell’impresa e dalle condizioni stabilite dal decreto legislativo 138/2024. In generale sono interessate soprattutto medie e grandi organizzazioni appartenenti ai settori critici, ma alcuni soggetti possono rientrare indipendentemente dalle dimensioni. Vanno considerate anche imprese collegate, ruolo nella supply chain e servizi erogati. Per allerte, vulnerabilità e informazioni operative sulla cybersicurezza è possibile consultare anche il CSIRT Italia.

Gli obblighi dipendono dal ruolo dell’organizzazione, dalla finalità del sistema e dal livello di rischio. Il primo passo consiste nel censire gli strumenti AI e distinguere se l’impresa opera come fornitore, deployer o altro soggetto della catena del valore. Per i sistemi ad alto rischio possono essere richiesti supervisione umana, monitoraggio, uso conforme alle istruzioni e specifici obblighi informativi. L’AI Act richiede inoltre misure a supporto dell’alfabetizzazione AI del personale. Una corretta AI governance parte quindi dall’inventario dei sistemi, dalla loro classificazione e dalla definizione di regole interne.

AI Act e GDPR sono normative complementari. L’AI Act disciplina sistemi e utilizzi dell’intelligenza artificiale in base al rischio; il GDPR continua ad applicarsi quando vengono trattati dati personali. L’azienda deve quindi verificare base giuridica, trasparenza, minimizzazione, sicurezza, conservazione e tutela dei diritti degli interessati. Quando il trattamento può comportare un rischio elevato, può essere necessaria una valutazione d’impatto sulla protezione dei dati, o DPIA. Il Garante per la protezione dei dati personali raccoglie provvedimenti e approfondimenti sul rapporto tra intelligenza artificiale e privacy.

In generale, la certificazione ISO/IEC 27001 non è un obbligo di legge. Può però essere richiesta da clienti, gare, contratti o politiche di gruppo e rappresentare un criterio nella selezione dei fornitori. La ISO/IEC 27001:2022 definisce i requisiti per un sistema di gestione della sicurezza delle informazioni basato sul rischio. Un’impresa può adottarne i principi anche senza richiedere immediatamente la certificazione. ISO/IEC 27002 fornisce indicazioni sui controlli di sicurezza, ma non è uno standard di certificazione autonomo. Il percorso deve essere calibrato su contesto, rischi e obiettivi aziendali.

Il percorso inizia dalla definizione del perimetro: attività, dati, tecnologie, fornitori e normative potenzialmente applicabili. Segue un assessment o gap analysis per confrontare la situazione attuale con i requisiti di AI Act, GDPR, NIS2 e ISO 27001. Le carenze vengono trasformate in una roadmap con priorità, responsabilità, tempi e risultati verificabili. Successivamente si interviene su procedure, ruoli, contratti, misure di sicurezza e formazione del personale. L’obiettivo non è produrre documenti isolati, ma integrare conformità, privacy e cybersecurity nei processi ordinari dell’organizzazione.