Cosa è successo?

La decisione del tribunale, resa nota il 31 luglio 2026, "afferma alcuni principi che potrebbero incidere sullo sviluppo delle piattaforme di AI: l'addestramento dei modelli su opere protette, la loro conservazione e il successivo utilizzo richiedono l'autorizzazione dei titolari dei diritti, anche quando l'addestramento avvenga al di fuori dell'Unione europea", spiega l'avvocato Luca Guidobaldi, counsel di ADVANT Nctm.

Cosa veniva contestato a Suno dalla Siae tedesca?

«Secondo Gema, attraverso semplici prompt, anche esclusivamente testuali, Suno era in grado di generare composizioni musicali estremamente simili, se non addirittura sovrapponibili, ad alcuni dei brani più celebri e di maggior valore economico del proprio repertorio, tra cui Forever Young degli Alphaville e Mambo No. 5 di Lou Bega. Partendo da queste evidenze, Gema ha sostenuto che il modello di intelligenza artificiale utilizzato da Suno fosse stato necessariamente addestrato proprio su quei brani, "ascoltandoli" per imparare a riprodurne, almeno in parte, le caratteristiche. Secondo la collecting, il modello avrebbe inoltre conservato copie delle opere, rendendole disponibili durante il processo di generazione di nuove canzoni richieste dagli utenti», spiega l’avvocato. Il Tribunale tedesco ha stabilito che queste attività costituiscono una violazione del diritto d'autore. «Per questo motivo, ha ordinato a Suno di interrompere ogni futuro utilizzo delle opere in assenza di un’adeguata autorizzazione o licenza rilasciata da Gema, eventualmente dietro pagamento delle relative royalties. Ha inoltre imposto alla piattaforma di fornire tutta la documentazione relativa agli utilizzi passati dei brani e ai ricavi ottenuti», prosegue l’avvocato Guidobaldi.

Clicca qui per leggere l'articolo integrale del Corriere della Sera

Edoardo Raffiotta esamina i possibili effetti del nuovo quadro sulla concorrenza e sulla standardizzazione del mercato ICT europeo, soffermandosi sui principi di proporzionalità e non discriminazione e sul ruolo attribuito alla Commissione europea rispetto a materie che intersecano la sicurezza nazionale. L’analisi mette così a fuoco il rapporto tra rafforzamento della sicurezza delle TIC, tutela del mercato e perseguimento dell’autonomia strategica europea.

Leggi l'articolo pubblicato su Agenda Digitale. 

Nell'articolo pubblicato su Il Sole 24 Ore, Edoardo Raffiotta esamina il nuovo quadro normativo, soffermandosi sugli obblighi che gravano su provider e deployer, sulle regole applicabili ai sistemi di riconoscimento delle emozioni e ai deepfake, nonché sulle principali esenzioni previste dal Regolamento. L'analisi mette inoltre in evidenza le criticità ancora aperte, tra cui la mancanza di standard tecnologici maturi per rendere effettiva la trasparenza e la crescente necessità di sviluppare strumenti in grado di distinguere l'interazione umana da quella artificiale.

L'articolo integrale è disponibile nell'edizione del 3 agosto de Il Sole 24 Ore. 

L'intervista su Adnkronos.

L’entrata di Raffaele Giarda contribuisce a rafforzare il settore Technology, Media, Entertainment and Telecommunications (TMT), che potrà giovarsi delle competenze maturate in oltre tre decenni di attività nell’ambito della regolamentazione di settore, anche con riferimento alle tematiche legate agli investimenti esteri in Italia (FDI).

La nomina di Raffaele Giarda si inserisce nel percorso di costante potenziamento delle competenze professionali dello Studio a supporto dei clienti, rafforzando l’expertise TMT di ADVANT Nctm in un momento storico, come quello attuale, in cui innovazione e digitalizzazione rappresentano un fattore determinante per le imprese e la loro crescita.

“L’ingresso di Raffaele Giarda è, per noi, motivo di orgoglio. Si tratta di un professionista con una reputazione solida, costruita in decenni di attività, anche in ambito internazionale, nel settore TMT e nell’advisory su operazioni complesse. La sua esperienza arricchisce la nostra offerta nel settore, oltre a consolidare la capacità dello Studio di assistere i propri clienti in un contesto di mercato in rapida evoluzione e in continua trasformazione”, ha commentato Paolo Montironi, Senior Partner di ADVANT Nctm.

“L'ingresso in ADVANT Nctm rappresenta per me una nuova, importante fase professionale, in uno Studio che unisce dimensione europea, qualità dei professionisti e chiara visione di sviluppo. Porto con me una profonda esperienza nel settore TMT, con l'obiettivo di contribuire fin da subito all’ulteriore consolidamento del posizionamento dello Studio sul mercato di riferimento”, ha dichiarato Raffaele Giarda.

Con l’ingresso di Raffaele Giarda, il numero totale dei Partner di ADVANT Nctm arriva a 88.

Negli ultimi anni la trasformazione digitale ha inciso profondamente sul modo in cui le imprese progettano, distribuiscono e utilizzano prodotti e servizi. Software, piattaforme digitali, servizi cloud, sistemi di intelligenza artificiale, infrastrutture IT, cybersecurity e gestione dei dati rappresentano oggi componenti essenziali dell’attività economica di pressoché ogni organizzazione.

A questa evoluzione del mercato non è tuttavia corrisposta, almeno sino ad oggi, un’analoga specializzazione della giurisdizione civile.

Le controversie aventi ad oggetto tecnologie digitali vengono infatti trattate, salvo specifiche ipotesi, secondo le ordinarie regole di competenza, con la conseguenza che giudici chiamati quotidianamente a decidere le più diverse tipologie di controversie si trovano spesso ad affrontare questioni caratterizzate da una significativa complessità tecnica, tecnologica e regolatoria.

In questo contesto si inserisce il recente Disegno di Legge S. 1934 (“DDL”), presentato al Senato l’11 giugno 2026, che propone l’istituzione delle “Sezioni specializzate in materia digitale” presso i tribunali e le corti d’appello già sedi delle sezioni specializzate in materia d’impresa. 

Pur trattandosi di una proposta ancora all’inizio dell’iter parlamentare, il DDL merita particolare attenzione, poiché rappresenta uno dei primi tentativi, nel panorama europeo, di costruire una giurisdizione specificamente dedicata alle controversie dell’economia digitale.

2. Perché nasce l’esigenza di una giustizia specializzata

La ratio della proposta appare piuttosto chiara.

Le controversie digitali presentano caratteristiche che sempre più frequentemente le distinguono dal tradizionale contenzioso commerciale.

L’accertamento giudiziale richiede spesso la comprensione di architetture software, infrastrutture cloud, algoritmi di intelligenza artificiale, sistemi di cybersecurity, modalità di trattamento dei dati personali, API, servizi SaaS, modelli di licensing, infrastrutture distribuite o sistemi automatizzati di decisione.

In tali contesti, la componente tecnologica non costituisce un mero elemento accessorio del rapporto contrattuale, bensì il nucleo stesso della prestazione dedotta in giudizio.

Il legislatore sembra quindi muovere da una considerazione ormai difficilmente contestabile: l’efficienza della tutela giurisdizionale dipende anche dalla capacità del giudice di comprendere il contesto tecnologico nel quale la controversia si inserisce.

Si tratta di una logica non nuova nel nostro ordinamento. Analogamente a quanto avvenuto con le sezioni specializzate in materia d’impresa, la proposta mira a concentrare determinate controversie davanti a giudici dotati di competenze specialistiche, favorendo una maggiore uniformità interpretativa e una progressiva formazione di una giurisprudenza altamente qualificata.

3. L’elemento centrale del DDL: la “prestazione digitale prevalente”

L’aspetto probabilmente più innovativo della proposta non consiste tanto nell’istituzione di nuove sezioni specializzate, quanto nel criterio utilizzato per individuarne la competenza.

Il DDL non si limita infatti ad elencare categorie di controversie, ma introduce la nozione di “rapporto giuridico a prestazione digitale prevalente”, destinata a rappresentare il principale criterio di attribuzione delle controversie.

Sarebbero devolute alle nuove sezioni le controversie nelle quali la componente digitale costituisce l’oggetto principale del rapporto, comprendendo, tra le altre, attività di sviluppo, progettazione, implementazione, integrazione, manutenzione, concessione in uso, gestione o sfruttamento economico di software, sistemi digitali, infrastrutture cloud, piattaforme online, servizi digitali, banche dati e sistemi di intelligenza artificiale.

La scelta appare particolarmente significativa perché sposta l’attenzione dalla natura soggettiva delle parti coinvolte alla natura oggettiva della prestazione contrattuale.

In altri termini, ciò che rileva non è se una controversia riguardi una società tecnologica, bensì se il cuore del rapporto giuridico sia rappresentato dalla fornitura o dall’utilizzo di una prestazione digitale.

4. Le possibili ricadute per le imprese

Dal punto di vista delle imprese, la proposta potrebbe produrre effetti che vanno ben oltre la sola individuazione del giudice competente.

Una maggiore specializzazione della giurisdizione potrebbe infatti incidere sulla prevedibilità delle decisioni giudiziarie, riducendo il rischio che controversie analoghe ricevano soluzioni profondamente differenti in ragione della maggiore o minore familiarità del singolo giudice con le tecnologie oggetto della lite.

Per gli operatori del settore ICT ciò potrebbe tradursi in una maggiore certezza nella gestione del rischio contrattuale.

Non meno rilevante potrebbe essere l’impatto sulla fase di redazione e negoziazione dei contratti.

Se il contenzioso digitale inizierà progressivamente a sviluppare orientamenti giurisprudenziali specialistici, sarà verosimilmente necessario ripensare anche alcune clausole oggi frequentemente utilizzate nella contrattualistica tecnologica, dalle Service Level Agreement (SLA) ai livelli di disponibilità dei servizi cloud, dalle limitazioni di responsabilità alle clausole relative alla cybersecurity, sino alle previsioni dedicate all’intelligenza artificiale, alla governance dei dati e alla gestione degli incidenti informatici.

In tale prospettiva, il DDL non interessa soltanto chi gestisce il contenzioso, ma anche chi, come noi, quotidianamente assiste le imprese nella strutturazione dei rapporti contrattuali e nella definizione dei modelli di governance dei progetti digitali.

5. Le questioni ancora aperte

Come ogni proposta di riforma, anche il DDL lascia aperti numerosi interrogativi.

Il primo riguarda proprio la nozione di “prestazione digitale prevalente”.

Sebbene la scelta di adottare un criterio sostanziale appaia condivisibile, non sarà sempre agevole individuare quando la componente digitale costituisca il vero oggetto del rapporto e quando, invece, rappresenti soltanto uno strumento attraverso il quale viene resa una diversa prestazione principale.

Si pensi, ad esempio, ai contratti complessi di digital transformation, agli appalti tecnologici integrati, ai progetti ERP, alle implementazioni di sistemi di intelligenza artificiale o ai servizi gestiti (managed services), nei quali elementi digitali, consulenziali e organizzativi risultano spesso strettamente intrecciati.

Ulteriori profili interpretativi potrebbero inoltre emergere nel coordinamento con l’attuale disciplina delle sezioni specializzate in materia d’impresa e nella delimitazione dei rispettivi ambiti di competenza.

Non meno importante sarà verificare se alla specializzazione formale degli uffici giudiziari corrisponderà un effettivo investimento nella formazione tecnica dei magistrati e nell’organizzazione degli uffici, condizione essenziale affinché la riforma possa raggiungere gli obiettivi perseguiti.

6. Uno sviluppo da seguire con attenzione

L’istituzione delle sezioni specializzate in materia digitale rappresenta, allo stato, una proposta normativa ancora suscettibile di modifiche nel corso dell’iter parlamentare. 

Indipendentemente dal testo che verrà eventualmente approvato, il DDL coglie tuttavia un fenomeno ormai evidente: il diritto delle tecnologie digitali non costituisce più una disciplina di nicchia, ma uno dei principali terreni sui quali si sviluppano i rapporti economici contemporanei.

Per le imprese che operano nel settore digitale, o che fondano sempre più i propri processi su software, dati e intelligenza artificiale, la crescente specializzazione della giustizia rappresenta un’evoluzione destinata ad incidere non soltanto sulla gestione del contenzioso, ma anche sulla progettazione dei contratti, sulla governance dei progetti tecnologici e, più in generale, sulla gestione del rischio legale.

In questa prospettiva, il DDL costituisce un segnale significativo dell’evoluzione dell’ordinamento verso una giustizia maggiormente consapevole delle peculiarità dell’economia digitale e delle sfide poste dall’innovazione tecnologica.

Il problema: dipendenza e deficit di capacità

La quota di mercato dei fornitori cloud europei è scesa dal 29% del 2017 a circa il 15% nel 2022. Nel frattempo, la domanda di capacità computazionale — trainata dallo sviluppo di modelli di intelligenza artificiale sempre più energivori — è cresciuta in modo esponenziale. L'obiettivo dichiarato del CADA è quello di almeno triplicare la capacità dei data center europei nei prossimi cinque-sette anni, semplificando le procedure autorizzative e migliorando l'accesso a risorse essenziali come energia, terreni, acqua e finanziamenti.

In questo scenario, i data center non sono più intesi come semplici infrastrutture tecniche ma asset essenziali in quanto strumentali alla tutela della sovranità digitale — un cambio di paradigma che l'Italia ha già anticipato a livello interno con il D.L. 21/2026, che ha introdotto il procedimento unico nazionale per la loro autorizzazione.

L'architettura del CADA: tre pilastri normativi

Sul piano strutturale, il CADA si articola su tre assi principali.

Il primo riguarda la capacità infrastrutturale. La proposta richiede agli Stati membri di facilitare la creazione di data center acceleration zones, aree dedicate a garantire adeguata capacità energetica per lo sviluppo di data center su scala europea. Si tratta di uno strumento con rilevanti implicazioni urbanistiche e ambientali, che potrebbe imporre  una revisione degli strumenti di governo del territorio nei singoli ordinamenti nazionali.

Il secondo pilastro — e probabilmente il più innovativo — è rappresentato dal framework europeo di sovranità cloud. La proposta introduce quattro livelli progressivi di garanzia, denominati «Union assurance levels». Per le attività del settore pubblico che, in esito alla valutazione del rischio, non siano individuate come rilevanti per la tutela dell’ordine pubblico, è richiesto il ricorso a servizi cloud riconosciuti almeno al livello 1. Per le attività che, invece, contribuiscono alla tutela dell’ordine pubblico e sono riconducibili ai settori contemplati dagli Allegati I e II della direttiva NIS2 — tra cui energia, trasporti, sanità e approvvigionamento idrico — oppure agli ambiti della sicurezza nazionale o interna, della gestione delle frontiere esterne, della difesa, della giustizia o delle attività di contrasto, gli Stati membri e le entità dell’Unione devono effettuare una valutazione del rischio e determinare il livello di garanzia appropriato tra i livelli 2, 3 e 4. Le amministrazioni interessate potranno quindi acquistare esclusivamente servizi cloud riconosciuti al livello di garanzia richiesto.

Il terzo pilastro interviene sulla contrattazione pubblica. La proposta richiede alle pubbliche amministrazioni di considerare il "valore aggiunto europeo" come criterio non economico-finanziario negli appalti per servizi cloud e AI, tenendo conto della misura in cui un fornitore contribuisce alla catena di fornitura tecnologica europea, integra tecnologie sviluppate nell'UE o eroga servizi tramite componenti hardware progettati o prodotti in Europa. Pur rimanendo un criterio "accessorio e non determinante" — con un peso massimo indicativo di 15 punti su 120 — introduce comunque un vantaggio strutturale per i provider con significativa presenza in Europa.

Le implicazioni giuridiche per le imprese

Il CADA non è destinato a produrre effetti solo nel settore pubblico. Sebbene l'impatto più immediato riguardi le pubbliche amministrazioni, la proposta è destinata a diventare un riferimento più ampio per le imprese che offrono, acquistano o utilizzano infrastrutture cloud e AI nell'Unione Europea.

Per i fornitori di servizi cloud, la classificazione per livelli di assurance imporrà una revisione profonda dei modelli contrattuali, dei service level agreement e delle politiche di data residency. Per le imprese che operano in settori regolati — banche, assicurazioni, utilities, sanità — il coordinamento con gli obblighi già previsti da DORA, NIS2 e GDPR genererà un sistema di compliance stratificato di notevole complessità. La proposta si inserisce espressamente in continuità con il Data Act, la NIS2, DORA, il GDPR e l'AI Act, e deve essere letta in combinato disposto con le disposizioni sulla gestione del rischio nella catena di fornitura ICT previste dalla revisione del Cybersecurity Act.

Il nodo geopolitico e il rischio di frammentazione

Il CADA si colloca in un contesto geopolitico di crescente tensione. Le associazioni di categoria americane, come il CCIA (Computer and Communications Industry Association), hanno criticato aspramente la proposta, considerano le regole europee come discriminatorie e protezionistiche, poiché rischiano di escludere le aziende USA dagli appalti pubblici più sensibili per la sicurezza nazionale, la difesa e la sanità.

Il rischio concreto è che le trattative in sede di trilogo — il percorso negoziale tra Commissione, Parlamento e Consiglio che porterà al testo definitivo — indeboliscano significativamente le disposizioni più ambiziose sulla sovranità cloud, sotto la pressione diplomatica e commerciale dei partner transatlantici.

Sul piano interno europeo, permane il rischio di disallineamenti tra il CADA e le discipline nazionali già adottate — come quella italiana sopra citata — generando sovrapposizioni normative che le imprese dovranno navigare con attenzione.

Conclusioni

Il Cloud and AI Development Act segna un passaggio qualitativo nella strategia regolatoria europea: per la prima volta, i data center e le infrastrutture cloud vengono trattati non come oggetto di regolazione tecnica, ma come strumenti di politica industriale e di sicurezza nazionale. Per giuristi, imprese e pubbliche amministrazioni si apre una stagione di profonda revisione di contratti, assetti organizzativi e modelli di compliance. Il testo è ancora in fase di proposta e il percorso legislativo sarà lungo, ma il segnale politico è inequivocabile: in Europa, chi controlla l'infrastruttura AI controlla una risorsa strategica, e il diritto è chiamato a presidiare questo confine.

L’utilizzo di sistemi di intelligenza artificiale da parte delle pubbliche amministrazioni, intese in senso sostanziale, presuppone anzitutto la soluzione di un problema preliminare: quello relativo alle modalità di approvvigionamento delle tecnologie necessarie.

Il tema del public procurement assume, pertanto, un rilievo centrale. Allo stato, infatti, appare difficilmente ipotizzabile che la generalità delle amministrazioni sia in grado di sviluppare autonomamente sistemi di intelligenza artificiale. Più frequentemente, esse saranno chiamate ad acquisire sul mercato soluzioni sviluppate da operatori economici privati, assumendo così, secondo le categorie impiegate dalla normativa europea, prevalentemente il ruolo di utilizzatori, o deployer, dei sistemi.

La scelta di ricorrere al mercato non esaurisce, tuttavia, la responsabilità dell’amministrazione. Al contrario, proprio l’acquisizione di tecnologie sviluppate da soggetti esterni rende necessario predisporre strumenti idonei a garantire che il sistema acquistato sia conforme alla normativa, risponda effettivamente al fabbisogno pubblico e possa essere governato, controllato e, ove necessario, corretto nel corso del suo utilizzo.

La riflessione si colloca in un quadro regolatorio particolarmente articolato. Tra le fonti maggiormente rilevanti possono richiamarsi il Regolamento (UE) 2024/1689 (“AI Act”), la legge 23 settembre 2025, n. 132, il decreto legislativo 31 marzo 2023, n. 36, recante il Codice dei contratti pubblici, nonché le Linee guida dell’Agenzia per l’Italia digitale (“AgID”) per il procurement di sistemi di intelligenza artificiale nella pubblica amministrazione, adottate in bozza con determinazione n. 43/2026.

Già dalla sola considerazione delle fonti applicabili emerge come il procurement di sistemi di intelligenza artificiale si collochi all’intersezione tra due discipline che, in tale ambito, devono essere lette in termini necessariamente complementari: da un lato, la normativa in materia di contratti pubblici; dall’altro, quella specificamente dedicata alla progettazione, alla commercializzazione e all’utilizzo dei sistemi di intelligenza artificiale.

Il Codice dei contratti pubblici disciplina il procedimento attraverso il quale l’amministrazione individua il proprio fabbisogno, seleziona l’operatore economico e definisce le prestazioni contrattuali. La normativa sull’intelligenza artificiale, invece, individua requisiti, obblighi e responsabilità collegati alle caratteristiche e alle modalità di impiego del sistema. Le due discipline convergono, dunque, nella documentazione di gara e nel contratto, che rappresentano gli strumenti mediante i quali gli obblighi regolatori vengono tradotti in specifiche tecniche, condizioni di partecipazione, criteri di valutazione e obbligazioni concretamente esigibili nei confronti del fornitore.

Principali rischi e possibili garanzie

Le disposizioni contenute nelle fonti richiamate mostrano come il procurement di sistemi di intelligenza artificiale debba essere adeguatamente governato durante tutte le fasi del ciclo di vita del contratto. Un’attenzione particolare deve, tuttavia, essere riservata alle fasi “iniziali” della programmazione, della progettazione e dell’affidamento.

Si tratta, infatti, dei momenti (in particolare, nel caso delle prime due fasi) nei quali l’amministrazione definisce il proprio fabbisogno, individua la finalità per la quale il sistema sarà utilizzato, valuta l’effettiva necessità di ricorrere a una soluzione algoritmica e stabilisce le caratteristiche tecniche e funzionali della prestazione richiesta. In queste fasi vengono inoltre disciplinati l’accesso e l’utilizzo dei dati, gli obblighi di documentazione, trasparenza e audit, la distribuzione delle responsabilità tra amministrazione e fornitore, nonché le modalità di supervisione umana del sistema.

La qualità della documentazione di gara incide, pertanto, in misura determinante sulla futura conformità del sistema acquistato. Una definizione generica o incompleta dell’oggetto dell’affidamento rischia di trasferire sul fornitore scelte che dovrebbero rimanere nella disponibilità dell’amministrazione, limitando la capacità di quest’ultima di comprendere il funzionamento del sistema e di controllarne gli effetti.

Il primo profilo problematico riguarda, quindi, la corretta individuazione del fabbisogno e dell’oggetto dell’affidamento. L’amministrazione dovrebbe chiarire preventivamente quale attività intende automatizzare o supportare e quale grado di autonomia può essere riconosciuto al sistema. Dovrebbero essere evitate formulazioni eccessivamente ampie, fondate su un generico richiamo al sistema di intelligenza artificiale, privilegiando invece l’individuazione di prestazioni, risultati attesi, limiti operativi e indicatori di qualità verificabili.

Una particolare attenzione deve essere dedicata ai dati utilizzati per l’addestramento, la validazione e il funzionamento del sistema. La documentazione di gara dovrebbe specificarne la provenienza, la qualità, l’aggiornamento e la rappresentatività, disciplinando altresì i diritti di accesso, utilizzo, conservazione e restituzione. Dovrebbero inoltre essere previsti obblighi informativi in capo al fornitore, soprattutto con riferimento alle modifiche dei dataset, del modello o delle modalità di funzionamento che possano incidere sulle prestazioni e sui rischi del sistema.

La stazione appaltante non dovrà, peraltro, considerare soltanto la disciplina specifica dell’intelligenza artificiale. Dovranno essere valutati anche gli obblighi derivanti dalla normativa in materia di protezione dei dati personali, sicurezza informatica, accessibilità, conservazione documentale e continuità operativa. L’acquisto e il funzionamento di sistemi di intelligenza artificiale dipendono, infatti, spesso da infrastrutture digitali, servizi cloud e articolate catene di fornitura ICT.

In tale prospettiva assume rilievo anche la proposta di revisione del Cybersecurity Act, comunemente indicata come CSA2, attualmente in corso di approvazione a livello europeo. La proposta mira, tra l’altro, a rafforzare la sicurezza delle catene di fornitura ICT e potrebbe incidere anche sulle condizioni di partecipazione degli operatori economici di Paesi terzi alle procedure di affidamento europee. Il profilo della sicurezza della catena di fornitura dovrebbe, quindi, essere considerato già in sede di progettazione della gara, verificando la localizzazione delle infrastrutture, l’impiego di subfornitori, le dipendenze da componenti esterne e le condizioni di accesso ai dati da parte di soggetti terzi.

Un secondo rischio riguarda il cosiddetto lock-in tecnologico, ossia la dipendenza dell’amministrazione da un determinato fornitore o da una specifica soluzione proprietaria. Tale dipendenza può derivare dall’assenza di interoperabilità, dalla difficoltà di trasferire dati e configurazioni a un diverso operatore o dalla mancata disponibilità delle informazioni necessarie per comprendere e governare il funzionamento del sistema.

Per limitare questo rischio, la documentazione di gara dovrebbe prevedere requisiti di interoperabilità e portabilità, l’utilizzo di standard aperti, ove possibile, nonché specifici obblighi di collaborazione in caso di cessazione del rapporto contrattuale o subentro di un nuovo fornitore. Dovrebbero essere disciplinati anche la restituzione dei dati, la trasferibilità delle configurazioni, la disponibilità della documentazione tecnica e i limiti all’utilizzo di componenti proprietarie non sostituibili.

L’esigenza di evitare il lock-in non comporta necessariamente la completa disclosure del codice sorgente o di ogni informazione riservata del fornitore. Impone, tuttavia, che l’amministrazione disponga di un livello di conoscenza e di accesso alle informazioni sufficiente a controllare il sistema, verificarne le prestazioni, accertare eventuali anomalie e garantire la continuità del servizio pubblico.

Un terzo profilo riguarda la predisposizione di adeguate garanzie di supervisione umana, monitoraggio e correzione degli errori. La supervisione non dovrebbe essere prevista in termini meramente formali, mediante la generica presenza di un operatore umano. Occorre, invece, individuare soggetti dotati di competenze, poteri e informazioni adeguati per comprendere l’output del sistema, verificarne l’attendibilità e, ove necessario, non applicarlo, sospenderne l’utilizzo o richiederne la revisione.

Il contratto dovrebbe inoltre disciplinare le modalità di monitoraggio successivo all’affidamento, prevedendo indicatori di performance, controlli periodici, obblighi di segnalazione degli incidenti e procedure per la gestione degli errori. Particolare rilevanza assume la possibilità per l’amministrazione di verificare il sistema anche nel corso dell’esecuzione, attraverso audit, test, accesso alla documentazione e obblighi di cooperazione del fornitore.

Dovrebbero essere previste clausole specifiche anche per il caso in cui il sistema sia modificato, aggiornato o riaddestrato durante il rapporto contrattuale. Tali interventi potrebbero, infatti, alterarne il funzionamento, il livello di rischio o la conformità rispetto alle condizioni originariamente valutate. Il fornitore dovrebbe quindi essere tenuto a comunicare preventivamente le modifiche rilevanti e l’amministrazione dovrebbe poter valutare se esse richiedano nuove verifiche, misure di mitigazione o una revisione delle condizioni di utilizzo.

Conclusioni a caldo

La centralità del public procurement deriva dalla circostanza che una parte significativa delle garanzie richieste dalla normativa sull’intelligenza artificiale deve essere concretamente costruita prima ancora che il sistema venga utilizzato, nelle primissime fasi del ciclo di vita dei contratti pubblici. È in questi momenti, difatti, che si definisce il livello di controllo pubblico sulla tecnologia.

La conformità normativa del sistema non può, quindi essere considerata una caratteristica da verificare soltanto al momento dell’esecuzione del contratto. Essa deve diventare parte integrante dell’oggetto dell’affidamento e tradursi in requisiti tecnici, obblighi informativi, poteri di controllo, clausole di responsabilità e strumenti di tutela applicabili durante l’intera esecuzione del contratto.

In questa prospettiva, l’amministrazione deve definire puntualmente sia i presidi giuridici nonché i requisiti tecnici specifici.

L’obiettivo dovrebbe essere quello di verificare in che modo i principi e gli obblighi derivanti dalla normativa europea e nazionale possano essere tradotti in regole contrattuali effettive, con particolare riguardo alla definizione del fabbisogno, alla qualità e alla governance dei dati, alla sicurezza delle catene di fornitura, alla prevenzione del lock-in tecnologico, alla trasparenza, all’auditabilità e alla supervisione umana.

In termini più ampi, pertanto, si può evidenziare che il procurement non rappresenta, pertanto, un passaggio meramente strumentale all’introduzione dell’intelligenza artificiale nel settore pubblico. Esso costituisce uno dei principali strumenti attraverso i quali l’amministrazione può governare l’innovazione tecnologica, preservando la propria autonomia decisionale e assicurando che l’impiego dei sistemi di intelligenza artificiale rimanga coerente con i principi di legalità, buon andamento, imparzialità, trasparenza e tutela dei diritti.

Gli schemi di decreto delineano un quadro articolato di responsabilità e presidi organizzativi per le imprese che sviluppano, immettono sul mercato o utilizzano sistemi di intelligenza artificiale. La disciplina non si limita a introdurre nuove fattispecie penali e strumenti processuali per il risarcimento dei danni, ma incide anche sul sistema sanzionatorio amministrativo, sulla governance interna, sulla formazione del personale, sui rapporti con consumatori e lavoratori e sugli strumenti di sperimentazione e sostegno all’ecosistema IA.

Nuovi profili di responsabilità penale per i sistemi IA ad alto rischio

Lo schema in materia di IA, polizia e responsabilità introduce, all’articolo 14, un nuovo articolo 437-bis del Codice penale, relativo all’omessa adozione di misure di sicurezza nei sistemi di IA ad alto rischio e alla loro alterazione illecita. La norma riguarda chi, nelle fasi di progettazione, addestramento, produzione, immissione sul mercato o utilizzo professionale di sistemi di IA ad alto rischio, omette misure tecniche idonee a prevenire malfunzionamenti o alterazioni, oppure omette adeguate misure di sorveglianza umana.

La rilevanza per le imprese è duplice. Da un lato, le persone fisiche coinvolte nella progettazione, validazione, gestione o utilizzo del sistema possono essere esposte a responsabilità penale diretta; dall’altro, la società può subire conseguenze ai sensi del d.lgs. 231/2001, ove il reato sia commesso nel suo interesse o a suo vantaggio. Il reato si configura quando l’omissione delle misure di sicurezza o di supervisione umana determina un pericolo concreto per la vita o l’incolumità individuale, pubblica o per la sicurezza dello Stato.

Sono previste pene più severe per l’alterazione intenzionale di sistemi di IA ad alto rischio, con un trattamento sanzionatorio crescente in funzione della natura del pericolo generato. È inoltre prevista una riduzione di pena quando i fatti omissivi siano commessi per colpa grave anziché con dolo. Ne deriva l’esigenza di presidiare, anche sul piano documentale, le scelte tecniche e organizzative relative alla sicurezza del sistema e alla supervisione umana.

Responsabilità 231 e modello organizzativo

L’articolo 17 dello stesso schema estende la responsabilità amministrativa degli enti ai nuovi reati commessi con l’uso di sistemi di IA. In particolare, per il delitto di cui all’articolo 437-bis c.p. è prevista una sanzione pecuniaria da 600 a 1.000 quote, oltre alle sanzioni interdittive indicate dall’articolo 9, comma 2, lettere b), c), d) ed e), del d.lgs. 231/2001. 

In concreto, le società che sviluppano o utilizzano sistemi di IA, soprattutto ad alto rischio, dovranno valutare l’aggiornamento del modello 231 e dei relativi protocolli. Le aree da presidiare includono la governance tecnica del sistema, la gestione dei rischi, le misure di sicurezza, la supervisione umana, la tracciabilità degli output, la gestione degli incidenti, i controlli sui fornitori, la documentazione di conformità e la formazione del personale coinvolto nel ciclo di vita del sistema.

Azioni di risarcimento, accesso alle prove e foro del consumatore

Il Capo II dello schema in materia di responsabilità introduce strumenti processuali civili per i danni cagionati dall’utilizzo di sistemi di IA. L’articolo 18 delimita l’ambito di applicazione: l’articolo 19 si applica alle azioni di risarcimento del danno, sia contrattuale sia extracontrattuale, cagionato dall’utilizzo di un sistema di IA; gli articoli 20 e 21 si applicano invece quando il danno deriva dalla violazione di uno o più obblighi previsti dall’AI Act. Restano ferme la responsabilità per trattamento illecito di dati personali ai sensi dell’articolo 82 GDPR e la disciplina nazionale di recepimento della direttiva (UE) 2024/2853 sulla responsabilità da prodotti difettosi.

Lo stesso articolo 18 introduce anche un criterio di competenza favorevole al consumatore. Nelle azioni di risarcimento, quando il danneggiato è una persona fisica che agisce per scopi estranei all’attività imprenditoriale, commerciale, artigianale o professionale eventualmente svolta, è competente anche il giudice del luogo in cui il danneggiato ha la residenza o il domicilio. Per le imprese, ciò può incidere sulla gestione del contenzioso, aumentando il rischio di azioni radicate presso fori diversi da quelli contrattualmente previsti o dalla sede dell’impresa.

L’articolo 19 disciplina l’accesso alle prove e rappresenta una delle disposizioni più rilevanti per provider e deployer di sistemi IA ad alto rischio. Su istanza della parte che allega di avere subito un danno, il giudice può ordinare all’altra parte o al terzo che ne dispone l’esibizione degli elementi di prova specificamente pertinenti relativi al funzionamento del sistema di IA, quando l’istante presenta fatti ed elementi idonei a rendere verosimile la fondatezza della domanda, anche con riferimento al collegamento tra output del sistema e danno lamentato.

Potranno quindi assumere rilievo, in sede contenziosa, la documentazione tecnica, i registri di funzionamento, la documentazione sulla gestione dei rischi, le informazioni sulla supervisione umana e, più in generale, i presidi che consentono di ricostruire il funzionamento del sistema. Il giudice deve bilanciare l’esigenza probatoria del danneggiato con la tutela dei segreti industriali; tuttavia, il mancato deposito della documentazione richiesta, in assenza di giustificato motivo, può comportare conseguenze processuali sfavorevoli, sino alla possibilità che il giudice ritenga ammessi i fatti allegati dall’istante.

Presunzione del nesso causale e limiti della certificazione

L’articolo 20 introduce una presunzione del nesso di causalità: quando il danno deriva dalla violazione di uno o più obblighi previsti dall’AI Act, il collegamento causale tra violazione e danno è presunto, salvo prova contraria. In pratica, l’impresa convenuta dovrà essere in grado di dimostrare che il danno non dipende dalla violazione contestata. Questo rende centrale non solo la conformità formale, ma anche la capacità di documentare in concreto l’effettivo rispetto degli obblighi applicabili.

L’articolo 21 precisa, inoltre, che la conformità del sistema agli obblighi previsti dall’AI Act, anche se certificata da un organismo notificato ai sensi del Regolamento, non esclude di per sé la responsabilità del convenuto. La certificazione resta quindi un elemento importante del sistema di compliance, ma non è sufficiente, da sola, a neutralizzare il rischio di responsabilità. In caso di contenzioso, sarà necessario dimostrare che il sistema era effettivamente sicuro, adeguatamente controllato e gestito secondo un processo di risk management sostanziale e documentato.

Azione diretta verso l’assicuratore

L’articolo 22 introduce la possibilità per il danneggiato di agire direttamente nei confronti dell’impresa di assicurazione che presta la copertura della responsabilità civile al convenuto, nei limiti delle somme previste dal contratto. Prima di avviare l’azione, il danneggiato può chiedere al soggetto che ritiene responsabile se sia assistito da una polizza di responsabilità civile relativa al danno dedotto; la richiesta non costituisce condizione di procedibilità, ma il destinatario deve comunicare entro trenta giorni l’esistenza della polizza, gli estremi del contratto e la denominazione dell’assicuratore.

Per le imprese, questo profilo impone una verifica preventiva delle coperture assicurative disponibili, dei massimali, delle esclusioni e dell’effettiva coerenza delle polizze con i rischi connessi allo sviluppo o all’utilizzo di sistemi di IA. L’azione diretta offre infatti al danneggiato un ulteriore canale di soddisfazione del credito risarcitorio, ferma la partecipazione necessaria al giudizio del soggetto individuato come responsabile del danno.

Sanzioni amministrative pecuniarie e vigilanza

Lo schema di decreto dedicato ai poteri delle autorità nazionali, alla formazione e al lavoro, disciplina anche il sistema delle sanzioni amministrative pecuniarie per le violazioni dell’AI Act. L’articolo 23 prevede importi potenzialmente molto significativi, parametrati anche al fatturato mondiale annuo dell’esercizio precedente. Le violazioni più gravi, relative alle pratiche vietate di cui all’articolo 5 dell’AI Act, possono comportare sanzioni fino a 35 milioni di euro o, se superiore, fino al 7% del fatturato mondiale annuo.

Sono poi previste soglie inferiori, ma comunque rilevanti, per la violazione degli obblighi applicabili ai diversi operatori della catena del valore dell’IA, di cui all’articolo 99, paragrafo 1, dell’AI Act. 

La disciplina rafforza, quindi, l’esigenza di mappare correttamente il ruolo assunto dall’impresa rispetto a ciascun sistema di IA e di individuare gli obblighi specificamente applicabili. Nella determinazione della sanzione, l’autorità competente tiene conto dei criteri dell’articolo 99, paragrafo 7, dell’AI Act, nonché della natura sostanziale o formale dell’obbligo violato; per PMI, microimprese e start-up innovative opera invece il regime sanzionatorio attenuato previsto dall’articolo 99, paragrafo 6, dell’AI Act.

Accanto alle sanzioni pecuniarie, per le violazioni caratterizzate da scarsa offensività o pericolosità le autorità possono adottare misure non pecuniarie, quali ordini di eliminare l’infrazione e di astenersi dal ripeterla, oppure dichiarazioni pubbliche relative alla violazione commessa e al soggetto responsabile. L’inosservanza dell’ordine impartito può tuttavia determinare l’applicazione di sanzioni pecuniarie, aumentate sino a un terzo rispetto a quelle previste per la violazione originaria, nei limiti dei massimali applicabili.

Tutela dei lavoratori e salute e sicurezza nei luoghi di lavoro

Lo schema di decreto dedicato ad autorità, formazione e lavoro contiene disposizioni specifiche sull’utilizzo dell’IA nei rapporti di lavoro. L’articolo 41 prevede che, nei processi decisionali concernenti il rapporto di lavoro, le decisioni relative alla costituzione, modificazione o risoluzione del rapporto, inclusi i provvedimenti disciplinari, non siano adottate unicamente sulla base di un trattamento automatizzato. La decisione definitiva deve essere riservata a una persona fisica, che eserciti un potere effettivo e autonomo.

L’utilizzo di tali sistemi deve avvenire nel rispetto della dignità e della riservatezza del lavoratore e del principio di non discriminazione. Prima dell’avvio del trattamento, il datore di lavoro deve assolvere gli obblighi informativi applicabili; il lavoratore ha inoltre diritto di ottenere, a richiesta e mediante l’intervento di una persona fisica, una motivazione intelligibile della decisione che lo riguarda, comprensiva dell’indicazione dell’eventuale incidenza dei sistemi di IA sul processo decisionale e dei principali parametri considerati. Il licenziamento intimato in violazione della regola sulla decisione umana è nullo.

L’articolo 42 affronta invece il rapporto tra IA e salute e sicurezza nei luoghi di lavoro. L’utilizzo di sistemi di IA che incidono sull’organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti ai fini della sicurezza deve essere valutato nell’ambito della valutazione dei rischi di cui all’articolo 28 del d.lgs. 81/2008. Inoltre, i datori di lavoro devono assicurare un’adeguata informazione e formazione dei lavoratori sui rischi specifici connessi all’utilizzo dei sistemi di IA e sulle misure di prevenzione e protezione adottate.

Implicazioni operative per le imprese

Nel complesso, gli schemi di decreto rafforzano significativamente il profilo di responsabilità connesso allo sviluppo e all’utilizzo di sistemi di IA. Le imprese dovrebbero anzitutto mappare i sistemi impiegati e il ruolo assunto rispetto a ciascuno di essi, distinguendo tra provider, deployer e altri operatori della catena del valore. Dovrebbero inoltre verificare la classificazione di rischio dei sistemi, aggiornare la documentazione tecnica e di risk management, presidiare la supervisione umana, conservare log e registri di funzionamento, rafforzare i controlli sui fornitori e valutare l’adeguatezza delle coperture assicurative adottate.

Sul piano organizzativo, sarà opportuno coordinare la compliance AI con il modello 231, le procedure privacy, la formazione del personale e le procedure lavoristiche. 

Particolare attenzione dovrà essere dedicata ai sistemi che incidono su consumatori o lavoratori, poiché in tali ambiti si sommano profili di responsabilità civile, competenza giurisdizionale, trasparenza, non discriminazione, salute e sicurezza e possibili sanzioni amministrative.

Il Digital Omnibus on AI è parte del programma di semplificazione normativa avviato dalla Commissione europea il 19 novembre 2025 nell'ambito dell'agenda "Omnibus VII" e risponde a difficoltà applicative emerse nella prima fase di attuazione dell'AI Act: il ritardo degli standard tecnici armonizzati che gli organismi europei di normazione — incaricati dalla Commissione di elaborare le specifiche tecniche necessarie per dimostrare la conformità all'AI Act — non sono riusciti a completare nei tempi previsti e la mancata designazione delle autorità nazionali competenti in diversi Stati membri.

Le principali modifiche

Il rinvio delle scadenze per i sistemi ad alto rischio

Gli obblighi per i sistemi classificati ad alto rischio ai sensi dell'Allegato III dell'AI Act — che comprende, tra gli altri, i sistemi impiegati in ambito occupazionale (selezione del personale, valutazione delle performance, decisioni sul rapporto di lavoro), nella valutazione del merito creditizio, nell'accesso a servizi pubblici essenziali, nel law enforcement e nell'amministrazione della giustizia — sono posticipati dal 2 agosto 2026 al 2 dicembre 2027. Per i sistemi ad alto rischio integrati in prodotti soggetti alla normativa UE di armonizzazione in materia di salute e sicurezza elencata all’Allegato I (tra cui dispositivi medici, macchinari e componenti per veicoli), la scadenza slitta dal 2 agosto 2027 al 2 agosto 2028. 

Gli obblighi di trasparenza 

Gli obblighi di trasparenza previsti dall'articolo 50 dell'AI Act non sono oggetto di proroga e restano applicabili dal 2 agosto 2026. L'unica eccezione riguarda la marcatura machine-readable degli output dei sistemi di intelligenza artificiale generativa già immessi sul mercato prima di tale data: per questi soltanto, il Digital Omnibus on AI riconosce una finestra transitoria fino al 2 dicembre 2026. Tutti gli altri obblighi dell'articolo 50 — disclosure dell'interazione con sistemi AI, informativa nei casi di riconoscimento delle emozioni e categorizzazione biometrica, etichettatura dei deepfake e dei testi di interesse pubblico generati dall'IA — trovano applicazione dal 2 agosto 2026.

La AI literacy

In materia di AI literacy, il Digital Omnibus on AI non sposta la scadenza — l'articolo 4 dell'AI Act è infatti operativo dal 2 febbraio 2025 — ma ne riformula la struttura. L'obbligo di "garantire" un adeguato livello di alfabetizzazione in materia di IA al proprio personale, originariamente in capo a provider e deployer, diventa un impegno promozionale della Commissione e degli Stati membri; provider e deployer conservano l'obbligo di adottare misure concrete, ma il testo esclude che questo implichi garantire un livello specifico di alfabetizzazione a ciascun individuo e introduce un criterio di proporzionalità rispetto ai rischi dei sistemi impiegati e alle caratteristiche dell'organizzazione.

Il nuovo divieto: sistemi di nudificazione e CSAM

Il Regolamento aggiunge al catalogo delle pratiche di IA vietate dall'articolo 5 dell'AI Act — anch’esso già in vigore dal 2 febbraio 2025 — il divieto di sistemi che generano materiale di abuso sessuale di minori (CSAM) o che ritraggono, senza il consenso dell'interessato, parti intime di una persona identificabile in qualunque formato audiovisivo. In questo caso, l'obbligo di adeguamento decorre dal 2 dicembre 2026.

Altre modifiche

Il Digital Omnibus introduce ulteriori modifiche che riguardano specifiche categorie di operatori e sistemi.

Le semplificazioni già previste per le PMI — documentazione tecnica semplificata, requisiti ridotti per i sistemi di gestione della qualità, accesso prioritario ai sandbox regolamentari — vengono estese alle small mid-cap enterprises (indicativamente, imprese con meno di 750 dipendenti e meno di 150 milioni di euro di fatturato). 

In secondo luogo, i prodotti rientranti nel Regolamento Macchine vengono esclusi dall'applicazione diretta dell'AI Act: per questi prodotti, gli obblighi restano limitati alla normativa settoriale di sicurezza. Per altri settori in cui la normativa settoriale contenga già requisiti equivalenti in materia di IA, la Commissione potrà restringere l'ambito applicativo dell'AI Act tramite atti di esecuzione.

Inoltre, la facoltà di trattare categorie particolari di dati ai fini del de-biasing algoritmico viene estesa a tutti i provider e deployer, non più ai soli provider di sistemi ad alto rischio. Restano ferme però le condizioni stringenti: stretta necessità, previo tentativo con dati sintetici o anonimi, pseudonimizzazione e divieto di condivisione dei dati con terzi.

Sul piano istituzionale, il Digital Omnibus on AI attribuisce all'AI Office vigilanza diretta sui sistemi basati su modelli per finalità generali sviluppati dallo stesso provider e su quelli integrati nelle piattaforme online e nei motori di ricerca di dimensioni molto grandi designati ai sensi del DSA. 

Da ultimo, viene rinviato al 2 agosto 2027 il termine per l'operatività dei sandbox regolamentari nazionali; in parallelo, è istituito un sandbox europeo gestito dall'AI Office, con accesso prioritario per PMI e small mid-cap, operativo dal 2028.

In attesa della pubblicazione

Il Digital Omnibus on AI è adottato ma non ancora pubblicato in Gazzetta Ufficiale: fino alla pubblicazione, il calendario originario dell'AI Act resta formalmente in vigore. 

Sul fronte della trasparenza, fornitori di sistemi interattivi o generativi a contatto con utenti finali (chatbot, assistenti vocali, agenti conversazionali, strumenti di generazione automatica di contenuti) sono soggetti agli obblighi dell'articolo 50 dal 2 agosto 2026, indipendentemente dall'entrata in vigore del Digital Omnibus. Per i sistemi generativi già sul mercato, la finestra transitoria per l'implementazione delle soluzioni di marcatura machine-readable si chiude il 2 dicembre 2026 ma, tenuto conto dei tempi di implementazione e validazione delle soluzioni disponibili (watermarking, metadati firmati, standard C2PA), è opportuno avviare le attività sin da ora.

Per quanto riguarda i sistemi ad alto rischio, il rinvio degli obblighi al 2027 e al 2028 non giustifica la sospensione dei programmi di adeguamento già avviati: i tempi tecnici per concludere un processo di messa in conformità sono mediamente stimati tra 8 e 14 mesi. Vale inoltre la pena riesaminare la classificazione dei sistemi già in uso alla luce della revisione della nozione di safety component e del nuovo regime di coordinamento con la normativa settoriale.

L’accelerazione nello sviluppo e nella diffusione dei sistemi di intelligenza artificiale sul mercato ha avuto un forte impatto sul versante delle operazioni societarie concernenti società target che sfruttano IA nel loro business; evenienza, questa, sempre più comune. 

Acquirenti, investitori e legali si trovano oggi a dover affrontare un insieme di questioni nuove, che investono simultaneamente profili tecnici, regolatori e contrattuali. 

La tradizionale due diligence – con ciò intendendosi il processo di raccolta e analisi delle informazioni finalizzato alla valutazione dei rischi e delle opportunità di un’operazione – viene a confrontarsi con asset che rendono inadeguati gli schemi di indagine consolidati.

2. I limiti degli schemi tradizionali di indagine

La prassi tradizionale della due diligence nelle operazioni di M&A si articola attorno a nuclei tematici consolidati: verifica della struttura societaria, analisi del patrimonio materiale e immateriale della società target, esame dei contratti rilevanti, accertamento delle controversie pendenti, verifica della conformità normativa e della stabilità tecnologica. 

Il primo elemento di novità riguarda la natura stessa dell’asset oggetto di verifica: un sistema IA non è ascrivibile ad un titolo unico, come il brevetto o il marchio, ma è piuttosto un prodotto complesso che combina architetture algoritmiche, insiemi di dati di addestramento, scelte di ottimizzazione e configurazioni infrastrutturali. 

Il secondo elemento di discontinuità attiene alla volatilità regolamentare: a differenza di settori in cui il quadro normativo è sedimentato, il settore dell'IA è caratterizzato da una produzione normativa intensa e in rapida evoluzione, sia a livello europeo sia a livello nazionale. 

Il terzo elemento, strettamente connesso ai precedenti, è la difficoltà di stimare le passività future derivanti da sistemi che possono agire in modo autonomo, producendo danni difficilmente attribuibili e ancora più difficilmente quantificabili ex ante. L’allocazione del rischio da sistemi di IA rappresenta pertanto una delle sfide più significative presentate dalle operazioni straordinarie nell’attuale fase di sviluppo tecnologico.

3. Il quadro regolatorio: AI Act e Legge n. 132/2025

Il Regolamento (UE) 2024/1689 costituisce il riferimento normativo centrale per qualsiasi due diligence condotta nell’ambito di operazioni che coinvolgono sistemi di IA nel mercato europeo, cui si affianca, sul piano interno, la Legge 23 settembre 2025, n. 132, primo quadro normativo organico italiano in materia di intelligenza artificiale, in vigore dal 10 ottobre 2025. 

I sistemi di intelligenza artificiale, classificati dal Regolamento sulla base del livello di rischio che essi comportano, sono soggetti a diverse tipologie di obblighi, la cui stringenza è direttamente proporzionale al livello di rischio posto, e il cui mancato rispetto espone il soggetto responsabile a sanzioni che possono raggiungere, nei casi più gravi, i 35 milioni di euro o il 7% del fatturato mondiale annuo.

L’identificazione della categoria di appartenenza dei modelli impiegati dalla società target, così come il ruolo della stessa (provider, deployer, etc.) è pertanto un passaggio obbligato della due diligence, così come lo è la valutazione della compliance normativa: occorre investigare quali siano le misure adottate per assicurare la compliance dei sistemi IA, se sia stata commissionata una valutazione a consulenti esterni, se vi sia in azienda un responsabile IA, se sia stata adottata una policy IA.

Particolare attenzione merita, inoltre, il rischio di riqualificazione del ruolo: ai sensi dell’art. 25 del Regolamento, il soggetto che apponga il proprio marchio su un sistema ad alto rischio già immesso sul mercato, ne modifichi sostanzialmente le caratteristiche o ne muti la finalità prevista può assumere la qualifica di provider, con i conseguenti obblighi di valutazione della conformità e di documentazione tecnica. Si tratta di uno scenario tutt’altro che teorico per le società che personalizzano o rivendono con il proprio brand soluzioni sviluppate da terzi – e che può interessare lo stesso acquirente all’esito dell’integrazione post-closing.

Un profilo di particolare rilevanza prati a riguarda il momento di applicazione delle diverse disposizioni del Regolamento, soggette ad efficacia scaglionata: dal 2 febbraio 2025 si applicano i divieti relativi alle pratiche inaccettabili e gli obblighi di alfabetizzazione, dal 2 agosto 2025 le regole sui modelli di IA per finalità generali (GPAI) e, dal 2 agosto 2026, la gran parte della disciplina sui sistemi ad alto rischio. L’acquirente deve valutare non solo la conformità attuale della società target, ma anche i costi di adeguamento futuri imposti dal progressivo dispiegarsi degli obblighi normativi, che, ove non adeguatamente identificati e valorizzati in sede di negoziazione, possono incidere significativamente sulla redditività attesa dell’operazione.

Sul versante nazionale, la Legge n. 132/2025 integra il quadro europeo con discipline settoriali (sanità, giustizia, lavoro, professioni intellettuali, pubblica amministrazione), obblighi informativi a carico del datore di lavoro che impieghi sistemi decisionali o di monitoraggio automatizzati (art. 11, in raccordo con l’art. 1-bis del D.Lgs. 152/1997 e con l’art. 4 dello Statuto dei lavoratori), nuove fattispecie penali (tra cui l’art. 612-quater c.p. in materia di deepfake) e una delega al Governo destinata a incidere anche sulla responsabilità degli enti ex D.Lgs. 231/2001. Ne discendono ulteriori verifiche in sede di due diligence: l’adempimento degli obblighi informativi verso i lavoratori, l’aggiornamento del Modello 231 ai nuovi reati-presupposto, nonché eventuali interlocuzioni con le autorità di vigilanza designate (AgID e ACN).

4. La due diligence sulla proprietà intellettuale

La titolarità degli asset di proprietà intellettuale costituisce un’altra area di indagine di primaria importanza in tali operazioni. 

Le principali questioni che la due diligence IP è chiamata ad affrontare sono le seguenti.

In primo luogo, occorre verificare la titolarità dei sistemi IA e delle relative componenti (codice, dataset, pesi, interfacce, etc.) con particolare riferimento ad eventuali diritti degli sviluppatori (dipendenti o consulenti esterni), i cui contratti devono essere attentamente esaminati.

In secondo luogo, deve essere verificato l’eventuale sfruttamento nei sistemi di IA di asset di soggetti terzi in licenza (algoritmi, dati, etc.) e/o l’utilizzo di asset rilasciati in modalità open source sulla base di licenze che possano imporre obblighi di pubblicazione del codice modificato o limitare la possibilità di commercializzare il prodotto finale. 

In terzo luogo, assume crescente centralità la verifica della legittima provenienza dei dati di addestramento: occorre accertare l’esistenza di idonee licenze sui dataset impiegati e il rispetto delle eccezioni per l’estrazione di testo e di dati (artt. 3 e 4 della Direttiva (UE) 2019/790, recepiti agli artt. 70-ter e 70-quater della legge sul diritto d’autore), ivi inclusi gli opt-out esercitati dai titolari dei diritti, al fine di stimare l’esposizione della società target a rivendicazioni di autori ed editori. Rileva, al riguardo, anche l’intervento dell’art. 25 della Legge n. 132/2025 sulla legge sul diritto d’autore, in punto di tutela delle opere create con l’ausilio dell’IA.

In quarto luogo, occorre valutare quale sia il regime di tutela scelto dalla società target per il sistema di IA (segreto commerciale, diritto d’autore, etc.).

Ultima questione concerne le modalità di sfruttamento del sistema IA sul mercato da parte della società proprietaria: attenta analisi andrà svolta sui termini e condizioni cui gli utenti possono accedere ed utilizzare i sistemi, nonché sul sistema di dichiarazioni e garanzie fornite e sui profili di responsabilità assunti. 

5. Trattamento dei dati personali e cybersicurezza

Ulteriori aree di indagine di primaria importanza sono quelle del trattamento dei dati personali e della cybersicurezza.

Sotto il primo profilo, la verifica investe le basi giuridiche del trattamento per le fasi di addestramento, fine-tuning e inferenza, l’effettuazione delle valutazioni d’impatto (DPIA) per i trattamenti ad alto rischio, l’eventuale utilizzo dei dati dei clienti per l’addestramento dei modelli (spesso non coperto dai contratti in essere), i trasferimenti di dati verso fornitori extra-UE, nonché l’esistenza di istruttorie, provvedimenti o reclami pendenti dinanzi al Garante per la protezione dei dati personali.

Sotto il secondo profilo, andranno esaminate la postura di sicurezza dell’infrastruttura (anche alla luce, ove applicabili, del D.Lgs. 138/2024 di recepimento della Direttiva NIS 2 e della Legge n. 90/2024), la gestione degli incidenti pregressi e le dipendenze della supply chain tecnologica – API di modelli di terzi, servizi cloud e capacità di calcolo, dataset in licenza – con particolare attenzione a durata, clausole di change of control, limiti d’uso e diritti dei fornitori di utilizzare i dati della società target per addestrare i propri modelli.

6. I riflessi contrattuali dell’indagine

Le risultanze della due diligence si riverberano direttamente sulla struttura economico-contrattuale dell’operazione, e in particolare sulle clausole di dichiarazioni e garanzie e di indennizzo specifico.

La prassi contrattuale sta elaborando un corpus specifico di dichiarazioni e garanzie dedicate ai sistemi di IA, che si affiancano alle tradizionali R&W.

Tra le più rilevanti, si segnalano quelle relative alla conformità normativa, all’assenza di procedimenti sanzionatori, alla titolarità dei sistemi e delle loro componenti, all’assenza dei diritti di terzi che ne limitano lo sfruttamento, alla legittima provenienza dei dati di addestramento.

È poi possibile prevedere indennizzi specifici per coprire rischi noti. In particolare, si registra una crescente tendenza a prevedere obblighi di indennizzo per i costi di adeguamento ai requisiti del Regolamento non ancora applicabili alla data del closing ma già determinabili, oppure le passività derivanti dall’utilizzo di dati di addestramento acquisiti senza il consenso necessario o in violazione di diritti di proprietà intellettuale.

Accanto a dichiarazioni, garanzie e indennizzi, la “cassetta degli attrezzi” contrattuale comprende condizioni sospensive o covenant interinali volti a sanare i gap di conformità emersi (ad esempio, il completamento della documentazione tecnica richiesta dal Regolamento), meccanismi di aggiustamento del prezzo o di escrow per i rischi quantificabili, nonché la pianificazione dell’integrazione post-closing, posto che – come si è visto – il perfezionamento dell’operazione può di per sé mutare il ruolo regolatorio rivestito dall’acquirente rispetto ai sistemi acquisiti.

7. Conclusioni

Le operazioni di M&A nel settore dell’IA saranno sempre più frequenti e sempre più complesse: la capacità di condurre una due diligence adeguata rappresenterà un fattore competitivo determinante.

Il 15 aprile 2026 l’European Data Protection Board (l'"EDPB”) ha adottato le Linee Guida 1/2026 sul trattamento dei dati personali per finalità di ricerca scientifica (le “Linee Guida”), colmando una lacuna interpretativa di primaria importanza nel panorama applicativo del Regolamento (UE) 2016/679 (“GDPR”). Sottoposte a consultazione pubblica dal 16 aprile al 25 giugno 2026, le Linee Guida hanno raccolto contributi da una pluralità di soggetti provenienti da diversi Stati membri; alla loro redazione ha contribuito anche il Garante per la protezione dei dati personali.

La ricerca scientifica coinvolge frequentemente dati personali e ha prodotto avanzamenti di grande rilievo per la società, in primo luogo nel campo delle scienze mediche. Molti di questi risultati sono stati resi possibili dall’avvento di nuove tecnologie: tra queste spiccano i recenti sviluppi nell’intelligenza artificiale, che, tuttavia, introducono al contempo rischi significativi per i diritti e le libertà fondamentali degli interessati, i quali richiedono una gestione adeguata.

Il trattamento dei dati personali per finalità di ricerca scientifica ha sollevato numerose questioni interpretative da parte di titolari, responsabili e autorità di controllo circa l'applicazione del GDPR in questo settore. Le Linee Guida rispondono a tale esigenza con un quadro interpretativo organico e orientamenti pratici sui profili più dibattuti. A integrazione di tale documento, l’EDPB ha pubblicato nel giugno 2026 un factsheet di sintesi (“Scientific research: How to lawfully process personal data”), che fornisce una guida operativa e una checklist di accountability rivolta ai soggetti che trattano dati personali per finalità di ricerca scientifica.

2. I principali contenuti delle Linee Guida

2.1. La nozione di “ricerca scientifica” ai sensi del GDPR

Un primo e fondamentale chiarimento riguarda la definizione di ricerca scientifica rilevante ai fini dell’applicazione delle disposizioni speciali del GDPR. L’EDPB ribadisce che, sebbene la nozione di ricerca scientifica debba essere interpretata in senso ampio, essa non può essere estesa oltre il suo significato comune, con la conseguenza che il concetto di “ricerca scientifica” comprende le attività di ricerca che sono genuinamente scientifiche. 

L’EDPB individua sei fattori chiave indicativi che i titolari del trattamento devono considerare per determinare se il trattamento dei dati sia motivato da finalità di ricerca scientifica, tenendo conto della natura, dell’ambito di applicazione e del contesto del trattamento: 

• Approccio metodico e sistematico: le attività di ricerca, incluse la formulazione e la verifica di un’ipotesi, sono condotte seguendo un approccio metodico e sistematico del pertinente campo di ricerca. 

• Rispetto degli standard etici: le attività di ricerca sono condotte nel rispetto degli standard etici del settore, volti a prevenire che gli individui subiscano danni o altri effetti negativi dalla partecipazione alla ricerca scientifica. 

• Verificabilità e trasparenza: le attività di ricerca mirano a produrre risultati verificabili e consentono che ipotesi, metodi, dati e conclusioni siano aperti alla critica, normalmente attraverso la revisione tra pari. 

• Autonomia e indipendenza: la ricerca è condotta autonomamente e indipendentemente, in un contesto libero da pressioni indebite, e i ricercatori dispongono delle qualifiche accademiche o scientifiche richieste nel pertinente campo di ricerca. 

• Obiettivi della ricerca: le attività di ricerca sono svolte con l’obiettivo di contribuire alla crescita della conoscenza collettiva e al benessere della società, senza che ciò escluda il perseguimento di interessi commerciali. 

• Potenziale contributo alla conoscenza scientifica: le attività di ricerca hanno il potenziale per contribuire al sapere scientifico esistente o per applicarlo in modi innovativi, e possono essere soggette a valutazione da parte di esperti o comitati indipendenti. 

Se le attività di ricerca soddisfano tutti e sei i fattori, si presume che costituiscano ricerca scientifica. In caso contrario, il titolare è tenuto a giustificare e dimostrare perché le attività debbano comunque essere considerate ricerca scientifica ai sensi del GDPR. 

2.2 Limitazione della finalità e presunzione di compatibilità

Ai sensi dell’art. 5(1)(b) del GDPR, l’ulteriore trattamento a fini di ricerca scientifica è presunto compatibile con le finalità iniziali del trattamento. Pertanto, quando si effettua un ulteriore trattamento per finalità di ricerca scientifica, non è necessario effettuare il test di compatibilità previsto dall’art. 6(4) GDPR. Il titolare dovrà in ogni caso verificare la liceità del trattamento ulteriore. In molti casi sarà possibile fare affidamento sulla medesima base giuridica del trattamento iniziale, ad esempio laddove il trattamento originario si fondasse sull’interesse pubblico o sul legittimo interesse. 

2.3 Limitazione della conservazione

L’art. 5(1)(e) del GDPR consente ai titolari di conservare i dati personali quando questi siano destinati ad essere ulteriormente trattati per specifiche finalità di ricerca scientifica, anche qualora le finalità originarie del trattamento siano state soddisfatte e indipendentemente dal fatto che tali finalità originarie fossero o meno scientifiche. Se non è possibile specificare le finalità di un futuro progetto di ricerca al momento della conservazione, è sufficiente indicare un certo ambito di ricerca; tuttavia, non è ammissibile una conservazione per generiche finalità di ricerca scientifica senza alcuna specificazione dello scopo sotteso.

2.4 Le basi giuridiche del trattamento: consenso, interesse pubblico e legittimo interesse

Le Linee Guida dedicano ampio spazio alle basi giuridiche applicabili, con peculiari approfondimenti in materia di consenso.

Consenso ampio e consenso dinamico. Nell’ambito della ricerca scientifica è possibile per i titolari fare affidamento sul consenso dell’interessato per raccogliere e trattare i dati personali in un determinato settore di ricerca quando le finalità non siano pienamente note al momento della raccolta. Nella comunità scientifica, questa modalità è comunemente denominata “consenso ampio” (broad consent). Un’ulteriore modalità è il cosiddetto “consenso dinamico” (dynamic consent), mediante il quale il titolare chiede agli interessati di prestare il consenso a ciascun singolo progetto di ricerca – o a sue specifiche fasi – separatamente, non appena le finalità diventano note. È essenziale distinguere il consenso alla partecipazione alla ricerca dal punto di vista etico dal consenso ai sensi del GDPR quale base giuridica per il trattamento dei dati personali: si tratta di concetti distinti, che devono essere tenuti separati nei moduli e nelle interfacce di raccolta del consenso.

Qualora il titolare richieda un consenso ampio, dovrà adottare specifiche garanzie che attribuiscano agli interessati un controllo sufficiente sull’utilizzo dei loro dati, a compensazione della mancanza di specificazione delle finalità, tra cui la messa a disposizione di informazioni dettagliate sull’evoluzione del trattamento, la possibilità di iscrizione a newsletter informative e misure di accesso e controllo indipendenti. 

Interesse pubblico. L’esecuzione di un compito di interesse pubblico o l’esercizio di pubblici poteri come base giuridica non è limitata agli enti pubblici che svolgono ricerca scientifica: anche i soggetti privati possono fondarsi su tale base giuridica, purché l’atto normativo in questione copra la loro attività. 

Legittimo interesse. La ricerca scientifica può configurare un legittimo interesse ai sensi del GDPR, indipendentemente dal fatto che sia svolta a scopo di lucro o meno; nel balancing test ai sensi dell'art. 6(1)(f) GDPR, il titolare che intenda trattare dati personali per finalità di ricerca scientifica potrà attribuire un peso significativo a tale trattamento, in relazione agli interessi o ai diritti e alle libertà fondamentali degli interessati.

2.5 Trasparenza e diritti degli interessati

Quando un titolare intende trattare dati personali per finalità di ricerca scientifica per periodi di tempo prolungati, ovvero prevede di farlo, dovrebbe offrire agli interessati la possibilità di fornire volontariamente i propri dati di contatto. Ciò consente di aggiornare gli interessati sull’evoluzione del trattamento dei loro dati personali. Tale opportunità deve essere garantita agli interessati anche qualora le finalità del trattamento non richiedano, di per sé, il trattamento dei dati di contatto.

Se il titolare apporta modifiche alle proprie attività di trattamento che rendono obsolete o incomplete le informazioni precedentemente fornite agli interessati, è tenuto a informarli di tali modifiche ai sensi degli artt. 13(4) e 14(5)(a) del GDPR. Quando determina se sia necessario informare gli interessati, il titolare deve considerare che l’obiettivo principale del principio di trasparenza è quello di garantire il rispetto delle ragionevoli aspettative degli interessati. 

In relazione al diritto alla cancellazione, l’art. 17(3)(d) del GDPR prevede una specifica eccezione quando il trattamento è necessario a fini di ricerca scientifica ai sensi dell’art. 89(1) del GDPR: tale eccezione si applica solo nei casi limitati in cui la cancellazione possa rendere impossibile o compromettere gravemente il conseguimento degli obiettivi della ricerca. 

Con riguardo al diritto di opposizione, il titolare che basi il trattamento sul legittimo interesse ex art. 6(1)(f) del GDPR può respingere un’opposizione ai sensi dell’art. 21(6) del GDPR qualora dimostri che il trattamento dei dati personali per finalità di ricerca scientifica costituisce un interesse legittimo che coincide con un interesse pubblico. 

2.6 Attribuzione delle responsabilità

Laddove i dati personali siano trattati per finalità di ricerca scientifica coinvolgendo più soggetti, è necessario valutare e documentare la ripartizione delle responsabilità tra tali soggetti. Tale determinazione è particolarmente rilevante quando più attori partecipano alla redazione dei protocolli di ricerca scientifica – come sponsor, ospedali, aziende private – oppure nell’ambito di partnership pubblico-private. 

Si ricorda in particolare che la contitolarità ricorre quando due o più soggetti partecipano congiuntamente alla determinazione delle finalità e degli elementi essenziali dei mezzi del trattamento. Un criterio fondamentale per determinare la contitolarità è che il trattamento non sarebbe possibile senza il concorso di tali soggetti, il che significa che il trattamento di ciascuno di essi è inscindibilmente legato a quello degli altri. 

2.7 Le garanzie appropriate

Il principio di minimizzazione dei dati, fondamentale nel GDPR, è ulteriormente enfatizzato nell’art. 89(1): laddove le finalità di ricerca scientifica possano essere conseguite mediante un trattamento che non consenta o non consenta più l’identificazione degli interessati, quelle finalità dovranno essere soddisfatte in tal modo. 

Il trattamento di dati personali per finalità di ricerca scientifica che consentano di identificare direttamente una persona dovrebbe essere effettuato solo laddove ritenuto strettamente necessario e proporzionato agli obiettivi della ricerca. 

Tra le ulteriori garanzie appropriate indicate dall’EDPB si annoverano: strutture di governance per la supervisione del trattamento, maggiore trasparenza verso gli interessati anche mediante piattaforme online, rispetto degli standard etici con eventuale approvazione da parte di comitati, l’impiego di Privacy Enhancing Technologies (PET) come la crittografia omomorfica o i dati sintetici, e l’istituzione di ambienti di trattamento sicuri che consentano l’accesso ai dati di ricerca senza necessità di archiviazione locale. 

3. Conseguenze pratiche

Le Linee Guida avranno un impatto significativo su tutti i soggetti – sia pubblici che privati, sia profit che non-profit – che trattano dati personali nell’ambito di attività di ricerca scientifica, con particolare riferimento ai settori farmaceutico, medicale, dell’intelligenza artificiale, delle scienze sociali e delle infrastrutture di dati per la ricerca.

In particolare, le organizzazioni interessate dovranno:

• Verificare la natura scientifica delle proprie attività: valutare i propri progetti di ricerca alla luce dei sei fattori chiave indicativi e documentare formalmente tale valutazione nell’ottica del principio di accountability;

• Rivedere le basi giuridiche adottate: accertare che la base giuridica prescelta sia idonea anche in caso di ulteriore trattamento per finalità di ricerca, tenendo conto della presunzione di compatibilità e dei suoi limiti;

• Aggiornare i meccanismi di raccolta del consenso: distinguere chiaramente tra consenso ai sensi del GDPR e consenso etico-normativo alla partecipazione alla ricerca – che sono concetti distinti e non sovrapponibili – e valutare se siano applicabili il consenso ampio e il consenso dinamico, assicurandosi che i moduli di consenso adottati separino nettamente i due profili;

• Verificare la struttura di governance dei progetti multi-soggetto: nelle partnership pubblico-private e nelle sperimentazioni cliniche, mappare accuratamente i ruoli di titolare, contitolare e responsabile del trattamento, concludendo i relativi accordi;

• Adottare garanzie appropriate ai sensi dell’art. 89(1) GDPR: implementare, già in fase progettuale, misure di anonimizzazione o pseudonimizzazione, controlli di accesso, coinvolgere i comitati di supervisione etici e indipendenti, valutare le misure contrattuali più adeguate.

4. Conclusioni

Come anticipato, alla redazione delle Linee Guida ha contribuito anche il Garante per la protezione dei dati personali italiano. Così come riportato nel comunicato stampa del Garante del 17 aprile 2026, ai lavori della Plenaria dell’EDPB, tenutasi a Bruxelles il 15 e 16 aprile 2026, hanno preso parte la Vicepresidente Ginevra Cerrina Feroni e il dirigente del Servizio relazioni internazionali e con l’Unione europea Riccardo Acciai. 

Le Linee Guida rappresentano un contributo di grande rilievo per il settore della ricerca scientifica, rispondendo a domande interpretative che da anni attendevano una risposta organica a livello europeo.

La ricerca scientifica costituisce un obiettivo importante sancito dai trattati dell’UE e il GDPR stesso si fa carico di facilitarne lo svolgimento, prevedendo regole e considerazioni specifiche che ne consentono e agevolano lo svolgimento, salvaguardando al contempo i diritti e le libertà fondamentali degli interessati. 

Le Linee Guida confermano l’approccio bilanciato del GDPR: flessibilità e deroghe a beneficio della ricerca genuinamente scientifica, ma solo in presenza di garanzie adeguate e di una rigorosa accountability dei soggetti coinvolti. Per le organizzazioni che operano in questo settore, l’adozione delle Linee Guida rappresenta un’occasione per riconsiderare modelli operativi, strutture di governance e flussi di dati alla luce di un quadro interpretativo che pone al centro la fiducia degli interessati e la responsabilizzazione dei ricercatori.

Ma quali sono, in concreto, i prodotti e gli operatori economici interessati da questa nuova disciplina?

In generale, il CRA si applica agli operatori economici — tra cui fabbricanti, importatori e distributori — che mettono a disposizione sul mercato dell’Unione europea, nell’ambito di un’attività commerciale, prodotti con elementi digitali.

La nozione di prodotto con elementi digitali è ampia e comprende qualsiasi prodotto software o hardware, comprese le relative soluzioni di elaborazione dati da remoto, purché il prodotto sia connesso, direttamente o indirettamente, a un dispositivo o a una rete.

Ne consegue che non è necessario che il prodotto sia direttamente connesso a Internet. È sufficiente che, in base alla sua finalità prevista o al suo uso ragionevolmente prevedibile, esso possa comunicare o interfacciarsi con un altro dispositivo, una rete locale, un sistema industriale, un gateway, un’applicazione mobile, un’infrastruttura cloud o un’altra componente digitale. 

In questa prospettiva, il perimetro applicativo del CRA è particolarmente esteso e deve essere valutato in concreto, tenendo conto delle caratteristiche tecniche del prodotto, delle sue funzionalità e del modo in cui è destinato a essere utilizzato.

Alcuni prodotti di consumo che rientrano nel CRA sono smartphone e tablet, computer portatili e desktop, smart TV, dispositivi di streaming, console di gioco, cuffie e auricolari wireless. Sono inoltre interessati i dispositivi indossabili, come smartwatch e fitness tracker, gli e-reader connessi, gli smart speaker e gli altri dispositivi che comunicano mediante Wi-Fi, Bluetooth, rete mobile o altre interfacce.

Nell’ambito domestico possono rientrare router, modem, ripetitori e altri dispositivi di rete, stampanti connesse, termostati intelligenti, sistemi di allarme, serrature smart, sistemi connessi per il monitoraggio dei neonati, robot aspirapolvere ed elettrodomestici intelligenti. Anche i giocattoli connessi e robot educativi possono rientrare nel CRA.

Il Cyber Resilience Act assume particolare importanza anche nel settore industriale. Possono rientrare nel suo ambito i macchinari dotati di controllori logici programmabili, i PLC commercializzati autonomamente, i sistemi SCADA, i sistemi di controllo industriale, i dispositivi di diagnostica e manutenzione a distanza e le apparecchiature che consentono l’accesso remoto agli impianti.

Rientrano potenzialmente nel perimetro anche numerosi strumenti utilizzati nella logistica e nella gestione delle attività produttive, come tracker GPS per flotte, lettori di codici a barre connessi, terminali mobili, sensori IoT industriali, dispositivi per il monitoraggio delle merci e sistemi di raccolta o trasmissione dei dati installati su macchinari e infrastrutture.

Un aspetto particolarmente rilevante riguarda le soluzioni di elaborazione dati da remoto. Il Cyber Resilience Act considera parte del prodotto anche l’elaborazione a distanza realizzata mediante software progettato e sviluppato dal fabbricante, o sotto la sua responsabilità, quando l’assenza di tale elaborazione impedirebbe al prodotto di svolgere una delle sue funzioni. Possono quindi rientrare nel perimetro di conformità un backend, un’API, una banca dati o una componente cloud necessaria al funzionamento del prodotto.

In ogni caso, non tutti i prodotti digitali o connessi rientrano nel Cyber Resilience Act. 

Sono espressamente esclusi, ad esempio, i prodotti con elementi digitali ai quali si applicano il Regolamento (UE) 2017/745 (“MDR”) sui dispositivi medici, il Regolamento (UE) 2017/746 (“IVDR”) sui dispositivi medico-diagnostici in vitro e il Regolamento (UE) 2019/2144 relativo all’omologazione dei veicoli e dei loro sistemi e componenti. Sono inoltre esclusi i prodotti certificati conformemente al Regolamento (UE) 2018/1139 nel settore dell’aviazione civile e l’equipaggiamento marittimo.

Sono altresì esclusi i prodotti sviluppati o modificati esclusivamente per finalità di sicurezza nazionale o di difesa e quelli specificamente progettati per trattare informazioni classificate. L’esclusione non riguarda, però, qualsiasi prodotto utilizzato da un’amministrazione pubblica o da un soggetto operante nel settore della difesa, ma soltanto i prodotti che presentano le caratteristiche specifiche indicate dal regolamento.

Un’ulteriore esclusione riguarda i pezzi di ricambio messi a disposizione sul mercato per sostituire componenti identici in prodotti con elementi digitali, quando siano fabbricati secondo le medesime specifiche dei componenti sostituiti. L’esenzione non può quindi essere estesa automaticamente a componenti compatibili, aggiornati o modificati che presentino caratteristiche tecniche o funzionali diverse dal pezzo originario.

Vale la pena precisare che le esenzioni settoriali operano su base specifica e non sono automatiche: un prodotto che abbia una qualsiasi connessione con i settori citati non è escluso per ciò solo dall'ambito del CRA, ma occorre verificare che il regime settoriale applicabile garantisca effettivamente un livello di protezione equivalente.

In definitiva, per effettuare una prima valutazione occorre domandarsi se il prodotto sia costituito da hardware o software, o comprenda elementi digitali, se sia fornito sul mercato dell’Unione nel corso di un’attività commerciale e se la sua finalità prevista o il suo uso ragionevolmente prevedibile comprendano una connessione dati logica o fisica, diretta o indiretta, a un dispositivo o a una rete. Occorre poi verificare se trovi applicazione una delle esclusioni previste dal regolamento o dai successivi atti dell’Unione.

Avviare per tempo questa analisi consente di arrivare preparati alle scadenze del CRA, pianificando gli adeguamenti necessari senza dover intervenire in modo affrettato su prodotti già immessi sul mercato.

La quota di mercato dei fornitori cloud europei è scesa dal 29% del 2017 a circa il 15% nel 2022, mentre la domanda di capacità computazionale - trainata dallo sviluppo di modelli AI sempre più energivori - è cresciuta esponenzialmente. Per rispondere al deficit strutturale di capacità nei data center ed alla dipendenza da un numero ristretto di fornitori cloud non europei, il 3 giugno 2026 la Commissione europea ha pubblicato la proposta di regolamento Cloud and AI Development Act (CADA) che punta a potenziare la capacità dei data center Ue e introduce un sistema comune di europeo di valutazione della sovranità cloud e AI, articolato in quattro livelli di garanzia, con obblighi crescenti per chi opera in settori sensibili come energia, sanità e difesa, oltre che un valore premiale al “buy European” negli appalti pubblici per servizi cloud e AI. […]

Leggi qui

Il fenomeno dell’intelligenza artificiale, per sua natura trasversale e pervasivo, si interseca con gli istituti tradizionali di corporate governance atteggiandosi sia come strumento di governo dell’impresa che come oggetto di governo dell’impresa[1]. Nel presente scritto l’attenzione sarà focalizzata sulla prima fattispecie e sulle modalità con le quali essa possa comportare, in ragione delle proprie caratteristiche e della magnitudo dei propri effetti, modifiche nella struttura di corporate governance di una società commerciale di grandi, ma anche medie, dimensioni[2].

Oggi, infatti, l’intelligenza artificiale viene già utilizzata in contesti molto complessi in virtù della propria capacità di elaborare un numero elevato di informazioni complesse, operando quindi sia sul piano quantitativo (il numero enorme di dati e informazioni) sia su quello qualitativo (la complessità dei dati stessi), nonché per la sua idoneità a individuare delle linee evolutive e dei pattern destinati a sfuggire sia all’essere umano che a software aventi capacità e potenza computazionale più ridotte.

Tra queste attività è già possibile rinvenire la redazione di piani industriali, le strategie di allocazione di capitale, la quantificazione degli investimenti in ricerca e sviluppo necessari per la transizione tecnologica della società, ma anche l’individuazione di eventuali scelte subottimali o sbagliate eventualmente compiute in passato, oltre alle attività di corporate reporting, al cosiddetto RegTech, l’automatizzazione di tali attività ovvero ancora l’attività di rilevazione di truffe, reati connessi al riciclaggio e violazioni della cybersecurity. Un recente rapporto dell’OECD e Banca d’Italia dell’aprile 2026 riferisce come nel settore finanziario le principali attività per le quali si fa usualmente ricorso a strumenti di intelligenza artificiale riguardino altresì l’analisi dei dati e la generazione e la sintesi di contenuti testuali, l’antiriciclaggio e il contrasto al finanziamento del terrorismo, l’individuazione e la prevenzione delle frodi, nonché l’assistenza alla clientela (tramite chatbot). In generale, tra gli operatori dei mercati finanziari, vi si fa ampio ricorso per l’ottimizzazione dei processi interni, la generazione di contenuti testuali e la traduzione[3].

Il primo quesito che pare opportuno porsi attiene quindi alla possibilità di ritenere adeguato l’assetto organizzativo, amministrativo e contabile di una società, qualora in questa società lo svolgimento dell’attività commerciale prescinda completamente dal ricorso a strumenti di intelligenza artificiale.

In tale contesto, si rammenta come tanto l’imprenditore quanto l’amministratore di una S.p.A. potrebbe qualificarsi come “deployer”[4] ai sensi dell’art. 3, n. 4) del Regolamento (UE) 2024/1689 del 13 giugno 2024 (c.d. AI Act), tale essendo ogni persona fisica (o giuridica, il che rileva nel caso in cui l’amministratore fosse, come è ammesso, una persona giuridica) “che utilizza un sistema di IA sotto la propria autorità, tranne nel caso in cui il sistema di IA sia utilizzato nel corso di un’attività personale non professionale”[5]. La normativa italiana, sul punto, è coerente dal momento che le definizioni dell’AI Act sono state fatte proprie con clausola generale anche dalla legge 23 settembre 2025, n. 132 (“Disposizioni e deleghe al Governo in materia di intelligenza artificiale”) la quale all’art. 2, comma 2 rimanda alle definizioni dell’AI Act.

Come noto, l’articolo 2086, comma 2 c.c. dispone che l’imprenditore o – nella fattispecie – gli amministratori abbiano il dovere di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell’impresa. La norma prosegue rivelando chiaramente i propri natali, dal momento che precisa che tale assetto debba essere adeguato anche in funzione della rilevazione tempestiva della crisi dell’impresa e della perdita della continuità aziendale e debba altresì essere tale da permettere poi di attivarsi per utilizzare gli strumenti disponibili per superare la crisi e recuperare la continuità aziendale.

Tuttavia, ancorché tale norma sia stata introdotta dal Decreto Legislativo 12 gennaio 2019, n. 14 (noto come Codice della Crisi) essa non attiene ad un corpus normativo speciale, quale quello del diritto della crisi, ma si trova invece collocata nel Capo I del Titolo II del Libro V del codice civile, rubricato “Dell’impresa in generale”. Tale collocazione conferisce carattere generale alla previsione sull’adeguatezza degli assetti, rendendola applicabile a tutte le società.

In ragione delle menzionate caratteristiche di trasversalità e pervasività dell’intelligenza artificiale, nonché della pluralità di utilizzi della stessa che già alla data odierna mostrano ampia diffusione sul mercato, non pare probabile – almeno sul medio periodo se non sul breve – che una società di dimensioni medio-grandi che non si sia attrezzata per svolgere la propria attività commerciale e gestirne i relativi rischi con il supporto di un efficiente sistema di intelligenza artificiale[6], possa dirsi dotata di un assetto organizzativo amministrativo e contabile adeguato ai sensi dell’articolo 2086, comma 2, c.c. Essa infatti si priverebbe di strumenti già utilizzati da altri soggetti analoghi, e magari concorrenti, e, ciò che forse maggiormente rileva, non mostrerebbe una strategia in linea con le attuali istanze di transizione tecnologica, allo stato ineludibili.

Tuttavia, tale considerazione conduce ad un’ulteriore riflessione sulla responsabilità nella quale possano incorrere gli amministratori che compiano uno o più atti gestori pregiudizievoli per la società, avendo interagito con il sistema di intelligenza artificiale[7].

Sotto tale profilo, in via preliminare, si può già sostenere che non pare che l’intelligenza artificiale possa costituire uno strumento di limitazione della responsabilità degli amministratori. Pur ammettendo nel nostro ordinamento l’applicabilità della cosiddetta business judgement rule[8], la responsabilità degli amministratori non viene modificata in ragione dell’aver fatto ricorso ad uno strumento di intelligenza artificiale.

Al contrario sarà lecito attendersi che nelle verbalizzazioni dei lavori consiliari, qualora le delibere siano state assunte da un consiglio di amministrazione che abbia preventivamente interrogato efficacemente il proprio software di intelligenza artificiale, emerga la specifica motivazione che ha condotto, in comparazione all’esito della ricerca, all’adozione della risposta fornita dall’intelligenza artificiale.

In altre parole, l’amministratore o il consiglio che ritenga di aderire alle indicazioni ricevute dal software di intelligenza artificiale dovrà pur sempre accompagnare tale decisione da una qualche motivazione delle ragioni per le quali si reputi opportuno, nell’interesse della società, seguire le indicazioni fornite dall’intelligenza artificiale.

A maggior ragione quindi, anche l’eventuale decisione di discostarsene dovrà essere accompagnata da una motivazione – verosimilmente rafforzata – che spieghi perché l’amministratore o il consiglio ritengano non applicabili al caso in esame le conclusioni del proprio software.

Rimane fermo che sotto il profilo esterno, vale a dire nei rapporti fra la società e i terzi, la responsabilità degli amministratori sia legata innanzitutto all’atto gestorio in quanto tale, probabilmente senza che sul giudizio di responsabilità possa gravare in un senso o nell’altro l’origine tecnologica della decisione, tuttavia è lecito attendersi che tale atto gestorio possa essere conosciuto dal giudice adito anche sotto il profilo della condotta adottata dagli amministratori nel processo di formazione della volontà consiliare e quindi della maggiore o minore diligenza mostrata nel rapportarsi all’esito del responso fornito dall’utilizzo dell’intelligenza artificiale.

Un ulteriore aspetto riguarda inoltre la responsabilità degli amministratori che eventualmente partecipino al consiglio, ma senza aver contribuito a confezionare la proposta di delibera. Tali amministratori, che verrebbero resi edotti della proposta in occasione del consiglio, non essendo stati coinvolti nel processo che ha condotto alla proposta, saranno parimenti chiamati a soddisfare l’obbligo – gravante su tutti gli amministratori – di agire in modo informato ai sensi dell’articolo 2381, comma 6, c.c.

Verosimilmente anche l’interpretazione di tale norma sarà suscettibile di seguire un’evoluzione che ne adegui il disposto alla nuova situazione della società e tale evoluzione sembra rendere probabile che anche tali amministratori, avendo anch’essi accesso al software di intelligenza artificiale messo a disposizione dalla società, possano interrogarlo a loro volta, eventualmente verificando la bontà delle conclusioni proposte e raccogliendo tutte le informazioni del caso, al fine di poter partecipare al consiglio con una propria fondata opinione cerca l’oggetto della delibera. Il raggiungimento di una fondata opinione non pare infatti irrimediabilmente destinato a sfuggire all’amministratore laddove costui si peritasse di informarsi sui temi sottesi con il supporto dell’intelligenza artificiale.

Proseguendo nel ragionamento, tale possibilità sembra escludere in una certa misura la possibilità che un amministratore indipendente, che abbia specifiche competenze in settori diversi da quelli oggetto di delibera, possa declinare la propria responsabilità laddove non si fosse diligentemente attivato per contro-verificare la fondatezza della proposta di delibera su cui sia stato chiamato, in quanto amministratore, ad esprimere il proprio voto.

Questo aspetto a sua volta pone un’ulteriore e forse maggiore pressione sull’importanza, più volte segnalata dalla Banca Centrale Europea e da Banca d’Italia in ambito bancario, da IVASS in ambito assicurativo e, più genericamente, dal Codice di Corporate Governance per tutte le società quotate, di mettere a disposizione degli amministratori i materiali rilevanti in tempo utile prima della riunione consiliare, al fine di consentire a tutti gli amministratori di porsi nelle condizioni di soddisfare il proprio dovere di agire informati, secondo l’accezione sopra accennata e con le ulteriori implicazioni menzionate.

In tale contesto, è di capitale importanza valutare criticamente il responso dell’intelligenza artificiale sulle varie questioni sulle quali venisse interrogata, anche tenendo in considerazione il fatto che anch’essa è soggetta ai medesimi bias cognitivi propri dei soggetti che la programmano, dei soggetti che hanno prodotto le informazioni dalle quali ricava le proprie risposte (ad esempio, tutti quegli utenti della rete che immettono quotidianamente contenuti non sempre soggetti a un previo scrutinio) e in generale del contesto informativo cui attinge per sviluppare il proprio apprendimento.

Alla luce di quanto sopra diviene necessario e, per certi versi, urgente innanzitutto enucleare una nozione di “rischio tecnologico” che tenga conto delle caratteristiche dell’intelligenza artificiale e delle questioni che pone il suo funzionamento.

In primis, pare il caso di evidenziare come il fatto che l’intelligenza artificiale non operi secondo una logica deduttiva ma operi invece in senso probabilistico, vale a dire raccogliendo un’enorme massa di informazioni e tramite queste assemblando una risposta che è quella che più probabilmente risponde correttamente al quesito ad essa posto (c.d. prompt)[9], postuli come sua prima conseguenza che essa potrebbe – direi quasi fisiologicamente – commettere errori.

Il rischio di errore dell’intelligenza artificiale va considerato insieme alle notevoli difficoltà – se non proprio alla sostanziale impossibilità – di ricostruire il ragionamento sviluppato dall’intelligenza artificiale per produrre il proprio responso, con la conseguente difficoltà di poter intervenire al fine di correggere le cause di un’eventuale risposta sbagliata.

Posto questo punto molto preliminare, il rischio tecnologico si estende, in seconda battuta, anche ad altri aspetti, quali il mancato aggiornamento del software o la mancata correzione delle eventuali falle del sistema informatico, la non sussistenza nella società delle competenze, dei ruoli e delle funzioni necessari per il corretto ed efficiente utilizzo del sistema di intelligenza artificiale, l’inidoneità del set informativo in quanto non sia stato costantemente verificato che esso non si riveli incompleto, falso o errato, con la conseguenza che possano perpetuarsi bias cognitivi che inducano in errore l’intelligenza artificiale e tendano poi ad auto-confermarsi perniciosamente, anche nelle risposte successive.

La gestione e la mitigazione del rischio tecnologico probabilmente renderanno sempre più opportuno che i consigli d’amministrazione si dotino di almeno un amministratore che possieda specifiche competenze tecnologiche che gli permettano di comprendere il rischio tecnologico e verificarne la corretta gestione e mitigazione in seno alla società.

Questo potrebbe condurre alcune società a valutare se non sia opportuno costituire un comitato endoconsiliare ad hoc, avente competenze specifiche sul punto ovvero, come in precedenti esperienze, un advisory board che supporti i lavori del consiglio. Talora si parla di “comitato Tech” o altri termini equipollenti, finalizzato alla gestione del rischio tecnologico e soprattutto all’utilizzo e allo sfruttamento integrale dell’opportunità che l’intelligenza artificiale e l’innovazione tecnologica in genere offrono alla società. Peraltro, sotto lo specifico profilo della gestione del rischio, l’ipotesi più probabile è che le società che non intendano costituire un comitato specifico né avvalersi di un advisory board specialistico, ne faranno verosimilmente confluire le relative competenze nelle funzioni generali proprie del comitato Rischi, con l’ulteriore profilo di rischio legato al fatto che gli amministratori che lo compongono possano non disporre di competenze tecnologiche specifiche.

Avviandomi verso la conclusione, rilevo che un ulteriore aspetto da considerare, portando alle sue estreme conseguenze il ragionamento che abbiamo condiviso poc’anzi, riguarda la possibilità di avere un consiglio d’amministrazione interamente costituito da sistemi di intelligenza artificiale (cosiddetto roboboard)[10]. A tal fine, poco o forse nulla rileva l’osservazione, che pure è giuridicamente incontrovertibile, secondo cui ciò non sarebbe possibile in quanto l’intelligenza artificiale essendo un software non sarebbe dotata di soggettività giuridica e conseguentemente non potrebbe svolgere l’attività di amministratore[11]. Infatti, in diversi ordinamenti ivi incluso quello italiano si ammette pacificamente che una persona giuridica possa svolgere l’attività di amministratore, a condizione che nomini un rappresentante persona fisica che sieda materialmente in consiglio. In tale contesto è agevole immaginare come una persona giuridica che abbia come oggetto sociale la creazione, lo sviluppo, la fornitura o l’utilizzo di sistemi di intelligenza artificiale, laddove fosse nominata amministratore di una società, produrrebbe – pur con il non rilevante schermo societario della personalità giuridica – un effetto del tutto analogo a quello che si produrrebbe se un software di intelligenza artificiale fosse chiamato direttamente a svolgere le funzioni gestionali. E senza dimenticare che una persona giuridica di tale fatta, in quanto amministratore, potrebbe essere altresì validamente assegnataria di deleghe gestionali.

[1] La distinzione compare in ABRIANI – SCHNEIDER, Diritto delle imprese e intelligenza artificiale. Dalla Fintech alla Corptech, Bologna, 2021, capitoli V e VI e viene ripresa, inter alia, in Diritto societario, digitalizzazione e intelligenza artificiale. In ricordo di Agostino Gambino, a cura di ABRIANI – COSTI, Milano, 2023, parti II e III.

[2] Il tema dell’interazione tra i nuovi strumenti di intelligenza artificiale e la corporate governance è stato affrontato nella letteratura scientifica, tra cui si segnalano, oltre alle opere già citate, AGOSTINO, Intelligenza artificiale e processi decisionali. La responsabilità degli amministratori di società, in Mercato Concorrenza Regole, 2020, 371 e segg.; ABRIANI, La corporate governance nell’era dell’algoritmo. Prolegomeni a uno studio sull’impatto dell’intelligenza artificiale sulla corporate governance, in NDS, 2020, 2612 e segg.;  MONTAGNANI, Il ruolo dell’intelligenza artificiale nel funzionamento del consiglio di amministrazione delle società per azioni, Milano, 2021; TOMBARI, Intelligenza artificiale e corporate governance nella società quotata, in Riv. Soc., 2021, 1434 e segg.; CIAN, Intelligenza artificiale e funzionamento degli organi sociali, in Diritto societario, digitalizzazione e intelligenza artificiale (cit.), 149 e segg.; SANDEI, Intelligenza artificiale e funzionamento degli organi sociali: autonomia e vincoli, in Diritto societario, digitalizzazione e intelligenza artificiale (cit.), 157 e segg.

In un’ottica più ampia, che copre aspetti giuridici, ma anche economici e sociali, si rinvia all’ottimo CERRINA FERONI, FONTANA, RAFFIOTTA, AI Anthology, Bologna, 2022, passim. Tra le opere più recenti (ed aggiornato alla legge italiana) ancorchè senza una prospettiva sull’impresa commerciale, si veda FINOCCHIARO, Diritto dell’intelligenza artificiale, II ed., Bologna, 2025.

[3] OECD (2026), L’intelligenza artificiale nei mercati finanziari italiani, OECD Publishing, Paris, https://doi.org/10.1787/7ecf1246-it. Sul tema e con una visuale sulla prospettiva di vigilanza, si segnala in particolare, DERIU, Intelligenza artificiale e vigilanza sui mercati finanziari, in AI Anthology, cit., 429 e segg.

[4] Il termine compare in lingua inglese anche nella versione italiana del Regolamento in questione.

[5] Sulla responsabilità di imprenditori e amministratori che si pongano come “deployers” nella catena di valore dell’IA, si veda PACILEO, Intelligenza artificiale e impresa, in Il Regolamento europeo sull’intelligenza artificiale, Bologna, 2025, ed in particolare i paragrafi 4 e 5, pagg. 532 e segg.

[6] Non si affronta in questa sede l’ulteriore tema delle caratteristiche che un software debba avere al fine di non rischiare di minare l’indipendenza degli amminstratori indipendenti che ne facessero uso, laddove il software messo a disposizione dalla società fosse stato sviluppato dalla società stessa e dovesse risentire dei medesimi bias (su cui infra) dai quali l’amministratore indipendente, in quanto tale, è tenuto a non farsi influenzare nella propria valutazione. Per una disamina della questione, ABRIANI – SCHNEIDER, op. cit., 210.

[7] ENRIQUES – ZORZI, Intelligenza artificiale e responsabilità degli amministratori, in Diritto societario, digitalizzazione e intelligenza artificiale (cit.), 183 e segg.

[8] Principio che in Italia è stato talora tradotto come principio di insindacabilità delle scelte gestorie, pur tenendo a mente che tale insindacabilità non è assoluta, ma poggia fondamentalmente sulla ragionevolezza della decisione gestoria al momento in cui è stata assunta e sull’assenza di conflitti di interesse da parte dell’amministratore o del consiglio che l’abbiano deliberata, nonché nell’obbligo di diligenza dell’amministratore “declinabile anche nel senso di adeguatezza degli assetti e di obbligo di agire informato” (PACILEO, Intelligenza artificiale e impresa, op. cit., 535).

[9] Questa caratteristica strutturale dell’intelligenza artificiale ha indotto a definirla un “pappagallo stocastico”(stochastic parrot) nel noto paper di Timnit Gebru, Emily M. Bender, Angelina McMillan-Major, Margaret Mitchell “On the Dangers of Stochastic Parrots: Can Language Models Be Too Big?” (il titolo completo includerebbe anche il disegno di un pappagallo, quivi omesso) disponibile in dl.acm.org/doi/epdf/10.1145/3442188.3445922.

[10] Sul punto, per un inquadramento del tema, si veda MOSCO, Roboboard. L’intelligenza artificiale nei consigli di amministrazione, in AGE, 2019, 257; MONTAGNANI, Roboboard e Robocompanies, in Diritto societario, digitalizzazione e intelligenza artificiale (cit.), 167 e segg.

[11] ABRIANI – SCHNEIDER, op. cit., 198.

Clicca qui per il video integrale

Non si tratta più di una competenza opzionale, ma di una condizione sempre più necessaria per partecipare ai processi di trasformazione in corso. Questo passaggio si colloca in una fase di evoluzione anche normativa.

Nelle ultime settimane, l'attenzione delle imprese si è concentrata sul rinvio previsto dal Digital Omnibus per alcune disposizioni dell'AI Act. «È comprensibile, ma rischia di generare un equivoco: il rinvio riguarda prevalentemente i sistemi di AI ad alto rischio e non equivale a una sospensione generalizzata del Regolamento», spiegano Giulio Uras e Marco Cappa, entrambi counsel di ADVANT Nctm. «Il 2 agosto 2026 è ormai vicino. Da quella data troveranno applicazione gli obblighi di trasparenza previsti dall'AI Act. I sistemi che interagiscono direttamente con gli utenti, come chatbot e assistenti virtuali, dovranno rendere evidente la propria natura artificiale. Analogamente,i contenuti generati o manipolati mediante AI, inclusi deepfake e sintesi vocali, dovranno essere adeguatamente identificati. La priorità, oggi, è duplice: classificare e governare. Le imprese devono anzitutto comprendere quali sistemi di AI utilizzanoe quale disciplina sia loro applicabile. In questa prospettiva si inseriscono le recenti linee guida della Commissione europea sulla classificazione dei sistemi ad alto rischio, attese da tempo dagli operatori. Molte organizzazioni, tuttavia, impiegano già strumenti di AI in processi rilevanti senza averne mai valutato formalmente caratteristiche, finalità e rischi. Sul piano della governance, le realtà più avanzate stanno introducendo procedure strutturate per identificare, classificaree monitorare i sistemi utilizzati, con responsabilità chiaramente attribuite e criteri condivisi di valutazione del rischio. Senza questo presidio organizzativo, anche il successivo percorso di compliance rischia di essere inefficace».

Leggi l'articolo integrale sul numero di lunedi 13 luglio 2026 di ItaliaOggi Sette

Attualmente non esiste una legge ad hoc sui finfluencer, ma un loro possibile inquadramento è stato al centro delle discussioni sul pacchetto di riforme promosso dalla Ue per rafforzare la tutela dei piccoli risparmiatori noto come Retail Investment Strategy. Con posizioni diverse tra le tre istituzioni europee, con Commissione e Consiglio più conservativi (proponevano un rafforzamento degli obblighi di trasparenza per il marketing digitale senza creare una disciplina specifica per i finfluencer) e Parlamento europeo più innovativo. […]

[…] «In particolare», spiega l'avvocato Francesco Mocci, partner di ADVANT Nctm, «la direttiva, pur riconoscendo un ruolo positivo degli influencer nella promozione dell'educazione finanziaria verso un pubblico più ampio, si preoccupa di disciplinare in modo trasparente le comunicazioni di marketing, in modo da far emergere il legame tra intermediari e finfluencer. In quest'ottica, si prevede che l'incarico conferito a un influencer finanziario (definito come qualsiasi persona fisica o giuridica in grado di influenzare il comportamento, l'opinione o le decisioni di investimento di clienti al dettaglio o potenziali clienti al dettaglio, in virtù della propria esposizione, posizione o relazione con il pubblico, e che svolge comunicazioni di marketing o pratiche di marketing per conto di un'impresa di investimento) di promuovere determinati prodotti e servizi dell'intermediario sia disciplinato da un apposito contratto scritto, che ne specifichi natura e portata».[…]

Leggi l'articolo integrale sull'edizione di Lunedì 6 luglio 2026 de Il Sole 24 Ore.

È partito il conto alla rovescia in vista dell'incontro annuale di Consob con il mercato finanziario che si terrà lunedì prossimo a Milano. Si può essere pressoché certi che tra i temi al centro dell'appuntamento ci saranno i canali digitali, oggetto di numerosi interventi della Commissione (che dal 2019 ha oscurato 1.763 siti web di intermediari finanziari abusivi) sia sul fronte delle linee guida, sia su quello della ricerca.[…]

[…] Il punto di riferimento in questo senso sono le linee guida diffuse da Consob congiuntamente all'Esma, l'Autorità di regolamentazione e di vigilanza sui mercati finanziari dell'Unione europea. «Due sono in definitiva gli ambiti in cui la figura dei finfluencer rileva», spiega Francesco Mocci , partner di ADVANT Nctm. «In primo luogo, la loro attività può interferire con la disciplina delle raccomandazioni di investimento, sei post sui social consigliano, esplicitamente o implicitamente, una strategia su strumenti finanziari. L'Esma avverte che è facile sconfinare dall'attività puramente educativa alla raccomandazione, ad esempio valutando le performance future di un emittente durante un webinar. Nelle raccomandazioni, andranno esplicitate le ipotesi di conflitto di interessi, le fonti consultate, le metodologie di calcolo dei prezzi o la frequenza degli aggiornamenti. Una diffusione superficiale di informazioni può poi sfociare in reati gravi, come l'insider trading (per esempio, rivelando in anticipo il contenuto di una raccomandazione autorevole)o la manipolazione del mercato, per esempio diffondendo messaggi fuorvianti o creando "azioni coordinate" tra utenti social per influenzare artificialmente i prezzi e trarne profitto».[…]

Leggi l'articolo integrale sul numero di Lunedì 6 luglio de Il Sole 24 Ore.

IA e nuove tecnologie: dalla sperimentazione alla responsabilità

Il capitolo più visibile della Relazione è, inevitabilmente, per attualità quello dell’intelligenza artificiale (IA). Il Garante ha confermato una linea di intervento non meramente sanzionatoria, ma orientata a presidiare ex ante i rischi per gli interessati: dalla vigilanza sui deepfake, fino ai provvedimenti relativi alle applicazioni di deepnude e alla generazione non consensuale di immagini intime. In questa prospettiva, il trattamento dei dati personali diventa il punto di frizione più sensibile tra potenza computazionale, opacità dei modelli e tutela della dignità individuale.

La stessa logica emerge nelle iniziative sul web scraping per l’addestramento dei sistemi di IA generativa e nel parere favorevole sulle linee guida ministeriali per l’introduzione dell’IA nelle scuole. Il punto non è fermare l’innovazione, ma pretendere che sia governata: basi giuridiche solide, trasparenza effettiva, minimizzazione, valutazioni d’impatto quando necessarie e una governance documentabile lungo l’intero ciclo di vita del sistema. Per imprese e pubbliche amministrazioni, l’IA non può essere trattata come un progetto solo tecnologico: è, a tutti gli effetti, un tema anche regolatorio.

Sanità digitale, PA e biometria: innovare, ma by design

Nel settore sanitario l’Autorità ha espresso 28 pareri su schemi di decreti e regolamenti, ribadendo che la digitalizzazione dei percorsi di cura deve incorporare fin dall’origine privacy by design, minimizzazione, liceità, trasparenza e accountability. La Relazione segnala criticità ricorrenti nella gestione dei dossier sanitari, nelle procedure di identificazione dei pazienti, nella comunicazione dei dati sanitari e nella prevenzione degli accessi abusivi ai sistemi informativi. La sanità digitale resta quindi uno dei principali banchi di prova della conformità: più il dato è utile alla cura, più deve essere protetto con misure tecniche, organizzative e procedurali realmente effettive.

Anche il ricorso alla biometria conferma la centralità del principio di proporzionalità. Il caso FaceBoarding dell’aeroporto di Milano Linate, relativo alla conservazione centralizzata dei dati biometrici dei passeggeri, mostra come l’efficienza del servizio non possa assorbire la valutazione giuridica sul rischio, sulla necessità del trattamento e sulle alternative meno invasive. In un contesto di crescente automazione dei processi di identificazione, il dato biometrico resta una categoria ad alta intensità di rischio e richiede cautele rafforzate.

Sul fronte pubblico, la Relazione conferma inoltre il ruolo consultivo del Garante nei processi di digitalizzazione della pubblica amministrazione, inclusi i lavori sul Sistema IT-Wallet. La direzione è chiara: identità digitale, interoperabilità e semplificazione amministrativa possono funzionare solo se l’architettura dei trattamenti è disegnata in modo coerente con il quadro europeo e con il principio di tutela effettiva degli interessati.

Minori e lavoro: dove la tecnologia incontra la vulnerabilità

La tutela dei minori resta una priorità trasversale. L’attività del Garante ha continuato a concentrarsi sui sistemi di age verification, sul fenomeno dello sharenting e sulle campagne di sensibilizzazione, tra cui "La sua privacy vale più di un like". Il dato personale del minore non è un dato “piccolo”: è un’informazione che può accompagnare la persona nel tempo, incidendo sulla sua identità digitale, sulla reputazione e sulla libertà di autodeterminarsi.

Nel rapporto di lavoro, la Relazione conferma invece l’attenzione verso trattamenti sproporzionati e forme di controllo eccedenti. Il divieto imposto ad Amazon Italia Logistica in relazione ai dati di oltre 1.800 lavoratori si inserisce in una linea ormai consolidata: strumenti digitali, sistemi di monitoraggio, videosorveglianza e soluzioni di IA applicate all’organizzazione del lavoro devono rispettare i principi di necessità, proporzionalità e trasparenza. La produttività non legittima, da sola, la sorveglianza pervasiva.

Telemarketing, cronaca e ispezioni: le vecchie criticità diventano più sofisticate

Accanto alle nuove frontiere dell’IA, la Relazione ricorda che le criticità tradizionali non sono affatto superate. Il contrasto al telemarketing aggressivo, in particolare nel settore energetico, continua a richiedere interventi significativi, anche perché le tecniche di acquisizione dei dati e di profilazione commerciale assumono forme sempre più articolate. Analogamente, nel rapporto tra privacy e diritto di cronaca, l’Autorità ha ribadito il principio di essenzialità dell’informazione, stigmatizzando eccessi di spettacolarizzazione e dettagli non necessari lesivi della dignità della persona.

Le attività ispettive hanno confermato la pervasività dei trattamenti e la centralità dei controlli in settori ad alto impatto: SPID, riconoscimento facciale, videosorveglianza, ricerca scientifica, data breach e banche dati pubbliche. Il dato più interessante è che il Garante descrive uno scenario in cui le cattive prassi non scompaiono, ma si stratificano e vengono potenziate da strumenti tecnologici più raffinati. Per questo, la compliance deve essere continua, verificabile e sostenuta da presidi organizzativi concreti.

I numeri chiave del 2025

• 807 provvedimenti collegiali adottati.
• 4.288 reclami e 145.846 segnalazioni esaminate.
• 65 pareri su atti normativi, amministrativi e valutazioni d’impatto.
• 506 provvedimenti correttivi e sanzionatori.
• Oltre 37 milioni di euro di sanzioni riscosse.
• 2.415 notifiche di data breach, in aumento rispetto al 2024.
• 854 segnalazioni sulla diffusione o minaccia di diffusione di materiale intimo, prevalentemente casi di sextortion.
• 130 ispezioni effettuate, anche con il supporto della Guardia di finanza.
• Oltre 13.500 richieste di informazioni evase da cittadini e operatori.

Dal dato alla fiducia: il vero messaggio della Relazione

Nel 2025 il Garante ha partecipato a 260 riunioni internazionali e ha contribuito ai lavori europei e globali su IA, governance dei dati e tutela dei diritti fondamentali. Ma il cuore della Relazione è anche nazionale e operativo: imprese e pubbliche amministrazioni sono chiamate a trasformare la protezione dei dati in un presidio strutturale di organizzazione, sicurezza e fiducia. La compliance privacy non può più essere confinata al registro dei trattamenti o all’informativa: deve entrare nei processi decisionali, nei modelli di sviluppo tecnologico, nella gestione dei fornitori, nella cybersecurity e nella cultura aziendale. In altre parole, la domanda non è più se innovare, ma come farlo senza perdere il controllo sui dati e, quindi, sulla relazione di fiducia con persone, clienti, lavoratori e cittadini.

L'intervento sull'art. 98 c.p.i. costituisce attuazione puntuale di uno specifico criterio di delega: la legge n. 132/2025 ha infatti incaricato il legislatore delegato di individuare il regime giuridico dell'utilizzo di dati, algoritmi e metodi matematici per l'addestramento dei sistemi di intelligenza artificiale. La modifica qui in esame si colloca, peraltro, all'interno di uno schema dal contenuto marcatamente eterogeneo – rubricato in materia di poteri delle autorità nazionali e di utilizzo dell'intelligenza artificiale nella formazione – che spazia dalla vigilanza sul mercato agli spazi di sperimentazione, dalle disposizioni in materia di lavoro all'alfabetizzazione digitale: un dato di contesto che, come si dirà, non è privo di conseguenze sul piano sistematico.

Tra le altre cose, sono state previste modifiche all'art. 98 del D. Lgs. n. 30 del 10 febbraio 2005, norma che disciplina la tutela dei segreti commerciali nel nostro ordinamento.

Il contenuto del nuovo comma 1-bis

L'art. 98 del Codice della Proprietà Industriale riconosce come oggetto di protezione le informazioni aziendali e le esperienze tecnico-industriali soggette al legittimo controllo del detentore, al ricorrere di tre condizioni cumulative: la segretezza dell'informazione (non nota né facilmente accessibile agli esperti del settore nella sua configurazione specifica); il valore economico derivante da tale segretezza; l'adozione di misure ragionevolmente adeguate a mantenerla tale.

L'art. 51 dello schema di decreto legislativo di adeguamento della normativa nazionale al regolamento (UE) 2024/1689, in materia di poteri delle autorità nazionali e di utilizzo dell'intelligenza artificiale nella formazione, propone di inserire un comma 1-bis all'art. 98, secondo cui: "Tra le informazioni aziendali e le esperienze tecnico-industriali di cui al comma 1, se ricorrono le condizioni di cui alle lettere a), b) e c) del predetto comma [segretezza, valore economico, adozione di misure di secretazione, n.d.r.], sono ricompresi anche i dati, gli algoritmi e i metodi matematici per l'addestramento di sistemi di intelligenza artificiale. Ai fini dell'addestramento dei sistemi di intelligenza artificiale, per algoritmi e metodi matematici si intendono le architetture dei modelli, le funzioni di ottimizzazione, le procedure e configurazioni di addestramento, nonché ogni altro elemento tecnico-computazionale funzionale allo sviluppo di sistemi di intelligenza artificiale."

La portata della norma: clausola di inclusione e definizione

La norma si muove su due piani distinti ma complementari. Sul piano sostanziale, opera una clausola di inclusione esplicita: i dati, gli algoritmi e i metodi matematici impiegati nell'addestramento di sistemi di intelligenza artificiale vengono formalmente ascritti alla categoria delle informazioni aziendali e delle esperienze tecnico-industriali tutelabili. Si tratta, a ben vedere, di una previsione dal valore prevalentemente ricognitivo: anche prima dell'intervento, quelle componenti ben potevano rientrare nel perimetro dell'art. 98, ricorrendone i presupposti. Il comma 1-bis riduce così l'incertezza interpretativa circa l'applicabilità della fattispecie alle componenti tecnico-informative dei modelli, più che introdurre una copertura prima inesistente.

Sul piano definitorio, la norma chiarisce che per algoritmi e metodi matematici devono intendersi le architetture dei modelli, le funzioni di ottimizzazione, le procedure e configurazioni di addestramento, nonché – mediante una clausola residuale aperta – ogni altro elemento tecnico-computazionale funzionale allo sviluppo di sistemi di intelligenza artificiale. L'elencazione non tassativa è una scelta deliberatamente orientata a garantire alla norma la flessibilità necessaria in un settore in rapida evoluzione tecnologica.

Una norma di chiarificazione sistematica, non un nuovo diritto

Il comma 1-bis non introdurrebbe, quindi, un nuovo diritto di proprietà intellettuale sui modelli, né modificherebbe la struttura tripartita delle condizioni di accesso alla tutela. Esso costituirebbe piuttosto una norma di chiarificazione sistematica volta, da un lato, ad offrire certezza del diritto agli operatori del settore e, dall'altro, a produrre un effetto incentivante sulle pratiche di governance interna: le imprese che sviluppano intelligenza artificiale sapranno che – previa adozione di misure organizzative, legali e tecniche adeguate a mantenere segreti i propri asset (come policy di accesso differenziato ai dataset, accordi di riservatezza, sistemi di password e controllo degli ambienti di sviluppo) – essi potranno beneficiare della tutela riservata ai segreti commerciali.

I limiti oggettivi della tutela

La portata pratica della novella va però misurata sui suoi confini. La tutela non opera in modo automatico per il solo fatto che un asset sia "tecnico-computazionale": resta interamente condizionata al ricorrere dei tre requisiti dell'art. 98, e in particolare a quello – tutt'altro che scontato in questo settore – della segretezza nella precisa configurazione e combinazione degli elementi.

Ne deriva che restano fuori dalla protezione tutte le componenti che segrete non sono o non sono più: i pesi resi pubblici dei modelli cosiddetti open-weight; i dataset costruiti mediante raccolta automatizzata di fonti liberamente accessibili in rete; le architetture e le funzioni di ottimizzazione ormai notorie e descritte nella letteratura scientifica. È, anzi, proprio su questo crinale – la dimostrazione in concreto della segretezza e dell'adozione di misure adeguate – che si concentrerà prevedibilmente il futuro contenzioso. La norma, in altri termini, offre una cornice di certezza, ma non dispensa l'impresa dall'onere di costruire e documentare la segretezza dei propri asset.

Perché il segreto e non il diritto d'autore

La modifica dell'art. 98 c.p.i. proposta dallo schema di decreto legislativo del giugno 2026 risponde ad una scelta di sistema: sebbene il diritto d'autore potrebbe apparire lo strumento più naturale per la protezione di opere dell'ingegno digitali complesse (sulla scia della tutela dei programmi per elaboratore), nell'economia dell'intelligenza artificiale il valore competitivo della creatività della forma espressiva risulta recessivo, in quanto la tutela autorale è – per espressa scelta politico-legislativa italiana e sovranazionale – fortemente legata alla paternità umana.

La tutela autorale è, infatti, ineludibilmente ancorata alla figura dell'autore umano e al suo apporto creativo individuale: l'art. 1 della legge 22 aprile 1941, n. 633 richiede che l'opera, pur prodotta tramite l'ausilio dell'intelligenza artificiale, sia il "risultato del lavoro intellettuale dell'autore". Si tratta di un ancoraggio che la stessa legge n. 132/2025 ha inteso non solo confermare, ma irrobustire: l'art. 25 della legge ha infatti modificato in tal senso l'art. 1 l. aut. e introdotto l'art. 70-septies. Emerge così con nitidezza il disegno complessivo del legislatore: il medesimo intervento che irrigidisce la via autorale attorno all'autore-persona fisica apre, sul versante industrialistico, la via oggettiva del segreto. La scelta in favore dell'art. 98 c.p.i. non è dunque casuale, ma coerente con una precisa architettura di sistema.

Questo requisito si rivela un ostacolo nello sviluppo tecnologico del settore dell'intelligenza artificiale. Da un lato, infatti, la creatività nella forma espressiva è spesso un valore poco tangibile nelle componenti dei modelli di intelligenza artificiale: i dataset di addestramento sono, nella stragrande maggioranza dei casi, aggregazioni massive di dati raccolti mediante processi automatizzati, prive di attività di selezione e organizzazione umana; i pesi del modello sono il risultato di un'operazione matematica su enormi quantità di dati. Insomma, si tratta di asset che – pur dotati di rilevantissimo valore economico – ben possono non recare l'impronta della personalità dell'autore. Dall'altro, l'ausilio dello strumento tecnologico nello sviluppo dei modelli e delle relative componenti rende ancora più difficile conseguire la tutela, in quanto il "lavoro intellettuale dell'autore" è requisito che deve essere tangibile ai fini della proteggibilità.

Il diritto d'autore, in sintesi, si rivela uno strumento poco adeguato nell'economia dell'intelligenza artificiale, in cui l'investimento strategico su larga scala può essere meglio preservato da una tutela di tipo "oggettivo". In questo contesto, la tutela dei segreti commerciali ai sensi dell'art. 98 del Codice della Proprietà Industriale emerge come lo strumento giuridicamente più pronto a recepire la novità tecnologica: essendo fondata su condizioni oggettive di segretezza e valore economico, questo tipo di tutela offre una copertura strutturalmente più coerente con la natura di dataset, funzioni e pesi dei modelli rispetto a quella, ancorata al requisito creativo, del diritto d'autore.

Profili processuali: le Sezioni specializzate in materia di impresa

Il contenzioso relativo a dati di addestramento, algoritmi e pesi di modelli di intelligenza artificiale, nella misura in cui beneficino della tutela industrialistica, verrebbe trattato sempre dalle Sezioni Specializzate in materia di impresa dei Tribunali, già competenti in materia di segreti commerciali, garantendo continuità nell'applicazione dei principi elaborati dalla giurisprudenza specializzata. La scelta è coerente con uno dei criteri della delega, che già rimetteva a tali Sezioni le controversie sull'utilizzo di dati, algoritmi e metodi matematici per l'addestramento, e assicura che la materia sia trattata da un giudice avvezzo alla peculiare istruttoria dei segreti commerciali – ad esempio quanto alla verifica delle misure di protezione e alla gestione della riservatezza nel corso del giudizio.

Prospettive critiche: il nodo dell'opacità

La novella non è, peraltro, esente da rilievi critici, che un'analisi completa non può tacere. Si è osservato che, qualificando per definizione dati, architetture e parametri come potenziale oggetto di segreto, la disposizione tenderebbe a rendere i sistemi di intelligenza artificiale giuridicamente più difficili da scrutinare, proprio mentre l'ordinamento – europeo e interno – muove in direzione opposta, verso obblighi di trasparenza e spiegabilità.

L'obiezione, tuttavia, va precisata, perché poggia su due piani che è bene tenere distinti. Un conto è la spiegazione di una singola decisione automatizzata – il perché di quell'output per quell'input –, che spetta al lavoratore o al cittadino come "motivazione intelligibile"; altro è la conoscenza del modello in sé – pesi, architettura, dati e configurazioni di addestramento –, che è l'oggetto proprio del segreto. I due livelli non coincidono: la motivazione di una decisione può di regola essere resa senza ostendere i parametri o il codice, attraverso indicazioni sulla logica seguita e sui fattori che hanno pesato (anche in forma controfattuale). È, del resto, la stessa impostazione del diritto europeo, che impone informazioni significative sulla logica e sugli elementi principali della decisione, non l'esibizione dell'algoritmo addestrato, e che affianca non a caso gli obblighi di trasparenza a clausole di salvaguardia della riservatezza, presupponendone la coesistenza. In questa misura, l'idea che spiegare imponga necessariamente di svelare il segreto è imprecisa.

La tensione, più sottile, si manifesta a un livello ulteriore: non quello della spiegazione funzionale, ma quello della verifica del sistema – quando, per accertare l'assenza di bias discriminatori o un malfunzionamento, non basti la motivazione del singolo output e occorra accedere ai dati di addestramento o al modello stesso. È qui che il detentore può opporre il segreto, che opera allora non come ostacolo alla spiegazione, ma come possibile schermo all'ispezione piena. Anche su questo piano, però, l'ordinamento offre strumenti di mediazione: l'art. 121-ter c.p.i. e il regime di riservatezza nei procedimenti sui segreti commerciali consentono di contemperare le contrapposte esigenze attraverso l’accesso selettivo riservato a soggetti vincolati alla riservatezza. Il segreto, dunque, non travolge automaticamente la verificabilità, ma ne aumenta il costo e ne sposta la sede in giudizio.

Conclusione

L'intervento del legislatore delegato, nel rendere esplicita la copertura industrialistica degli asset di intelligenza artificiale, fornisce alle imprese un importante input per orientare i propri investimenti in ricerca e sviluppo e le proprie strategie di protezione. Ne esce confermata una precisa scelta di sistema – l'opzione per una tutela oggettiva fondata sul segreto in luogo di quella creativa fondata sull'autore – il cui pregio in termini di certezza del diritto andrà però misurato, nella prassi applicativa, con le esigenze di trasparenza che innervano il resto della disciplina sull'intelligenza artificiale.

Per maggiori informazioni consulta le nostre aree dedicate alla Proprietà Intellettuale e al Digital e Data

Lo spazio si sta progressivamente affermando come una delle dimensioni della sovranità statale, in virtù della rilevanza strategica in termini di sicurezza nazionale, ricerca scientifica e competitività economica. Le infrastrutture ed i servizi spaziali nonché i dati raccolti attraverso sistemi di osservazione, telecomunicazione e navigazione incidono, infatti, su molte funzioni pubbliche: dalla protezione civile al monitoraggio ambientale, dalla tutela del territorio alla sicurezza delle infrastrutture critiche, fino allo sviluppo industriale e scientifico.

Per queste ragioni, non sorprende che il settore spaziale sia stato di recente oggetto di regolazione con la Legge n. 89 del 13 giugno 2025, che ha colmato il precedente vuoto regolatorio, dotando l’Italia di un framework giuridico stabile. Tale intervento normativo prende atto della trasformazione strutturale del settore spaziale, sempre più caratterizzato dalla presenza di operatori privati accanto alle tradizionali agenzie governative, mirando a disciplinare l’accesso allo spazio extra-atmosferico e lo svolgimento delle attività spaziali attraverso un sistema autorizzatorio. La legge risponde così all’esigenza di assicurare un’adeguata supervisione pubblica sulle attività degli operatori, anche al fine di prevenire profili di responsabilità internazionale dello Stato e di evitare uno svantaggio competitivo rispetto ad altri ordinamenti europei già dotati di discipline nazionali di settore.

La Legge n. 89 del 13 giugno 2025 rappresenta, tuttavia, solo uno dei tasselli del più ampio processo di consolidamento della governance italiana dello spazio. Se essa definisce il quadro regolatorio entro cui gli operatori sono chiamati a svolgere le attività spaziali, resta centrale la dimensione programmatoria e strategica, volta a individuare le priorità pubbliche, industriali, scientifiche e tecnologiche del Paese. È proprio in questa prospettiva che assume rilievo il Documento Strategico di Politica Spaziale Nazionale (DSPSN), il quale non disciplina direttamente l’accesso allo spazio, ma traduce gli indirizzi di Governo in una visione di medio-lungo periodo per lo sviluppo della politica spaziale nazionale.

Per quanto concerne più specificatamente il DSPSN, la base giuridica di riferimento è rappresentata dalla Legge n. 7 dell’11 gennaio 2018 che ha attribuito al Presidente del Consiglio dei ministri l’alta direzione, la responsabilità politica generale e il coordinamento delle politiche relative ai programmi spaziali e aerospaziali. La citata legge ha istituito il Comitato interministeriale per le politiche relative allo spazio e alla ricerca aerospaziale (“COMINT”), chiamato a definire gli indirizzi del Governo in materia spaziale e aerospaziale, che il 14 maggio scorso ha approvato il primo Documento Strategico di Politica Spaziale Nazionale (“DSPSN”), volto a tradurre gli indirizzi del Governo in materia spaziale e aerospaziale in una programmazione di medio-lungo periodo. Il Documento in commento individua obiettivi strategici e interventi prioritari al fine di rafforzare l’autonomia strategica nazionale, sostenere la crescita della filiera industriale e scientifica e consolidare il posizionamento internazionale dell’Italia nel settore spaziale.

Punti chiave del DSPSN e la stretta correlazione tra Space e Data Economy.

Il DSPSN si articola attorno a quattro assi di intervento: i) l’ampliamento della conoscenza e dei benefici per la società; ii) la crescita e competitività dell’ecosistema industriale nazionale; iii) il rafforzamento del contesto regolatorio e di governance; iv) l’individuazione di aree prioritarie per la cooperazione internazionale. In ciascuno degli assi assumono centralità i temi “classici” del digitale, riconoscendo una stretta correlazione tra lo sviluppo della Space e della Data economy. 

Il Documento, in ciascuno dei quattro assi, difatti, riconosce rilevanza strategica alla governance dei dati raccolti o correlati alla dimensione spaziale, alle tecnologie (intelligenza artificiale, tecnologie quantum e robotica) nonché alla cybersecurity. La politica spaziale nazionale sembra dunque costruita attorno all’idea che il valore dello spazio, in termini di efficienza nell’espletamento delle funzioni pubbliche e di nuove chances per gli operatori economici,  non risieda soltanto nello sviluppo delle infrastrutture orbitali, nei lanciatori o nelle missioni, ma anche - e sempre più - nella capacità di trasformare dati, tecnologie e servizi spaziali in strumenti di decisione pubblica, sviluppo industriale e sicurezza nazionale. In questa prospettiva, Space economy e Data economy risultano strettamente correlate: l’osservazione della Terra, le telecomunicazioni satellitari, la navigazione, la Space Domain Awareness e i servizi governativi dipendono tutti dalla raccolta, elaborazione, protezione e valorizzazione di grandi quantità di dati.

La centralità della governance dei dati ai fini della Space economy.

Il Documento considera, innanzitutto, l’importanza delle analisi spaziali e la centralità dei dati raccolti in termini di progresso della ricerca scientifica. In questa prospettiva, l’obiettivo 5.1, dedicato proprio al sostegno della ricerca scientifica e industriale, prevede lo sviluppo di piattaforme aperte per la condivisione dei dati, sia pubblici sia privati, relativi alla ricerca scientifica e industriale. Il Documento richiama altresì la necessità di laboratori e centri di competenza avanzata specializzati nel processamento e nell’interpretazione dei dati, in un’ottica di Open Science e di rafforzamento dell’ecosistema nazionale della ricerca.

Simile impostazione emerge nell’obiettivo 6.4 in relazione ai dati satellitari, relativo al supporto alla sostenibilità del pianeta e al miglioramento dei servizi per la Pubblica Amministrazione. In tale ambito, il DSPSN prevede il potenziamento e l’evoluzione della piattaforma infrastrutturale del Market Place di Iride, anche in modalità cloud-based, al fine di facilitare l’accesso, l’elaborazione e la condivisione dei dati satellitari tra amministrazioni pubbliche e utenti istituzionali. Tale intervento include la definizione di standard di interoperabilità dei dati e lo sviluppo di strumenti software per la visualizzazione e l’analisi delle informazioni. Inoltre, l’obiettivo 9.2 collega espressamente l’uso dei dati satellitari alla crescita del settore produttivo. Il Documento mira, in questo senso, a promuovere l’uso diffuso di dati e informazioni satellitari, con particolare attenzione a PMI e start-up, al fine di supportarne il posizionamento competitivo nel mercato commerciale. 

Particolarmente rilevante è anche l’obiettivo 8.1, dedicato al rafforzamento della leadership italiana nell’Osservazione della Terra. Il Documento richiama lo sviluppo dell’ecosistema nazionale di Earth Intelligence e prevede che i servizi siano progettati con caratteristiche di interoperabilità e scalabilità, integrando i dati di Osservazione della Terra con altre fonti informative, quali dati socioeconomici, dati derivanti dall’Internet of Things e modelli previsionali. La finalità è fornire soluzioni idonee a soddisfare le esigenze della Pubblica Amministrazione e di settori chiave, tra cui agricoltura di precisione, gestione delle risorse naturali, monitoraggio ambientale, patrimonio culturale e sicurezza.

Tecnologia quale fattore trainante dell’economia spaziale

Un secondo macrotema che emerge dal DSPSN riguarda la centralità della tecnologia nella politica spaziale nazionale. Il Documento non considera la tecnologia solo come ambito di ricerca e sviluppo, ma come leva trasversale per rafforzare competitività, autonomia strategica e capacità di trasformare lo spazio in valore pubblico e industriale. Già nella sezione dedicata allo «Scenario di riferimento», il DSPSN evidenzia come la Space Economy sia trainata dai servizi e dai dati satellitari, ma anche dall’innovazione in settori quali lanciatori, costellazioni e intelligenza artificiale.

Questa impostazione si riflette negli obiettivi dedicati alla ricerca e alle competenze. L’obiettivo 5.1 individua tra le tecnologie prioritarie l’intelligenza artificiale per lo spazio, le tecnologie quantistiche, i nuovi materiali, la robotica, i sensori MEMS e le applicazioni per il monitoraggio ambientale, climatico e agricolo. L’obiettivo 5.2 collega invece tali ambiti allo sviluppo di competenze STEM avanzate, prevedendo percorsi specialistici e centri di eccellenza dedicati, tra l’altro, a IA, cybersecurity e tecnologie quantum applicate allo spazio.

La tecnologia assume rilievo anche in relazione alla sovranità tecnologica nazionale. L’obiettivo 7.3 prevede infatti un Piano di sviluppo delle tecnologie spaziali critiche e bandi per tecnologie emergenti e abilitanti, tra cui IA, propulsione avanzata, cyber e quantum, anche per applicazioni spaziali complesse e dual-use. In questo senso, il presidio delle tecnologie critiche è funzionale a ridurre dipendenze e rafforzare la capacità industriale del Paese.

Infine, il DSPSN valorizza la tecnologia nella gestione dei dati spaziali e nella modernizzazione del sistema produttivo e amministrativo. L’obiettivo 8.1 collega l’evoluzione del Marketplace di Iride all’archiviazione, analisi e distribuzione dei dati anche mediante IA e machine learning. Gli obiettivi 9.1 e 11.1 richiamano, rispettivamente, digitalizzazione, robotica, digital twin e IA per le infrastrutture produttive, nonché competenze digitali avanzate nella Pubblica Amministrazione. Ne emerge una visione integrata, in cui la tecnologia attraversa ricerca, industria, dati, formazione e amministrazione, configurandosi come condizione essenziale per una politica spaziale innovativa e autonoma.

Spazio e cybersicurezza 

Il terzo macrotema è quello della cybersecurity. Nel DSPSN, la sicurezza cibernetica è strettamente connessa alla qualificazione dello spazio come dominio strategico, caratterizzato da infrastrutture critiche, uso duale e rischi geopolitici. La protezione dei sistemi spaziali non è, quindi, considerata soltanto un’esigenza tecnica, ma una componente della sicurezza nazionale.

Il Documento, sempre nella sezione dedicata allo «Scenario di riferimento» evidenzia che la protezione delle infrastrutture satellitari è ormai una necessità imprescindibile per salvaguardare le attività e le capacità nazionali sulla Terra. Tale esigenza è particolarmente rilevante per i sistemi ad uso duale, rispetto ai quali i requisiti di protezione devono essere considerati sin dalle prime fasi di sviluppo.

L’obiettivo 5.2 include espressamente le competenze di cyber security tra quelle necessarie allo sviluppo della Space Economy. Il Documento prevede percorsi formativi dedicati e la creazione di laboratori e centri di eccellenza per la ricerca e la formazione nella cyber security applicata allo spazio. 

Il punto centrale sul tema è, tuttavia, rappresentato dall’obiettivo 7.2 che prevede l’elaborazione di un piano o roadmap per la Cyber Security, in linea con la Legge n. 89 del 13 giugno 2025. Tale piano dovrà implementare cybersecurity end-to-end, sistemi di monitoraggio delle infrastrutture critiche e dei rischi naturali, risposta rapida, protezione dei dati e protocolli standard. Il Documento richiama inoltre il mantenimento, l’aggiornamento e la resilienza delle infrastrutture spaziali, satellitari, terrestri e informatiche, nonché l’istituzione di presidi cibernetici avanzati, tra cui un centro di Space Security Awareness.

L’obiettivo 7.3 colloca infine la sicurezza cibernetica nel quadro più ampio della Strategia nazionale di Sicurezza dello Spazio. Il Documento collega la protezione degli asset critici, del know-how e delle informazioni classificate e sensibili alla necessità di rafforzare la sovranità tecnologica nazionale. Anche l’obiettivo 8.2 presenta ricadute rilevanti, nella misura in cui richiama lo sviluppo di infrastrutture satellitari per connettività sicura e resiliente, comunicazioni ottiche ad alta velocità, crittografia quantistica, apparati a radiofrequenza, processamento a bordo, protocolli, segmento terrestre e terminalistica utente.

Prime riflessioni sul DSPSN: nuove opportunità per le imprese nazionali?

Dall’analisi del DSPSN emerge come il digitale costituisca una componente essenziale della politica spaziale nazionale. La Space economy delineata dal Documento non si esaurisce nella dimensione infrastrutturale dello spazio, ma si fonda sempre più sulla capacità di raccogliere, elaborare, proteggere e valorizzare dati e servizi digitali. In questa prospettiva, Space economy e Data economy risultano strettamente interconnesse: il valore strategico dello spazio dipende dalla possibilità di trasformare dati satellitari, tecnologie abilitanti e capacità spaziali in strumenti utili per la Pubblica Amministrazione, le imprese e la società.

La centralità attribuita dal DSPSN alla governance dei dati, all’intelligenza artificiale, alle tecnologie quantistiche, alla robotica, al machine learning, ai digital twin e alla cybersecurity conferma che il digitale rappresenta il principale fattore di abilitazione della nuova economia spaziale. Attraverso tali tecnologie, le infrastrutture e i dati spaziali possono essere convertiti in servizi avanzati per il monitoraggio ambientale e climatico, l’agricoltura di precisione, la protezione civile, la sicurezza delle infrastrutture critiche, le comunicazioni sicure e la modernizzazione dei processi produttivi e amministrativi. 

In questo quadro si presentano significative opportunità per le imprese italiane, incluse PMI e start-up, chiamate a sviluppare soluzioni basate su dati satellitari, Earth Intelligence, intelligenza artificiale, cybersecurity, comunicazioni resilienti e servizi downstream. Le piattaforme di accesso e condivisione dei dati, l’evoluzione del Marketplace di Iride, il sostegno alle tecnologie emergenti e i bandi per le tecnologie spaziali critiche possono favorire il rafforzamento della filiera nazionale. 

Dal punto di vista della protezione dei dati personali, un club di dimensioni medio grandi non è più solo “sport + biglietteria”: è un ecosistema fisico e digitale che genera valore con dati e contenuti proprietari.

Qui la privacy non è un adempimento “a margine”: è parte del modello di business, perché abilita fiducia, monetizzazione, valorizzazione del brand e continuità operativa. Il GDPR impone al club di sapere con precisione quali dati entrano, dove sono conservati, chi vi accede, per quale base giuridica sono trattati e per quanto tempo, distinguendo tra le diverse categorie di interessati (tifosi, minori, calciatori, staff tecnico/sanitario, dipendenti, fornitori).

In parallelo, molte società operano ormai come vere e proprie media company: producono e distribuiscono contenuti proprietari, gestiscono canali tematici ufficiali e, in alcuni casi, piattaforme digitali/streaming “club-branded” in ottica D2C (Direct-To-Consumer). 

Tipologie di dati e rischi “ad alto impatto” 

I dati più preziosi dal punto di vista societario sono spesso anche i più rischiosi per i potenziali impatti sui diritti fondamentali degli interessati:

• Dati anagrafici/ di contatto (tesseramenti, badge, accrediti, CRM);

• Dati economico-finanziari (pagamenti, rimborsi, fatturazione);

• Dati relativi alle riprese audio-video (partite, allenamenti, eventi, contenuti editoriali);

• Dati di accesso e sicurezza fisica/digitale (tornelli, access control, log);

• Dati relativi al comportamento digitale degli utenti (app/sito, interazioni, campagne marketing);

• Dati sanitari e relativi alle performance sportive (idoneità, infortuni, wearable/GPS, performance analysis).

Un aspetto “strategico” spesso sottovalutato: molte squadre di alto livello hanno oggi interi team di data analyst (o reparti di analytics) che lavorano su prestazioni, prevenzione infortuni, match analysis e soprattutto scouting/recruitment. 

Quando da dati di performance si ricavano inferenze su salute/condizione fisica o si trattano dati sanitari/biometrici, il trattamento tende a diventare “high risk”: servono basi giuridiche e condizioni di liceità rafforzate, rispetto dei principi di minimizzazione e proporzionalità, segregazione degli accessi e spesso una DPIA (e, se si usa il legittimo interesse, una LIA ben motivata).

Privacy by design e by default (separazione per domini, non per “funzioni”)

In un club strutturato la regola d’oro è progettare domini dati separati e controlli coerenti con le relative finalità/basi giuridiche, evitando archivi informali e “cartelle onnivore”.

In un’ottica di best practice, si potrebbero ipotizzare almeno:

• Un’area medica / relativa alle performance sportive: dati sanitari e di performance;

• Un’area sportiva: contratti, convocazioni, statistiche tecniche non sanitarie;

• Un’area media/marketing: immagini e video per comunicazione, contatti e preferenze, dati di interazione digitale.

Ruoli privacy e filiera fornitori (inclusi broadcaster/media partner)

Di norma il club è titolare per i trattamenti di dati personali legati alle proprie attività sportive e commerciali. Ma la governance concreta dipende dalla catena di fornitori dei servizi rilevanti, quali, a titolo di esempio: ticketing, CRM, cloud, contact center, agenzie digital, wearable tech, produzione e distribuzione di contenuti media.

Qui la conformità “si gioca” su contratti e responsabilità:

• Responsabile del trattamento quando il fornitore tratta dati per conto del club;

• Contitolarità quando finalità e mezzi sono determinati congiuntamente (es. iniziative con sponsor o co-marketing);

• Titolare autonomo quando il partner usa i dati per finalità proprie (scenario non raro nel mondo media/streaming e advertising).

Dal lato “media company”, è utile ragionare anche in termini di perimetri e diritti di distribuzione tra canali del club e servizi digitali di terzi (concetti come “official club platform” vs “third‑party digital service” aiutano a non creare confusione tra governance dei contenuti e governance dei dati personali). 

Basi giuridiche e trasparenza: perché il consenso non è un “jolly”

Un club deve resistere alla tentazione del “consenso universale”:

• per molti trattamenti core (esecuzione del contratto, obblighi legali, sicurezza, gestione sportiva) il consenso non è la base più adatta;

• il consenso diventa cruciale per marketing diretto, profilazione commerciale, cookie e tracking non necessari.

Operativamente, due cose fanno la differenza:

1. Informative multicanale (stadio, ticketing, app, e-commerce, academy), coerenti ma non “una sola per tutto”;

2. Preference & consent management nel CRM: consensi granulari, revoca semplice, allineamento tra canali.

Dimensione digitale delle attività di trattamento

Qui si concentrano rischi tipici: profilazioni poco trasparenti, condivisioni eccessive con terzi, retention “infinita”, trasferimenti extra‑UE non governati.

Le Linee guida del Garante su cookie e strumenti di tracciamento (10 giugno 2021) ribadiscono che, quando richiesto, il consenso deve essere libero, specifico, informato e documentato, e scoraggiano pratiche ingannevoli. 

Per un club che offre all'utente un'esperienza fluida all'interno di un ecosistema interconnesso - tra app, e-commerce, servizi OTT (piattaforme di streaming e contenuti on demand) e altre iniziative digitali - è fondamentale evitare automatismi nel tracciamento trasversale tra i vari touchpoint. Una strategia di valorizzazione dei dati risulta realmente efficace solo se supportata da una solida data governance e se le sue logiche rimangono sempre trasparenti e spiegabili all'utente.

Minori e settore giovanile

Il settore giovanile innalza sensibilmente il livello di rischio, sia per l’età degli interessati sia per la tipologia dei dati trattati, spesso sportivi, scolastici e, in alcuni casi, anche sanitari. 

In Italia, l’età per prestare validamente il consenso digitale ai servizi della società dell’informazione è fissata a 14 anni; al di sotto di tale soglia è necessario il coinvolgimento dei genitori. 

Ciò non significa, però, che vi sia libertà di utilizzo indiscriminato di contenuti e immagini: l’approccio corretto resta quello di minimizzare i dati e distinguere con chiarezza ciò che è necessario per l’attività sportiva da ciò che ha finalità promozionali, prevedendo policy puntuali su uso dell’immagine, canali ufficiali, tempi di conservazione e modalità di revoca.

Lo stadio come “sistema dati”

Anche sistemi di videosorveglianza, controllo accessi, stewarding, crowd management generano flussi continui di dati personali.

La compliance si costruisce con: informative visibili (anche semplificate), finalità determinate (sicurezza/ordine pubblico), retention non eccessiva, accessi limitati alle registrazioni, regole di cooperazione con autorità e chiarezza sui ruoli privacy assunti di volta in volta dalla società.

Sicurezza informatica e gestione dei data breach

Per i club la sicurezza dei dati personali non è solo un tema IT: un data breach sui sistemi di CRM, ticketing, pagamenti o archivi medico-sportivi può avere impatti legali, economici, reputazionali e sportivi.

Serve un processo pronto: rilevazione, contenimento, valutazione del rischio, registrazione, post-incidente e - quando dovuto - notifica all’Autorità entro 72 ore e comunicazione agli interessati. 

Funzione privacy, DPO e governance interna

Quando cresce la complessità, serve una funzione privacy matura e integrata con le altre funzioni societarie:

• DPO quando ricorrono le condizioni (monitoraggio regolare e sistematico su larga scala, categorie particolari su larga scala, ecc.);

• Registro trattamenti costantemente aggiornato;

• Data ownership per domini (Fan/Ticketing, Media/Content, Academy, Player Medical/Performance, Stadium Security): chiarezza su chi decide, chi autorizza, chi risponde;

• Vendor governance: due diligence e audit sui trattamenti critici (es. ticketing, CRM, OTT, wearable, security).

Conclusione: fiducia come asset, dati come leva strategica

Nel calcio moderno, la fiducia di tifosi, famiglie, atleti, sponsor e investitori passa anche da come il club governa i dati. Un club che tratta i dati personali come un asset (non come un rischio da nascondere) ottiene maggiore continuità operativa, migliore fan engagement e partnership più sostenibili - proprio perché si comporta, nei fatti, anche da media company oltre che da società sportiva. 

Con il Provvedimento n. 284 del 17 aprile 2026, pubblicato in Gazzetta Ufficiale il 29 aprile 2026, il Garante per la protezione dei dati personali (“Garante”) ha adottato le prime Linee Guida specificamente dedicate all’utilizzo dei tracking pixel nelle comunicazioni di posta elettronica (“Linee Guida”). 

L’intervento si inserisce in un contesto caratterizzato da una crescente attenzione verso gli strumenti di monitoraggio dei comportamenti online degli utenti e mira a fornire un quadro interpretativo uniforme circa l’applicazione dell’art. 122 del d.lgs. n. 196/2003 (“Codice Privacy”) e della disciplina del Regolamento (UE) 2016/679 (“GDPR”) ai sistemi di tracciamento incorporati nelle e-mail.

Secondo il Garante, i tracking pixel rappresentano strumenti particolarmente invasivi poiché operano in modo non visibile all’interessato. Le Linee Guida muovono infatti dalla constatazione che tali tecnologie consentono al mittente di acquisire informazioni sull’apertura del messaggio, sul numero di visualizzazioni, sul dispositivo utilizzato e, in alcuni casi, anche su ulteriori dati tecnici relativi al destinatario.

2. Contenuti principali del provvedimento in esame

2.1. La qualificazione dei tracking pixel come strumenti soggetti all’art. 122 del Codice Privacy

Uno dei principali chiarimenti forniti dal Garante riguarda la natura giuridica del tracking pixel.

Il Garante afferma che l’inserimento del pixel e la successiva raccolta delle informazioni generate dalla sua attivazione costituiscono operazioni riconducibili all’ambito di applicazione dell’art. 122 del Codice Privacy, in quanto integrano sia una forma di “archiviazione delle informazioni nell’apparecchio terminale di un contraente o di un utente” sia un successivo “accesso a informazioni già archiviate”. 

Particolarmente rilevante è il passaggio nel quale il Garante precisa che i tracking pixel devono essere considerati strumenti di tracciamento occulti, poiché la loro presenza non è normalmente percepibile dall’utente e il loro funzionamento avviene in maniera automatica e invisibile.

Le Linee Guida individuano inoltre una pluralità di soggetti potenzialmente coinvolti nell’impiego dei tracking pixel, tra cui il mittente del messaggio, il fornitore di servizi di invio e-mail (emailing), il fornitore di servizi di noleggio di liste di distribuzione, il fornitore della tecnologia di tracciamento e il content creator. Il Garante precisa che ciascuno di tali soggetti è tenuto, caso per caso e in ossequio al principio di accountability, a definire il proprio ruolo rilevante ai fini della normativa in materia di protezione dei dati personali.

Il provvedimento distingue altresì tra diverse tipologie di messaggi e-mail rilevanti ai fini dell’applicazione della disciplina: (i) newsletter, ossia comunicazioni periodiche a contenuto informativo; (ii) DEM (Direct E-mail Marketing), comunicazioni di natura prevalentemente promozionale o commerciale; (iii) e-mail transazionali e messaggi automatici, inviati in relazione a specifiche azioni dell’utente o a transazioni in corso; e (iv) e-mail di servizio, caratterizzate da contenuti funzionali a specifiche esigenze del singolo o della collettività. Tale classificazione rileva ai fini dell’individuazione della base giuridica applicabile al trattamento connesso all’impiego dei tracking pixel.

2.2. L’obbligo di informativa preventiva

Le Linee Guida attribuiscono particolare importanza alla trasparenza.

Secondo il Garante, difatti, l’impiego di tracking pixel nelle e-mail deve essere preventivamente reso noto al destinatario della e-mail, qualunque sia lo scopo della comunicazione o la tipologia del soggetto mittente.

L’Autorità evidenzia inoltre che l’impiego dei pixel di tracciamento impone a tutti i titolari che già ne fanno o che intendano farne uso di informarne adeguatamente gli interessati, richiamando i principi di correttezza e trasparenza previsti dal GDPR.

Sul piano operativo, il provvedimento ammette modalità informative semplificate e multilivello, consentendo ad esempio l’utilizzo di informative sintetiche accompagnate da link a documentazione di dettaglio, nonché il ricorso a strumenti digitali quali chatbot, pop-up, assistenti virtuali o altri canali di comunicazione.

2.3. Quando è necessario il consenso

Il tema centrale delle Linee Guida riguarda l’individuazione dei casi in cui l’utilizzo del tracking pixel richiede il consenso dell’utente.

Il Garante ribadisce che l’art. 122, comma 2-bis, del Codice Privacy introduce un divieto generalizzato di utilizzo di una rete di comunicazione elettronica per accedere a informazioni archiviate nel terminale dell’utente, per archiviare informazioni o per monitorare le operazioni dell’utente, derogabile soltanto in presenza delle specifiche condizioni previste dal comma 1 della medesima disposizione.

Tra le principali ipotesi nelle quali il consenso può non essere necessario rientrano:

• i trattamenti finalizzati esclusivamente alla misurazione statistica aggregata delle aperture delle e-mail, purché siano adottate adeguate tecniche di anonimizzazione;

• le attività necessarie a garantire la sicurezza di processi di autenticazione o gestione degli account;

• le comunicazioni di servizio o istituzionali per le quali il mittente abbia un obbligo giuridico di invio o sussistano particolari esigenze di tutela degli utenti. Il Garante menziona, a titolo esemplificativo, i messaggi recanti indicazioni utili su come prevenire azioni di phishing o frodi, le comunicazioni relative a modifiche contrattuali ovvero logistico-organizzative, le notifiche relative a incidenti di sicurezza, le campagne istituzionali informative, nonché i reminder su scadenze e adempimenti contrattuali o contributivi.

Diversamente, il consenso diviene necessario quando il tracking viene utilizzato per finalità di marketing, profilazione o ottimizzazione individuale delle campagne promozionali.

Il provvedimento richiama espressamente i casi in cui la misurazione individuale e l’analisi del tasso di apertura delle e-mail siano utilizzate per valutare e migliorare la performance delle campagne promozionali sulla base dei comportamenti osservati oppure quando il dato di apertura venga utilizzato per ricavarne informazioni presunte circa i potenziali gusti, gli interessi e le preferenze attribuibili all’utente allo scopo di creare dei profili commerciali.

2.4. Il consenso unico e il diritto di revoca granulare

Tra gli aspetti più innovativi delle Linee Guida vi è il tentativo di conciliare esigenze di tutela e semplificazione.

Il Garante riconosce infatti che il consenso alla ricezione di comunicazioni promozionali e quello all’utilizzo dei tracking pixel possono essere raccolti con un’unica manifestazione di volontà.

Tale semplificazione è tuttavia accompagnata da un’importante garanzia per l’interessato: la possibilità di revocare successivamente il consenso anche in modo selettivo.

Le Linee Guida richiedono infatti che l’utente possa revocarlo solo parzialmente, con esclusivo riguardo soltanto al tracciamento connesso alla ricezione di tracking pixel, continuando eventualmente a ricevere le comunicazioni e-mail prive di strumenti di monitoraggio.

Il Garante richiama inoltre l’attenzione sull’obbligo per il titolare di registrare debitamente tutte le scelte espresse dall’interessato, ivi comprese le eventuali revoche parziali, anche ai fini della dimostrazione del consenso cui il titolare potrebbe essere chiamato ai sensi dell’art. 7, par. 1, del GDPR.

2.5. Privacy by design e minimizzazione

Il provvedimento dedica inoltre attenzione alle misure tecniche che i titolari dovrebbero adottare per ridurre i rischi derivanti dal tracciamento.

Tra le soluzioni suggerite vi è l’utilizzo di identificativi pseudonimizzati e non sequenziali, mantenendo separata la corrispondenza tra tali identificativi e gli indirizzi e-mail dei destinatari.

Secondo il Garante, tali accorgimenti consentono di ridurre l’esposizione dell’indirizzo e-mail minimizzando il rischio di identificabilità dei dati che transitano nella rete.

3. Conseguenze pratiche

Le nuove Linee Guida avranno un impatto significativo su tutti gli operatori che utilizzano campagne e-mail, piattaforme di marketing automation, newsletter e sistemi di direct e-mail marketing.

In particolare, le organizzazioni dovranno:

• verificare se i tracking pixel impiegati rientrino nelle ipotesi di esenzione individuate dal Garante o richiedano invece la raccolta del consenso;

• aggiornare le informative sul trattamento dei dati personali/le privacy policy, le cookie policy e le procedure di raccolta del consenso;

• implementare meccanismi che consentano agli utenti di revocare il consenso al tracciamento in maniera semplice e granulare;

• riesaminare i rapporti contrattuali con provider di servizi e-mail, piattaforme di marketing automation e fornitori di tecnologie di tracking;

• valutare l’adozione di misure tecniche conformi ai principi di privacy by design e privacy by default.

Particolarmente rilevante è inoltre il regime transitorio previsto dal provvedimento. Il Garante ha riconosciuto la complessità degli adeguamenti richiesti, concedendo agli operatori un termine pari a 6 mesi dalla pubblicazione in Gazzetta Ufficiale. Le Linee Guida distinguono, al riguardo, tra nuovi trattamenti, per i quali il consenso dovrà essere raccolto preventivamente al momento dell’acquisizione dell’indirizzo di posta elettronica, e trattamenti già in corso, per i quali il titolare dovrà tempestivamente assolvere ai propri obblighi informativi con il primo invio utile e implementare un meccanismo di revoca anche granulare del consenso, individuando soluzioni improntate alla massima riconoscibilità, visibilità e facilità d’uso a beneficio dell’interessato. Il Garante precisa che tale regime transitorio è destinato ad essere progressivamente dismesso via via che nuovi trattamenti verranno intrapresi e saranno assoggettati alla regola della preventiva acquisizione del consenso.

4. Conclusioni

Le nuove Linee Guida segnano un passaggio importante nell’evoluzione della disciplina italiana in materia di tecnologie di tracciamento.

Il Garante conferma un orientamento sostanzialmente rigoroso, qualificando i tracking pixel come strumenti soggetti alla disciplina speciale prevista dall’art. 122 del Codice Privacy e riaffermando la centralità dei principi di trasparenza e controllo da parte dell’interessato.

Allo stesso tempo, l’Autorità introduce alcune semplificazioni operative - come il consenso unico per comunicazioni promozionali e tracking - e individua specifiche ipotesi di esenzione che consentono di preservare l’efficienza di determinati servizi.

Per imprese, enti pubblici, provider tecnologici e operatori del marketing digitale, il semestre di adeguamento previsto dal provvedimento rappresenta pertanto un’occasione per riesaminare processi, strumenti e basi giuridiche dei trattamenti connessi all’invio di comunicazioni elettroniche, alla luce di un quadro regolatorio che pone sempre più al centro la trasparenza e la consapevolezza dell’utente.

Il Regolamento (UE) 2024/1689 (“AI Act”) prevede obblighi significativi di governance, documentazione, trasparenza, supervisione umana e monitoraggio per i sistemi di IA qualificati come “ad alto rischio” ai sensi dell’art. 6. In tale contesto, la Commissione europea ha recentemente pubblicato e posto in consultazione pubblica una bozza di Linee Guida, adottate ai sensi dell’art. 6(5) AI Act, con l’obiettivo di supportare fornitori, deployer e autorità competenti nella classificazione del livello di rischio associato ai sistemi di IA.

Pur non avendo natura vincolante, le Linee Guida rappresentano il principale riferimento interpretativo oggi disponibile per effettuare tale classificazione e forniscono numerosi esempi pratici destinati a orientare l’applicazione delle disposizioni dell’AI Act.

L’art. 6 distingue due categorie di sistemi ad alto rischio. La prima comprende i sistemi di IA destinati a essere utilizzati come componenti di sicurezza di un prodotto, o che costituiscono essi stessi un prodotto disciplinato dalla normativa UE di armonizzazione elencata nell’Allegato I dell’AI Act, purché soggetti a valutazione della conformità da parte di terzi. La seconda riguarda invece i sistemi che rientrano in uno dei casi d’uso elencati nell’Allegato III, che include, tra gli altri, gli ambiti della biometria, dell’occupazione, dell’accesso a servizi essenziali (inclusi credit scoring e valutazione del rischio assicurativo), delle infrastrutture critiche, della migrazione e dell’amministrazione della giustizia.

Allegato I: la nozione di “componente di sicurezza”

Con riferimento ai sistemi disciplinati dall’Allegato I, uno dei chiarimenti più rilevanti forniti dalle Linee Guida riguarda la nozione di “componente di sicurezza” di cui all’art. 3, n. 14, AI Act, che opera in due scenari alternativi.

Il primo scenario è piuttosto intuitivo e riguarda i sistemi di IA destinati dal fornitore a svolgere una funzione di sicurezza, ossia a prevenire o mitigare rischi per la salute, la sicurezza delle persone o dei beni.

Il secondo scenario è meno scontato: un sistema di IA può qualificarsi come componente di sicurezza anche indipendentemente dalla finalità prevista dal fornitore, se il suo guasto o malfunzionamento – inclusi output errati, falsi negativi o classificazioni errate – può mettere in pericolo la salute e la sicurezza delle persone o dei beni nel contesto del prodotto. 

La Commissione richiama, a titolo esemplificativo, sistemi impiegati nella gestione delle porte di un ascensore, nell’assistenza alla guida o nell’ottimizzazione del funzionamento di apparecchi domestici, laddove un malfunzionamento possa produrre conseguenze fisiche per le persone. Restano invece escluse le funzionalità meramente orientate all’efficienza operativa, all’ottimizzazione delle prestazioni o al miglioramento della qualità del servizio, quando un eventuale errore non comporti rischi per la sicurezza.

La “finalità prevista” e la responsabilità lungo la filiera dell’IA

Un tema centrale affrontato dalle Linee Guida riguarda la nozione di “finalità prevista”, definita dall’art. 3, n. 12 AI Act come l’uso per il quale il sistema è destinato dal fornitore, tenuto conto del contesto e delle condizioni di utilizzo descritti nella documentazione tecnica, nelle istruzioni d’uso e nei materiali commerciali che lo accompagnano.

Secondo la Commissione, la qualificazione di un sistema non dipende esclusivamente dalle sue caratteristiche tecniche, ma anche dal modo in cui il fornitore lo presenta sul mercato.

Le Linee Guida chiariscono che, qualora la documentazione contrattuale, le istruzioni d’uso, i materiali promozionali o la documentazione tecnica presentino il sistema come applicabile a una pluralità indifferenziata di contesti, senza delimitare in modo chiaro gli utilizzi consentiti o escludere concretamente gli impieghi ad alto rischio, la finalità prevista potrà ricomprendere anche tali utilizzi.

Particolarmente significativa è l’affermazione secondo cui una generica clausola contrattuale che vieti l’utilizzo del sistema per usi ad alto rischio non è, di per sé, sufficiente a escludere la qualificazione del sistema come “ad alto rischio”, qualora il posizionamento commerciale del prodotto o gli esempi d’uso forniti dal provider prevedano o promuovano di fatto tali usi.

Allegato III: i casi d’uso di maggiore interesse per le imprese

Sistemi utilizzati in ambito occupazionale

Tra le casistiche disciplinate dall’Allegato III, quelle relative all’ambito occupazionale assumono particolare rilevanza pratica per le imprese.

Le Linee guida chiariscono che sono classificati come ad alto rischio tutti i sistemi che influenzano apprezzabilmente il processo di selezione, anche senza determinarne direttamente l’esito.

Pertanto, rientrano nell’ambito dell’alto rischio, ad esempio, sistemi di job matching e ranking dei candidati, strumenti che attribuiscono punteggi o classificazioni durante il processo di selezione, sistemi di ricerca automatizzata di candidati su social network o database pubblici, nonché soluzioni di targeted job advertising che determinano quali utenti visualizzeranno determinate offerte di lavoro.

Analogo approccio viene adottato con riferimento alla gestione del rapporto di lavoro. Le Linee Guida confermano che devono essere qualificati ad alto rischio i sistemi utilizzati per assegnare incarichi, determinare priorità operative, monitorare le performance, influenzare valutazioni professionali o incidere su decisioni relative a promozioni, compensi o cessazioni del rapporto, in particolare quando tali attività si basano sull’elaborazione di indicatori comportamentali.

Inoltre, la Commissione precisa che il perimetro applicativo della casistica in discorso non è limitato ai lavoratori subordinati, ma può estendersi anche a lavoratori autonomi, professionisti, collaboratori e lavoratori delle piattaforme digitali.

Sistemi di valutazione creditizia

Le Linee Guida confermano un’interpretazione altrettanto ampia con riferimento ai sistemi utilizzati per la valutazione in ambito creditizio.

Secondo la Commissione, deve essere considerato ad alto rischio qualsiasi sistema di IA destinato a valutare l’affidabilità creditizia di persone fisiche o a determinare il merito di credito, anche quando il sistema persegua soltanto una di tali finalità.

Rientrano in tale categoria i sistemi che elaborano dati economici, patrimoniali o comportamentali per generare punteggi o valutazioni utilizzati nel processo decisionale relativo alla concessione del credito.

Sono invece esclusi i sistemi utilizzati esclusivamente per finalità di marketing, assistenza clienti o monitoraggio delle esposizioni successive alla concessione del credito, nonché quelli destinati alla sola rilevazione di frodi finanziarie, per i quali l’AI Act prevede una specifica eccezione.

Il meccanismo di “filtro” previsto dall’art. 6(3) AI Act

Le Linee Guida dedicano ampio spazio anche al meccanismo di esclusione previsto dall’art. 6(3) AI Act, che consente, in presenza di determinate condizioni, di escludere dalla categoria dei sistemi ad alto rischio applicazioni che, pur rientrando formalmente in uno dei casi d’uso dell’Allegato III, non influenzano materialmente l’esito del processo decisionale.

La Commissione richiama, a titolo esemplificativo, sistemi che svolgono compiti meramente preparatori, organizzativi o di supporto, quali la classificazione documentale, il riordino di informazioni o la fornitura di riferimenti normativi, senza formulare valutazioni sul caso concreto né incidere sul contenuto della decisione finale.

Le Linee Guida precisano tuttavia che il filtro non trova applicazione quando il sistema effettua attività di profilazione ai sensi del GDPR o quando opera all’interno di architetture più complesse i cui output contribuiscono in modo sostanziale a una decisione rilevante. Inoltre, viene ribadito che la mera presenza di supervisione umana (requisito imprescindibile previsto dallo stesso AI Act) non è idonea a escludere la classificazione come sistema ad alto rischio.

Tempistiche e prossimi passi

Le Linee Guida sono attualmente in consultazione pubblica, ma forniscono già indicazioni di notevole interesse per le organizzazioni impegnate nelle attività di adeguamento all’AI Act. Sul piano delle scadenze, le Linee Guida ricordano che i termini originariamente previsti dall’art. 113 AI Act sono stati posticipati dalla proposta di Regolamento Digital Omnibus, sul quale le istituzioni europee hanno trovato un accordo politico. In particolare, gli obblighi per i sistemi ad alto rischio classificati ai sensi dell’art. 6(2) (Allegato III) si applicheranno a decorrere dal 2 dicembre 2027, mentre quelli per i sistemi classificati ai sensi dell’art. 6(1) (Allegato I) dal 2 agosto 2028. Per i sistemi già immessi sul mercato o messi in servizio prima del 2 agosto 2026, l’AI Act troverà applicazione soltanto in caso di modifiche significative nella progettazione adottate successivamente a tale data.

In tale prospettiva, emerge la necessità di riesaminare con attenzione l’inventario dei sistemi di IA utilizzati, verificare la finalità prevista dichiarata dai fornitori – anche attraverso la documentazione tecnica e commerciale – e documentare adeguatamente le valutazioni effettuate nei casi di classificazione più complessa.

Infatti, per molte organizzazioni la principale sfida non sarà individuare i sistemi evidentemente ad alto rischio, bensì dimostrare, attraverso un’analisi strutturata e documentata, le ragioni per cui un determinato sistema non debba essere qualificato come tale.

Il 18 marzo 2026, il Tribunale di Roma ha annullato integralmente il provvedimento n. 755 emesso dal Garante per la protezione dei dati personali in data 2 novembre 2024 . Il Giudice non ha però esaminato il merito delle violazioni contestate: ha risolto tutto su un punto pregiudiziale e assorbente — la competenza. Una sconfitta procedurale, si dirà; eppure, sul piano delle conseguenze pratiche, vale quanto una sconfitta nel merito.

Il provvedimento impugnato: cosa contestava il Garante

Il Garante aveva contestato a OpenAI la violazione dell'art. 33 GDPR per omessa notifica del data breach del 20 marzo 2023; degli artt. 5(2) e 6 GDPR per assenza di base giuridica nell'addestramento dei modelli; degli artt. 5(1)(a), 12 e 13 GDPR per carenze nella privacy policy; degli artt. 24 e 25(1) GDPR per la mancata predisposizione di sistemi di age verification; e dell'art. 83(5)(e) GDPR per il mancato avvio della campagna di comunicazione precedentemente ordinata. La sanzione ammontava a 15 milioni di euro, accompagnata da una campagna di comunicazione istituzionale su tutti i principali mezzi di comunicazione italiani (radio, televisione, giornali e Internet) della durata di sei mesi. 

OpenAI aveva impugnato il provvedimento articolando dieci motivi di ricorso. Il Tribunale si è fermato al primo, dichiarandolo fondato e assorbente di tutti gli altri.

Il nodo: chi era autorizzato a sanzionare?

OpenAI lamentava l'incompetenza del Garante all'accertamento delle violazioni transfrontaliere e alla comminazione delle conseguenti sanzioni, in quanto gli artt. 55 e 56 GDPR prevedono il meccanismo cd. «one-stop-shop» o dello sportello unico, in virtù del quale l'unica autorità di controllo «competente ad agire» relativamente a «trattamenti transfrontalieri» è quella «dello stabilimento principale o dello stabilimento unico del titolare del trattamento», in qualità di «autorità di controllo capofila». 

Il cambio di scenario era avvenuto nelle more del procedimento: OpenAI aveva costituito la propria controllata irlandese in data 24 marzo 2023 e aveva ricevuto il 15 febbraio 2024 la comunicazione formale dall'Irish Data Protection Commission di riconoscimento dello stabilimento OpenAI Ireland quale stabilimento UE ai fini del GDPR. Il provvedimento sanzionatorio era però arrivato soltanto in novembre 2024 — nove mesi dopo.

La tesi del Garante — e i suoi limiti giuridici

Va riconosciuto che la posizione del Garante non era priva di una sua logica interna. L'amministrazione resistente aveva replicato che il provvedimento sanzionatorio accertava le violazioni consumate prima del 15 febbraio 2024, ritenendo che la normativa ratione temporis applicabile fosse quella del momento della consumazione dell'illecito, con la conseguenza dell'inoperatività del meccanismo dello sportello unico per gli illeciti commessi e consumati prima di tale data.  In coerenza con questa impostazione, il Garante aveva anzi parzialmente adempiuto al meccanismo cooperativo: aveva trasmesso all'autorità capofila irlandese gli atti istruttori relativi alle violazioni continuate e continuative, nel rispetto — secondo la propria lettura — del principio tempus regit actum di cui all'art. 11 delle preleggi. 

Il Tribunale non ha però condiviso tale ricostruzione, ritenendo che l'argomento fosse fondato su un'erronea lettura del Parere n. 8 del 9 luglio 2019 dell'EDPB — un atto di soft law adottato ai sensi dell'art. 64 GDPR su richiesta delle autorità di Francia e Svezia, che giova ricordare non costituisce una fonte primaria del diritto unionale ma concorre alla definizione delle regole applicabili per il riparto di competenze tra le autorità di controllo nazionali, rappresentando una guida interpretativa autorevole per giudici e autorità amministrative, a garanzia dell'applicazione uniforme del regolamento in tutta l'Unione. 

Come il Tribunale ha letto il Parere EDPB

Il cuore della decisione risiede nell'interpretazione dell'art. 4.3.2 del Parere EDPB, che disciplina proprio il caso della creazione dello stabilimento principale nelle more di un procedimento. L'EDPB ha chiarito che «la creazione di uno stabilimento principale o unico oppure il suo trasferimento da un paese terzo nel SEE durante lo svolgimento di un procedimento consentirà al titolare del trattamento di beneficiare del meccanismo dello sportello unico», con la conseguenza che «qualsiasi procedimento pendente sarà trasferito all'autorità di controllo dello Stato nel quale si trova lo stabilimento principale» e «tale autorità di controllo diventerà l'autorità di controllo capofila». 

La difesa del Garante in ordine alla ritenuta operatività del meccanismo dello sportello unico unicamente rispetto alle violazioni continuative o continuate è risultata priva di base giuridica, derivando da un'erronea interpretazione del paragrafo 16 del Parere, che riferisce le questioni trattate «principalmente» a violazioni di natura continuativa o continuata. Il Tribunale ha osservato che già l'utilizzo dell'avverbio «principalmente» («mainly» nella versione inglese) vale a escludere che l'EDPB abbia inteso ricondurre le questioni oggetto del parere alle sole violazioni continuative, avendo piuttosto voluto indicare in quali tipi di violazioni ricorrano più frequentemente siffatte questioni. 

Il punto di sistema è ancora più rilevante: rimettere l'individuazione dell'autorità competente alla natura della violazione contestata causerebbe non solo l'incertezza che la disciplina eurounitaria mira a evitare, ma anche l'inversione dell'ordine logico giuridico di esame delle questioni, subordinando la soluzione di una questione pregiudiziale quale la competenza all'esito dell'esame di una questione di merito. 

L'argomento del tempus regit actum — respinto

Il Garante aveva invocato anche il principio giuridico del tempus regit actum per sostenere che la normativa applicabile fosse quella vigente al momento della consumazione degli illeciti. Il Tribunale ha ritenuto tale richiamo inconferente: nel caso di specie non viene in rilievo la modifica della normativa applicabile nelle more del procedimento, bensì il mutamento di alcune circostanze fattuali — la creazione di uno stabilimento unico del titolare del trattamento nel territorio dell'Unione — le cui conseguenze sono prese in considerazione e disciplinate dal Parere EDPB. Non si tratta, dunque, di retroattività della legge, ma di adeguamento della competenza a fatti sopravvenuti, già previsto e regolato dall'ordinamento europeo.

Le eccezioni che non si applicavano

Il Tribunale ha anche verificato se ricorresse una delle ipotesi eccezionali in cui la competenza torna in capo all'autorità nazionale interessata. Vengono in rilievo a tal proposito l'art. 56, par. 2, GDPR — a mente del quale ogni autorità di controllo è competente per la gestione dei reclami che riguardino unicamente uno stabilimento nel suo Stato membro o che incidano in modo sostanziale sugli interessati unicamente nel suo Stato membro — e l'art. 66, che in deroga all'art. 60 riconosce a ciascuna autorità di controllo il potere di adottare misure provvisorie qualora ritenga che urga intervenire per proteggere i diritti e le libertà degli interessati.  A tali ipotesi si aggiunge il caso in cui l'autorità capofila, pur investita della questione, decida di non trattare il caso (in tal senso, CGUE, C-645/19, Facebook Ireland e a.). Tuttavia, nessuna di tali eccezionali circostanze è stata ritenuta sussistente nel caso di specie. 

Il quadro giurisprudenziale della Cassazione

La Suprema Corte aveva già chiarito che «l'Autorità nazionale garante della protezione dei dati è legittimata ai fini sanzionatori allorché risulti che il trattamento è stato effettuato da una società italiana in piena e diretta autonomia di decisione rispetto ai dati personali» (Ord. Sez. I, n. 27189 del 22 settembre 2023) e che «l'autorità garante italiana ha il potere di emettere i provvedimenti di sua competenza nei confronti di un soggetto straniero, avente sede anche fuori dell'Unione, che operi al di fuori del territorio nazionale, purché il medesimo svolga, tramite un'organizzazione stabile nel territorio italiano, un'attività effettiva e reale nel contesto della quale si svolge il trattamento» (Sent. Sez. I, n. 3952 del 2022). In entrambe le pronunce, il presupposto per il riconoscimento del potere sanzionatorio in capo al Garante italiano è individuato nella presenza sul territorio italiano di una società o di un'organizzazione stabile: circostanze insussistenti nel caso di specie. 

La decisione del Tribunale si inserisce, dunque, in un filone coerente.

Il dato che vale più di mille argomenti

Altre autorità di controllo, pur «interessate» al momento dell'avvio di procedimenti relativi ai medesimi illeciti posti in essere dalla società ricorrente, avevano poi declinato la propria competenza a favore dell'autorità di controllo irlandese, considerata capofila a decorrere dal 15 febbraio 2024, trasmettendo alla stessa tutti gli atti istruttori compiuti.  Il Garante italiano era rimasto solo. Il Tribunale ha ritenuto che avesse torto — pur riconoscendo, nella compensazione delle spese di lite - la genuina novità e complessità delle questioni affrontate.

Il dispositivo

La creazione dello stabilimento unico del titolare del trattamento nelle more del procedimento amministrativo, pure legittimamente avviato nel gennaio del 2024, avrebbe dovuto determinarne immediatamente il trasferimento all'autorità di controllo dello Stato nel quale si trova lo stabilimento principale — nella specie quella irlandese — e l'avvio del meccanismo di cooperazione delineato dagli artt. 60 e 61 del regolamento.  In accoglimento del ricorso, il Tribunale ha annullato il provvedimento n. 755 del Garante del 2 novembre 2024.  Le spese di lite sono state compensate tra le parti, considerata la novità delle questioni trattate. 

Il merito resta aperto — e questo conta

La sentenza non è un'assoluzione nel merito. Le violazioni originariamente contestate dal Garante italiano — base giuridica per l'addestramento dei modelli, trasparenza, age verification, data breach e mancata esecuzione di misure correttive precedentemente imposte  — restano intatte e saranno presumibilmente affrontate dall'Irish DPC nell'ambito del meccanismo cooperativo degli artt. 60 e 61 GDPR. Il fascicolo istruttorio non sparisce, si trasferisce.

Implicazioni: una lezione che vale ben oltre OpenAI

La pronuncia del Tribunale di Roma ha una rilevanza che supera largamente le parti del giudizio. I nodi giuridici che essa individua — base giuridica per il training dei modelli di AI, obblighi di trasparenza verso gli utenti, verifica dell'età, gestione dei data breach — sono questioni strutturali che riguardano qualsiasi fornitore di sistemi di intelligenza artificiale che offra i propri servizi a utenti europei, al netto di ciò che emergerà dal nuovo framework normativo e regolatorio del Digital Omnibus. 

Per i provider AI extra-UE che oggi operano sul mercato europeo senza uno stabilimento formalmente riconosciuto, il quadro che emerge dalla sentenza è chiaro:

• Finché non esiste uno stabilimento UE riconosciuto, ogni autorità garante nazionale è potenzialmente competente, e il rischio di procedimenti paralleli e frammentati è concreto.

• Dal momento del riconoscimento formale dello stabilimento, il meccanismo dello sportello unico si attiva — anche a procedimento già in corso — e il fascicolo deve essere trasferito all'autorità capofila, salvo che una decisione definitiva sia già stata adottata.

• Il criterio oggettivo è temporale, non sostanziale: non conta la natura della violazione (consumata o continuata), conta se al momento del riconoscimento dello stabilimento fosse o meno già stata emessa una decisione definitiva. Il Parere EDPB n. 8/2019 individua in questo momento il punto di "cristallizzazione" della competenza.

• Le deroghe esistono, ma sono eccezionali: la competenza locale residua solo per violazioni che incidano unicamente su interessati nello Stato membro, o per misure urgenti ex art. 66 GDPR. Non è una via d'uscita ordinaria.

Per i fornitori di sistemi AI con una presenza già strutturata in Europa, la sentenza ricorda invece che la scelta del paese di stabilimento — e la tempestività nel conseguirne il formale riconoscimento da parte dell'autorità garante locale — è una decisione con implicazioni regolatorie di primissimo ordine: non un dettaglio societario, ma una leva strategica di gestione del rischio.

In conclusione: mentre il Tribunale di Roma chiude (per ora) il capitolo italiano del caso OpenAI, i temi che ne hanno alimentato l'istruttoria restano aperti e di piena attualità. Chiunque sviluppi o distribuisca sistemi di intelligenza artificiale rivolti al mercato europeo — da qualunque paese del mondo — dovrà prima o poi confrontarsi con essi.

Software, hardware, dispositivi connessi e, più in generale, prodotti con elementi digitali dovranno essere progettati, sviluppati e mantenuti tenendo conto della cybersicurezza lungo tutto il loro ciclo di vita.

Il Cyber Resilience Act è entrato in vigore il 10 dicembre 2024, ma i suoi effetti inizieranno a prodursi nei prossimi mesi. 

È infatti prevista un’applicazione graduale del CRA, con alcune disposizioni che entreranno in vigore già nel 2026, mentre il quadro normativo sarà pienamente applicabile a partire dall’11 dicembre 2027.

Le prime scadenze sono già fissate: dall’11 giugno 2026 si applicano le norme relative agli organismi di valutazione della conformità; dall’11 settembre 2026, invece, scatteranno gli obblighi di segnalazione a carico dei fabbricanti in caso di vulnerabilità attivamente sfruttate o di incidenti gravi che incidano sulla sicurezza dei prodotti.

A chi si applica e quali sono i prodotti con elementi digitali interessati

Le disposizioni del Cyber Resilience Act si rivolgono principalmente ai fabbricanti di prodotti con elementi digitali, ma coinvolgono anche gli altri operatori economici della catena di fornitura, tra cui importatori, distributori, rappresentanti autorizzati e, nei casi previsti, gestori di software open source. In alcuni casi, gli obblighi del fabbricante possono ricadere anche su importatori o distributori, ad esempio quando commercializzano un prodotto con il proprio nome o marchio oppure modificano il prodotto in modo sostanziale.

Con riferimento all’ambito oggettivo di applicazione, il Cyber Resilience Act si applica ai prodotti con elementi digitali messi a disposizione sul mercato dell’Unione europea. Si tratta, in termini generali, di prodotti software o hardware, incluse le relative soluzioni di elaborazione dati da remoto, quando la loro finalità prevista o il loro uso ragionevolmente prevedibile comportino una connessione dati, logica o fisica, diretta o indiretta, a un dispositivo o a una rete.

Rientrano quindi nell’ambito del Cyber Resilience Act, a titolo esemplificativo, dispositivi IoT, router, sistemi operativi, applicazioni, software gestionali, componenti hardware e software, prodotti smart home, dispositivi indossabili e, più in generale, prodotti digitali o connessi destinati a essere distribuiti o utilizzati nel mercato europeo.

Sono previste tuttavia alcune esclusioni, ad esempio per prodotti già regolati da normative settoriali specifiche, per prodotti sviluppati esclusivamente per finalità di sicurezza nazionale o difesa, nonché per alcune ipotesi relative al software libero e open source non fornito nell’ambito di un’attività commerciale. 

L’applicazione concreta del Cyber Resilience Act richiede quindi una valutazione caso per caso, tenendo conto sia del prodotto e del suo modello di distribuzione, sia del ruolo svolto dall’operatore economico.

Gli obblighi principali

Il Cyber Resilience Act impone ai fabbricanti di integrare la cybersicurezza lungo l’intero ciclo di vita dei prodotti con elementi digitali. Tali prodotti dovranno quindi essere progettati, sviluppati, realizzati e mantenuti in modo da garantire un livello di sicurezza adeguato ai rischi.

Prima dell’immissione sul mercato, il fabbricante dovrà effettuare una valutazione dei rischi di cybersicurezza associati al prodotto e tenerne conto in tutte le fasi rilevanti, dalla progettazione allo sviluppo, dalla produzione alla consegna, fino alla manutenzione. Il prodotto dovrà inoltre rispettare specifici requisiti di sicurezza, tra cui la riduzione delle vulnerabilità sfruttabili, la configurazione sicura per impostazione predefinita, la protezione da accessi non autorizzati, la tutela della riservatezza, dell’integrità e della disponibilità dei dati, nonché la possibilità di ricevere aggiornamenti di sicurezza.

Il fabbricante sarà inoltre tenuto a predisporre la documentazione tecnica, svolgere la procedura di valutazione della conformità applicabile, redigere la dichiarazione UE di conformità e apporre la marcatura CE. Per molti prodotti potrà essere sufficiente l’autovalutazione, mentre per quelli considerati importanti o critici sotto il profilo della cybersicurezza potranno essere richieste procedure più rigorose, anche con l’intervento di organismi notificati.

Gli obblighi del fabbricante non si esauriscono con l’immissione del prodotto sul mercato. Il CRA richiede infatti l’adozione di processi idonei a individuare, correggere e documentare le vulnerabilità anche nella fase successiva alla commercializzazione.

A partire dall’11 settembre 2026, i fabbricanti dovranno inoltre notificare le vulnerabilità attivamente sfruttate contenute nel prodotto e gli incidenti gravi che incidano sulla sua sicurezza. Per le vulnerabilità attivamente sfruttate è prevista una prima comunicazione entro 24 ore dal momento in cui il fabbricante ne viene a conoscenza, seguita da una notifica vera e propria entro 72 ore e da una relazione finale. Obblighi analoghi sono previsti per gli incidenti gravi, secondo tempistiche specifiche per la comunicazione e la relazione finale.

Anche importatori e distributori sono destinatari di specifici obblighi. Prima di immettere o mettere a disposizione un prodotto sul mercato, dovranno verificare che il fabbricante abbia rispettato gli adempimenti richiesti, che il prodotto sia accompagnato dalla documentazione necessaria e che rechi la marcatura CE. Qualora abbiano motivo di ritenere che un prodotto non sia conforme o presenti un rischio di cybersicurezza, non dovranno immetterlo né renderlo disponibile sul mercato.

Cosa fare ora

Alla luce delle tempistiche previste dal Cyber Resilience Act, occorre avviare per tempo una valutazione dei prodotti, dei processi interni e dei rapporti con fornitori e partner commerciali. Prepararsi in anticipo sarà quindi essenziale per individuare eventuali gap di conformità e affrontare le prossime scadenze con maggiore consapevolezza.

Il 10 giugno 2026, in attuazione della delega contenuta nella Legge n. 132/2025 (c.d. Legge Italiana sull’Intelligenza Artificiale), il Consiglio dei Ministri ha approvato, in via preliminare, due schemi di decreto legislativo (dunque, suscettibili di modifiche) in materia di intelligenza artificiale. Il primo riguarda i poteri delle autorità nazionali, la vigilanza, le sanzioni, gli spazi di sperimentazione, la formazione e le disposizioni in materia di lavoro (il “Decreto”). Il secondo regola l'impiego dei sistemi di intelligenza artificiale nelle attività di polizia e introduce disposizioni in tema di responsabilità civile e penale. Il presente approfondimento si concentra sul primo schema di decreto.

La governance si definisce: autorità, coordinamento e sperimentazione

L’AgID è l'autorità nazionale di notifica, con poteri relativi alle procedure di notifica e agli organismi di valutazione della conformità. All’ACN sono attribuiti compiti di vigilanza del mercato ed funge da punto di contatto unico. L’ACN è altresì competente per la registrazione, a livello nazionale, dei sistemi di intelligenza artificiale ad alto rischio di cui all'allegato III, punto 2, dell’AI Act.

Il ruolo delle autorità di settore rimane invariato: il Decreto identifica Banca d'Italia, CONSOB e IVASS come autorità competenti nei rispettivi ambiti, oltre al Garante per la protezione dei dati personali nei limiti delle proprie competenze.

Inoltre, è istituito un Comitato di coordinamento presso la Presidenza del Consiglio dei Ministri, finalizzato ad assicurare il coordinamento e la collaborazione tra le autorità nazionali, le altre pubbliche amministrazioni e le autorità indipendenti. Il Comitato può fornire indirizzi unitari per la stipula degli accordi e dei protocolli d'intesa nonché per l'adozione degli atti di indirizzo.

Il Decreto istituisce altresì lo Spazio di sperimentazione italiano per l'AI — il sandbox normativo previsto dall'art. 57 dell'AI Act — gestito congiuntamente da AgID e ACN.

Sanzioni: un quadro graduato

In linea con l’AI Act, per le violazioni più gravi, relative alle pratiche vietate di cui all’art. 5 dell'AI Act, la sanzione può arrivare fino a 35 milioni di euro o, se superiore, fino al 7% del fatturato annuo mondiale totale dell'esercizio precedente. Soglie inferiori sono previste per altre categorie di obblighi, compresi quelli a carico di provider e deployer in relazione ai sistemi di AI ad altro rischio, quelli previsti per gli organismi notificati nonché quelli in materia di trasparenza e comunicazione alle autorità.

Il Decreto prevede inoltre sanzioni non pecuniarie per le violazioni di minore offensività: in alternativa alla sanzione pecuniaria, le autorità possono ordinare di eliminare l'infrazione o di rendere una dichiarazione pubblica avente ad oggetto la violazione commessa e il soggetto responsabile. Per i procedimenti sanzionatori nel settore finanziario, Banca d'Italia, CONSOB e IVASS applicano le proprie procedure settoriali (TUB, TUF, Codice delle assicurazioni), conformemente al regime speciale previsto per gli istituti finanziari.

Lavoro: la decisione finale resta umana

Il Decreto stabilisce che, nei processi decisionali concernenti il rapporto di lavoro, i datori di lavoro che utilizzano sistemi di intelligenza artificiale devono assicurare che le decisioni relative alla costituzione, alla modifica o alla cessazione del rapporto, incluse le misure disciplinari, non siano adottate sulla base del solo trattamento automatizzato. La decisione definitiva deve essere riservata a una persona fisica che eserciti un potere effettivo e autonomo.

Il lavoratore ha diritto, su richiesta e mediante l'intervento umano, di ricevere una spiegazione comprensibile della decisione, inclusa l'indicazione dell'impatto del sistema di intelligenza artificiale sul processo decisionale e dei principali parametri considerati. Il licenziamento intimato in violazione di tali disposizioni è nullo. Si tratta di una tutela più intensa rispetto all'attuale quadro giuslavoristico: non basterà dichiarare che "la decisione finale è umana" se, in concreto, l'output del sistema la determina sostanzialmente.

Il Decreto introduce anche un collegamento esplicito tra intelligenza artificiale e salute e sicurezza sul lavoro: l'utilizzo di sistemi di intelligenza artificiale che incidano sull'organizzazione del lavoro, sui ritmi produttivi, sulle modalità di esecuzione della prestazione o sui processi decisionali rilevanti per la sicurezza dovrà essere valutato nell'ambito del documento di valutazione dei rischi ai sensi del d.lgs. n. 81/2008.

Formazione: un obbligo trasversale

Il Decreto dedica un'ampia sezione alla formazione: sono previste misure per le scuole, i docenti, gli adulti, la pubblica amministrazione, le università, gli enti di ricerca, le professioni, la magistratura e la sanità. Per la formazione dei docenti sono stanziati 100 milioni di euro a valere sul Programma nazionale "PN Scuola e Competenze 2021-2027".

Per le professioni, il Decreto prevede obblighi di alfabetizzazione tecnica, giuridica ed etica sull’intelligenza artificiale: gli ordini professionali hanno sei mesi per aggiornare i propri regolamenti e dodici mesi per integrare i parametri relativi al compenso equo in funzione della classe di rischio del sistema di AI utilizzato. In ambito sanitario, l'intelligenza artificiale entra nel programma di formazione continua in medicina (ECM), con il coinvolgimento dei dirigenti sanitari e della piattaforma nazionale "MIA".

Cosa fare adesso

I testi non sono ancora definitivi, ma due sono le priorità operative.

Una prima ricognizione dei sistemi di intelligenza artificiale in uso — distinguendo tra pratiche vietate, sistemi ad alto rischio, sistemi soggetti a obblighi di trasparenza e sistemi a basso rischio — consente di definire le priorità di intervento e di predisporre la documentazione tecnica richiesta: log, valutazioni del rischio, supervisione umana, change log e decisioni di governance.

La seconda riguarda i processi HR che si avvalgono di sistemi di intelligenza artificiale. Il Decreto vieta che le decisioni relative alla costituzione, modifica o cessazione del rapporto di lavoro (inclusi i provvedimenti disciplinari) siano adottate sulla base del solo trattamento automatizzato, con la specificazione che il licenziamento adottato in violazione di tali prescrizioni è nullo. In concreto, ciò richiede una revisione dei flussi decisionali in materia di selezione del personale, gestione delle performance, attribuzione di mansioni e provvedimenti disciplinari, verificando che il coinvolgimento umano sia effettivo e documentato, e non meramente formale. Rilevano in particolare i sistemi di ranking e scoring dei candidati, gli strumenti di monitoraggio della produttività e i software di gestione automatizzata dei turni o dei carichi di lavoro, nei casi in cui i loro output orientino in modo determinante le decisioni del management. Sul piano contrattuale, sarà opportuno verificare anche le clausole dei contratti con i fornitori di tali sistemi, in termini di trasparenza degli algoritmi, accesso ai log e allocazione della responsabilità in caso di contestazione.

Ma non sempre è un luogo sicuro. Amplifica fenomeni di odio e disinformazione, facilita pratiche come il cyberbullismo e la diffusione non consensuale di contenuti sessuali o espliciti e può alimentare dinamiche di isolamento o dipendenza. L'intelligenza artificiale accentua ulteriormente questi rischi: rende possibile la creazione di deepfake e immagini generate senza il consenso della persona ritratta, consente l'impiego di chatbot in grado di condizionare le scelte e i comportamenti dei minori e permette di calibrare i contenuti proposti sulle specifiche vulnerabilità cognitive di ciascun utente.

Sulla necessità di proteggere i minori online esiste ormai un consenso diffuso. Molto meno chiaro è come si possa realizzare una tutela effettiva. 

In Italia, come nel resto d'Europa, il quadro normativo è frammentato e in piena evoluzione e molte delle questioni centrali restano aperte.

Il quadro normativo

Non esiste, in Italia, una disciplina organica dedicata ai minori nella dimensione digitale. 

Il quadro normativo si compone di atti normativi diversi che operano su piani distinti ma complementari e che richiedono, spesso, una lettura sistematica.

Le principali fonti oggi rilevanti sono:

• il Regolamento (UE) 2016/679 (“GDPR”) e il d.lgs. n. 196/2003 (“Codice Privacy”), applicabili a qualsiasi titolare che tratti dati personali di minori;

• il Regolamento (UE) 2022/2065 (“Digital Services Act” o “DSA”), le Linee guida della Commissione europea adottate ai sensi dell'articolo 28(4) del DSA e la Raccomandazione (UE) 2026/1035 della Commissione relativa all'istituzione di un quadro comune per le tecnologie di verifica dell'età, applicabili ai fornitori di servizi intermediari;

• la Direttiva 2010/13/UE, come modificata dalla Direttiva (UE) 2018/1808 (“Direttiva SMAV”), recepita in Italia dal d.lgs. n. 208/2021 (“Testo Unico dei Servizi di Media Audiovisivi” o “TUSMA), applicabili ai fornitori di piattaforme di condivisione video;

• il decreto-legge n. 123/2023, convertito con la Legge n. 159/2023 (“Decreto Caivano”) e la Delibera AGCOM n. 96/25/CONS, applicabili ai fornitori di servizi che distribuiscono contenuti pornografici ma sempre più rilevanti come riferimento tecnico in materia di verifica dell'età; e

• la Legge n. 132/2025 (“Legge Italiana sull’Intelligenza Artificiale”), che dedica una disposizione all’uso da parte dei minori ai sistemi di intelligenza artificiale.

A queste fonti si aggiungono, poi, i Principi comuni del G7 per uno spazio digitale più sicuro e protetto per i minori, adottati dai Ministri del Digitale e della Tecnologia del G7 nel 2026, che definiscono un quadro di riferimento condiviso in materia di garanzia dell'età, progettazione sicura, protezione da contenuti illegali, strumenti di controllo parentale, alfabetizzazione digitale e gestione dei rischi, nonché il disegno di legge n. 1136 (“DDL 1136”), attualmente all'esame del Parlamento, che introduce disposizioni specifiche in materia di accesso dei minori ai social network e alle piattaforme di condivisione video, nonché in materia di verifica dell'età e di consenso digitale.

Tre questioni centrali

Al di là delle norme, sono tre i temi su cui oggi si concentra il dibattito politico e regolatorio a livello nazionale ed europeo.

Il divieto di accesso ai social network

Una delle questioni che oggi domina il dibattito sulla protezione dei minori online riguarda l'introduzione di un'età minima per l'accesso dei minori ai social network.

L'Australia ha introdotto nel 2024 un divieto per gli under 16; Francia, Danimarca e Spagna stanno valutando soluzioni analoghe; in Italia, il DDL 1136 propone di vietare ai minori di 15 anni l’apertura di account sui social network (oltre che sulle piattaforme di condivisione video).

Si tratta di misure che rispondono a preoccupazioni reali. Il rischio, tuttavia, è quello di concentrare l'attenzione esclusivamente sulla soglia di accesso, trascurando le caratteristiche dei servizi una volta che il minore vi accede. Il confronto con modelli regolatori più maturi è significativo. L'Age Appropriate Design Code britannico e il California Age-Appropriate Design Code Act non si limitano a fissare limiti anagrafici, ma impongono requisiti di progettazione responsabile, valutazione dei rischi e accountability del fornitore. In questa prospettiva, la tutela dei minori non dipende soltanto da chi possa accedere al servizio, ma anche da come il servizio è progettato.

L’età per il consenso digitale

Strettamente connessa alla questione dell'accesso dei minori ai social network è quella del consenso del minore al trattamento dei suoi dati personali.

L'art. 8 del GDPR fissa a 16 anni l’età per il consenso (autonomo) del minore, lasciando agli Stati membri la facoltà di prevedere soglie più basse, in ogni caso non inferiori ai 13 anni. L'Italia si è avvalsa di questa facoltà, fissando l’età per il consenso del minore a 14 anni.

Se approvato nella formulazione attuale, il DDL 1136 riporterebbe, invece, l’età per il consenso del minore a 16 anni.

La questione si complica ulteriormente perché le soglie di età non sono uniformi nemmeno all'interno dello stesso ordinamento. La Legge Italiana sull’Intelligenza Artificiale consente ad esempio al minore di accedere e utilizzare in autonomia i sistemi di AI a partire dai 14 anni. Ne consegue che un operatore che gestisca un servizio con componenti sociali e funzionalità basate sull'AI potrebbe trovarsi ad applicare regole differenti alla medesima platea di utenti.

La progettazione dei servizi e il funzionamento degli algoritmi

Il terzo fronte del dibattito — probabilmente il più delicato — riguarda la progettazione dei servizi digitali e il funzionamento dei sistemi algoritmici. 

Sotto questo profilo, il dibattito regolatorio si sta progressivamente spostando dal controllo dei contenuti alla responsabilità per le scelte di progettazione che incentivano un utilizzo compulsivo dei servizi. Rientrano in questa categoria lo scrolling infinito, le notifiche artificialmente calibrate per richiamare l'attenzione dell'utente, i sistemi di raccomandazione ottimizzati per massimizzare il tempo di permanenza, le funzionalità di autoplay e i meccanismi di ricompensa intermittente. Le Linee guida della Commissione europea adottate ai sensi dell'articolo 28(4) del DSA qualificano espressamente queste tecniche come incompatibili con un elevato livello di protezione dei minori. È il principio del cosiddetto safety by design, che impone di integrare la protezione dei minori fin dalla fase di sviluppo del servizio, e non di intervenire soltanto a valle, sui singoli contenuti.

L'intensità di questi obblighi varia, tuttavia, sulla base del tipo di servizio fornito. Gli obblighi di trasparenza sui sistemi di raccomandazione e il divieto di pubblicità basata sulla profilazione si applicano a tutti i fornitori di piattaforme online. Gli obblighi di valutazione e mitigazione dei rischi sistemici gravano invece in misura rafforzata sulle piattaforme online di dimensioni molto grandi (“VLOP”) e sui motori di ricerca online di dimensioni molto grandi (“VLOSE”), che sono tenuti a condurre valutazioni periodiche del rischio e ad adottare misure di attenuazione ragionevoli, proporzionate ed efficaci.

La verifica dell'età 

Ma la previsione di una soglia di età minima per l’accesso ai social network e per il consenso digitale rischia di rimanere lettera morta in assenza di strumenti (realmente) affidabili di verifica dell’età.

Da questo punto di vista, la Raccomandazione (UE) 2026/1035 della Commissione ha definito un quadro comune per le tecnologie di verifica dell'età, fondato su un modello interoperabile, rispettoso della privacy e basato su identità digitali e protocolli crittografici avanzati. Il sistema — sviluppato dalla Commissione europea come soluzione open source e già in fase di sperimentazione con alcuni Stati membri, tra cui l'Italia — si fonda sulla tecnologia zero-knowledge proof: l'utente scarica un'applicazione, certifica la propria età tramite un documento di identità elettronico o un'app bancaria preinstallata, e ottiene un attestato digitale che può presentare alle piattaforme online. L'obiettivo è consentire la verifica del superamento di una determinata soglia di età senza comunicare ulteriori informazioni sull'identità dell'utente: la piattaforma riceve esclusivamente una risposta di tipo vero/falso (ad esempio, "età superiore a 18 anni: sì"), senza accedere al nome, alla data di nascita o ad altri dati personali. Una volta completata la certificazione, il collegamento tra l'utente e il fornitore dell'attestato si interrompe, impedendo qualsiasi tracciamento delle attività online. Quanto all’Italia, il DDL 1136 prevede un sistema di verifica fondato su un mini-portafoglio digitale nazionale che costituisce un'implementazione nazionale della soluzione europea: non un sistema alternativo o parallelo, ma un'applicazione personalizzata del medesimo blueprint tecnico reso disponibile dalla Commissione in open source, coerente con i requisiti della Raccomandazione e con il calendario di attuazione da essa previsto.

Gli obblighi per le imprese

Quindi, in attesa che si sciolgano questi nodi e che il quadro normativo si definisca, cosa devono fare le imprese che forniscono servizi della società dell’informazione che si rivolgono a minori o che comunque sono accessibili ai minori?

Dipende ovviamente dal tipo di servizio fornito, oltre che dalle dimensioni dell’impresa che lo fornisce.

I fornitori di piattaforme online (tra cui rientrano anche i fornitori di social network e i fornitori di piattaforme di condivisione video), oltre a rispettare il divieto di mostrare pubblicità basata sulla profilazione online dei minori, devono progettare le proprie piattaforme in maniera tale che sia assicurata ai minori una protezione effettiva. Ciò implica, tra l'altro, l'adozione di impostazioni predefinite protettive per i minori, la configurazione di sistemi di raccomandazione che non massimizzino l'attenzione e il coinvolgimento degli utenti, l'eliminazione di funzionalità che inducano comportamenti compulsivi e la predisposizione di strumenti di controllo parentale. In più, le VLOP e le VLOSE devono identificare, analizzare e valutare i rischi sistemici che i propri servizi possono generare per i minori e adottare misure di attenuazione ragionevoli, proporzionate ed efficaci, che possono includere l'adeguamento dei sistemi algoritmici, l'introduzione di strumenti di verifica dell'età e misure specifiche di moderazione dei contenuti.

Attenzione. Dichiarare nei propri termini e condizioni che la piattaforma è riservata agli adulti non vale ad escludere l'applicabilità di questi obblighi. Se non vengono adottate misure effettive per impedire l'accesso dei minori, il servizio si considera accessibile ai minori.

Oltre agli obblighi applicabili a tutti i fornitori di piattaforme online, i fornitori di piattaforme di condivisione video soggetti alla giurisdizione italiana sono tenuti anche, ai sensi del TUSMA, a predisporre sistemi di verifica dell'età per i contenuti che possono nuocere allo sviluppo fisico, mentale o morale dei minori, nonché strumenti di controllo parentale. Per i fornitori di piattaforme video (e i gestori di siti web) che distribuiscono contenuti pornografici in Italia vige, inoltre, il divieto di accesso dei minori di anni 18 ai contenuti pornografici distribuiti e l’obbligo di verificare la maggiore età degli utenti, secondo le modalità stabilite dall’AGCOM. 

Se, poi, il DDL 1136 venisse approvato, i fornitori di social network e i fornitori di piattaforme di condivisione video sarebbero soggetti a due obblighi aggiuntivi rispetto a quelli di cui sopra.

Il primo riguarda il divieto di apertura di account per i minori di 15 anni, con conseguente nullità dei contratti già conclusi con minori che non abbiano ancora compiuto tale età alla data di entrata in vigore della legge. Il secondo consiste nell'obbligo di verificare l'età degli utenti mediante un mini-portafoglio digitale nazionale che attua la soluzione europea di verifica dell'età, sempre secondo le modalità stabilite dall'AGCOM.

E chi fornisce servizi della società dell’informazione diversi dalle piattaforme online (ad esempio servizi di commercio elettronico) o semplicemente tratta dati personali di minori? Per questi soggetti non esiste, allo stato, un obbligo espresso di verifica dell'età. La normativa in materia di protezione dei dati personali richiede di adottare misure adeguate a garantire che il consenso del minore sia valido, ma non prescrivono uno specifico sistema di accertamento dell'età né definiscono le modalità tecniche con cui tale verifica deve essere condotta. In assenza di un obbligo espresso, costituisce tuttavia buona prassi effettuare un risk assessment — analogo, nella sua logica, a quello prevista dalle Linee guida della Commissione per i fornitori di piattaforme online — al fine di determinare se, in ragione della natura del servizio offerto, della tipologia di dati trattati e della plausibile presenza di minori tra gli utenti, sia opportuno adottare meccanismi di verifica dell'età conformi alla soluzione tecnica europea o a standard equivalenti.

La Commissione europea ha pubblicato ieri la versione definitiva del Codice di condotta sulla marcatura e l'etichettatura dei contenuti generati dall'AI, uno strumento strategico nell'architettura regolatoria europea sull'AI. Il Codice rappresenta la risposta operativa agli obblighi di trasparenza previsti dall'art. 50 dell'AI Act, che entreranno in vigore il 2 agosto 2026.

L'AI Act, del resto, ha identificato nella trasparenza uno dei rischi sistemici più urgenti da affrontare. Quando i contenuti generati da macchine sono indistinguibili da quelli umani — testi giornalistici, video deepfake, voci sintetiche — si crea un terreno fertile per la disinformazione, la manipolazione dell'opinione pubblica e la perdita di fiducia nell'ecosistema informativo. Si pensi, ad esempio, a un video apparentemente autentico di un leader politico diffuso durante una campagna elettorale, a una registrazione vocale utilizzata per impersonificare un dirigente d’azienda e autorizzare un bonifico, oppure a immagini di eventi mai avvenuti che circolano sui social network durante situazioni di crisi. In tutti questi casi, la capacità di identificare l'origine artificiale del contenuto assume un ruolo essenziale per preservare la fiducia degli utenti.

Il Codice di condotta è lo strumento pratico attraverso il quale la Commissione cerca di tradurre questi principi normativi in comportamenti concreti.

Cosa prevede il Codice: obblighi e destinatari

Il Codice ha natura volontaria, ma riveste un peso giuridico rilevante: le imprese che lo sottoscrivono potranno fare affidamento su standard condivisi per dimostrare più agevolmente la conformità agli obblighi previsti dall'AI Act nelle materie disciplinate dal Codice stesso. Questo meccanismo lo rende particolarmente interessante per l'industria.

I destinatari sono due.

I provider, ovvero chi sviluppa sistemi di AI (generativa). Su di loro grava l'obbligo di garantire che i contenuti prodotti (audio, immagini, video, testo) siano contrassegnati in formato leggibile da macchina e rilevabili come artificialmente generati o manipolati. Le soluzioni tecniche adottate devono essere efficaci, interoperabili, robuste e affidabili, nel rispetto dello stato dell'arte e dei costi di implementazione.

I deployer, ovvero chi mette a disposizione degli utenti finali sistemi di AI generativa. Su di loro gravano obblighi di disclosure in due casi specifici:

• Deepfake: contenuti audio, immagini o video che ritraggono persone, oggetti, luoghi o eventi reali in modo da sembrare autentici, ma che non lo sono. In concreto, rientrerebbe in questa categoria un filmato che mostra una persona pronunciare dichiarazioni che non ha mai realmente reso.
• Testi di interesse pubblico: articoli, comunicati o pubblicazioni generate dall'AI su temi di rilevanza pubblica, a meno che non abbiano subito un processo di revisione umana con responsabilità editoriale. L'esempio più immediato è quello di un articolo generato da un sistema di AI che commenta risultati elettorali, misure sanitarie o decisioni governative. Diversamente, un testo sottoposto a una revisione umana sostanziale e pubblicato sotto la responsabilità editoriale di un giornalista o di una redazione potrebbe beneficiare dell'eccezione prevista dall'AI Act.

È previsto inoltre l'obbligo di informare gli utenti quando interagiscono con un sistema AI interattivo, come un chatbot o un assistente virtuale.

Il processo: come è stato costruito il Codice

Il Codice è il risultato di un processo partecipativo avviato a settembre 2025 dall'AI Office, con una consultazione pubblica e una call for expression of interest. Il processo ha coinvolto due gruppi di lavoro tematici (uno per i provider e uno per i deployer), guidati da presidenti e vicepresidenti indipendenti, e ha incluso stakeholder di diversa natura: sviluppatori di tecnologie di rilevamento, associazioni di categoria, organizzazioni della società civile, accademici e grandi piattaforme online.

In sette mesi — da novembre 2025 a giugno 2026 — sono state prodotte tre bozze intermedie, sottoposte a consultazione, prima di arrivare alla versione finale. Parallelamente, la Commissione ha pubblicato linee guida interpretative per chiarire l'ambito degli obblighi normativi e coprire aspetti non trattati dal Codice.

Le implicazioni pratiche: cosa cambia per imprese e utenti

Per le imprese tecnologiche, sottoscrivere il Codice significa adottare standard tecnici di marcatura e tracciabilità dei contenuti, come watermarking digitale, metadati firmati e standard di provenienza quali C2PA, oltre a implementare adeguati sistemi di disclosure verso gli utenti finali.

Ad esempio, un'immagine generata da un modello di AI potrebbe contenere metadati che consentano a piattaforme e strumenti di verifica di identificarne automaticamente l'origine artificiale, anche qualora l'etichetta visibile all'utente fosse stata rimossa.

Le imprese che non aderiscono dovranno comunque rispettare gli obblighi dell'AI Act dal 2 agosto 2026, ma senza il vantaggio di poter fare riferimento agli standard condivisi individuati dal Codice.

Per i cittadini, l'impatto atteso è significativo: deepfake e testi generati dall'AI su temi di interesse pubblico dovranno essere chiaramente identificati, rendendo più semplice comprendere quando ci si trova di fronte a contenuti sintetici.

Rimane aperta la questione dell'effettività tecnica. Watermarking e metadati possono essere rimossi o alterati e la rilevabilità dei contenuti sintetici in ambienti distribuiti rappresenta ancora una sfida tecnologica rilevante. Lo stesso Codice riconosce questo limite, richiedendo l'adozione di soluzioni "tecnicamente fattibili" alla luce dello stato dell'arte.

Prospettive: un modello per il resto del mondo?

L'iniziativa europea si inserisce in un momento di intensa competizione normativa globale sull'intelligenza artificiale. Mentre gli Stati Uniti procedono con un approccio più frammentato e la Cina ha adottato regole specifiche sui contenuti sintetici, l'Unione europea punta a costruire un modello fondato sulla trasparenza e sulla responsabilizzazione degli operatori.

Uno scenario tutt'altro che improbabile è quello in cui una piattaforma globale scelga di applicare gli standard europei di etichettatura a tutti gli utenti, anziché sviluppare sistemi differenti per ciascun mercato nazionale. È un fenomeno già osservato in passato con la normativa europea sulla protezione dei dati personali.

La sfida sarà mantenere l'equilibrio tra trasparenza e innovazione, evitando che oneri di compliance eccessivi penalizzino le imprese europee rispetto ai concorrenti globali. Il Codice di condotta rappresenta un importante tentativo di trovare questo equilibrio, con l'agosto 2026 come primo banco di prova reale.

Ascolta la puntata

Il Digital Omnibus — il pacchetto normativo con cui Bruxelles sta razionalizzando le regole digitali dell'UE — spinge nella stessa direzione da anni: più condivisione, più portabilità, meno silos. Un obiettivo legittimo, ma con un effetto collaterale che molte imprese non hanno ancora messo a fuoco: ogni obbligo di data sharing è una finestra in più da cui può uscire il know-how che non si è scelto o che non si può brevettare.

Il pacchetto comprende due testi principali: uno che interviene sulle regole esistenti in materia di dati, cybersicurezza e privacy (il digital acquis), ancora in negoziato; e uno sull'intelligenza artificiale, su cui è stato raggiunto un accordo politico provvisorio il 7 maggio 2026. Le date di pubblicazione ufficiale restano soggette al completamento del processo formale.

Cosa cambia concretamente

Le modifiche al digital acquis più rilevanti per chi gestisce informazioni sensibili:

• Dati pubblici e grandi operatori. Le pubbliche amministrazioni potranno applicare condizioni speciali alle Very Large Enterprises e ai gatekeeper DMA che riusano dati pubblici, per evitare che l'accesso privilegiato ai dati consolidi posizioni già dominanti.

• Intermediari dati. Il regime obbligatorio del Data Governance Act diventerebbe volontario, con requisiti di separazione più leggeri. Più attori nella catena, più punti di contatto.

• Cloud switching. Regimi semplificati per alcune categorie, ma con salvaguardie esplicite su trade secrets e rischi di esposizione verso giurisdizioni terze.

• Smart contract per il data sharing. Eliminati i requisiti essenziali dell'art. 36 del Data Act: meno vincoli tecnici, più peso alla governance contrattuale.

Il punto di partenza: il Data Act

Già in vigore dal 12 settembre 2025, il Data Act dà agli utenti di dispositivi connessi il diritto di far condividere i propri dati con terze parti. Per i produttori, questo espone un perimetro delicato: i dati possono contenere logiche operative, parametri di configurazione, prestazioni, tutto ciò che compone il know-how senza mai essere stato etichettato come tale. E il Data Act disapplica la protezione sui generis sui database in questo contesto, spostando il peso della tutela verso i segreti commerciali.

Pensiamo ad un caso concreto. Un produttore di impianti industriali connessi riceve da un cliente la richiesta di condividere 18 mesi di log operativi con un fornitore di manutenzione indipendente che è concorrente diretto del suo servizio post-vendita. Quei log contengono parametri di calibrazione e sequenze di controllo sviluppate in anni di R&D, mai brevettate. Il Data Act non ammette un rifiuto generalizzato, ma consente al produttore di richiedere misure tecniche proporzionate prima di condividere (art. 4, par. 6): NDA con clausola anti-reverse-engineering, dati sensibili solo in forma aggregata, divieto contrattuale di usare i dati per sviluppare servizi concorrenti (art. 6, par. 2, lett. e). Se il terzo rifiuta le misure, il produttore può bloccare la condivisione, ma deve motivarlo per iscritto e notificare l'autorità competente. Questi due passi non sono facoltativi: sono la condizione formale perché il rifiuto sia legittimo.

Il Regolamento prevede anche la possibilità di rifiutare la condivisione quando essa renderebbe altamente probabile un serio danno economico. La soglia è alta, e il problema pratico è che quel danno va dimostrato prima che la divulgazione avvenga, su dati che non sono ancora usciti. Chi non ha documentato il valore dei propri segreti si troverà senza argomenti nel momento in cui servono.

La novità del Digital Omnibus: il fattore giurisdizionale

Se approvata nella forma proposta, la modifica al Data Act introdurrebbe una nuova base di rifiuto alla condivisione: il rischio di acquisizione illecita da parte di soggetti operanti in Paesi terzi con tutele insufficienti  o con tutele formalmente equivalenti ma prive di enforcement reale.

È un cambiamento di prospettiva concreto. Oggi molti leak non nascono da attacchi informatici o dipendenti infedeli: nascono dal fatto che un dato condiviso legittimamente arriva a un destinatario corretto, che però opera in una giurisdizione dove un'autorità locale può richiedergli di divulgarlo e dove ottenere un'ingiunzione è lento o impossibile. Il segreto si perde per struttura sistemica, non per dolo. La proposta prova a trasformare questa asimmetria in una leva giuridica: il rifiuto è legittimo, ma deve essere motivato per iscritto e notificato all'autorità competente.

Cinque cose da fare adesso

• Mappare i dati in senso competitivo. Non ai fini GDPR: quali dataset, se analizzati, rivelano processi o logiche proprietarie? Quali rientrano nel perimetro del Data Act?

• Costruire un trade secret registry. Un segreto commerciale esiste se è non noto, ha valore economico proprio perché segreto, ed è protetto con misure ragionevoli. NDA, controlli di accesso, audit log, policy interne: tutto documentato e aggiornato.

• Strutturare la risposta alle richieste di data sharing. Serve un processo, non una valutazione caso per caso. Con criteri chiari su quando opporre un rifiuto, come motivarlo e come notificarlo.

• Fare l'assessment giurisdizionale dei flussi dati. Chi riceve i dati? Dove opera? Dove sono i suoi sub-fornitori? Qual è l'enforcement reale in quelle giurisdizioni?

• Monitorare l'iter normativo. Il Digital Omnibus per il digital acquis cambierà. Chi lavora con dati sensibili deve sapere come, e quando.

* * *

La direzione del Digital Omnibus non cambierà: più circolazione, più portabilità. Ma le imprese che hanno costruito il loro vantaggio su dati e processi non brevettati non possono aspettare che la normativa si stabilizzi. Il segreto che resiste è quello che è già stato strutturato come tale prima che qualcuno chieda di condividerlo.

Sul fronte della tempistica, i co-legislatori hanno abbandonato l'approccio flessibile proposto dalla Commissione — che prevedeva un rinvio fino a 16 mesi subordinato alla disponibilità degli standard tecnici — in favore di un calendario fisso: le nuove date di applicazione delle norme sui sistemi ad alto rischio saranno il 2 dicembre 2027 per i sistemi autonomi e il 2 agosto 2028 per quelli incorporati in prodotti. Una scelta che offre agli operatori economici un orizzonte prevedibile su cui pianificare i propri adeguamenti.

L'accordo interviene anche su tutela dei diritti fondamentali, introducendo un divieto esplicito per i sistemi di IA di generare contenuti sessuali non consensuali o materiale pedopornografico (CSAM), e ripristinando il criterio della stretta necessità per il trattamento di dati personali sensibili ai fini del rilevamento dei bias. Sul piano della competitività, le esenzioni regolamentari già previste per le PMI vengono estese alle piccole imprese a media capitalizzazione (SMC), riducendo gli oneri amministrativi per una platea più ampia di soggetti.

Vengono inoltre chiarite le competenze dell'AI Office nella supervisione dei sistemi basati su modelli di IA per uso generale, con esplicita elencazione delle eccezioni in cui restano competenti le autorità nazionali. 

Sul versante industriale, un compromesso ad hoc consente di limitare l'applicazione dell'AI Act nei settori — come dispositivi medici, macchinari e giocattoli — in cui la normativa settoriale prevede già requisiti analoghi, evitando duplicazioni e semplificando la compliance.

L'accordo dovrà ora essere formalmente approvato da entrambe le Istituzioni prima dell'adozione definitiva, attesa nelle prossime settimane.

L’Agenzia per la Cybersicurezza Nazionale (“ACN”) ha pubblicato oggi la Determinazione ACN n. 155238/2026 (“Determinazione”), recante le categorie di rilevanza nonché il processo, le modalità e i criteri per l'elencazione, caratterizzazione e categorizzazione delle attività e dei servizi. 

La Determinazione adotta il modello di categorizzazione meglio definito agli allegati 1 e 2 della stessa Determinazione. Entrambi i modelli sono articolati in dieci macro-aree, per ciascuna delle quali sono indicate la denominazione, la descrizione e la categoria di rilevanza pre-assegnata. Le quattro categorie di rilevanza individuate dalla determinazione sono: impatto alto, impatto medio, impatto basso e impatto minimo. 

Sotto il profilo contenutistico, i due allegati individuano le medesime macro-aree, che si distinguono per la categoria di rilevanza loro attribuita.

Quanto all’ambito di applicazione, l’Allegato 1 si applica ai soggetti NIS riconducibili alle tipologie di soggetto riconducibili ai settori: energia; trasporti; sanitario; acqua potabile; acque reflue; spazio; servizi postali e di corriere; gestione dei rifiuti; fabbricazione, produzione e distribuzione di sostanze chimiche; produzione, trasformazione e distribuzione di alimenti; fabbricazione; e ai soggetti che forniscono servizi di trasporto pubblico locale. L’Allegato 2 si applica a tutti gli altri soggetti NIS non riconducibili a tali settori. 

Sul piano operativo, la Determinazione stabilisce che i soggetti NIS, tramite il Portale ACN, devono procedere all’elencazione e alla categorizzazione di tutte le attività svolte e di tutti i servizi erogati, sia internamente sia esternamente, suddividendoli nelle macro-aree del modello di cui all’allegato rilevante. Per ogni attività o servizio devono indicare tre elementi: la macro-area corrispondente, la denominazione e descrizione, e la categoria di rilevanza. 

È previsto anche un margine di valutazione autonoma. Il soggetto NIS può infatti attribuire a una specifica attività o a un servizio una categoria diversa da quella pre-assegnata alla macro-area, ma solo sulla base di una propria valutazione dell’impatto che una possibile compromissione avrebbe sulla capacità di svolgere correttamente le attività e i servizi NIS. In questo caso, il soggetto deve conservare la documentazione che giustifica tale valutazione. Se invece non svolge attività o non eroga servizi riconducibili a una o più macro-aree, non è tenuto a indicarle. 

La Determinazione prevede poi due regole di coordinamento. La prima riguarda i soggetti che hanno già svolto la classificazione dei dati e dei servizi per la Pubblica Amministrazione ai sensi del Decreto Direttoriale ACN n. 21007/24: per tali soggetti si applica quel modello, in luogo del modello della presente determinazione. La seconda riguarda le attività e i servizi soggetti alla disciplina del perimetro di sicurezza nazionale cibernetica, per cui la categoria di rilevanza è predeterminata come “impatto alto”, senza applicare il procedimento ordinario. 

Infine, per quanto non espressamente previsto dalla Determinazione, si applicano le Disposizioni del Decreto NIS. Tale Determinazione si applica a decorrere dal 1° maggio 2026.

Sapete tutti che sui meccanismi di Consent or Pay si basano – nel senso che dal loro funzionamento dipendono – alcuni modelli di business. Su tutti, quello dell’editoria online: con i ricavi pubblicitari, i giornali pagano i giornalisti.

E sapete tutti anche che la questione giuridica che questi modelli sollevano è, da anni, sempre la stessa: la libertà del consenso.

Secondo le autorità di controllo, il consenso non è libero – e quindi non è valido – se l’alternativa offerta all’utente, cioè pagare, lo induce di fatto a prestarlo. È un’impostazione coerente con l’art. 7 del GDPR e con la lettura rigorosa che ne dà lo European Data Protection Board.

Confesso però che, dopo anni di dibattiti, continuo a non capire quale sia, in concreto, questa “alternativa equivalente” che renderebbe il consenso libero. Ma credo di non essere il solo. Perché è facile dire che 1,99 euro al mese possono influenzare una scelta. È molto più difficile dire quale alternativa, realisticamente sostenibile, non la influenzerebbe.

E mentre noi discutevamo di questo – cioè del prezzo del consenso – la Commissione Europea ha spostato il piano del discorso.

Con il Digital Omnibus, il legislatore prende atto di un fatto noto a tutti: gli utenti non leggono i cookie banner, non capiscono cosa stanno accettando, e prestano il consenso solo per liberarsi del fastidio di non poter visualizzare una pagina web nella sua interezza a causa della presenza dei cookie banner.

Il consenso, in altre parole, non è espressione di una scelta libera e informata.

Per rimediare, la proposta introduce i segnali automatizzati: si tratta di strumenti tecnici che consentono all’utente di esprimere le proprie preferenze una volta per tutte senza dover interagire ogni volta con i cookie banner. Ai titolari è fatto obbligo di dotarsi di strumenti in grado di leggere questi segnali e di rispettarli.

È, se vogliamo, un tentativo di superare il consenso come lo abbiamo conosciuto finora.

Ma – ed è qui che il discorso diventa interessante – il legislatore introduce una deroga: i media service provider, quando offrono servizi mediali, non sono tenuti a rispettare questi segnali.

E la giustificazione di questa deroga non è tecnica. È economica: si vuole preservare la possibilità per gli editori di interagire direttamente con gli utenti per raccoglierne il consenso e, così facendo, preservare i flussi di ricavi che sostengono il giornalismo indipendente, definito pilastro della società democratica.

Ora, da un lato, il legislatore ci dice che il sistema dei cookie banner è inefficace, genera fatica (la fatica del consenso), e non produce decisioni realmente consapevoli.

Dall’altro, decide di mantenerlo – e anzi di proteggerlo – proprio per il settore dei media.

La domanda, allora, è: come si può, nello stesso tempo, riconoscere che il meccanismo è strutturalmente inadeguato a raccogliere un consenso libero e continuare a fondare su quel meccanismo la validità del consenso stesso?

Forse la risposta è più semplice – e più scomoda – di quanto siamo stati disposti ad ammettere finora.

Forse dovremmo dire apertamente che il Consent or Pay, così come oggi è strutturato, presenta dei limiti. Che la scelta dell’utente è inevitabilmente condizionata. Che il consenso, in questi contesti, non è mai completamente “puro”.

Ma che questo non lo rende automaticamente illegittimo.

Perché entra in gioco qualcos’altro: il bilanciamento.

Il diritto alla protezione dei dati personali, del resto, non vive nel vuoto. Convive con altri diritti e libertà: la libertà di espressione, la libertà di informazione, la libertà d’impresa.

Il punto non è negare la natura fondamentale del diritto alla protezione dei dati personali. Il punto è riconoscere che, in un sistema costituzionale, anche i diritti fondamentali possono entrare in tensione e devono essere bilanciati.

E qui, a mio avviso, il Digital Omnibus segna un passaggio importante.

Non dice che i dati personali sono una merce.

Non dice che il diritto alla protezione dei dati è disponibile.

Ma dice qualcosa di più preciso: che quando sono in gioco interessi sufficientemente rilevanti – strutturali, democraticamente giustificati – il bilanciamento è non solo possibile, ma legittimo.

E lo dice in una norma di rango primario, non in una costruzione dottrinale.

Questo, inevitabilmente, lascia un segno.

Perché rende più difficile sostenere una posizione assolutista, come quella espressa dallo stesso European Data Protection Board, secondo cui i dati personali non possono mai essere oggetto di scambio economico o di condizionamento.

La realtà normativa che si sta delineando è più sfumata.

E allora forse la vera domanda non è più: “il dato può avere un prezzo?”. Ma un’altra: “quali interessi giustificano che, in certe condizioni, possa averlo?”.

E soprattutto: chi decide questo bilanciamento?

Il legislatore, certamente.

Le autorità di controllo, attraverso l’interpretazione.

I giudici, nei casi concreti.

E, in una certa misura, anche il mercato – che però non può essere lasciato solo.

Perché il rischio, altrimenti, è evidente: che il bilanciamento diventi progressivamente una mercificazione.

E allora il punto – il vero punto – su cui, a mio avviso, il dibattito deve spostarsi è questo: l’architettura valoriale che il sistema europeo sta costruendo.

Se la deroga per i media è giustificata dalla rilevanza democratica del giornalismo, quali altri interessi economici possono aspirare alla stessa dignità?

Penso alla sostenibilità delle piattaforme, all’innovazione tecnologica, all’accesso ai servizi digitali, alla ricerca scientifica.

La domanda che rimane aperta è dove si traccia il confine tra un bilanciamento legittimo e una progressiva erosione del diritto fondamentale.

Molto, secondo me, si giocherà sull’interplay tra Digital Omnibus e Consent or Pay.

Ed è per questo che, forse, il Consent or Pay non è più solo un problema di consenso.

È il luogo in cui si sta decidendo qualcosa di più grande: che tipo di rapporto vogliamo costruire, nel diritto europeo, tra diritti fondamentali ed economia dei dati.

• la Determinazione ACN n. 127437 del 13 aprile 2026, che aggiorna e sostituisce la precedente Determinazione ACN n. 379887 del 19 dicembre 2025 e introduce l’obbligo di svolgere il nuovo processo di elencazione e categorizzazione delle attività e dei servizi ed elencare i fornitori rilevanti NIS durante l’aggiornamento annuale delle informazioni;
• la Determinazione ACN n. 127434 del 13 aprile 2026, che stabilisce i termini entro cui i soggetti iscritti per la prima volta nell’elenco NIS nel corso del 2026 dovranno adempiere agli obblighi di notifica degli incidenti significativi e di adozione delle misure di sicurezza.

Elencazione dei fornitori rilevanti NIS

La Determinazione ACN n. 127437/2026 introduce l’obbligo di indicare i fornitori rilevanti NIS nell’ambito del più ampio processo di aggiornamento annuale delle informazioni.

Un fornitore rilevante NIS è il soggetto che fornisce servizi o prodotti a un soggetto NIS e che soddisfa almeno uno dei seguenti criteri:

1. la fornitura è riconducibile alle attività o ai servizi di cui all’allegato I, punti 8 e 9, del Decreto NIS, tra cui rientrano i fornitori di servizi DNS, i gestori di registri dei nomi di dominio di primo livello, i fornitori di servizi cloud, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti (CDN), nonché i fornitori di servizi gestiti e i fornitori di servizi di sicurezza gestiti;
2. l’interruzione o la compromissione della fornitura comporterebbe un impatto significativo sulla capacità del soggetto NIS di erogare le attività o i servizi per cui rientra nell’ambito NIS, anche perché non sono disponibili fornitori alternativi adeguati (fornitori non fungibili).

Per adempiere a questo obbligo, i soggetti NIS devono utilizzare il “Servizio NIS/Aggiornamento annuale informazioni” sul Portale ACN e indicare, per ciascun fornitore rilevante:

• la denominazione;
• il codice fiscale;
• il Paese in cui ha sede legale;
• i codici CPV (Common Procurement Vocabulary) relativi alle forniture di cui il soggetto NIS beneficia;
• il criterio di rilevanza utilizzato.

Elencazione e categorizzazione delle attività e dei servizi

Una delle principali novità operative riguarda l’obbligo, per i soggetti NIS, di comunicare l’elenco delle proprie attività e dei propri servizi, attribuendo a ciascuno la relativa categoria di rilevanza. Il d.lgs. n. 138/2024 (“Decreto NIS”) prevede che questo adempimento sia svolto dal 1° maggio al 30 giugno di ogni anno, tramite la piattaforma digitale ACN, a partire dalla ricezione della prima comunicazione di inserimento nell’elenco dei soggetti NIS.

La Determinazione ACN n. 127437/2026 precisa che tale attività deve essere svolta tramite il “Servizio NIS/Categorizzazione” del Portale ACN. In concreto, il Punto di Contatto deve compilare l’elenco delle attività e dei servizi dell’organizzazione e attribuire a ciascuno la categoria di rilevanza secondo il modello che verrà stabilito dall’ACN nei prossimi giorni, con la pubblicazione della determinazione con il modello di categorizzazione, insieme a materiale informativo per supportare nello svolgimento di una analisi di impatto (BIA) semplificata.

È importante sottolineare che, decorso il termine del 30 giugno, l’elenco categorizzato delle attività e dei servizi si intende definitivamente acquisito e non più modificabile, salvo i casi di ritardo dovuti a documentate criticità tecnico-operative non imputabili al soggetto. 

Inoltre, le entità finanziarie soggette al Regolamento DORA e rientranti anche nell’ambito NIS sono esentate da questo specifico adempimento, ferma restando la possibilità di aderirvi volontariamente.

L’elenco categorizzato delle attività e dei servizi trasmesso dai soggetti NIS potrà essere sottoposto a verifiche di conformità da parte dell’ACN, effettuate a campione e anche mediante confronto con i dati comunicati da soggetti comparabili. L’ACN dovrà fornire un riscontro entro 90 giorni dalla trasmissione, termine prorogabile una sola volta fino a ulteriori 60 giorni in caso di approfondimenti. Qualora siano richieste integrazioni, chiarimenti o modifiche, il soggetto NIS dovrà rispondere entro 30 giorni; in caso di mancato o tardivo riscontro, l’elenco potrà essere rigettato. In assenza di un esito negativo comunicato nei termini previsti, l’elenco si intende convalidato.

Termini per i soggetti inseriti nell’elenco NIS per la prima volta nel 2026

La Determinazione ACN n. 127434/2026 riguarda invece i soggetti che sono stati inseriti per la prima volta nell’elenco dei soggetti NIS nel corso del 2026. Per questi soggetti, ACN ha fissato i termini per l’adempimento degli obblighi in materia di misure di sicurezza e di notifica. In particolare: 

• il termine per l’adozione delle misure di sicurezza previste dagli allegati 1 e 2 della Determinazione ACN n. 379907/2025 scade il 31 luglio 2027;
• l’obbligo di notifica degli incidenti significativi descritti negli allegati 3 e 4 della Determinazione ACN n. 379907/2025 decorre dal 1° gennaio 2027.

Un’ulteriore previsione riguarda i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione dei nomi di dominio inseriti nell’elenco NIS nel corso del 2026. Per questi soggetti, la Determinazione ACN n. 127434/2026 stabilisce che gli obblighi richiamati dall’articolo 4(1) della Determinazione ACN n. 379907/2025 devono essere adempiuti entro il 31 luglio 2027.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS, rivolgiti ai tuoi professionisti di riferimento.

Il Referente CSIRT, la cui designazione è prevista dalla Determinazione ACN n. 250916 del 19 settembre 2025, è colui o colei che ha il compito di gestire le interlocuzioni con il CSIRT Italia (Computer Security Incident Response Team nazionale) e di trasmettere le notifiche di incidenti significativi (come definiti dalla Determinazione ACN n. 164179) e le notifiche volontarie di informazioni rilevanti sulla cybersicurezza.

Le FAQ precisano che il Referente CSIRT può essere qualsiasi persona fisica che disponga di competenze di base in materia di cybersicurezza e gestione degli incidenti informatici, nonché di un’adeguata conoscenza dei sistemi e delle reti dell’organizzazione. 

In tale prospettiva, è ammessa anche la designazione di professionisti esterni, quali il responsabile di un SOC/CERT o il gestore di un’infrastruttura IT esternalizzata.

È inoltre previsto che, limitatamente alle organizzazioni di dimensioni contenute, i ruoli di Punto di Contatto e Referente CSIRT possano coincidere.

Le FAQ chiariscono anche che non esistono limitazioni relative alla cittadinanza del Referente CSIRT e che il dialogo con lo CSIRT Italia può avvenire anche in lingua inglese.

Un ulteriore chiarimento riguarda la natura della designazione: essa configura una delega esclusivamente operativa e non implica alcun trasferimento di responsabilità, che restano in capo agli organi di amministrazione e direzione del soggetto NIS. 

Inoltre, viene specificato che i Sostituti del Referente CSIRT devono essere in possesso dei medesimi requisiti del Referente CSIRT e sono soggetti alle medesime previsioni operative.

Le FAQ indicano poi che la notifica degli incidenti può essere effettuata, oltre che dal Referente CSIRT e dai suoi sostituti, anche dal Punto di Contatto e dal Sostituto Punto di Contatto.

Infine, con riferimento alla procedura di designazione, viene specificato che il Punto di Contatto deve inserire nel Portale dei Servizi ACN il codice fiscale e l’indirizzo e-mail del Referente CSIRT e degli eventuali sostituti. Successivamente, il Referente CSIRT (e i suoi sostituti) devono accedere al Portale tramite SPID o CIE e completare il censimento della propria utenza, senza necessità di caricare alcuna documentazione di supporto.

The law includes 28 articles that define how AI can be used in different sectors. It also introduces rules for protecting minors under 14, requiring parental consent before any data linked to them can be processed. Italian lawmakers say the goal is to make AI systems fair and safe for citizens while allowing companies to keep innovating responsibly.

According to Giulio Uras:

“The Italian government’s effort has been both remarkable and, for once, genuinely timely. It sets a clear benchmark for EU countries aiming to complement the AI Act at the national level. Its approach is founded on three key pillars: innovation, transparency, and criminal protection. 

On innovation, the Italian law conveys a clear and forward-looking policy direction. By authorising the secondary use of pseudonymised personal data for research purposes, it adopts a functional and proportionate regulatory model designed to foster scientific and technological development. This approach implicitly acknowledges that Europe’s ability to compete in the global AI landscape depends on avoiding an overly dogmatic interpretation of fundamental rights (particularly in the field of data protection) that could unduly restrict legitimate research and innovation. 

As for transparency, the Italian law is more debatable. The law extends disclosure obligations across several sectors (including employment and intellectual professions) without following the AI Act’s risk-based approach. Such a broad rule may overburden low-risk systems and, paradoxically, stifle innovation.

The criminal protection provisions yield mixed results. The new offense addressing deepfakes(Art. 612-quater of the Italian Criminal Code) effectively targets a growing threat. More broadly, introducing criminal law safeguards was undoubtedly necessary, as it reinforces protection against the unlawful use of AI to obtain unfair profits or inflict harm. However, criminal provisions are effective only when they can be concretely enforced. In this regard, the drafting technique adopted for the new aggravating circumstance (Art. 61, no. 11-decies of the Italian Criminal Code) raises issues of legal clarity and operational effectiveness, which may ultimately limit its enforceability in practice.

The real challenge for EU Member States that wish to follow Italy’s example will be to do so without adding unnecessary layers of bureaucracy or new burdens on businesses. Otherwise, the drive for innovation risks being lost in translation.” 

Full article published in TechRound. 
 

La novità più rilevante è l’introduzione della figura del Referente CSIRT.

Ma chi è il Referente CSIRT? 

Il Referente CSIRT è colui o colei che ha il compito di gestire le interlocuzioni con il CSIRT Italia (Computer Security Incident Response Team nazionale) e di trasmettere le notifiche di incidenti significativi (come definiti dalla Determinazione ACN n. 164179) e le notifiche volontarie di informazioni rilevanti sulla cybersicurezza.

Per assicurare tempestività e continuità alle comunicazioni con il CSIRT, la normativa prevede la possibilità di nominare uno o più sostituti del Referente CSIRT, che lo affiancano nello svolgimento delle sue funzioni e che possono operare in sua vece in caso di assenza o impedimento.

A differenza del Punto di Contatto e del Sostituto Punto di Contatto, può essere designata quale Referente CSIRT (e come suo sostituto) anche una persona fisica esterna all’organizzazione (un consulente, ad esempio).

In ogni caso, è richiesto che le persone designate possiedano competenze di base in materia di sicurezza informatica e gestione degli incidenti e una conoscenza approfondita dei sistemi informativi e delle reti del soggetto NIS per il quale operano.

La designazione deve essere effettuata dal Punto di Contatto tramite una procedura apposita. La procedura di designazione sarà attiva dal 20 novembre 2025 e dovrà essere completata entro il 31 dicembre 2025, attraverso il portale dei servizi accessibile tramite il sito web dell’ACN.

A prima vista, l’introduzione della figura del Referente CSIRT rappresenta per i soggetti NIS un importante strumento di supporto, in quanto consente di affidare la gestione delle notifiche di incidenti anche a persone esterne all’organizzazione, dispensando i soggetti NIS da attività particolarmente gravose, time consuming e per cui è preferibile ricorrere alle competenze di consulenti esterni. 

Ciò risulta utile, in particolare, per:

• quei soggetti NIS che non dispongono di strutture o risorse interne adeguate per fare fronte agli adempimenti connessi alla notifica degli incidenti;

• le organizzazioni estere soggette alla giurisdizione nazionale (ad esempio, i fornitori di reti pubbliche di comunicazione elettronica e i servizi di comunicazione elettronica accessibili al pubblico) che possono incontrare difficoltà legate a barriere linguistiche o differenze di fuso orario.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS clicca qui

Le Linee Guida perseguono una duplice finalità: da una parte, garantire la certezza del diritto e la prevedibilità del quadro normativo applicabile ai fornitori di servizi intermediari ai sensi del DSA e; dall’altra, salvaguardare i diritti e le libertà delle persone fisiche con particolare riguardo al diritto alla protezione dei dati personali, sancito dall'art. 8 della Carta dei Diritti Fondamentali dell'Unione Europea e dall'art. 16 del Trattato sul Funzionamento dell'Unione Europea (“TFUE”).

In via preliminare, l’EDPB chiarisce che il DSA non deroga né prevale sul GDPR, non configurandosi quale lex specialis ai sensi dell’art. 2(4) del DSA. In conformità alla consolidata giurisprudenza della Corte di Giustizia dell'Unione Europea, i due regolamenti devono essere interpretati e applicati in modo da garantirne la reciproca compatibilità e coerenza sistemica, costituendo due atti giuridici di pari rango gerarchico.

Rimozione di contenuti illegali

L’EDPB entra quindi nel merito affrontando innanzitutto il regime giuridico applicabile alle attività di indagine volontaria (voluntary own-initiative investigations) finalizzate all'individuazione e rimozione di contenuti illegali, poste in essere dai fornitori di servizi intermediari ai sensi dell'art. 7 del DSA. In relazione al trattamento di dati personali connesso allo svolgimento di questa attività, le Linee Guida individuano nell'art. 6(1)(f) del GDPR (e cioè nel legittimo interesse del titolare del trattamento o di terzi) la base giuridica del trattamento (almeno nella generalità dei casi). L'EDPB precisa, tuttavia, che spetta al fornitore di servizi intermediari dimostrare la sussistenza delle condizioni che legittimano il ricorso al legittimo interesse, segnatamente: la legittimità dell'interesse perseguito, la necessità del trattamento per il conseguimento di tale interesse e la prevalenza dello stesso rispetto ai diritti e alle libertà dell'interessato. Questa valutazione deve essere documentata attraverso un Legitimate Interest Assessment (LIA) che fornisca evidenza del bilanciamento effettuato dal titolare tra gli interessi contrapposti, conformemente ai principi di necessità e proporzionalità. Va da sé che qualora la rimozione dei contenuti non derivi dall'esercizio di facoltà discrezionali del fornitore di servizi intermediari ma costituisca adempimento di un obbligo di legge, la base giuridica del trattamento è quella prevista dall'art. 6(1)(c) del GDPR (e cioè adempimento di obblighi di legge). 

Meccanismi di notice and action

Le Linee Guida esaminano, poi, le implicazioni dei meccanismi di notifica e azione (notice and action) di cui agli artt. 16 e 17 del DSA, con particolare riguardo al trattamento dei dati personali del soggetto segnalante (notifier) e del destinatario del servizio interessato dal provvedimento restrittivo. Con riguardo al trattamento dei dati del segnalante, l'EDPB stabilisce che i fornitori di servizi di hosting devono applicare il principio di minimizzazione di cui all'art. 5(1)(c) del GDPR, limitando la raccolta alle sole informazioni strettamente necessarie per l'espletamento della procedura (segnatamente le generalità e l’indirizzo e-mail del segnalante). Il meccanismo di notifica deve in particolare essere configurato in modo tale da consentire (ma senza imporre obbligatoriamente) l'identificazione del soggetto segnalante, fatta salva l'ipotesi in cui tale identificazione risulti indispensabile per la valutazione dell'illegittimità del contenuto oggetto di segnalazione. Quanto alla comunicazione dell'identità del segnalante al destinatario del servizio, l'art. 17(3)(b) del DSA prescrive che tale comunicazione possa avvenire esclusivamente se strettamente necessaria per l'esercizio dei diritti di difesa. In tal caso, il fornitore dei servizi intermediari è tenuto ad adempiere preventivamente agli obblighi informativi di cui all'art. 13 del GDPR nei confronti del segnalante, specificando le finalità e la base giuridica della comunicazione a terzi dei suoi dati personali.

Processi decisionali automatizzati

L'EDPB rileva poi che le determinazioni relative alla rimozione di contenuti possono configurare, ricorrendone i presupposti, un processo decisionale automatizzato ai sensi dell'art. 22 del GDPR. Qualora tale processo si svolga in assenza di intervento umano, trovano applicazione le condizioni, i requisiti e gli obblighi previsti dall’art. 22 del GDPR, compresi il diritto dell'interessato di ottenere l'intervento umano, esprimere la propria opinione e contestare la decisione assunta, nonché l'obbligo per il titolare di attuare misure appropriate per tutelare i diritti e le libertà dell'interessato.

Reclami e sospensione

Con riguardo alle disposizioni di cui agli artt. 20 e 23 del DSA, relative rispettivamente ai meccanismi interni di gestione dei reclami (internal complaint-handling systems) e i provvedimenti di sospensione per utilizzo manifestamente illegale o abusivo dei servizi offerti attraverso le piattaforme online, l'EDPB chiarisce che l'operatività di tali strumenti procedurali lascia impregiudicato l'esercizio dei diritti e l'esperimento dei rimedi riconosciuti agli interessati dal GDPR. Le Linee Guida evidenziano, inoltre, la necessità inderogabile di conformarsi ai principi generali sanciti dall'art. 5 del GDPR e, in particolare, ai principi di minimizzazione dei dati, esattezza, trasparenza e limitazione della conservazione. I fornitori di piattaforme online sono pertanto tenuti a garantire che le attività di trattamento effettuate nell'ambito delle procedure di reclamo e sospensione rispettino integralmente tali principi, documentando adeguatamente le misure tecniche e organizzative adottate a tal fine. Con specifico riferimento all'art. 23 del DSA, l'EDPB specifica che l'adozione di misure sospensive nei confronti di un destinatario del servizio non può in alcun modo compromettere o limitare l'esercizio dei diritti riconosciuti dal GDPR. In particolare, rimane pienamente azionabile il diritto alla portabilità dei dati di cui all'art. 20 del GDPR, atteso che il fornitore della piattaforma online mantiene la qualifica di titolare e continua a trattare i dati personali dell'interessato anche durante il periodo di vigenza della sospensione. 

Dark patterns

Un ulteriore profilo di particolare rilevanza concerne la disciplina dei modelli di progettazione ingannevoli (deceptive design patterns o dark patterns). L'art. 25 del DSA introduce un divieto generale per i fornitori di piattaforme online e di motori di ricerca online di progettare, organizzare o gestire le proprie interfacce online in modo tale da ingannare o manipolare i destinatari dei loro servizi, ovvero da compromettere o limitare in misura sostanziale la capacità degli stessi di assumere decisioni libere e informate. A questo riguardo, le Linee Guida delineano con precisione i criteri sulla base dei quali trovi applicazione il regime sanzionatorio previsto dal DSA ovvero quello previsto dal GDPR, stabilendo che una pratica di progettazione ingannevole ricade nell'ambito di applicazione del GDPR, con conseguente attribuzione della competenza sulla vigilanza e sulle sanzioni alle autorità per la protezione dei dati personali, qualora sussistano cumulativamente i seguenti presupposti: (i) la pratica in questione comporti il trattamento di dati personali e; (ii) il comportamento dell'utente che il modello di progettazione intende influenzare, manipolare o compromettere riguardi specificamente decisioni relative al trattamento dei propri dati personali. Tale seconda condizione ricorre tipicamente nelle ipotesi in cui l'interfaccia ingannevole sia finalizzata a indurre l'interessato a fornire dati personali ulteriori rispetto a quelli necessari per l'erogazione del servizio, ovvero a prestare un consenso al trattamento non genuinamente libero e informato.

Pubblicità online e profilazione

Merita particolare attenzione anche l'interpretazione fornita dall'EDPB in ordine alla portata applicativa dell'art. 26(3) del DSA, che vieta la presentazione di pubblicità basata su profilazione realizzata mediante l'utilizzo di categorie particolari di dati personali di cui all’art. 9(1) del GDPR. L'EDPB sottolinea che tale disposizione introduce un divieto assoluto e incondizionato che opera ancora una volta in via complementare rispetto al regime del GDPR, precludendo tale attività di trattamento anche in presenza del consenso esplicito dell'interessato ex articolo 9(2)(a) del GDPR.

Sistemi di raccomandazione dei contenuti

Con riferimento alla disciplina dei sistemi di raccomandazione, l'EDPB fornisce un'interpretazione qualificatoria di particolare rilievo, stabilendo che la presentazione di contenuti personalizzati agli utenti mediante algoritmi di raccomandazione integra profilazione ai sensi dell'articolo 4(4) del GDPR. Le Linee Guida evidenziano inoltre che la presentazione algoritmica di contenuti specifici può costituire una “decisione che incide in modo analogo significativo” sull'interessato ai sensi dell'articolo 22(1) del GDPR. Questa qualificazione trova applicazione segnatamente nelle ipotesi in cui i contenuti raccomandati possano produrre conseguenze significative per gli individui, quali effetti economici o sociali rilevanti, ovvero influenzare in modo duraturo o permanente le loro scelte comportamentali. Per le piattaforme online di dimensioni molto grandi ("VLOPs") e i motori di ricerca online di dimensioni molto grandi ("VLOSEs"), l'art. 38 del DSA impone l'obbligo di fornire almeno un sistema di raccomandazione non basato sulla profilazione. L'esercizio di tale opzione da parte dell'utente comporta il divieto assoluto per i VLOPs e VLOSEs di procedere alla raccolta e al trattamento dei dati personali dell’utente medesimo per finalità di profilazione.

Tutela dei minori

Anche per quanto riguarda la tutela dei minori, le Linee Guida riaffermano l'applicabilità integrale dei principi fondamentali sanciti dal GDPR, con particolare riguardo all'implementazione dei sistemi di verifica e accertamento dell'età (age assurance mechanisms). L'EDPB sottolinea che tali meccanismi devono essere progettati e implementati nel rispetto dei principi di necessità, minimizzazione, proporzionalità e protezione dei dati fin dalla progettazione (privacy by design) di cui all'art. 25 del GDPR. In concreto, le Linee Guida consigliano l’adozione di quei sistemi che non comportino l'identificazione univoca degli utenti né la conservazione permanente dei dati relativi all'età o alla fascia d'età degli interessati.

Rischi sistemici

Con riguardo alla gestione dei rischi sistemici, gli artt. 34 e 35 del DSA introducono per i fornitori di VLOPs e VLOSEs obblighi specifici di valutazione e mitigazione che presentano significative interconnessioni con il quadro normativo in materia di protezione dei dati personali. Le Linee Guida chiariscono che, allorquando vengano identificati rischi sistemici concernenti i diritti fondamentali di protezione dei dati personali che non siano limitati a singoli utenti, l'effettuazione di una valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 del GDPR risulterà con ogni probabilità necessaria.

Cooperazione tra autorità

Infine, l’EDPB conclude la sua analisi con alcune indicazioni generali in materia di governance e di enforcement del quadro normativo integrato DSA-GDPR. In applicazione del principio di leale cooperazione di cui all'articolo 4(3) del TFUE, le Linee Guida stabiliscono l'obbligo per le autorità competenti per l'applicazione del DSA e le autorità per la protezione dei dati Personali di istituire meccanismi strutturati di consultazione e cooperazione reciproca nelle materie di competenza concorrente, anche per la promulgazione di appositi codici di condotta. Nell'ordinamento italiano, tale modello cooperativo ha trovato già parziale applicazione mediante strumenti di coordinamento quali il Protocollo d'Intesa sottoscritto in data 12 aprile 2023 tra l'Autorità per le Garanzie nelle Comunicazioni e il Garante per la Protezione dei Dati Personali, nonché tramite l'istituzione di tavoli tecnici congiunti permanenti.

Il 17 settembre 2025, il Senato, con 77 voti favorevoli, 55 contrari e 2 astenuti, ha approvato in via definitiva la legge sull'intelligenza artificiale (di seguito, la “Legge”).

L'Italia diventa, dunque, il primo Paese dell’UE a integrare la disciplina dettata dall’AI Act con una normativa nazionale in materia di intelligenza artificiale. L’obiettivo del legislatore nazionale è quello di rafforzare ulteriormente il livello di tutela dai rischi connessi all’impiego dell’intelligenza artificiale in taluni ambiti e settori. 

La struttura della Legge

La Legge si compone di 28 articoli suddivisi in sei capi.

Il Capo I, di stampo programmatico, stabilisce i principi da rispettare e le finalità che l'intelligenza artificiale dovrebbe soddisfare.

Il Capo II detta disposizioni specifiche in relazione all’impiego di sistemi di intelligenza artificiale in determinati settori come il settore sanitario, la ricerca scientifica, il mondo del lavoro, le professioni intellettuali, la pubblica amministrazione e l’amministrazione della giustizia.

Il Capo III stabilisce le modalità per la redazione e l'aggiornamento della strategia nazionale per l'intelligenza artificiale, che dovrà favorire le collaborazioni pubblico-privato e promuovere ricerca e formazione.

Il Capo IV è dedicato alla tutela del diritto d’autore e il Capo V alla tutela penale.

Infine, il Capo VI contiene le disposizioni finanziarie e finali.

Le autorità competenti

Con l’approvazione della Legge, sono state ufficialmente individuate quali autorità nazionali competenti in materia di intelligenza artificiale l’Agenzia per l’Italia Digitale (AgID) e l’Agenza per la Cybersicurezza Nazionale (ACN).

L’AgID, in qualità di autorità di notifica, provvederà a definire le procedure e a esercitare le funzioni e i compiti in materia di notifica, valutazione, accreditamento e monitoraggio dei soggetti incaricati di verificare la conformità dei sistemi di intelligenza artificiale ad alto rischio.

Mentre l’ACN, in qualità di autorità di vigilanza, sarà responsabile per la vigilanza sui sistemi di intelligenza artificiale, con poteri ispettivi e sanzionatori.

Entrambe le autorità contibuiranno, inoltre, alla definizione e all’aggiornamento della strategia nazionale per l’intelligenza artificiale d’intesa con il Dipartimento per la trasformazione digitale.

Inoltre, presso la Presidenza del Consiglio, vengono istituiti:

• il Comitato di Coordinamento delle attività di indirizzo, con funzioni di coordinamento dell'azione di indirizzo e promozione delle attività di ricerca, sperimentazione, sviluppo, adozione e applicazione di sistemi e modelli di intelligenza artificiale;

• il Comitato di coordinamento tra le autorità, con il compito di assicurare il coordinamento e la collaborazione tra autorità nazionali competenti, le altre pubbliche amministrazioni e autorità indipendenti.

Le principali novità settore per settore

Sanità e ricerca. L'art. 8 della Legge autorizza l'uso secondario di dati personali (anche appartenenti a categorie particolari) per finalità di ricerca, purché privi di elementi identificativi e fermo restando l’obbligo di informativa verso l’interessato. L'utilizzo dell'intelligenza artificiale in ambito sanitario sarà consentito come supporto ai processi di prevenzione, diagnosi, cura e trattamento, a condizione che la decisione finale resti in capo al medico.

Lavoro. Viene istituito un osservatorio ministeriale sull'intelligenza artificiale per monitorare rischi e le opportunità dell'intelligenza artificiale nel mondo del lavoro. Si vieta ogni valutazione automatizzata delle performance dei lavoratori senza possibilità di contestazione, mentre ai datori di lavoro viene fatto obbligo di informare e formare il personale sull'uso degli strumenti tecnologici.

Professioni intellettuali. L'art. 13 della Legge limita l'utilizzo di sistemi di intelligenza artificiale nelle professioni intellettuali alle sole attività strumentali e di supporto all'attività professionale, con prevalenza del lavoro intellettuale oggetto della prestazione d'opera. Inoltre, i professionisti sono tenuti a comunicare al cliente le informazioni relative ai sistemi di intelligenza artificiale utilizzati con un linguaggio chiaro, semplice ed esaustivo.

Giustizia. L'art. 15 della Legge vieta l'uso di sistemi di intelligenza artificiale per l’adozione di decisioni giudiziarie in maniera automatizzata; potranno invece essere impiegati per l’analisi e il supporto alla redazione degli atti, ferma restando la responsabilità dei magistrati.

Come cambia il codice penale

Il Capo V introduce talune modifiche al codice penale. In particolare, la Legge introduce una nuova fattispecie di reato e una nuova circostanza aggravante comune.

La nuova figura delittuosa, che trova collocazione all’art. 612-quater c.p., punisce la diffusione di contenuti falsificati, idonei aeh trarre in inganno (i cd. deep fake), tramite sistemi di intelligenza artificiale.

D’altro lato, la Legge allestisce un articolato sistema di aggravanti, il cui fulcro è l'introduzione di una circostanza aggravante comune all’art. 61, n. 11-decies c.p, che dispone un aumento di pena nel caso in cui l’uso di un sistema di intelligenza artificiale costituisca mezzo insidioso per facilitare il reato, ostacolare la difesa o aggravare le sue conseguenze.

L’attuazione della Legge

Per l’entrata in vigore della Legge non resta che attendere la promulgazione da parte del Presidente della Repubblica e la relativa pubblicazione sulla Gazzetta Ufficiale, da cui decorreranno i 15 giorni di vacatio legis.

In ogni caso, una volta che la Legge sarà entrata in vigore, spetterà al Governo completare la disciplina attraverso l’adozione, entro dodici mesi, di uno o più decreti legislativi. Questi regoleranno aspetti di particolare rilevanza, tra cui:

• la definizione una disciplina organica relativa all'utilizzo di dati, algoritmi e metodi matematici per l'addestramento di sistemi di intelligenza artificiale;

• l’attribuzione alle autorità competenti dei poteri di vigilanza, ispettivi, sanzionatori e gli altri poteri amministrativi previsti dall’AI Act;

• la disciplina delle misure per l'aggiornamento della normativa vigente sui servizi bancari, finanziari, assicurativi e di pagamento;

• la definizione di regole in materia di responsabilità civile per i danni derivati dall’utilizzo dell'intelligenza artificiale;

• la definizione dei criteri di imputazione della responsabilità penale delle persone fisiche e della responsabilità amministrativa degli enti, tenendo conto del livello effettivo di controllo sui sistemi.

Le questioni ancora aperte

Restano nel testo della Legge approvato in via definitiva dal Senato alcune criticità evidenziate durante l'iter parlamentare. 

In particolare, nel suo parere circostanziato C(2024)7814, la Commissione aveva “bocciato” la prima bozza della Legge per tre ordini di motivi:

1. le definizioni non possono distaccarsi da quelle utilizzate nell’AI Act;

2. i settori sanitario, delle professioni intellettuali e dell’amministrazione giudiziaria rischiano di essere soggetti a obblighi eccessivi;

3. AgID e ACN sono autorità governative e, per questo, non assicurano piena indipendenza.

Mentre il primo rilievo era già stato risolto attraverso il rinvio alle definizioni dell’AI Act, le altre due aree di potenziale incompatibilità con la normativa europea non risultano essere state affrontate.

La sfida è ora

L'approvazione definitiva della Legge rappresenta un traguardo importante per l'Italia, che dà il passo agli altri paesi europei con riguardo all’intelligenza artificiale. Ma la vera sfida inizia ora con l'attuazione della normativa.

Il successo della Legge, infatti, dipenderà in larga misura dalla qualità dei decreti legislativi che il Governo dovrà adottare entro il prossimo anno; un banco di prova cruciale per tradurre gli obiettivi programmatici in regole operative che possano adeguatamente bilanciare le esigenze degli operatori, il progresso tecnologico e la tutela di diritti e libertà fondamentali.

L'intelligenza artificiale (AI) sta rapidamente trasformando tutti i settori economici, ma pone anche nuove sfide giuridiche complesse: dalla privacy al diritto d’autore ma anche sul fronte della responsabilità penale e delle tutele contro gli usi illeciti. Dopo la recente introduzione nel panorama europeo del Regolamento UE 2024/1689 (AI Act), il recente Disegno di Legge sull’Intelligenza Artificiale (DDL AI) rappresenta il primo tentativo organico del Legislatore italiano di disciplinare le implicazioni penalistiche di queste tecnologie, introducendo nuovi reati e aggravanti specifiche. Tuttavia, emergono profili critici e lacune normative, soprattutto riguardo alla responsabilità degli enti giuridici e alla coerenza del quadro sanzionatorio. Questo articolo mira ad analizzare le principali novità del DDL AI, le sue ricadute pratiche e le prospettive future, offrendo un punto di vista di supporto per stakeholder interessati a comprendere come meglio prepararsi a un contesto normativo ancora in evoluzione dopo l’implementazione dei primi adempimenti relativi all’AI Act. 

***

Il diritto penale vive una perenne tensione tra la sua necessaria stabilità, presidio delle libertà fondamentali, e la spinta a inseguire un divenire tecnologico e sociale che ne erode costantemente i confini. 

In questo scenario si colloca il DDL AI, nel testo approvato dal Senato e successivamente emendato dalla Camera, il quale, al netto dei tempi incerti di approvazione parlamentare, merita un’analisi puntuale, scevra da facili entusiasmi o aprioristiche critiche. 

Siamo quantomeno al cospetto del primo tentativo del Legislatore nazionale di dare forma giuridica a un fenomeno che rischia, altrimenti, di travolgere categorie e principi consolidati.

Il presente contributo si prefigge di analizzare, in via preliminare, le principali innovazioni di natura penalistica e di delinearne le potenziali ricadute sistemiche sul microsistema della responsabilità degli enti, la cui tenuta dogmatica è sempre più minacciata dall’avvento di agenti decisionali non umani.

1. Le modifiche al Codice Penale

L’architettura sanzionatoria ipotizzata dal DDL si muoverebbe lungo una duplice direttrice codicistica: da un lato, la creazione di una nuova fattispecie incriminatrice; dall’altro, l’introduzione di una circostanza aggravante comune.

1.1. Il Delitto di Illecita Diffusione di Contenuti Manipolati

La nuova figura delittuosa, destinata a trovare collocazione nel corpo del codice all'art. 612-quater, punirebbe la diffusione di contenuti falsificati tramite sistemi di IA, idonei a trarre in inganno. 

Di particolare interesse risulterebbe la scelta di strutturare il reato attorno al dolo specifico del cagionare un "danno ingiusto", opzione che, se per un verso disvela l’intenzione del Legislatore di procedere ad una delimitazione del disvalore penale delle condotte, dall’altro affiderà agli interpreti un non agevole compito di esegesi.

Non meno rilevante appare la disciplina della procedibilità. Il Legislatore opterebbe per un regime differenziato: la regola generale sarebbe quella della procedibilità a querela della persona offesa. 

Tale scelta, se da un lato affida alla vittima la valutazione circa l'opportunità di attivare la pretesa punitiva, dall'altro potrebbe depotenziare la tutela in contesti in cui la persona offesa si trovi in una posizione di debolezza o soggezione. A temperare tale impostazione interverrebbero, tuttavia, due eccezioni per casi particolarmente sensibili che renderebbero il delitto procedibile d'ufficio: qualora il fatto sia connesso con un altro delitto procedibile d'ufficio, o se commesso nei confronti di persona incapace o di una pubblica autorità a causa delle funzioni esercitate.

1.2. L'Aggravante Comune: l'AI come Possibile Indice di Accresciuto Disvalore Penale

Di impatto sistemico ancora maggiore apparirebbe l'introduzione di una circostanza aggravante comune all'art. 61, n. 11-decies c.p: detta norma prevederebbe un aumento di pena nel caso in cui l’uso di un sistema di AI costituisca mezzo insidioso per facilitare il reato, ostacolare la difesa o aggravare le sue conseguenze. Questa norma riconosce l’oggettiva pericolosità legata all’impiego dell’intelligenza artificiale come amplificatore d’offesa.

In altre parole, l'inasprimento della pena sarebbe subordinato alla valutazione che l'impiego del sistema di AI abbia costituito "mezzo insidioso", ovvero abbia "ostacolato la pubblica o la privata difesa" o "aggravato le conseguenze del reato", connotando in senso prevalentemente oggettivo – con tutte le conseguenze sistemiche che ne deriverebbero – l’aggravante in parola. 

Si tratterebbe, in definitiva, di una qualificazione normativa di un'accresciuta pericolosità della condotta, legata alla sua capacità di amplificare l'offesa o di indebolire le difese della vittima.

2. La pretermissione della responsabilità dell’Ente 

Ad una prima lettura del testo normativo, sembrerebbe emergere una significativa lacuna: la nuova fattispecie di cui all'art. 612-quater c.p. non risulta, allo stato, esplicitamente inclusa nel catalogo dei reati presupposto della responsabilità degli enti. 

Tale assenza solleva un interrogativo ineludibile: dimenticanza o scelta consapevole del Legislatore? Se fosse una scelta, essa genererebbe un vuoto normativo non ignorabile, se si considera quanto i fenomeni di manipolazione digitale possano concretamente interessare la criminalità d’impresa.

Senza in questa sede addentrarsi nella complessa esegesi dei rapporti – in termini di potenziale concorso formale ovvero apparente – tra la nuova figura delittuosa e le fattispecie già vigenti, segnatamente quelle a presidio dei mercati regolamentati, è tuttavia possibile, in mera e approssimativa esemplificazione, ipotizzare alcuni scenari la cui plausibilità renderebbe evidente della lacuna normativa.

Si potrebbe, ad esempio, immaginare la diffusione di un video artefatto in cui l'amministratore delegato di una società quotata annuncia un inesistente profit warning, al solo fine di provocare un crollo del titolo e consentire operazioni speculative al ribasso. 

Né meno plausibile apparirebbe, specie in contesti non regolamentati come quello delle cripto-attività, la creazione di un deepfake di un noto influencer che elogia una valuta digitale a bassa capitalizzazione, al fine di orchestrarne un pump-and-dump a danno di piccoli investitori. 

Allo stesso modo, la fattispecie potrebbe trovare applicazione in contesti di concorrenza sleale, ove un ente diffondesse un audio, generato artificialmente ma del tutto realistico, di una conversazione in cui i vertici di un'impresa concorrente sembrano ammettere pratiche illegali, al fine di sabotarne la reputazione.

3. Diritto d'Autore nell'Era dell'IA Generativa e l'Automatica Espansione della Responsabilità 231

Di converso, un'analisi sistematica del DDL AI rivela un esito opposto per quanto concerne le nuove tutele in materia di diritto d'autore. 

L'art. 26, comma 3, del testo modificherebbe l'art. 171 della Legge n. 633/1941, introducendo la nuova lettera a-ter), che punirebbe la riproduzione o l'estrazione di testi o dati in violazione delle nuove norme sul text and data mining .

Qui la conseguenza sul piano della responsabilità dell'ente appare diametralmente diversa. 

Poiché l'art. 25-novies del D.Lgs. 231/2001 già richiama, tra i reati presupposto, le violazioni previste dall'art. 171 della legge sul diritto d'autore, la nuova fattispecie vi rientrerebbe automaticamente, in forza del rinvio operato dalla norma.

Si paleserebbe, dunque, una asimmetria sanzionatoria: un ente potrebbe essere chiamato a rispondere ex D.Lgs. 231/2001 per aver addestrato il proprio sistema di IA con dati protetti da copyright in modo illecito, ma potrebbe non rispondere ai sensi del medesimo decreto per aver utilizzato quello stesso sistema al fine di creare e diffondere un deepfake dannoso per un concorrente. 

Tale trattamento differenziato interroga la coerenza del legislatore e meriterebbe un'attenta riflessione nel prosieguo dei lavori parlamentari.

4. Le Deleghe al Governo

A rendere il quadro ancor più complesso e fluido interviene l'ampia delega che l'art. 24 del DDL AI conferirebbe al Governo per "adeguare e specificare la disciplina dei casi di realizzazione e di impiego illeciti di sistemi di intelligenza artificiale".

I principi e criteri direttivi delineati dal comma 5 appaiono di portata quantomai vasta e potenzialmente idonei a ridisegnare interi settori del diritto penale e processuale.

Il Governo verrebbe infatti delegato a: 

• precisare i criteri di imputazione della responsabilità penale delle persone fisiche e amministrativa degli enti, tenendo conto del "livello effettivo di controllo dei sistemi";

• introdurre autonome fattispecie di reato, anche colpose, per l'omessa adozione di misure di sicurezza; 

• regolare l'utilizzo dell'IA nelle indagini preliminari ; e, infine, 

• modificare la normativa sostanziale e processuale vigente a fini di coordinamento. 

Una delega di eccezionale ampiezza, che di fatto posticipa a una futura decretazione legislativa la definizione di nodi dogmatici centrali. 

La disciplina penale dell'AI si configura, dunque, non come un punto d'arrivo, ma come un cantiere aperto, la cui architettura definitiva dipenderà in larga misura dalle scelte che verranno operate in sede governativa.

Considerazioni Conclusive

Il Disegno di Legge sull’Intelligenza Artificiale, nella sua attuale formulazione, si presenta come il primo, organico tentativo del legislatore nazionale di governare un fenomeno tecnologico dalle pervasive implicazioni penalistiche. 

L'analisi del testo, tuttavia, rivela non solo l'intento di approntare nuove difese, ma anche profili di criticità, possibili disarmonie e un ampio ricorso allo strumento della delega legislativa, che rimette a un momento successivo la definizione di aspetti cruciali della materia, che, probabilmente, dovrebbero conoscere un diverso approfondimento nell’economia di un iter legislativo ordinario. 

Emerge, allo stato, la potenziale lacuna derivante dalla mancata inclusione del nuovo delitto di illecita diffusione di contenuti manipolati nel catalogo dei reati presupposto; mancanza che dischiude interrogativi sulla piena consapevolezza delle implicazioni criminologiche della fattispecie nelle dinamiche dell’organizzazione economica. 

Sarebbe pertanto auspicabile un intervento più attento a intercettare la reale portata offensiva dei fenomeni, attraverso un'opera di tipizzazione delle fattispecie più rigorosa e meditata. 

Un compito, questo, che necessariamente dovrà attingere a nozioni metagiuridiche, poiché non è possibile incriminare efficacemente ciò che non si comprende a fondo nelle sue implicazioni tecniche e operative. 

Proprio in questo risiede, in definitiva, la tensione che attraverserà sempre di più il diritto penale del futuro: il difficoltoso, costante, affinamento delle categorie normative -se non, addirittura, dogmatiche - a fronte dell'incessante e convulsa accelerazione del progresso tecnologico.

¹ Cfr. Cass. Pen., Sez. Unite, 24 aprile 2014, n. 38343 (ThyssenKrupp), che ha consolidato il concetto di "colpa di organizzazione" come fondamento della responsabilità dell'ente. Sul punto, per una riflessione critica, A. ALESSANDRI, Diritto penale e attività economiche, il Mulino, 2018.

² Per un'analisi della nozione di "interesse o vantaggio" dell'ente, si veda Cass. Pen., Sez. Unite, 30 gennaio 2014, n. 10561 (Espenhahn).

³ Sul tema della soggettività penale degli agenti artificiali, si vedano, tra gli altri, G. L. GATTA, "Intelligenza artificiale e diritto penale: un primo quadro d'insieme", in Diritto Penale Contemporaneo, Fasc. 3/2023, e F. MANTOVANI, "Machina Sapiens. L'intelligenza artificiale e la sfida al diritto penale", in Rivista Italiana di Diritto e Procedura Penale, 2021.

⁴ Sulle problematiche legate al text and data mining e al diritto d'autore, si veda M. R. MARELLA, "Diritto d'autore e intelligenza artificiale. Note a margine dell'AI Act", in Diritto dell'informazione e dell'informatica, 2023.

⁵ Per una visione d'insieme sulle sfide poste dalla tecnologia al diritto penale, si rinvia a E. MUSCO, I nuovi orizzonti del diritto penale dell'economia, Giuffrè, 2022.

I numeri chiave del 2024: un anno di sfide e interventi

La relazione sottolinea con chiarezza quanto il panorama della protezione dei dati sia diventato complesso e interconnesso:

• 2.204 data breach segnalati tra settore pubblico e privato, un dato che testimonia la crescente esposizione ai rischi e l’esigenza di un approccio rigoroso e proattivo da parte di tutti gli attori, anche alla luce dell’intensificarsi delle sanzioni nei casi più gravi da parte del Garante1.
• 130 ispezioni condotte, con focus su ambiti altamente innovativi: sistemi di identità digitale (SPID), riconoscimento facciale, videosorveglianza e applicazioni di intelligenza artificiale. Questi controlli pongono in rilievo come la sfida della privacy sia sempre più intrecciata con i temi dell’innovazione tecnologica e della cybersecurity.
• 835 provvedimenti collegiali adottati, di cui 468 di natura correttiva e sanzionatoria: un segnale forte della crescente attenzione sia repressiva che preventiva dell’Autorità nei confronti delle violazioni e delle criticità più rilevanti. I pagamenti derivanti dall'attività sanzionatoria sono corrisposti a Euro 24.430.856,45
• Oltre 16.000 quesiti gestiti dall’Autorità, segno di un interesse sempre più diffuso e concreto nei confronti della materia e della necessità di una comunicazione trasparente e autorevole a beneficio di cittadini e imprese.

Privacy e intelligenza artificiale: bilanci e prospettive

Nel 2024 l’Autorità ha puntato i riflettori sulle profonde implicazioni dell’adozione dell’intelligenza artificiale nei settori chiave: dalla sanità digitale all’age verification, passando per la gestione delle identità digitali e i rischi connessi al web scraping per l’addestramento degli algoritmi. Il dialogo tra evoluzione tecnologica e diritto si fa sempre più stringente, portando il Garante a ribadire la necessità di una regolazione rigorosa e aggiornata rispetto ai nuovi scenari digitali.

Le attività ispettive e i provvedimenti hanno interessato anche la delicata questione delle decisioni automatizzate e della profilazione, così come la cybersicurezza delle infrastrutture pubbliche e private. La Relazione richiama tutti i responsabili dei dati a mantenere un alto livello di consapevolezza e responsabilità in tema di sicurezza tecnica e organizzativa.

Cultura della conformità: diritti e fiducia al centro

Il bilancio tracciato dal Garante è chiaro: la cultura della conformità normativa e della sicurezza dei dati non è più solo un adempimento. È una garanzia per la tutela dei diritti fondamentali delle persone e un pilastro imprescindibile per la fiducia digitale nella società e nel mercato.

Viene rinnovato l’invito a tutti gli operatori—pubblici e privati—a investire in formazione, aggiornamento costante dei processi e trasparenza, per rafforzare un ecosistema digitale che tuteli la dignità, la libertà e la sicurezza di ciascun individuo.

In conclusione, la Relazione annuale 2024 del Garante Privacy fotografa un Paese in cui la protezione dei dati personali non è più solo un tema tecnico, ma una vera e propria questione sociale, giuridica ed etica. Dalla gestione dei data breach all’innovazione della AI, la sfida è quotidiana e chiede a tutti i protagonisti di essere all’altezza, costruendo insieme un futuro digitale più sicuro, inclusivo e trasparente.

Qui la relazione completa

Qui il discorso del Presidente Pasquale Stanzione

Nel provvedimento in esame, il Garante ha ribadito che i metadati generati dai sistemi di gestione della posta elettronica e i log di navigazione Internet sono dati personali e che la loro raccolta generalizzata, in quanto consente il controllo a distanza dell'attività lavorativa, impone al datore di lavoro, ricorrendo determinate circostanze, di esperire le procedure previste dall'articolo 4(1) dello Statuto dei lavoratori. 

Il Documento di indirizzo del Garante del 6 giugno 2024 aveva del resto già cristallizzato questo orientamento, precisando che i metadati generati dai sistemi di gestione della posta elettronica dei dipendenti possono essere conservati per periodo limitati, di regola non superiori a 21 giorni. In caso di conservazione oltre i 21 giorni, è necessario – secondo il Garante – esperire le procedure previste dall'articolo 4(1) dello Statuto dei lavoratori. Ciò a meno che il titolare non sia in grado di dimostrare la sussistenza in concreto di particolari ragioni di natura tecnica o organizzativa (connesse ad esempio alla sicurezza informatica del servizio di posta elettronica) che rendano necessaria l’estensione della conservazione oltre i 21 giorni. 

Tali ragioni non sono state rinvenute nel caso di specie.

La Regione, peraltro, mediante tre fornitori esterni, era in grado di combinare indirizzi IP, indirizzi MAC e identità dei dipendenti, avendo così piena disponibilità di informazioni che consentivano una potenziale profilazione e un controllo individuale dei dipendenti. Il Garante ha giudicato sproporzionato e eccedente i principi di minimizzazione e limitazione della conservazione tale trattamento e ha imposto, tra l'altro, l'anonimizzazione dei tentativi di accesso ai siti web blacklistati, la riduzione della conservazione dei log di navigazione Internet da 365 a 90 giorni (con possibilità di conservazione oltre tale termine solo previa anonimizzazione dei dati), la limitazione degli accessi ai dati al solo personale espressamente autorizzato e la cifratura dei dati che permettono l'associazione tra dispositivo e dipendente.

Il Garante ha altresì chiarito che, in considerazione del fatto che il trattamento dei metadati generati dai sistemi di gestione della posta elettronica dei dipendenti comporta, almeno potenzialmente, "rischi elevati" per i diritti e le libertà degli interessati (in quanto comporta il monitoraggio sistematico di soggetti – i dipendenti – considerati vulnerabili in ragione della loro subordinazione al datore di lavoro), effettuare una DPIA è obbligatorio e non effettuarla configura una violazione dell'articolo 35 del GDPR.

L'orientamento del Garante è quindi chiaro: la conservazione dei metadati non dovrebbe eccedere i 21 giorni e conservarli oltre i 21 giorni, senza esperire le procedure previste dall’art. 4(1) dello Statuto dei Lavoratori, è legittimo solo in presenza di comprovate ragioni di natura tecnica connesse al funzionamento e alla sicurezza informatica del servizio (le quali in ogni caso non possono consistere in generiche ragioni connesse alla sicurezza informatica delle reti e dei sistemi informativi del datore di lavoro). Nel caso in cui tali ragioni non sussistano, è necessario, a seconda dei casi, raggiungere un accordo con le rappresentanze sindacali o ottenere l’autorizzazione del competente Ispettorato del Lavoro. In ogni caso è sempre necessario effettuare e documentare una DPIA e un Legitimate Impact Assessment (LIA), aggiornare le informative sul trattamento dei dati personali rilevanti e le policy e procedure interne e adottare adeguate misure tecniche e organizzative per garantire un livello adeguato di protezione ai dati personali trattati.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi connessi alla raccolta e conservazione dei metadati generati dai sistemi di gestione della posta elettronica aziendale, rivolgiti ai tuoi professionisti di riferimento. 

Oltre alle disposizioni relative alle pratiche di AI vietate, è divenuto applicabile anche l’art. 4 che sancisce l’obbligo di assicurare che il personale e, in generale, le persone che utilizzano sistemi di intelligenza artificiale possiedano un “livello sufficiente di alfabetizzazione in materia di AI”. 

A differenza di altri obblighi previsti dall’AI Act, l’obbligo di cui all’art. 4 trova applicazione a prescindere dal livello di rischio che i sistemi di AI presentano e riguarda tanto i fornitori quanto i deployer.

Quale contenuto abbia nello specifico l’obbligo di AI literacy, l’AI Act tuttavia non lo dice.

Già l’AI Office, nell’ambito dell’AI Pact – l’iniziativa tesa a facilitare la compliance all’AI Act da parte delle organizzazioni aderenti – aveva fornito il suo contributo alla definizione dei contenuti dell’obbligo in questione attraverso l’istituzione del c.d. Living Repository (una raccolta delle best practice in materia di AI literacy adottate da organizzazioni di dimensioni diverse e operanti in diversi settori).

Ma i chiarimenti attesi sul contenuto dell’obbligo di AI literacy sono pervenuti soltanto il 12 maggio scorso, con la pubblicazione delle FAQ della Commissione Europea.

L’obbligo di AI literacy è già in vigore. Il primo, fondamentale, chiarimento fornito dalla Commissione è che l’obbligo di AI literacy è già applicabile (ma l’eventuale violazione potrà essere sanzionata soltanto a decorrere dal 2 agosto 2026). 

Tutte le organizzazioni che impiegano sistemi di AI, dunque, già devono definire e attuare programmi di AI literacy, comprese – come si premura di specificare la Commissione – le organizzazioni i cui dipendenti usano ChatGPT.

Il concetto di AI literacy. La Commissione ritorna, poi, sul concetto di AI literacy, richiamando la definizione di cui all’art. 3(56) dell’AI Act, ai sensi del quale per AI literacy si intende l’insieme delle competenze, conoscenze e consapevolezze necessarie per utilizzare i sistemi di sistemi di AI in modo informato, riconoscendone allo stesso tempo opportunità, rischi e potenziali pregiudizi.

Non solo dipendenti. Le FAQ ricordano che, come stabilito dall’art. 4 dell’AI Act, l’AI literacy non è richiesta soltanto con riguardo al personale dipendente ma con riguardo a tutte le persone – dipendenti e non – che si occupano per conto di fornitori e deployer del funzionamento e dell’utilizzo dei sistemi di AI. Oltre al personale dipendente, vi rientrano, sulla base delle indicazioni della Commissione, anche appaltatori, fornitori di servizi e clienti, nella misura in cui impieghino sistemi di AI forniti o comunque messi a disposizione dall’organizzazione. 

Sul piano contrattuale, sarà particolarmente importante per i deployer prevedere nei contratti con i fornitori di sistemi di AI un obbligo di assistenza nella definizione e attuazione dei programmi di AI literacy richiesti dall’art. 4 dell’AI Act.

Un obbligo “flessibile”. Non sono previsti né saranno previsti requisiti stringenti per i programmi di AI literacy. Ciò che conta è che il programma tenga conto dei seguenti quattro aspetti:

• assicurare una comprensione generale dell’AI (e cioè fornire ai destinatari del programma gli strumenti per comprendere cos’è l’AI, come funziona, come viene utilizzata all’interno dell’organizzazione e quali opportunità nonché quali rischi comporta);

• calibrare l’alfabetizzazione sul ruolo dell’organizzazione (e cioè considerare se l’organizzazione agisce quale fornitore o quale deployer);

• garantire la comprensione dei rischi e delle relative misure atte a mitigarli;

• personalizzare il programma, offrendo contenuti differenziati sulla base, da un lato, delle conoscenze tecniche, delle esperienze e del livello di istruzione e formazione dei destinatari e, dall’altro, del contesto in cui i sistemi di AI sono destinati ad essere utilizzati.

Le FAQ precisano che comunque non si può prescindere, nella definizione dei contenuti del programma, dagli aspetti etici e legali (l’AI Act dovrà perciò essere oggetto di formazione). 

Nessun requisito di forma è previsto. La Commissione suggerisce di prendere spunto dalle best practice del Living Repository. Tra queste si segnalano in particolare:

• differenziazione della formazione in base al ruolo (ad esempio, corsi di formazione generali a tutto il personale e corsi di formazione specifici per singole funzioni aziendali; formazione mirata su architetture algoritmiche, gestione del rischio e compliance normativa per il personale “tecnico” e formazione su concetti di base e casi pratici per il personale “non tecnico”; etc.);

• metodologia multicanale (ad esempio, piattaforme di e-learning, webinar, incontri in presenza, etc.);

• creazione di framework interni e toolbox (ad esempio, realizzazione di piattaforme per accompagnare i destinatari nell’uso responsabile dell’AI).

Non è neanche previsto un numero di ore minimo né è richiesto l’ottenimento di certificazioni. È però raccomandabile – sottolinea la Commissione – documentare l’erogazione delle attività formative e di ogni altra iniziativa rilevante attraverso un apposito registro interno.

Ovviamente non basta, per adempiere all’obbligo di cui all’art. 4 dell’AI Act, richiedere al personale di prendere visione delle istruzioni d’uso dei sistemi di AI impiegati dall’organizzazione. 

Se hai bisogno di assistenza e supporto nell’adempimento dell’obbligo di AI literacy, rivolgiti ai tuoi professionisti di riferimento.

Come navigare nel complesso framework normativo tra GDPR, NIS2, DORA, AI ACT, European Accessibility Act? Ne parliamo con Marco Cappa nella nostra nuova pillola.

Leggi qui l'approfondimento dedicato ai nuovi obblighi di accessibilità digitale

Fonti normative di riferimento

• Decreto Legislativo 82/2022: recepisce la Direttiva (UE) 2019/882 (European Accessibility Act), che introduce obblighi specifici per l’accessibilità di prodotti e servizi digitali anche nel settore privato.
• Legge 4/2004 e s.m.i. (Legge Stanca): prima disciplina sull’accessibilità digitale per le pubbliche amministrazioni.
• Legge 120/2020: ha esteso l’ambito soggettivo della Legge Stanca, includendo anche imprese private che erogano servizi essenziali di interesse generale tramite canali digitali.  

Soggetti obbligati

Gli obblighi di accessibilità si applicano a:

• Soggetti privati rientranti nella legge Stanca: si tratta di soggetti con un fatturato medio, negli ultimi tre anni di attività, superiore a 500 milioni di euro che offrono servizi essenziali fruibili da persone con disabilità attraverso siti web o attraverso applicazioni mobili (quali, ad esempio, fornitori di energia, banche, assicurazioni, compagnie di trasporto, servizi sanitari, servizi delle comunicazioni elettroniche, servizi di raccolta dei rifiuti, servizi di commercio elettronico, etc.).
• Operatori economici (fabbricanti, rappresentanti autorizzati, importatori, distributori e fornitori di servizi) che offrono servizi digitali e prodotti al pubblico.
  • In relazione ai servizi digitali, il d.lgs. 82/2022, si applica a:
    • servizi di comunicazione elettronica;
    • servizi che forniscono accesso a servizi di media audiovisivi;
    • servizi di trasporto passeggeri;
    • servizi bancari per consumatori;
    • libri elettronici; e
    • servizi di commercio elettronico.
  • In relazione ai prodotti, il d.lgs. 82/2022, si applica a:
    • sistemi hardware e sistemi operativi informatici (es., pc, notebook, smartphone, tablet, etc.);
    • terminali self-service di pagamento (es., sportelli automatici, macchine per l’emissione di biglietti, terminali per il check-in, etc.);
    • terminali con capacità informatiche interattive utilizzate per i servizi di comunicazione elettronica;
    • terminali per accedere a servizi di media audiovisivi; e
    • lettori di libri elettronici.

Vigilanza e sanzioni

La vigilanza sull’applicazione della normativa è affidata all’Agenzia per l’Italia Digitale (AgID) per quanto riguarda i servizi digitali e al Ministero delle Imprese e del Made in Italy (MIMiT) per quanto riguarda i prodotti. Tali autorità possono:

• Effettuare accertamenti e ispezioni;
• Emettere diffide con termine per la regolarizzazione;
• Applicare sanzioni pecuniarie:
  • Fino al 5% del fatturato medio annuo per violazioni gravi da parte dei soggetti privati, con fatturato superiore a 500 milioni di euro negli ultimi tre anni di attività, che rientrano nella Legge Stanca;
  • Da 5.000 a 40.000 euro per gli altri soggetti, valutando gravità, numero di utenti coinvolti e portata dei servizi non accessibili;
  • Da 2.500 a 30.000 euro per mancata ottemperanza alle diffide o ostacolo alle ispezioni.
• Adottare misure inibitorie, con forti impatti reputazionali, tra cui:
  • Oscuramento del sito web o rimozione dell’app dagli store digitali;
  • Divieto di accesso, temporaneo o definitivo, ai servizi digitali non conformi. 

Sintesi operativa

• Dal 28 giugno 2025, i prodotti e servizi digitali potranno essere immessi sul mercato solo rispettando i requisiti di accessibilità previsti dalla normativa europea e nazionale.
• Le imprese sono chiamate ad adeguare siti web, app, dispositivi e servizi digitali agli standard tecnici di accessibilità, pena l’applicazione di sanzioni, danni reputazionali e misure restrittive da parte di AgID e MIMiT.

In ottemperanza alla Legge Stanca, le imprese con un fatturato medio, negli ultimi tre anni di attività, superiore a 500 milioni di euro, già oggi sono obbligate ad adeguare siti, app e touchpoint digitali agli standard di accessibilità. Per queste imprese, le sanzioni in caso di violazione possono arrivare fino al 5% del fatturato. 

Dal 28 giugno 2025, l’obbligo di accessibilità digitale si estende a tutte le medie e piccole imprese (cioè le aziende sopra i 2 milioni di euro di fatturato annuo o più di 10 dipendenti) che offrono prodotti e servizi digitali ai consumatori con sanzioni fino a 40.000 Euro. Sono escluse solo le microimprese.

Gli accordi di condivisione sono disciplinati dall’art. 17 del d.lgs. n. 138/2024 e hanno ad oggetto la condivisione (volontaria e facoltativa) tra soggetti NIS o tra soggetti NIS e altri soggetti (ad esempio, fornitori di soggetti NIS) di informazioni relative alla sicurezza informatica, come minacce informatiche, quasi-incidenti, vulnerabilità, tecniche e procedure, allarmi di sicurezza, etc. Tali accordi sono funzionali alla prevenzione degli incidenti, nonché alla gestione, al contenimento e alla mitigazione delle loro conseguenze e contribuiscono all’innalzamento degli standard di sicurezza informatica collettiva.

La partecipazione di un soggetto NIS a uno o più accordi di condivisione deve essere comunicata all’ACN tramite il portale dei servizi, fornendo il testo dell’accordo e indicando la denominazione dello stesso e l’elenco dei soggetti che vi partecipano.

Riguardo ai termini di notifica, per gli accordi stipulati dopo l’entrata in vigore del d.lgs. 138/2024 (e cioè successivamente al 16 ottobre 2024), la notifica deve essere effettuata tempestivamente e quindi contestualmente o immediatamente dopo la conclusione dell’accordo​. In ogni caso, gli accordi di condivisione sottoscritti prima dell’entrata in vigore del d.lgs. 138/2024 (e ancora in corso al 31 maggio 2026) devono essere notificati entro il 31 maggio 2026​.

L’elenco degli accordi di condivisione a cui il soggetto NIS partecipa notificato all’ACN deve essere sempre verificato e aggiornato nel tempo: in particolare, ai sensi della Determinazione 136118, qualsiasi modifica (ad esempio, la sottoscrizione di un nuovo accordo, la risoluzione di un accordo esistente o modifiche al testo o ai partecipanti all’accordo), deve essere comunicata all’ACN entro 14 giorni dalla data della modifica.

In ogni caso, l’elenco degli accordi di condivisione deve essere aggiornato almeno una volta all’anno: tra il 15 aprile e il 31 maggio di ciascun anno, i soggetti NIS devono aggiornare, sempre tramite il portale, l’elenco degli accordi di condivisione di cui fanno parte. 

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS, rivolgiti ai tuoi professionisti di riferimento.

• il ruolo dell'operatore economico
• il livello di rischio del sistema di AI

Se sei un deployer, e cioè se ti limiti ad utilizzare sistemi di AI all'interno della tua impresa, solo alcuni degli obblighi previsti dall'AI Act troveranno applicazione.

Ne parliamo nella nostra nuova pillola con Francesco Fidel Camera e Giulio Uras.

Scopri di più sull'AI Act: www.advantlaw.com/fileadmin/nctm/PDF/AI_ACT.pdf

Resta aggiornato sulle ultime notizie legale al mondo dell'intelligenza artificiale: www.advant-nctm.com/esperienza/spotlight/intelligenza-artificiale

Il d.lgs. n. 138/2024 si applica, di regola, a medie e grandi imprese rientranti in 17 settori critici e altamente critici (oltre a pubbliche amministrazioni e talune ulteriori tipologie di soggetti identificati direttamente dall’Agenzia per la Cybersicurezza Nazionale) e prevede a carico dei soggetti NIS obblighi riconducibili alle seguenti categorie:   

• obblighi di registrazione e aggiornamento delle informazioni: ogni anno i soggetti NIS devono registrarsi o aggiornare la registrazione già effettuata sul portale web dell’ACN, indicando il punto di contatto e fornendo una serie di informazioni relative, tra l’altro, alle attività svolte e ai servizi forniti;

• obblighi in materia di misure di sicurezza: ai soggetti NIS è richiesta l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete utilizzati nelle loro attività o nella fornitura dei loro servizi;

• obblighi in materia di notifica degli incidenti: i soggetti NIS devono notificare al CSIRT, per fasi ed entro termini temporali stringenti, gli incidenti di sicurezza che hanno un impatto significativo sulla fornitura dei loro servizi;

• obblighi a carico degli organi amministrativi e direttivi: gli organi amministrativi e direttivi, che sono responsabili per le violazioni della disciplina NIS, sono tenuti a seguire una formazione in materia di sicurezza informatica e a promuovere l’offerta periodica di formazione in materia di sicurezza informatica ai propri dipendenti.

Se la tua organizzazione è un soggetto NIS o presumi che lo diventerà nel corso di quest’anno, trovi di seguito un calendario con le date da tenere a mente per assicurare la conformità al d.lgs. n. 138/2024.

Se hai bisogno di assistenza e supporto nell’adempimento degli obblighi previsti dalla disciplina NIS, rivolgiti ai tuoi professionisti di riferimento.   

Iter legislativo

Nella notte di giovedì 20 marzo, il Senato della Repubblica ha approvato il disegno di legge sull’intelligenza artificiale (il “DDL AI”) che integrerà a livello nazionale la disciplina dettata dal Regolamento (UE) 2024/1689 (più noto come AI Act). 

A quasi un anno di distanza dalla sua trasmissione alle Camere, il DDL AI ha ricevuto il via libera dall’Aula del Senato con lievi modifiche. La palla passa ora alla Camera dei Deputati. Per l’effettiva implementazione delle norme, occorrerà comunque attendere (anche dopo che sarà approvato in via definitiva dal Parlamento) l’adozione da parte del Governo dei decreti legislativi sulle materie oggetto di delega. 

I tempi (lunghi) di approvazione da parte del Senato del DDL AI si spiegano anche alla luce del parere reso dalla Commissione europea con il quale erano state rilevate alcune incongruenze con l’AI Act che, come si dirà di seguito, sono state solo parzialmente risolte.

Il disegno di legge

L’obiettivo del DDL AI è quello di rafforzare ulteriormente il livello di tutela in relazione all’utilizzo dell’intelligenza artificiale con specifico riferimento a taluni ambiti e settori.

La struttura del DDL AI si articola come segue.

Nella prima parte sono stabiliti i principi guida ed è definita la strategia nazionale in relazione all’utilizzo dell’intelligenza artificiale.

La seconda parte prevede, invece, specifiche disposizioni di settore, volte a innalzare il livello di trasparenza nei seguenti ambiti e settori:

• sanitario e ricerca scientifica;
• mondo del lavoro e professioni intellettuali;
• attività giudiziaria;
• pubblica amministrazione;
• sicurezza nazionale;
• tutela degli utenti e diritto d’autore.

La terza parte è dedicata alla governance e individua le autorità nazionali competenti in materia e cioè:

• l’Agenzia per l’Italia Digitale (AgID), in qualità di autorità di notifica; e
• l’Agenza per la Cybersicurezza Nazionale (ACN), in qualità di autorità di vigilanza.

Infine, la quarta parte è dedicata alla tutela penale e stabilisce una serie di circostanze aggravanti in relazione all’utilizzo di sistemi di intelligenza artificiale nella commissione di taluni reati, oltre a introdurre una nuova fattispecie di reato che punisce l’illecita diffusione dei cd. deep fake.

Le modifiche al testo originario

Rispetto alla versione originaria del 23 aprile 2024, il nuovo testo del DDL AI ha subito poche modifiche, tutte di scarso rilievo. In particolare, si segnalano:

• la rimozione di autonome definizioni dei termini “sistemi di intelligenza artificiale” e “modelli di intelligenza artificiale”, facendo rinvio alle definizioni dell’AI Act;
• i trattamenti di dati personali per finalità di ricerca e sperimentazione clinica saranno disciplinati specificamente attraverso decreto del Ministero della salute;
• il conferimento di apposita delega al governo per definire una disciplina organica relativa all’utilizzo di dati, algoritmi e metodi matematici nell’ambito del training di sistemi di intelligenza artificiale.

I rilievi della Commissione

Come detto sopra, la Commissione europea aveva espresso al Governo una serie di rilievi sul testo originario del DDL AI, giudicato eccessivamente restrittivo. 

In particolare, nel suo parere circostanziato C(2024)7814, la Commissione aveva “bocciato” il testo di legge per tre ordini di motivi:

• le definizioni non possono distaccarsi da quelle utilizzate nell’AI Act;
• gli ambiti delle professioni intellettuali, dell’attività giudiziaria e della sanità rischiano di essere sovraccaricati da obblighi eccessivi;
• le autorità di governance nominate, AgID e ACN, sono autorità governative che non possono assicurare piena indipendenza.

Considerazioni conclusive

Se il primo rilievo è stato affrontato e risolto, i restanti rilievi non sembrano essere stati presi in considerazione. Le aree di potenziale incompatibilità con la disciplina europea sull’intelligenza artificiale dunque persistono. 

La domanda a questo punto è: il DDL AI sarà approvato così com’è o, invece, il legislatore terrà conto del parere della Commissione revisionandone il contenuto? Non ci resta che attendere la decisione della Camera dei Deputati.

Negli scorsi mesi, le Camere di Commercio e taluni Consigli notarili avevano interpretato tale obbligo come applicabile esclusivamente alle società che, a partire dal 1° gennaio 2025, (i) presentassero domanda di iscrizione della nomina degli amministratori unitamente all’atto costitutivo di società di capitali; o (ii) presentassero domanda di iscrizione dell’atto costitutivo di società di persone.

Era inoltre stata ammessa la possibilità per gli amministratori di indicare come domicilio digitale quello della società presso cui ricoprivano la carica, analogamente a quanto avviene per l’elezione del domicilio fisico. 

La nota del Ministero ha chiarito definitivamente i dubbi interpretativi emersi nei mesi scorsi, specificando innanzitutto che l’obbligo di comunicazione del domicilio digitale - a pena di sospensione del procedimento di iscrizione a Registro Imprese ed eventualmente di sanzione amministrativa - si estende agli amministratori di tutti i soggetti, costituiti in qualsiasi forma societaria (siano esse società di persone o di capitale) che possono svolgere attività imprenditoriale. Ne restano pertanto escluse le società semplici (con la sola eccezione delle società semplici che esercitino attività agricola) e le società di mutuo soccorso, nonché i consorzi di cui agli artt. 2602 c.c. e ss., anche con attività esterna ex art. 2612 c.c., e le società consortili.

Il Ministero ha inoltre precisato che l’obbligo di comunicazione del domicilio digitale riguarda non solo gli amministratori delle imprese costituite dopo il 1° gennaio 2025 (o che presentino la domanda di iscrizione al registro successivamente a tale data) ma anche gli amministratori e i liquidatori delle società già esistenti prima dell’entrata in vigore della norma.

Pertanto, il Ministero ha precisato che la comunicazione della PEC degli amministratori dovrà avvenire:

• per le imprese costituite dopo il 1° gennaio 2025 (o che presentino la domanda di iscrizione successivamente a tale data) contestualmente al deposito della domanda di iscrizione nel Registro delle Imprese; e
• per le imprese già costituite prima del 1° gennaio 2025, entro il 30 giugno 2025. In caso di nuova nomina o rinnovo dell’amministratore, l’indirizzo PEC dovrà essere comunicato in occasione dell’iscrizione della nomina stessa.

Infine, quanto alla possibilità di indicare, analogamente a quanto avviene per il domicilio fisico, il domicilio digitale della società, il Ministero ha smentito i precedenti orientamenti interpretativi di alcune Camere di Commercio, chiarendo che ciascun amministratore dovrà fornire un proprio indirizzo PEC personale. 

ADVANT Nctm è a disposizione dei propri Clienti per assisterli nell’adempimento degli obblighi di legge.

L'intelligenza artificiale comincia a dare un contributo rilevante nell'ambito della propria operatività ai soggetti che operano nel mercato finanziario. Proviamo a fare il punto delle conseguenze con Fabio Coco, Partner di ADVANT Nctm. 

I casi d'uso dell'intelligenza artificiali possono apportare grandi vantaggi per le imprese del mondo finanziario. Possiamo fare qualche esempio? In particolare, l'intelligenza artificiale è stata utilizzata per individuare potenziali frodi a danno del prestatore di servizi di pagamento e dei clienti. La possibilità di analizzare grandi quantità di dati permette di identificare anomalie nelle transazioni per individuare tentativi di frode, ma anche di profilare le abitudini dei clienti e individuare le transazioni che si discostano da tali cosiddetti pattern anche tramite forme di "adaptive learning" ossia di strumenti che aggiornano i loro parametri, imparando dai dati in tempo reale.

Articolo integrale disponibile sul settimanale di Plus 24 - Il Sole 24 Ore

Questo episodio, che ha causato la posticipazione del lancio di GPT 4.5, rende manifesta l’esigenza nel mondo AI di sempre maggiori risorse di calcolo per alimentare le nuove frontiere della tecnologia e, conseguentemente, di una quantità sempre maggiore di energia.

L’obiettivo di questo focus è affrontare alcuni aspetti specifici dell’annosa querelle tra innovazione tecnologica e impatto ambientale (ed energetico) provocato dalla stessa. E quale miglior punto di partenza se non l’analisi della disciplina regolatoria della principale fonte di fabbisogno computazionale per l’elaborazione di massicce quantità di dati? I data center: ormai elementi essenziali per supportare l'espansione degli algoritmi di intelligenza artificiale.

I data center, anche noti come centri di elaborazione dati (CED), sono infrastrutture fisiche che ospitano le apparecchiature (in primis, server e sistemi di storage) e i servizi di gestione delle risorse informatiche, costituendo un’infrastruttura IT che può essere funzionale a uno o più fruitori.

Sul tema, per la prima volta in Italia, sono state adottate dal Ministero dell’Ambiente e della Sicurezza Energetica (MASE), con Decreto n. 257 del 2 agosto 2024, delle Linee Guida per le Procedure di Valutazione Ambientale dei Data Center (Linee Guida).

Tale provvedimento è stato reso necessario dalla constatazione, espressa dai vertici del MASE, che i data center “rappresentano quasi il 3% della domanda di elettricità dell’UE, percentuale destinata ad aumentare nei prossimi anni. Da qui la necessità di indirizzarli verso una maggiore efficienza ai fini della sostenibilità”.  Sul punto, il crescente utilizzo di modelli di AI, ha spinto l’Agenzia Internazionale dell’Energia a prevedere per il 2026 un raddoppiamento del consumo di elettricità per alimentare i data center rispetto a quanto richiesto nel 2022. E la prospettiva per gli anni a venire è quella di una vorticosa crescita della domanda di energia. Recentemente, il Financial Times ha sollevato la questione se l'energia nucleare possa essere la risposta ideale per alimentare l'intelligenza artificiale senza emissioni di carbonio. Un evento significativo è stato l'accordo tra Microsoft e Constellation Energy per l'acquisto dell'energia prodotta dalla centrale nucleare di Three Mile Island, in Pennsylvania, per i prossimi 20 anni. Questo impianto fornirà 835 megawatt di energia, sufficiente per alimentare circa 800.000 case.

Ma aldilà di quale sia la fonte (fossile o meno) energetica, nello specifico i data center, oltre ad aver bisogno di una connessione alla rete elettrica per l’alimentazione dei relativi consumi, necessitano di gruppi elettrogeni di emergenza per far fronte ad eventuali interruzioni di energia elettrica. Sono proprio questi gruppi di elettrogeni a costituire uno degli aspetti di impatto ambientale più rilevante.

È per questo che le Linee Guida limitano l’ambito di applicazione ai gruppi elettrogeni di emergenza la cui potenza termica nominale sia superiore a 50MW, distinguendo un livello di assoggettamento procedimentale progressivo alla normativa ambientale.

In tal senso, chiunque intenda realizzare un data center dovrà sottoporre il progetto, alternativamente, a:

•  per i casi in cui la potenza è ricompresa tra i 50 e 150 MW, verifica di assoggettabilità a Valutazione di Impatto Ambientale (VIA) ai sensi dell’art. 19 del Testo Unico Ambientale (TUA), volta a verificare se il progetto non determina potenziali impatti significativi e quindi può essere escluso dal procedimento di VIA;

• per i casi in cui la potenza è superiore a 150 MW, dovrà invece essere eseguita una VIA ai sensi dell’art. 23 e ss. del TUA, al fine di individuare, descrivere e valutare, in modo appropriato, gli impatti ambientali del progetto.

Si consideri, però, che gli impatti sull’ambiente dei data center, non sono solo quelli generati dalle unità in esercizio degli impianti sulla componente atmosfera, dal momento che il progetto può incidere anche su consumo e impermeabilizzazione di suolo, sul paesaggio, sulla biodiversità, sull’ambiente idrico, sulla salute e, ai sensi dell’art. 5, comma 1, lett. c) del TUA, gli impatti ambientali da valutare sono tutti gli “effetti significativi, diretti e indiretti, di un piano, di un programma o di un progetto, sui seguenti fattori:

• popolazione e salute umana;

• biodiversità; 

• territorio, suolo, acque, aria e clima; 

• beni materiali, patrimonio culturale, paesaggio; 

• interazione trai fattori sopra elencati” 

Pertanto, al fine di predisporre la documentazione necessaria per le valutazioni ambientali previste, sarà necessario prendere in considerazione tutti i potenziali impatti del data center, anche se la produzione di energia da parte dei generatori di emergenza avviene per intervalli di tempo circoscritti, durante le attività di manutenzione ordinaria o durante le eventuali limitate interruzioni di rete.

Le recenti Linee Guida provano dunque ad affrontare il tema della sostenibilità dei data center, richiedendo agli operatori un approccio integrato per conciliare innovazione tecnologica e responsabilità ambientale. In questo contesto – sicuramente intricato - abbiamo sviluppato un’esperienza nella navigazione del framework normativo-regolamentare su come implementare efficacemente le procedure di valutazione di impatto ambientale (VIA) e garantire la conformità con le recenti disposizioni. L’obiettivo è di assistere gli operatori che intendano sviluppare progetti sostenibili, ottimizzando l'efficienza operativa e riducendo gli impatti ambientali.

Paolo Gallarati e Giulio Uras interverranno al GC Summit Italy 2025, l’evento organizzato da Legal 500 dedicato ai general counsel. Il loro intervento si concentrerà sul tema: “The Role of the General Counsel in Cybersecurity: Rising to the Challenge of the NIS2”, affrontando le sfide emergenti della sicurezza informatica e il ruolo cruciale del General Counsel nell'adeguarsi alla normativa NIS2.
 

Maggiori informazioni.

Come sostenuto nelle Linee guida, dal momento che i dati pseudonimizzati costituiscono informazioni relative a una persona fisica identificabile, essi rimangono a tutti gli effetti dati personali e, come tali, sono soggetti alle disposizioni di cui al GDPR. 

A questo riguardo, l’EDPB pare adottare una nozione molto ampia di dati personali, in contrasto con le recenti conclusioni dell'Avvocato Generale Dean Spielmann nella causa C-413/23 P del 6 febbraio 2025. Infatti, adottando un approccio più restrittivo, l’Avvocato Generale sottolinea che, al fine di determinare se i dati pseudonimizzati siano da considerarsi dati personali e dunque rientrino nell’ambito di applicazione oggettivo del GDPR, si debba tenere conto della ragionevole probabilità che le informazioni aggiuntive possano essere utilizzate dal destinatario dei dati per identificare l’interessato, non essendo sufficiente la mera teorica identificabilità dello stesso.

Tornando alle Linee guida, concetto fondamentale introdotto dall’EDPB è quello di “pseudonomysation domain”, definibile come l’insieme di individui e sistemi autorizzati che possono avere accesso ai dati pseudonimizzati. All’interno di questo dominio, che sarà onere del titolare/responsabile determinare, i dati pseudonimizzati possono essere trattati minimizzando i rischi di re-identificazione degli interessati. Ciò comporta, come logico corollario, che gli pseudonomysation secrets dovranno essere conservati al di fuori del dominio di pseudonimizzazione. 

Sempre in un’ottica di accountability, il titolare è tenuto a valutare, anche attraverso risk assessment periodici, la probabilità di re-identificazione all'interno del dominio di pseudonimizzazione, in modo da garantire che il rischio rimanga trascurabile per tutto il periodo di trattamento.

D’altra parte, le Linee guida costituiscono anche un utile indirizzo operativo per le imprese e gli operatori, presentando alcuni esempi di misure tecniche adeguate per procedere alla pseudonimizzazione, tra cui si segnalano:

• tecniche di crittografia avanzata, come le funzioni di Hash SHA-3, che possono essere utilizzate per creare dati pseudonimizzati. Per aumentare la sicurezza del procedimento, è possibile combinare queste funzioni con un salt, ossia una stringa di dati casuali generata in modo sicuro;

• misure di sicurezza relative all’infrastruttura informatica, come la limitazione degli accessi agli pseudonomysation secrets (in concreto, si potrebbero limitare gli accessi ai soli amministratori di sistema, applicando anche ad essi il principio del privilegio minimo);

• l’utilizzazione di strumenti di data protection engineering, sui cd. quasi identificatori (cioè quelle informazioni che, se combinate tra loro, possono identificare indirettamente un individuo), incluse tecniche come la generalizzazione e soppressione, che modificano il livello di dettaglio dei dati o eliminano quelli altamente rischiosi per ridurre il rischio di re-identificazione.

In conclusione, emerge dall’analisi delle Linee guida il ruolo fondamentale che la pseudonimizzazione può giocare per l’applicazione del principio di privacy by design oltre che in alcune aree di attività aziendali, assai sensibili dal punto di vista data protection, come la gestione dei canali whistleblowing e i trasferimenti di dati personali extra UE. Come chiarito dalle stesse Linee guida, la pseudonimizzazione può inoltre facilitare l’utilizzo di basi giuridiche come il legittimo interesse di cui all’art. 6(1)(f) del GDPR per il trattamento dei dati personali - un approccio certamente utile quando si deve cercare un’alternativa al consenso e il bilanciamento tra gli interessi delle aziende e i diritti degli individui - e favorire la compatibilità dei dati trattati da eventuali destinatari con la valutazione della finalità originaria del trattamento, ai sensi dell’art. 6(4) GDPR. 

Una recente decisione della Corte di Giustizia dell’Unione Europea ha fornito una serie di chiarimenti generali riguardo all’applicazione del Regolamento Gdpr

Una recente decisione della Corte di Giustizia dell’Unione Europea ha fornito una serie di chiarimenti generali riguardo all’applicazione del Regolamento Generale sulla Protezione dei Dati Personali (Gdpr) ed i limiti entro i quali possono aver luogo la richiesta e la divulgazione di informazioni personali di soci di un fondo di investimento, soprattutto nel caso in cui la partecipazione sia indiretta, in quanto detenuta tramite una società fiduciaria.

La decisione è stata resa a seguito di rinvio pregiudiziale disposto dall’Amtsgericht München (Tribunale circoscrizionale, Monaco di Baviera, Germania) e verteva sull’interpretazione dell’articolo 6, par. 1, comma primo lettere b), c) ed f) del Gdpr. All’origine del contenzioso vi era l’azione promossa da alcuni soci che avevano adito l’autorità per ottenere informazioni sugli altri partecipati al fondo (con l’interesse di entrare in contatto e negoziare con loro il
riacquisto delle loro quote sociali, o ancora di coordinarsi con questi ultimi al fine di formare una volontà comune nell’ambito di decisioni dei soci) e, ovviamente, un contrasto applicativo tra Gdpr e diritto tedesco.

La Cgue giunge ad affermare che, in applicazione ai limiti imposti dal Gdpr, la richiesta di altri detentori di partecipazioni in un fondo ad azionariato diffuso di comunicare i dati sui soci con partecipazioni indirette tramite società fiduciaria può avvenire se ciò è necessario all’esecuzione di un contratto, ovvero sia indispensabile per realizzare una finalità che è parte integrante della prestazione contrattuale destinata all’interessato.

Tuttavia, tale previsione non può trovare applicazione nel caso in cui i contratti di
partecipazione e fiduciari, in forza dei quali sono state acquistate partecipazioni indirette nei fondi di investimento, prevedono espressamente il divieto di comunicare i dati relativi agli investitori indiretti ad altri detentori di partecipazioni. D’altro canto, osserva la Cgue, la caratteristica essenziale dell’acquisto di una partecipazione indiretta, tramite una società fiduciaria, in un fondo di investimento ad azionariato diffuso è precisamente l’anonimato dei
soci, ivi incluso nei rapporti tra i soci stessi.

In altri termini, è tenendo conto del trattamento riservato dei loro dati da parte del fondo di investimento che le persone optano per un investimento finanziario in un siffatto fondo sotto forma di partecipazione detenuta tramite una società fiduciaria.

In linea teorica, osserva la Corte, potrebbe la richiesta di informazioni trovare positivo riscontro se essa è necessaria per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, ma a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali. Nel caso in esame, in termini
molto pragmatici, viene escluso che tale deroga possa trovare applicazione, in quanto il socio del fondo di investimento potrebbe chiedere direttamente al fondo o alla società fiduciaria di trasmettere la sua richiesta al socio interessato, allo scopo di fare conoscenza o discutere con quest’ultimo, lasciandogli così la libertà di rimanere anonimo oppure avviare un dialogo con l’altro socio.

Infine, viene vagliata dalla Corte l’ultima condizione che legittimerebbe la diffusione dei dati del socio, ovvero quando sia necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento. In tale situazione è legittimo il trattamento dei dati quando è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento, in virtù del diritto dello Stato membro interessato (anche per effetto di posizione giurisprudenziale, alla condizione che tale giurisprudenza sia chiara e precisa, che la sua applicazione sia prevedibile per le persone che vi sono sottoposte e che risponda a un obiettivo
di interesse pubblico e sia proporzionata a quest’ultimo).

Spetterà quindi al Tribunale valutare i principi di diritto interpretativi del Gdpr e valutare se i soci hanno, o meno, diritto ad ottenere i nominativi degli altri soci indiritti dal fondo o dalle società fiduciarie.

Jacopo Arnaboldi parteciperà all’Italian Insurtech Summit, l’evento di riferimento per l’innovazione tecnologica nel settore assicurativo in Italia, organizzato dall'Italian Insurtech Association.

Durante il summit, saranno approfonditi temi centrali come l’intelligenza artificiale, i big data, la blockchain e le soluzioni innovative che stanno ridefinendo il modo in cui le compagnie assicurative operano e interagiscono con i loro clienti. 

L’evento rappresenta un’occasione unica per confrontarsi con i protagonisti dell’innovazione e per scoprire come le nuove tecnologie stiano cambiando il panorama assicurativo italiano e globale.

Clicca qui per maggiori informazioni

Paolo Gallarati e Giulio Uras parteciperanno al webinar organizzato da ANRA (Associazione Nazionale del Risk Manager e Responsabili Assicurazioni Aziendali) in collaborazione con QBE Italia. 

Durante l'evento, dedicato al settore assicurativo con focus sugli attacchi informatici, verrà presentato QCyberProtect, la nuova proposta di QBE con servizio di incident respons management grazie alla partnership con il nostro Studio.

Per ulteriori informazioni clicca qui

È stato pubblicato in Gazzetta Ufficiale il d.lgs. n. 138/2024 (“Decreto NIS2”) che recepisce la direttiva (UE) 2022/2555, più nota come “Direttiva NIS2”. 

Il Decreto NIS2 oltre ad abrogare il d.lgs. n. 65/2018 – che recepiva la direttiva 2016/1148, c.d. Direttiva NIS – ha disposto anche l’abrogazione degli artt. 40 (“Sicurezza delle reti e dei servizi”) e 41 (“Attuazione e controllo”) del d.lgs. n. 259/2003 (“Codice delle Comunicazioni Elettroniche”), con la conseguenza che ora i fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico sono soggetti unicamente alla disciplina dettata dal Decreto NIS2.

A chi si applica?

Il Decreto NIS2 si applica a soggetti, sia pubblici che privati, che operano in settori “critici” (es. energia, trasporti, settore bancario, settore sanitario, infrastrutture digitali, spazio, gestione dei rifiuti, fabbricazione di dispositivi medici, macchinari, autoveicoli, etc.). 

I soggetti obbligati si distinguono poi in essenziali e importanti, in funzione della loro importanza per il settore o il tipo di servizi che forniscono, nonché́ delle loro dimensioni. L’appartenenza ad una o all’altra categoria rileva ai fini dell’applicazione delle sanzioni in caso di violazione degli obblighi previsti dal Decreto NIS2, che sono più elevate per i soggetti essenziali (pari a un massimo di almeno 10 milioni EUR o a un massimo di almeno il 2% del totale del fatturato mondiale annuo per l’esercizio precedente dell’impresa cui il soggetto essenziale appartiene, se tale importo è superiore).

Quali sono gli obblighi?

I principali obblighi gravanti sui soggetti obbligati consistono nell’adozione di misure di gestione dei rischi per la sicurezza informatica e nella notifica di incidenti significativi.

Con riguardo agli obblighi in materia di gestione dei rischi per la sicurezza informatica, ai soggetti essenziali e importanti è imposta l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete utilizzati nelle loro attività o nella fornitura dei loro servizi. 

Per quanto riguarda gli obblighi di notifica, il Decreto NIS2 prevede che i soggetti essenziali e importanti notifichino al CSIRT gli incidenti che hanno un impatto significativo sulla fornitura dei loro servizi. 

La notifica è effettuata per fasi e prevede: una pre-notifica entro 24 ore dall’incidente, la notifica vera e propria entro 72 ore dall’incidente e una relazione finale entro 1 mese dalla notifica.

Tanto gli obblighi in materia di gestione dei rischi per la sicurezza informatica quanto gli obblighi di notifica saranno definiti nel dettaglio (anche con riguardo a termini, modalità, specifiche e tempi graduali di implementazione) dall’ACN con proprie determinazioni sulla base di criteri di gradualità e proporzionalità.

La responsabilità di assicurare il rispetto degli obblighi stabiliti dal Decreto NIS2 ricade sugli organi amministrativi e direttivi dei soggetti essenziali e importanti, che sono responsabili delle violazioni del Decreto NIS2.

Per maggiori informazioni consulta la nostra Guida sulla Cybersecurity (aggiornata a Decreto NIS2, Decreto CER e Legge sulla Cybersicurezza) o contatta i nostri professionisti dedicati alla materia.

Il documento impone ai datori di lavoro obblighi puntali in relazione alla raccolta, l'uso e la conservazione di metadati da parte dei programmi e dei servizi informatici per la gestione della posta elettronica in uso ai dipendenti.

Ma che cosa sono i metadati e qual è il contenuto degli obblighi imposti dal Garante?

Clicca qui per il documento integrale

1. Trattamenti di dati personali effettuati nel settore bancario e finanziario

Il Garante ha rilevato un notevole afflusso di segnalazioni, reclami, quesiti e richieste di parere relativi ai trattamenti di dati personali effettuati da banche, società finanziarie, sistemi di informazione creditizia gestiti da soggetti privati, Centrale dei rischi pubblica gestita dalla Banca d’Italia e Centrale di allarme interbancaria.In particolare, numerose richieste hanno riguardato il trattamento dei dati personali effettuato in occasione delle operazioni di identificazione e adeguata verifica della clientela prescritte dalla normativa vigente in materia di antiriciclaggio e antiterrorismo.A tale riguardo, l’Autorità è tornata a ribadire che tutte le categorie di soggetti obbligate ai sensi della vigente normativa di settore devono sia identificare l’interessato ed effettuare la cd. adeguata verifica prima di stipulare qualsiasi rapporto contrattuale o effettuare operazioni occasionali, sia eseguire una serie di interventi, tra cui il monitoraggio e il controllo continuativo del rapporto pendente. L’identificazione del cliente prevede la consegna di copia di un valido documento d’identità dell’interessato, mentre l’adeguata verifica richiede l’acquisizione di dettagliate informazioni e di specifica documentazione (anche sull’attività lavorativa svolta e sulla situazione economica e patrimoniale), variabile a seconda delle modalità in concreto adottate (verifica semplificata, ordinaria o rafforzata).Sempre numerosi sono stati i reclami e le segnalazioni in materia di esercizio dei diritti degli interessati, con specifico riguardo al diritto di accesso ai dati personali. In linea con il consolidato orientamento dell’Autorità in materia, è stato precisato che l’accesso ai dati personali è altro rispetto all’accesso ai documenti bancari disciplinato dall’art. 119, d.lgs. 1° settembre 1993, n. 385 (Testo unico delle leggi in materia bancaria e creditizia); le istanze di accesso ai dati, pertanto, non devono tendere all’acquisizione di copia di documenti bancari, non possono riguardare dati di terzi e devono conformarsi alla disciplina in materia di protezione dei dati (in specie, agli articoli 12 e ss. del Regolamento (UE) 2016/679, di seguito “GDPR”). 

2. Sicurezza dei luoghi di lavoro

Un’attenzione particolare è stata prestata alle problematiche legate alla sicurezza dei luoghi di lavoro (pubblici e privati) e ai connessi trattamenti di dati relativi al personale, a utenti, clienti e fornitori in ossequio a quanto previsto dal Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro, sottoscritto inizialmente il 14 marzo 2020 fra il Governo e le parti sociali ed aggiornato il 24 aprile 2020, il cui impianto regolatorio è stato poi confermato dall’art. 2, D.P.C.M. 13 ottobre 2020, da ultimo aggiornato il 6 aprile 2021.In tale occasione è stato precisato che la rilevazione della temperatura corporea del personale per l’accesso ai locali e alle sedi aziendali rientra tra le misure per il contrasto alla diffusione del virus che trovano applicazione anche nei confronti delle categorie di soggetti citati, ove per questi ultimi non sia stata predisposta una modalità di accesso separata. Non è poi ammessa la registrazione del dato relativo alla temperatura corporea rilevata, bensì, nel rispetto del principio di “minimizzazione”, la registrazione della sola circostanza del superamento della soglia stabilita dalla legge, in particolare quando sia necessario documentare le ragioni che hanno impedito l’accesso al luogo di lavoro.E’ stato rammentato che tra le misure di prevenzione e contenimento del contagio che i datori di lavoro devono adottare, vi è la preclusione dell’accesso alla sede di lavoro a chi, negli ultimi 14 giorni, abbia avuto contatti con soggetti risultati positivi al Covid-19 o provenga da zone a rischio secondo le indicazioni dell’OMS.Il Garante ha altresì ribadito che il datore di lavoro non può rendere nota l’identità del dipendente risultato affetto da Covid-19 agli altri lavoratori. Inoltre, considerate le notizie di stampa in merito al ricorso, anche da parte di grandi società, ad applicativi preordinati al contenimento del rischio di contagio da Covid-19, il 6 luglio 2020 il Garante ha pubblicato sul proprio sito istituzionale ulteriori FAQ. 

3. Trattamenti di dati personali effettuati mediante posta elettronica e altri dispositivi tecnologici nel rapporto di lavoro

L’Autorità è tornata a pronunciarsi sulle condizioni di liceità dei trattamenti dei dati personali dei lavoratori effettuati mediante dispositivi tecnologici utilizzati per rendere la prestazione lavorativa.In particolare, l’Autorità si è pronunciata sul caso di una società che, cessato il rapporto di lavoro con un dipendente, avvalendosi dell’amministratore di sistema, aveva effettuato una ricerca sulle e-mail contenute nell’account aziendale (di tipo individualizzato) assegnato al medesimo e conservate sul server aziendale per oltre un anno. Alcune e-mail erano state così utilizzate per avviare un procedimento in sede giurisdizionale, mentre le altre risultavano ancora conservate dalla società in vista di futuri, possibili contenziosi. In proposito il Garante ha accertato, in primo luogo, che la società non aveva informato l’interessato, prima dell’inizio dei trattamenti, che tutte le e-mail in transito sull’account aziendale sarebbero state conservate sul server anche al fine di poter disporre controlli sul loro contenuto. Tale trattamento è stato dichiarato illecito in relazione agli artt. 12 e 13 del GDPR, in base ai quali il titolare è tenuto a fornire preventivamente all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento. Come più volte ricordato dall’Autorità, infatti, nell’ambito del rapporto di lavoro, l’obbligo di informare il dipendente costituisce espressione del principio generale di correttezza dei trattamenti (v. art. 5, par. 1, lett. a), del GDPR).Inoltre, l’Autorità ha anche accertato che la sistematica conservazione sul server aziendale delle e-mail in entrata e in uscita (sia dei dati esterni che del loro contenuto) per un ampio arco temporale, il successivo accesso della società ai dati raccolti nel corso dell’attività lavorativa – attraverso un’indagine interna effettuata a posteriori volta a verificare possibili “acquisizioni fraudolente, utilizzazione indebita o rivelazione di segreti” -, nonché l’accesso ad informazioni relative alla vita privata del lavoratore non rilevanti ai fini della valutazione dell’attitudine professionale dello stesso, hanno comportato la violazione degli artt. 113 e 114 del D.Lgs. 196/2003, come novellato dal D.Lgs. 101/2018 (di seguito, il “Codice Privacy”), disposizioni rientranti tra le norme del diritto nazionale “più specifiche per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro”, richiamate dall’art. 88 del GDPR.Il Garante si è anche pronunciato sul regolamento interno relativo all’uso della posta elettronica aziendale adottato dalla società nel corso di un procedimento, stabilendo che la sistematica conservazione, ivi prevista, per 12 mesi di tutte le e-mail presenti sull’account aziendale, in costanza del rapporto di lavoro, in vista di futuri possibili contenziosi, non è conforme ai principi di minimizzazione dei dati e di limitazione della conservazione (art. 5, par. 1, lett. c) ed e), del GDPR). Medesima valutazione è stata riservata alla prospettata ulteriore conservazione per 6 mesi del contenuto della casella di posta elettronica dopo la cessazione del rapporto di lavoro in relazione al compimento di possibili illeciti. In tale occasione l’Autorità ha ribadito che il trattamento di dati personali effettuato per finalità di tutela dei propri diritti in giudizio deve riferirsi a contenziosi in atto o a situazioni precontenziose, non ad astratte e indeterminate ipotesi di possibile difesa o tutela dei diritti, posto che tale trattamento risulterebbe elusivo delle disposizioni sui criteri di liceità del trattamento.Con riferimento, poi, alla rappresentata finalità di poter far fronte ad eventuali contestazioni da parte di clienti, fornitori e p.a., il Garante ha ribadito che la legittima necessità di assicurare la conservazione di documentazione necessaria per l’ordinario svolgimento e la continuità dell’attività aziendale è assicurata, in primo luogo, dalla predisposizione di sistemi di gestione documentale con i quali – attraverso l’adozione di appropriate misure organizzative e tecnologiche – individuare i documenti che nel corso dello svolgimento dell’attività lavorativa devono essere via via archiviati con modalità idonee a garantire le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità prescritte dalla disciplina di settore applicabile; caratteristiche che i sistemi di posta elettronica, per loro stessa natura, non consentono di assicurare. 

4. Gestione di account di posta elettronica aziendale durante il periodo di malattia

L’Autorità ha ritenuto non conforme al GDPR la disattivazione dell’account di posta elettronica aziendale operata dal datore di lavoro durante il periodo di malattia del lavoratore interessato. All’esito dell’istruttoria avviata a seguito di un reclamo è infatti emerso che tale operazione non costituiva applicazione di (asserite) procedure di sicurezza standard. Ciò anche alla luce del fatto che l’informativa fornita non conteneva alcun riferimento alla possibilità per l’azienda di effettuare tale specifica modalità di trattamento per il raggiungimento di finalità legittime rese note preventivamente, come previsto in via generale dall’art. 13 del GDPR e, nello specifico contesto del rapporto di lavoro, in applicazione del principio generale di correttezza (ex art. 5, par. 1, lett. a), del GDPR). Il Garante ha quindi prescritto al titolare di dare corso all’istanza di accesso ai dati contenuti nell’account di posta elettronica a suo tempo presentata dal reclamante ed ha comminato una sanzione amministrativa pecuniaria (cfr. Ordinanza del 9 luglio 2020, n. 145 [doc. web n. 9474649]). 

5. I trattamenti di dati relativi alla persistente attivazione dell’account di posta elettronica aziendale dopo la cessazione del rapporto di lavoro

Una parte significativa dei reclami e delle altre tipologie di istanze rivolte all’Autorità in materia di rapporti di lavoro continua a riguardare il persistente utilizzo da parte del datore di lavoro di account di posta elettronica aziendale di tipo individualizzato (contenente il nome e/o il cognome della lavoratrice o del lavoratore) anche dopo che il rapporto di lavoro, in forza del quale l’account è stato assegnato, si è interrotto. Nel caso oggetto di decisione, l’Autorità ha accertato che l’account di posta elettronica aziendale di tipo individualizzato assegnato da una società ad un lavoratore era rimasto attivo per circa dieci mesi dopo la cessazione del rapporto di lavoro, all’insaputa dell’interessato, ed i messaggi in arrivo erano stati reindirizzati sull’account dell’ex superiore gerarchico del reclamante. Ciò ha consentito al titolare del trattamento (datore di lavoro) di accedere alla corrispondenza elettronica pervenuta sulla casella di posta, proveniente da soggetti interni ed esterni all’ambito lavorativo.La società ha in questo modo appreso alcune informazioni personali relative all’interessato riguardanti non solo i dati cd. esterni delle comunicazioni e gli eventuali file allegati, ma anche il contenuto delle stesse che, come accertato dall’Autorità, riguardavano non soltanto l’attività professionale, ma anche aspetti della sfera personale del reclamante in relazione ai quali quest’ultimo e i terzi coinvolti (i cui diritti devono essere parimenti tutelati) vantavano legittime aspettative di riservatezza.L’Autorità ha pertanto accertato la violazione di una pluralità di disposizioni del GDPR, in primo luogo degli articoli 12 e 15 per non aver dato corso all’istanza di accesso del reclamante ai dati contenuti nella casella di posta elettronica se non dopo la presentazione del reclamo.Dopo la cessazione del rapporto di lavoro, infatti, la società avrebbe dovuto rimuovere l’account previa disattivazione dello stesso con la contestuale adozione di sistemi automatici volti ad informarne i terzi e a fornire a questi ultimi indirizzi alternativi riferiti alla propria attività professionale (ciò in applicazione dei principi stabiliti dall’art. 5, par. 1, lett. a), c) ed e), del GDPR). 

6. Trattamento dei dati personali effettuato mediante sistemi di video sorveglianza

Il Garante ha continuato ad occuparsi del trattamento dei dati effettuato attraverso sistemi di videosorveglianza installati presso luoghi di lavoro, rammentando ai titolari del trattamento l’obbligo di rispettare l’art. 114 del Codice Privacy (che rinvia all’art. 4, l. n. 300/1970), l’obbligo di fornire un’adeguata informativa agli interessati prima che entrino nel campo di ripresa delle telecamere nonché la necessità di effettuare il trattamento solo in presenza di una specifica condizione di liceità del trattamento.Sempre con riferimento ad un trattamento di dati personali effettuato attraverso un sistema di videosorveglianza, a seguito di una segnalazione, il Garante ha adottato un’ordinanza-ingiunzione nei confronti di una struttura ricettiva, avendo accertato che la stessa, a partire dal 2009, aveva utilizzato un impianto di videosorveglianza all’interno e all’esterno della struttura omettendo di apporre, in prossimità del raggio di azione delle telecamere, cartelli informativi idonei ad avvisare clienti, dipendenti e fornitori della esistenza e delle caratteristiche essenziali dell’attività di videoripresa, in contrasto con quanto stabilito dall’art. 13 del GDPR (cfr. Ordinanza del 26 novembre 2020, n. 256 [doc. web n. 9533587]).Ha altresì formato oggetto di vaglio l’installazione, avvenuta ad opera di un’azienda sanitaria, di un sistema di videosorveglianza dotato di telecamere dislocate in aree nelle quali normalmente transitano o sostano anche i dipendenti (corridoi, ingressi, sale di attesa, pronto soccorso), con conseguente possibilità di controllarne indirettamente l’attività. Nel corso dell’istruttoria è emerso che l’installazione dei citati sistemi − avvenuta da oltre dieci anni in diverse strutture di competenza dell’azienda sanitaria e funzionale a esigenze di sicurezza e di tutela del patrimonio aziendale − fosse stata effettuata in assenza del necessario previo accordo con le organizzazioni sindacali o dell’autorizzazione da parte del competente Ispettorato del lavoro.L’Autorità ha ribadito che, in base alla disciplina in materia di protezione dei dati personali, l’amministrazione, che opera in qualità di datore di lavoro, può trattare i dati personali dei dipendenti se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti dalla normativa nazionale o dell’Unione (artt. 6, par. 1, lett. c); 9, par. 2, lett. b) e 4; 88 del GDPR) rispettando altresì le norme nazionali, preesistenti o di futura emanazione. 

7. Attività di marketing

Diversi sono stati i provvedimenti adottati dal Garante con riferimento all’invio di e-mail indesiderate (c.d. spam). Si segnalano, in particolare, (i) un provvedimento di ammonimento (cfr. Provvedimento del 19 maggio 2020, n. 90, [doc. web n. 9443795]) a seguito del reclamo pervenuto da un cliente che lamentava la ricezione di e-mail promozionali da parte di una società in tempi successivi rispetto al recesso dal programma fedeltà ed alla opposizione a ricevere ulteriori comunicazioni promozionali nonché (ii) un provvedimento (cfr. Ordinanza del 27 gennaio 2021, n. 37 [doc. web n. 9561833]), con il quale il Garante ha ingiunto una sanzione amministrativa pecuniaria di importo pari ad Euro 20.000,00, dopo aver accertato l’invio di comunicazioni commerciali indesiderate e in ragione dell’omessa informativa sul sito web della società titolare del trattamento, carente anche in relazione alle informazioni relative al DPO (Data Protection Officer), nonché per la mancata nomina e correlata comunicazione al Garante dei dati di contatto del medesimo.Con Provvedimento del 15 ottobre 2020, n. 181 [doc. web n. 9486485], l’Autorità si è poi espressa in merito all’idoneità di un consenso per finalità promozionali raccolto dieci anni addietro. Nel rilevare specifiche violazioni con riguardo al modulo di raccolta del consenso, è stato chiarito che il solo fattore temporale non è un parametro sufficiente, di per sé, per ritenere illecito il trattamento. Si è affermato che il consenso al trattamento dei dati personali per finalità promozionali deve innanzitutto considerarsi autonomo e non condizionato dall’esistenza o meno di un rapporto contrattuale e deve ritenersi valido, indipendentemente dal tempo trascorso, finché non venga revocato dall’interessato, a condizione però che sia stato correttamente acquisito in origine e che sia ancora valido alla luce delle norme applicabili al momento del trattamento nonché dei tempi di conservazione stabiliti dal titolare. 

8. Conclusioni

La complessiva riforma della normativa in materia di protezione dati, avvenuta ad opera del GDPR, si caratterizza, come noto, per un più rigoroso assetto delle sanzioni amministrative pecuniarie che rappresentano un elemento centrale con il quale le autorità di controllo possono articolare le misure correttive a fronte delle violazioni poste in essere da parte dei titolari del trattamento.Oggi il Garante è l’unico organo competente ad avviare i procedimenti amministrativi sanzionatori a fronte dell’accertamento di possibili violazioni e ad irrogare le relative sanzioni.Nonostante la pandemia abbia penalizzato fortemente lo svolgimento delle attività ispettive in loco, il Garante ha comunque sottoposto a controllo i titolari dei trattamenti, inter alia, negli ambiti di seguito indicati:

• trattamenti di dati personali effettuati nel quadro dei servizi bancari online;
• trattamenti di dati personali effettuati da società per attività di marketing;
• trattamenti di dati personali effettuati da società con particolare riferimento all’attività di profilazione degli interessati che aderiscono a programmi di fidelizzazione;
• trattamenti di dati personali effettuati da società ed enti pubblici per la gestione e la registrazione delle telefonate nell’ambito del servizio di call center;
• data breach.

Sono state così rilevate n. 87 possibili violazioni delle disposizioni del GDPR e del Codice Privacy nei confronti di n. 22 distinti soggetti, prevalentemente in relazione a trattamenti effettuati per finalità di marketing e profilazione, anche in relazione a minori di età.Il totale incassato nel 2020 sul capitolo del Tesoro per sanzioni comminate dal Garante è pari a Euro 38.448.895,38.

1. Il “certificato verde digitale”

La Commissione evidenzia che, ai sensi dell'articolo 21 del trattato sul funzionamento dell'Unione europea, ogni cittadino dell'Unione ha il diritto di circolare e di soggiornare liberamente nel territorio degli Stati membri dell'UE, fatte salve le limitazioni e le condizioni previste dai trattati e dalle disposizioni adottate in applicazione degli stessi.Tuttavia, le misure adottate dagli Stati membri dell’UE per contenere la pandemia da Covid-19 spesso sono consistite in restrizioni all'ingresso o in altri requisiti specifici applicabili ai viaggiatori transfrontalieri, come l'obbligo di quarantena o di autoisolamento o di sottoporsi a un test per l'infezione da SARS-CoV-2 prima e/o dopo l'arrivo.In tale contesto si inserisce la Proposta, con il fine di facilitare l'esercizio del diritto di circolare e di soggiornare liberamente nel territorio degli Stati membri e stabilire un quadro comune per il rilascio, la verifica e l'accettazione di certificati interoperabili relativi alla vaccinazione, ai test e alla guarigione dalla COVID-19, chiamato “certificato verde digitale”. 

2. Il certificato di vaccinazione

Come anticipato, il certificato verde digitale consente il rilascio, la verifica e l'accettazione transfrontaliere di uno qualunque dei seguenti certificati:a) un certificato comprovante che al titolare è stato somministrato un vaccino anti COVID-19 nello Stato membro di rilascio del certificato (“certificato di vaccinazione”);b) un certificato indicante il risultato per il titolare e la data di un test molecolare o di un test antigenico rapido, figurante nell'elenco comune e aggiornato dei test antigenici rapidi per la COVID-19 stabilito sulla base della raccomandazione 2021/C 24/01 del Consiglio^[2] ("certificato di test");c) un certificato comprovante che il titolare risulta guarito da un'infezione da SARS-CoV-2 successivamente a un test molecolare positivo o un test antigenico rapido positivo, figurante nell'elenco comune e aggiornato dei test antigenici rapidi per la COVID-19 stabilito sulla base della raccomandazione 2021/C 24/01 (“certificato di guarigione”).In particolare, la Proposta specifica che il certificato di vaccinazione dovrà contenere i seguenti dati personali:(a) nome: cognome(-i) e nome(-i), in quest'ordine;(b) data di nascita;(c) malattia o agente in questione;(d) vaccino/profilassi;(e) medicinale vaccinale;(f) titolare dell'autorizzazione all'immissione in commercio del vaccino o fabbricante del vaccino;(g) numero in una serie di vaccinazioni/dosi;(h) data di vaccinazione, indicante la data dell'ultima dose ricevuta;(i) Stato membro di vaccinazione;(j) soggetto che ha rilasciato il certificato;(k) identificativo univoco del certificato.Il tentativo intrapreso dall’UE con la Proposta è quello di rendere il certificato vaccinale e, più in generale, il certificato verde digitale uno strumento di promozione delle libertà, rispetto al quale occorre valutare l’impatto sulla protezione dei dati personali, assicurando sin da subito il rispetto dei principi di proporzionalità e non discriminazione, tanto più cogenti in quanto si è in presenza di dati – quelli sanitari – che esigono, per la loro sensibilità, un più ampio grado di tutela. 

3. Quali implicazioni sulla protezione dei dati personali?

Pare opportuno rammentare, infatti, che il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (il “GDPR”) si applica al trattamento dei dati personali effettuato nel quadro della Proposta.Ebbene, con riferimento al trattamento dei dati personali effettuato al fine del rilascio dei certificati in questione, la Proposta fornisce la base giuridica per il trattamento dei dati personali necessari per rilasciare tali certificati e per il trattamento delle informazioni necessarie per comprovare e verificare l'autenticità e la validità di tali certificati.A tale riguardo, il Considerando 37 della Proposta individua la base giuridica per il trattamento dei dati personali ai sensi dell'articolo 6, paragrafo 1, lettera c) del GDPR (i.e., trattamento necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento), e dell'articolo 9, paragrafo 2, lettera g) del GDPR (i.e., il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato), in quanto necessario per il rilascio e la verifica dei certificati interoperabili previsti dalla Proposta. [3]La Commissione specifica, inoltre, che secondo il principio della minimizzazione, è opportuno che i certificati contengano soltanto i dati personali necessari per agevolare l'esercizio del diritto di libera circolazione all'interno dell'Unione durante la pandemia di Covid-19, evidenziando la necessità di stabilire le specifiche categorie di dati personali e i campi di dati da inserire nei certificati, con un sistema di verifica decentrato, che non importi la conservazione delle risultanze dell’accertamento, e limitato al permanere della condizione di emergenza come dichiarata dall’Oms. La Commissione, infatti, chiarisce che la Proposta non crea una base giuridica che autorizzi lo Stato membro di destinazione, o gli operatori di servizi di trasporto passeggeri transfrontalieri tenuti, a norma del diritto nazionale, ad attuare determinate misure di sanità pubblica durante la pandemia di COVID-19, a conservare i dati personali ottenuti dal certificato.In particolare, al fine di consentire il rilascio e la verifica sicuri dei certificati, ai sensi dell’art. 4 della Proposta, la Commissione e gli Stati membri dovranno istituire e mantenere un'infrastruttura digitale del quadro di fiducia (c.d. “trust framework”). Tale quadro di fiducia garantirà, ove possibile, l'interoperabilità con i sistemi tecnologici istituiti a livello internazionale.I dati personali, inoltre, potranno essere trasmessi o scambiati a livello transfrontaliero con il solo scopo di ottenere le informazioni necessarie per comprovare e verificare lo stato di vaccinazione, test o guarigione del titolare.Infine, la Proposta prevede che le autorità competenti per il rilascio dei certificati in questione sono considerate titolari del trattamento ai sensi dell'articolo 4, punto 7, del GDPR. 

4. Il parere congiunto EDPS/EDPB

Con un parere congiunto (04/2021 del 31 marzo)^[4], l’European Data Protection Board (l’“EDPB”) e l’European Data Protection Supervisor (l’“EDPS”) hanno suggerito alcuni significativi interventi che di seguito si illustreranno:

• anzitutto, per evitare discriminazioni fondate sulla condizione sanitaria della persona si chiede di chiarire l’obbligo per gli Stati membri di accettare tutte e tre le tipologie di certificati verdi digitali – ivi incluso il certificato vaccinale – nonché l’illiceità di ogni uso del certificato verde suscettibile di determinare, anche solo de facto, un trattamento in tal senso discriminatorio o comunque sproporzionato rispetto al fine perseguito;
• si sottolinea l’esigenza che le norme nazionali che eventualmente legittimino usi ulteriori del certificato verde digitale circoscrivano in maniera puntuale l’ambito e gli scopi del trattamento [5];
• si richiede poi che la norma europea definisca meglio lo scopo del certificato verde digitale e introduca un meccanismo per il monitoraggio del suo utilizzo da parte degli Stati Membri oltre all’introduzione di adeguate misure tecniche e organizzative contro la falsificazione dei certificati e ogni altro tipo di abuso, soprattutto riguardo ai dati appartenenti a categorie “particolari” [6] e a quelli soggetti a decisioni automatizzate;
• si richiede inoltre di precisare ulteriormente, anche con una specifica sunset-clause, l’illegittimità dell’accesso ai dati contenuti nei certificati una volta cessata l’emergenza pandemica e di escludere, che con atto delegato della Commissione il sistema del certificato verde digitale possa essere riattivato a seguito di sospensione per cessate esigenze, in presenza di un’ulteriore dichiarazione di sussistenza di pandemia da Sars-Cov-2, sue varianti o malattie infettive simili con potenziale epidemico;
• si chiede di chiarire se sia subordinata all’istanza di parte la creazione di per sé del certificato o soltanto il suo rilascio e, per escludere effetti discriminatori, si suggerisce di obbligare gli Stati, con una dizione normativa rafforzata rispetto all’attuale, a rilasciare il certificato in forma cartacea oltre che digitale, nonché di limitare, ove tecnicamente possibile, le tecniche di verifica a quelle che non implichino trasmissione di dati personali;
• quanto alle categorie di dati utilizzate, si chiede di motivare meglio, nel preambolo, le ragioni che rendano necessaria la raccolta di informazioni di dettaglio quali ad esempio il prodotto vaccinale utilizzato, il titolare dell'autorizzazione all'immissione in commercio del vaccino o il produttore e il numero delle vaccinazioni o delle dosi vaccinali somministrate, precisando che le modifiche suscettibili di essere apportate con atti delegati della Commissione debbano limitarsi ad operare all’interno delle sottocategorie del catalogo di dati previsto in allegato;
• si ritiene inoltre preferibile demandare ad atto esecutivo della Commissione l’individuazione dei soli dettagli tecnici delle misure per la sicurezza del trattamento, indicando già in proposta, innalzandone così la fonte, l’obbligo per titolari e responsabili di adottare misure tecniche e organizzative adeguate al rischio implicato dal trattamento;
• analogamente, a fronte della possibilità rimessa alla Commissione di introdurre, con proprio atto esecutivo, specificazioni sul rapporto tra titolari e responsabili del trattamento ai fini della ripartizione delle relative responsabilità, si auspica che gli Stati membri rendano pubblica una lista dei soggetti coinvolti nel trattamento, al fine di consentire l’effettività dell’esercizio dei diritti da parte degli interessati, nel rispetto del principio di trasparenza;
• si auspica inoltre una più puntuale definizione dei periodi massimi di conservazione dei dati funzionali al rilascio del pass, o in subordine i criteri in base ai quali definirli, comunque non oltrepassando la fine della pandemia;
• si suggerisce infine di precisare meglio le condizioni di legittimità e le garanzie per il trasferimento dei dati all’estero, assicurandone l’utilizzo esclusivamente per i fini sanciti dalla Proposta.

Si tratta di osservazioni volte a un complessivo, ulteriore perfezionamento di proposte che, tuttavia, sottendono già un adeguamento bilanciamento tra protezione dei dati personali, esigenze di sanità pubblica e libertà di circolazione dimostrando, ancora una volta, come la disciplina di protezione dati rappresenti un presupposto, sempre più rilevante, per un governo sostenibile dell’innovazione tanto quanto dell’emergenza. 

5. L’intervento del Garante Privacy

Sul tema dei certificati vaccinali e delle relative implicazioni privacy si è espressa anche l’Autorità Garante per la protezione dei dati personali (il “Garante Privacy”). Il Garante Privacy evidenzia come i dati relativi allo stato vaccinale siano dati particolarmente delicati e un loro trattamento non corretto possa determinare conseguenze gravissime per la vita e i diritti fondamentali delle persone. Tali conseguenze, nel caso dell’implementazione di soluzioni, anche digitali (es. app), per rispondere all’esigenza di rendere l’informazione sull’essersi o meno vaccinati come condizione per l’accesso a determinati locali o per la fruizione di taluni servizi (es. aeroporti, hotel, stazioni, palestre ecc.) possono tradursi in discriminazioni, violazioni e compressioni illegittime di libertà costituzionali.A tale proposito, nel caso si intenda far ricorso alle predette soluzioni, il Garante per la privacy richiama l’attenzione dei decisori pubblici e degli operatori privati italiani sull’obbligo di rispettare la disciplina in materia di protezione dei dati personali.Il Garante Privacy ritiene, pertanto, che il trattamento dei dati relativi allo stato vaccinale dei cittadini a fini di accesso a determinati locali o di fruizione di determinati servizi, debba essere oggetto di una norma di legge nazionale, conforme ai principi in materia di protezione dei dati personali (in particolare, quelli di proporzionalità, limitazione delle finalità e di minimizzazione dei dati).In assenza di tale eventuale base giuridica normativa l’utilizzo in qualsiasi forma, da parte di soggetti pubblici e di soggetti privati fornitori di servizi destinati al pubblico, di app e pass destinati a distinguere i cittadini vaccinati dai cittadini non vaccinati, a parere del Garante Privacy, sarebbe da considerarsi illegittimo.In questo contesto si inserisce il Decreto Legge del 22 aprile 2021, n. 52 (c.d. Decreto Riaperture), il quale prevede l’introduzione, sul territorio nazionale, delle cosiddette “certificazioni verdi Covid-19”, comprovanti lo stato di avvenuta vaccinazione contro il SARS-CoV-2 o la guarigione dall’infezione o l’effettuazione di un test molecolare o antigenico rapido con risultato negativo.In particolare, si prevede che le certificazioni di vaccinazione e quelle di avvenuta guarigione avranno una validità di sei mesi, quella relativa al test risultato negativo sarà valida per 48 ore. Le certificazioni rilasciate negli Stati membri dell’Unione europea saranno riconosciute come equivalenti, così come quelle rilasciate in uno Stato terzo a seguito di una vaccinazione riconosciuta nell’Unione europea.Tuttavia, come anche ribadito dal Garante Privacy, dal testo del Decreto Riaperture si deduce che la questione privacy verrà trattata in un DPCM successivo, dal momento che il decreto si limita a stabilire la necessità del pass e a definirne gli spazi applicativi, ma non l’impostazione sotto il profilo della privacy.A detta del Garante Privacy, tuttavia, “è difficile discutere di proporzionalità dei dati trattati, di misure di sicurezza, o di tempi di conservazione rispetto a un decreto-legge che, al momento, manca di qualsiasi esercizio di disciplina in relazione a questi aspetti" [7]. In altri termini, vi sono una serie di nodi cruciali dal punto di vista privacy che andrebbero discussi e valutati prima di cominciare ad utilizzare il certificato. 

6. Conclusioni

In conclusione, pare evidente come la protezione dei dati non costituisca un ostacolo per combattere la pandemia da Covid-19, né tantomeno per implementare soluzioni come il certificato vaccinale e, più in generale, il certificato verde digitale.Si rende necessario, tuttavia, prevedere soluzioni pienamente in linea con la legislazione europea sulla protezione dei dati personali non solo per la certezza del diritto, ma anche per evitare che la proposta abbia l'effetto di compromettere direttamente o indirettamente il diritto fondamentale alla protezione dei dati personali.In questo senso, sarebbe auspicabile che la normativa europea garantisca un giusto equilibrio tra gli obiettivi di interesse generale perseguiti dal certificato verde digitale e l'interesse individuale all'autodeterminazione, così come il rispetto dei diritti fondamentali alla privacy, alla protezione dei dati e alla non discriminazione, e di altre libertà fondamentali come la libertà di movimento e di residenza.Allo stesso tempo, l’esigenza di garantire il rispetto dei principi fondamentali di accuratezza, necessità e proporzionalità nel trattamento dei dati, e di attenuare i rischi per i diritti fondamentali degli interessati, compresi i rischi di ulteriori (non normati) utilizzi del certificato verde digitale, nonché di discriminazione diretta e/o indiretta, richiede che il trattamento dei dati contenuti nei certificati vaccinali per fini ulteriori rispetto a quello di garantire la libera circolazione delle persone sia oggetto di una specifica norma di legge nazionale, conforme ai principi in materia di protezione dei dati personali, al fine di realizzare un equo bilanciamento tra l’interesse pubblico che si intende perseguire e l’interesse individuale alla riservatezza.Per dirla con il Garante Privacy, “tutti quanti vogliamo e speriamo di poterci tornare a muovere presto, però non vogliamo neanche che il prezzo da pagare per tornare a muoverci sia una sostanziale espropriazione della privacy”. [8] l contenuto di questo elaborato ha valore meramente informativo e non costituisce, né può essere interpretato, quale parere professionale sugli argomenti in oggetto. Per ulteriori informazioni si prega di contattare Ilaria Todaro e Claudia Colamonaco.  [1] La proposta di Regolamento del Parlamento Europeo e del Consiglio è disponibile al seguente link: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52021PC0130[2] Raccomandazione del Consiglio relativa a un quadro comune per l'uso e la convalida dei test antigenici rapidi e il riconoscimento reciproco dei risultati dei test per la COVID-19 nell'UE 2021/C 24/01 (GU C 24 del 22.1.2021, pag. 1).[3] La Proposta non disciplina, infatti, il trattamento dei dati personali relativi alla documentazione di una vaccinazione, di un test o di una guarigione per altri fini, ad esempio a fini di farmacovigilanza o per la conservazione di cartelle cliniche individuali. La base giuridica del trattamento ad altri fini dovrà, pertanto, essere stabilita dalle legislazioni nazionali, che devono essere conformi alla normativa dell'Unione in materia di protezione di dati.[4] Il testo del parere congiunto è disponibile al seguente link: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_edps_joint_opinion_dgc_en.pdf[5] A parere dei due board, in effetti, l'estensione dell'applicazione del certificato verde digitale ad altre situazioni per allentare le restrizioni attualmente in vigore è già stata suggerita e gli Stati membri potrebbero prevedere di introdurlo come requisito de facto, ad esempio per entrare in negozi, ristoranti, club, luoghi di culto o palestre o per utilizzarlo in qualsiasi altro contesto come quello lavorativo. Qualsiasi ulteriore uso del certificato verde digitale e del suo quadro, determinato in base ad una legge nazionale non dovrebbe provocare una discriminazione basata sull'essere stati (o non essere stati) vaccinati o guariti dal Covid-19. Per questo motivo, i due organi sottolineano che ogni eventuale ulteriore utilizzo del certificato verde digitale e dei dati personali ad esso correlati a livello di Stati membri deve essere conforme al GDPR. Ciò implicherebbe la necessità di una base giuridica adeguata nel diritto degli Stati membri, che rispetti i principi di efficacia, necessità, proporzionalità e che includa garanzie forti e specifiche attuate a seguito di un'adeguata valutazione d'impatto, in particolare per evitare qualsiasi rischio di discriminazione e per vietare qualsiasi conservazione dei dati nel contesto del processo di verifica.[6] I dati appartenenti a categorie particolari sono quelli di cui all’art. 9, comma 1, del GDPR, vale a dire, i “dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona”.[7] Così si è espresso Guido Scorza, Componente del Garante per la protezione dei dati personali in un’intervista per Open online, 22 aprile 2021.[8] Ibidem.

• 59.838 comunicazioni dei dati di contatto dei DPO,
• 27.192 reclami e segnalazioni e
• 3.873 notifiche di violazioni dei dati personali (c.d. Data Breach).

Tre anni dopo la sua entrata in applicazione, il GDPR può essere globalmente considerato un successo, tuttavia, la sfida è ancora lunga: si dovrà continuare a porre l'accento sul miglioramento dell'attuazione e sulle azioni volte a rafforzare l'applicazione della normativa privacy nonché sulla necessità di un’applicazione rigorosa ed efficace del GDPR e di un’aumentata consapevolezza della gestione dei dati personali, della loro fondamentale importanza nella società dell’informazione, di una maggiore “maturità digitale” da parte degli interessati e di una crescente responsabilizzazione dei titolari delle piattaforme digitali, delle imprese integrate e di altri servizi digitali di grandi dimensioni, in particolare nei settori della pubblicità online, del micro-targeting, della profilazione algoritmica, della scienza e della genomica, della classificazione, della diffusione e dell'amplificazione dei contenuti.In conclusione, il GDPR ha raccolto notevole interesse e attenzione alla luce del boom del mercato digitale e dei big data. Le Istituzioni europee hanno superato con lungimiranza il regime giuridico in materia di privacy a dir poco frastagliato tra uno stato membro e l’altro. Il GDPR rappresenta sicuramente una rivoluzione nel Diritto alla Privacy dell’Unione Europea. Il contenuto di questo elaborato ha valore meramente informativo e non costituisce, né può essere interpretato, quale parere professionale sugli argomenti in oggetto. Per ulteriori informazioni si prega di contattare Marco Cappa e Claudia Colamonaco.

Come noto, dal 1° gennaio 2021 il Regno Unito ha lasciato definitivamente l’Unione europea (l’“UE”), essendosi completato il processo cosiddetto di “Brexit”.Pertanto, il Regno Unito, ai fini della disciplina sulla protezione dei dati e dell’applicazione del Regolamento (UE) n. 2016/679 (il “GDPR”) diventa, per effetto della Brexit, un Paese Terzo ed il trasferimento dei dati personali verso il Regno Unito diviene soggetto alle disposizioni del GDPR che regolano il trasferimento dei dati personali verso Paesi Terzi.Si rammenta, infatti, che il GDPR si applica anche al trattamento dei dati personali effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell’UE quando le attività di trattamento riguardano:

a) l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’UE, indipendentemente dall’obbligatorietà di un pagamento dell’interessato; oppure

b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’UE[1]. Tale previsione del GDPR mira infatti ad assicurare una tutela globale dei diritti degli interessati nell’UE e di stabilire, in termini di requisiti sulla protezione dei dati, una parità di condizioni per le imprese attive sui mercati UE, in un contesto caratterizzato da flussi di dati su scala mondiale.

2. La nota informativa dell’EDPB

L’EDPB, nella sua “Information note on data transfers under the GDPR to the United Kingdom after the transition period” adottata il 15 dicembre 2020, e successivamente modificata il 13 gennaio 2020[2] chiarisce che, per quanto riguarda i flussi di dati personali verso il Regno Unito, che per effetto della Brexit è diventato un Paese Terzo, bisogna fare riferimento all’Accordo commerciale e di cooperazione stipulato il 30 dicembre 2020 fra Regno Unito e UE (l’“Accordo”)[3].Tale Accordo prevede, tra l’altro, che il Regno Unito continui ad applicare il GDPR per un ulteriore periodo di massimo 6 mesi (quindi fino al 30 giugno 2021).Di conseguenza, in questo periodo, qualsiasi comunicazione di dati personali verso il Regno Unito potrà avvenire secondo le medesime regole valevoli al 31 dicembre 2020 e non sarà considerata un trasferimento di dati verso un Paese Terzo.Tuttavia, questo significa che, dopo il 30 giugno 2021 ogni trasferimento di dati personali dall’UE al Regno Unito potrà considerarsi legittimo soltanto se effettuato in ottemperanza a quanto previsto nel Capo V del GDPR, vale a dire in presenza di una decisione della Commissione europea (art. 45 del GDPR) ovvero delle altre garanzie adeguate previste dall’art. 46 del GDPR (clausole contrattuali tipo, norme vincolanti d’impresa, accordi amministrativi, certificazioni, codici di condotta, etc.) per trasferire dati dall’UE (più esattamente dal SEE, lo Spazio Economico Europeo) verso un Paese Terzo non adeguato, oppure in presenza delle deroghe che l’art. 49 del GDPR ammette in assenza di garanzie adeguate (consenso esplicito dell’interessato, interesse pubblico di uno Stato membro del SEE, etc.), ma solo in via residuale e secondo un approccio molto restrittivo.Inoltre, l’EDPB invita a considerare che, in ottemperanza alle “Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data” qualora i dati personali siano trasferiti nel Regno Unito sulla base delle garanzie di cui all’articolo 46 del GDPR (clausole contrattuali tipo, norme vincolanti d’impresa, accordi amministrativi, certificazioni, codici di condotta, etc.), i titolari e i responsabili del trattamento potrebbero essere chiamati ad adottare eventuali misure supplementari di tali garanzie di trasferimento per garantire un livello di protezione dei dati personali trasferiti sostanzialmente equivalente a quello garantito nello Spazio Economico Europeo (il “SEE”), nel caso in cui la legge del Regno Unito non garantisca l’effettivo rispetto di tale livello di protezione. Giova, infatti, ricordare, che le Recommendations 01/2020 sopra citate sono state adottate dall’EDPB[4] in seguito alla nota sentenza “Schrems II” della Corte di Giustizia dell’Unione Europea[5] al fine di assistere i titolari e i responsabili del trattamento che agiscono in qualità di data exporter verso Paesi Terzi, i quali, a seguito della sentenza Schrems II, sono tenuti a verificare, caso per caso, se la legge del Paese Terzo garantisce un livello di protezione dei dati personali trasferiti sostanzialmente equivalente a quello garantito nel SEE e ad adottare eventuali misure supplementari/integrative delle garanzie di trasferimento previste dal Capo V del GDPR per garantire l’effettivo rispetto di tale livello di protezione, qualora le sole garanzie di trasferimento non siano sufficienti. A tal fine, le Recommendations 01/2020 descrivono efficacemente le attività che i titolari e i responsabili devono eseguire, sulla base dei principi espressi dalla citata sentenza Schrems II, inizialmente, per mappare il complesso dei trasferimenti effettuati al di fuori del SEE e, in seguito, per valutare la necessità o meno di adottare misure supplementari per trasferire i dati conformemente al diritto dell'UE, a maggior tutela dei soggetti interessati.Infine, l’EDPB rammenta che, in caso di trasferimento, in ogni caso, i titolari e/o i responsabili del trattamento dovranno ottemperare anche ad altri obblighi derivanti dal GDPR, con particolare riferimento alla necessità di aggiornare i registri delle attività di trattamento (art. 30 del GDPR) e le informative sul trattamento dei dati personali (artt. 13 e 14 del GDPR) al fine di menzionare i trasferimenti di dati verso il Regno Unito. 

3. I chiarimenti del Garante Privacy

In aggiunta a quanto evidenziato dall’EDPB, il Garante Privacy rileva[6] che dal 1° gennaio 2021 i titolari e i responsabili del trattamento con sede nel Regno Unito che siano soggetti all’applicazione del GDPR sono tenuti a designare un “rappresentante” nel SEE a norma dell’art. 27 del GDPR.In particolare, trattasi di una figura incaricata dal titolare del trattamento o dal responsabile del trattamento a fungere da interlocutore, in aggiunta o in sostituzione del titolare del trattamento o del responsabile del trattamento, in particolare delle autorità di controllo e degli interessati, per tutte le questioni riguardanti il trattamento al fine di garantire il rispetto del GDPR.Con riferimento, infine, ad eventuali contenziosi o reclami transfrontalieri in materia di protezione dei dati con titolari o responsabili del trattamento stabiliti nel Regno Unito, dal 1° gennaio 2021 al Regno Unito in quanto Paese Terzo non sarà più applicabile il meccanismo dello “sportello unico” (c.d. one stop shop) che disciplina questi contenziosi fra i Paesi del SEE[7].In altri termini, le imprese con sede nel Regno Unito non potranno più beneficiare della possibilità di rapportarsi con un’unica Autorità “capofila” (ossia, l’Autorità competente per lo stabilimento principale o unico nel SEE) per i vari obblighi previsti dal GDPR. Per poter continuare a godere dei benefici dello sportello unico, dovrebbero infatti individuare un nuovo stabilimento principale in uno Stato membro del SEE.Infine, il Garante Privacy ribadisce, in ogni caso, la possibilità per gli interessati che si trovino all’interno del territorio italiano - ed i cui dati sono trattati per l’offerta di beni e servizi o per il monitoraggio del loro comportamento da parte di titolari stabiliti nel Regno Unito - di rivolgersi al Garante Privacy per la tutela dei loro diritti. 

4. Possibili sviluppi futuri

Pertanto, anche alla luce dell’impegno assunto dalla Commissione europea e dal Governo UK in base all’Accordo, si auspica che le stesse lavorino, entro il termine di scadenza del periodo “transitorio” sopra ricordato (vale a dire, il 30 giugno 2021), su reciproche decisioni di adeguatezza che consentano di proseguire i flussi di dati dall’UE al Regno Unito senza interruzioni.Se così non fosse, infatti, ai trasferimenti di dati si applicheranno tutte le disposizioni del Capo V del GDPR, con tutte le conseguenze del caso.  Il contenuto di questo elaborato ha valore meramente informativo e non costituisce, né può essere interpretato, quale parere professionale sugli argomenti in oggetto. Per ulteriori informazioni si prega di contattare Paolo Gallarati, Ilaria Todaro e Claudia Colamonaco.   [1] Articolo 3 del GDPR.[2] L’“Information note on data transfers under the GDPR to the United Kingdom after the transition period” dell’EDPB è scaricabile al seguente link: https://edpb.europa.eu/our-work-tools/our-documents/other/information-note-data-transfers-under-gdpr-united-kingdom-after_en.[3] L’Accordo commerciale e di cooperazione stipulato il 30 dicembre 2020 fra Regno Unito e UE è scaricabile al seguente link: https://ec.europa.eu/info/relations-united-kingdom/eu-uk-trade-and-cooperation-agreement_en. Tale Accordo ha carattere provvisorio, in attesa della pronuncia da parte del Parlamento europeo e della successiva adozione formale da parte del Consiglio dell'UE, per l'entrata in vigore definitiva.[4] Si rammenta che il 21 dicembre 2020 si è chiusa la consultazione pubblica relativa alle Recommendations 01/2020 di cui si attende, ad oggi, la pubblicazione in via definitiva, in seguito alla quale esse saranno immediatamente applicabili.[5] Come noto, con la sentenza c.d. Schrems II, la Corte di Giustizia dell’Unione Europea ha esaminato la validità della Decisione 2016/1250 sull'adeguatezza della protezione offerta dal regime dello scudo UE-USA (cd. “Privacy Shield”), dichiarandone l’invalidità.[6] La nota del Garante Privacy è consultabile al seguente link: https://www.garanteprivacy.it/temi/trasferimento-dati-estero#brexit.[7] Il meccanismo dello sportello unico (c.d. one-stop-shop), introdotto per la prima volta con il GDPR, permette ad un’Autorità (c.d. Autorità capofila) di rendere un’unica decisione in caso di trattamenti da parte di uno stesso organo in più Stati membri. L’articolo 56, paragrafo 1, del GDPR, infatti, stabilisce che “l'autorità di controllo dello stabilimento principale o dello stabilimento unico del titolare del trattamento o responsabile del trattamento è competente ad agire in qualità di autorità di controllo capofila per i trattamenti transfrontalieri effettuati dal suddetto titolare del trattamento o responsabile del trattamento, secondo la procedura di cui all'articolo 60”. A sua volta, l’articolo 60 del GDPR detta una procedura specifica di cooperazione tra le Autorità di controllo interessate e l’Autorità di controllo capofila. Essa ha l’obbligo di comunicare alle Autorità interessate le informazioni utili sulla questione così come quello di presentare un progetto di decisione per ottenere il loro parere. L’Autorità capofila può altresì richiedere la collaborazione delle Autorità interessate. Entro uno specifico termine, le Autorità interessate possono presentare obiezioni riguardo al progetto di decisione. In tal caso, l’Autorità capofila presenterà una nuova decisione che tenga conto delle obiezioni oppure, se non riterrà le obiezioni motivate o pertinenti, attiverà il meccanismo di coerenza di cui all’articolo 63 del GDPR ovvero potrà adire l’EDPB.

1. Ebbene, nel rammentare che le raccomandazioni sono indirizzate sia ai titolari del trattamento, sia ai responsabili che intendano individuare eventuali sub-responsabili, il primo step individuato è mappare tutti i trasferimenti di dati personali che il titolare compie verso i Paesi Terzi [7]. Tale attività potrebbe risultare particolarmente complessa, soprattutto quando si è in presenza di una serie di soggetti designati quali responsabili e sub-responsabili del trattamento, ma costituisce un primo passo fondamentale da compiere in ossequio al principio di accountability. Proprio in ragione di tale complessità, in questa fase potrà essere d’aiuto il registro dei trattamenti predisposto dal titolare ai sensi dell’art. 30 del GDPR. Infine, si evidenzia come in questa fase, il titolare dovrà necessariamente valutare il rispetto del principio di minimizzazione insieme all’eventuale esistenza di sub-responsabili in Paesi extra UE.
2. Successivamente alla mappatura appena descritta, occorre poi individuare lo strumento giuridico che si sta impiegando per il trasferimento tra quelli elencati nel Capo V del GDPR [8]. A tale riguardo, l’EDPB chiarisce che in presenza di una decisione di adeguatezza della Commissione Europea, che certifichi che il Paese Terzo garantisce un livello adeguato di protezione ai dati personali che saranno trasferiti, non sarà necessario proseguire oltre nella valutazione ed il trasferimento si considererà legittimo, fatta salva la necessità per il titolare di monitorare la decisione al fine di verificare che non intervengano revoche o invalidazioni della stessa. [9]
3. Ebbene, in assenza di una decisione di adeguatezza, il terzo step individuato dall’EDPB impone al titolare di valutare se lo strumento giuridico impiegato per il trasferimento è efficace [10] rispetto al trasferimento che si vuole effettuare. In altri termini, occorre valutare se esistano leggi o prassi del Paese Terzo che potrebbero incidere sull’efficacia ed effettività delle garanzie adeguate di cui all’art. 46 GDPR che legittimano il trasferimento. A tale riguardo, l’EDPB invita il titolare a considerare l’ipotesi in cui la legislazione del Paese Terzo consenta l’accesso ai dati personali da parte delle autorità pubbliche per finalità di sorveglianza. Ebbene, nell’ipotesi in cui tale legislazione sia ambigua o non disponibile al pubblico, l’analisi della legislazione dovrà tenere conto di fattori oggettivi e rilevanti e, infine, dovrà includere i controlli necessari ed essere documentata secondo il principio di accountability.

Arrivati a questo punto, se il titolare del trattamento (o il responsabile del trattamento) valuta che non vi siano interferenze e che lo strumento giuridico alla base del trasferimento sia efficace, il titolare (o il responsabile del trattamento) non dovrà adottare misure supplementari e potrà continuare o iniziare a traferire dati personali verso il Paese Terzo. Diversamente, si tratterà di identificare le misure aggiuntive che è necessario adottare per garantire un livello di protezione adeguato.

4. Laddove, invece, la valutazione di cui allo step precedente individui degli ostacoli all’efficacia delle garanzie adeguate, il titolare sarà chiamato ad adottare misure supplementari (integrative) al trasferimento che assicurino agli interessati una protezione equivalente a quella loro riconosciuta all’interno dell’UE. Per questo step, si dovrà tenere conto dell’Allegato 2 alle raccomandazioni che fornisce un elenco non esaustivo di tali misure. Tali misure supplementari potranno essere tecniche (come ad esempio: la crittografia, la separazione del trattamento, la pseudonimizzazione, etc.), contrattuali (come ad esempio: la trasparenza degli obblighi, i diritti delle persone, etc.) ed organizzative (come ad esempio: le policies interne, la trasparenza, etc.). In ogni caso, le misure supplementari potranno riguardare diversi fattori, quali: il formato dei dati, la natura dei dati, la complessità del percorso dei dati, il numero di attori coinvolti, i trasferimenti successivi, etc.

Nel caso in cui, nonostante l’adozione delle misure supplementari, il trasferimento dei dati non assicuri garanzie adeguate per gli interessati, il titolare dovrà astenersi dal trasferire i dati, ovvero, qualora già in atto, sospendere il trasferimento medesimo.

5. Nell’ipotesi in cui, invece, l’adozione di misure supplementari si riveli sufficiente ad assicurare agli interessati una protezione equivalente a quella loro riconosciuta all’interno dell’UE, a seconda dello strumento giuridico utilizzato a garanzia del trasferimento, sarà necessario implementare le procedure formali eventualmente richieste dalle misure supplementari che si intendono adottare. [11]
6. Da ultimo, sarà opportuno monitorare, aggiornare e verificare periodicamente che le misure adottate restino efficaci nel corso del tempo [12].

Infine, l’EPDB chiarisce che i data exporter devono documentare il processo di valutazione sopra descritto, in quanto “responsabili” delle decisioni che assumono, in linea con il principio di accountability. 4.Contenuto delle Raccomandazioni 02/2020Complementari a quelle sinora descritte, sono invece le “Recommendations 02/2020 on the European Essential Guarantees for surveillance measurers”.Le raccomandazioni sulle garanzie essenziali [13] europee forniscono ai data exporter elementi utili a stabilire se il quadro giuridico che disciplina l'accesso delle autorità pubbliche ai dati personali nei Paesi Terzi per fini di sorveglianza configuri un’ingerenza giustificata nei diritti alla vita privata e alla protezione dei dati personali, e quindi non sia in contrasto con gli impegni assunti dall’esportatore e dall’importatore attraverso lo strumento di trasferimento utilizzato fra quelli di cui all'articolo 46 del GDPR. 5.Soluzioni pratiche per il trasferimento dei dati personali negli Stati UnitiAlla luce di quanto sopra esposto e per tirare le fila del discorso, cosa fare se ci si avvale delle SCC con un importatore di dati negli Stati Uniti?Ebbene, la CGUE ha rilevato che la normativa degli Stati Uniti non garantisce un livello di protezione sostanzialmente equivalente.Pertanto, come anche chiarito dall’EDPB [14], la possibilità o meno di trasferire dati personali sulla base delle SCC dipende dall'esito della valutazione che il data exporter dovrà compiere, tenuto conto delle circostanze del trasferimento e delle misure supplementari eventualmente messe in atto. Le misure supplementari unitamente alle SCC, alla luce di un'analisi caso per caso delle circostanze del trasferimento, dovrebbero garantire che la normativa statunitense non interferisca con l'adeguato livello di protezione garantito dalle SCC e dalle misure supplementari stesse.Se si è giunti alla conclusione che, tenuto conto delle circostanze del trasferimento e delle eventuali misure supplementari, non vi sarebbero adeguate garanzie, occorre sospendere o porre fine al trasferimento di dati personali. Tuttavia, se si intende continuare ciononostante a trasferire i dati, occorre informarne l’autorità di controllo competente.Occorre poi capire e, conseguentemente valutare, caso per caso, che succede se il trasferimento trovi la sua condizione di legittimità sulla base degli altri strumenti di trasferimento previsti dall’art. 46 GDPR o si basi su una delle deroghe di cui all’art. 49 GDPR.In ogni caso, occorre considerare che, nel caso in cui il trasferimento si basi sulle SCC, l’art. 6 della bozza di decisione della Commissione Europea, sottoposta a consultazione pubblica, con i modelli di SCC integrati sulla base della decisione della CGUE [15] stabilisce che, per il periodo di un anno dall’entrata in vigore della decisione e delle nuove SCC, esportatore ed importatore dei dati potranno continuare a far affidamento sulle precedenti clausole, stabilite con la Decisione 2001/497/EC e aggiornate con la 2010/87/EU, per dare esecuzione al contratto concluso prima dell’entrata in vigore della decisione.In questo lasso di tempo, il contratto fra le parti potrà essere però integrato con le misure supplementari necessarie ad assicurare che il trasferimento avvenga con le adeguate garanzie ed in sicurezza.In conclusione, è evidente come l’EDPB rimetta all'esportatore e all'importatore di dati, la valutazione se il livello di protezione richiesto dal diritto dell'UE sia rispettato nel Paese Terzo al fine di determinare se le garanzie fornite dagli strumenti giuridici prescelti possano essere rispettate nella pratica, con la conseguenza che, soltanto nel caso in cui detto livello non possa essere rispettato, occorrerà valutare se sia possibile prevedere misure supplementari per garantire un livello di protezione sostanzialmente equivalente a quello previsto nel SEE.Le misure supplementari, in altri termini, potranno colmare la lacuna, laddove lo strumento di trasferimento individuato tra quelli dell'articolo 46 del GDPR da solo non riesca a garantire un livello di protezione dei dati personali sostanzialmente equivalente a quello previsto nel SEE, sempre se la legislazione del Paese Terzo non consenta ingerenze nei riguardi delle suddette misure supplementari tali da comprometterne di fatto l'efficacia [16]. Il contenuto di questo elaborato ha valore meramente informativo e non costituisce, né può essere interpretato, quale parere professionale sugli argomenti in oggetto. Per ulteriori informazioni si prega di contattare il vostro professionista di riferimento.  [1] Decisione 2016/1250 sull'adeguatezza della protezione offerta dal regime dello scudo UE-USA per la privacy.[2] È possibile trovare il testo integrale della sentenza al seguente link: http://curia.europa.eu/juris/documents.jsf?num=C-311/18.[3] Tutti i titolari o i responsabili del trattamento avrebbero potuto nel breve periodo:

• rivalutare la necessità di trasferire i dati personali oltreoceano e considerare la possibilità di sostituire i fornitori con sede negli Stati Uniti con fornitori stabiliti nell’UE o di conservare i dati presso uno stabilimento all’interno dell’UE;
• basare i trasferimenti di dati personali sulle SCC, dopo aver stabilito una procedura per valutare il livello di protezione dei dati nel paese o territorio in cui tali dati sono trasferiti e imporre misure tecniche e organizzative adeguate a tale livello di protezione;
• fare affidamento sul consenso esplicito degli interessati, sulla base delle indicazioni del Data Protection Board;

mentre, nel medio-lungo termine:

• per i gruppi multinazionali, definire delle norme vincolanti d’impresa e sottoporle all’approvazione delle autorità competenti ai sensi e per gli effetti dell’articolo 47 del GDPR; oppure
• attendere l’emanazione di codici di condotta o di meccanismi di certificazione e poi aderirvi.

[4] Nella maggior parte dei casi, le società con sede negli Stati Uniti che non aderiscono al Privacy Shield hanno basato i flussi di dati personali provenienti dall’UE sulle SCC. Le SCC consistono in set di clausole “tipo” che l’esportatore e l’importatore di dati personali sottoscrivono, allo scopo di assicurare, attraverso obblighi contrattuali conformi alle disposizioni del GDPR, un livello di protezione adeguato ai dati personali che lasciano lo Spazio economico europeo. La Commissione Europea ha approvato, sino ad ora, fino a tre set di clausole contrattuali tipo: due per i trasferimenti di dati dai titolari del trattamento stabiliti nell’UE ai titolari del trattamento stabiliti al di fuori dell’UE o del SEE e una per i trasferimenti di dati dai titolari del trattamento stabiliti nell’UE ai responsabili del trattamento stabiliti al di fuori dell’UE o del SEE. Non sono state ancora emesse SCC relative al trasferimento da un responsabile del trattamento stabilito nell’UE a un titolare del trattamento stabilito al di fuori dell’UE né relative al trasferimento da responsabili del trattamento (o sub-responsabili) stabiliti nell’Unione Europea a responsabili del trattamento (o sub-responsabili) stabiliti al di fuori dell’UE. A tale riguardo, il 12 novembre u.s., la Commissione Europea ha pubblicato la bozza di decisione, sottoposta a consultazione pubblica sino alla mezzanotte del 10 dicembre 2020 (ora di Bruxelles), con i modelli di SCC integrati sulla base della decisione della CGUE, che abroga la Decisione 2001/497/EC e la Decisione 2010/87/EU. In particolare, i modelli allegati alla bozza attualmente in discussione disciplinano quattro tipologie di trasferimenti: (i) trasferimento da titolare a titolare; (ii) trasferimento da titolare a responsabile; (iii) trasferimento da responsabile a responsabile; (iv) trasferimento da responsabile a titolare.[5] Le Raccomandazioni 01/2020 sono sottoposte a consultazione pubblica fino al 21 dicembre 2020 e saranno applicabili immediatamente dopo la loro pubblicazione.[6] Secondo il principio di accountability, infatti, previsto all’interno del GDPR, è onere del titolare del trattamento quello di essere in condizione in ogni momento di dimostrare il rispetto della disciplina in materia di trattamento dei dati personali.[7] A tale riguardo, l’EDPB precisa che anche l’accesso remoto da un Paese Terzo (in caso di supporto) e/o l’archiviazione in un cloud situato al di fuori del SEE debba essere considerato un trasferimento extra UE.[8] Ai sensi del GDPR, in assenza di una decisione di adeguatezza, i trasferimenti di dati personali verso Paesi Terzi possono essere effettuati soltanto se il titolare o il responsabile del trattamento che trasferisce i dati personali nel Paese Terzo abbia fornito garanzie adeguate e gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi. Possono costituire garanzie adeguate ai sensi dell’art. 46 GDPR: (i) le SCC; (ii) le norme vincolanti di impresa (“BCR”); (iii) i codici di condotta; (iv) i meccanismi di certificazioni; (v) clausole contrattuali ad hoc. Oltre alle ipotesi di cui sopra, il trasferimento può basarsi anche sulle deroghe di cui all’articolo 49 (incluso, tra le altre, il consenso esplicito dell’interessato).[9] Tuttavia, si evidenzia, allo stesso tempo, che le decisioni di adeguatezza non impediscono agli interessati di presentare un reclamo, né impediscono alle autorità di controllo di adire un giudice nazionale in caso di dubbi sulla validità di una decisione, affinché il giudice nazionale possa sottoporre alla CGUE una domanda pregiudiziale finalizzata all'esame di tale validità.[10] Il termine “efficace”, sta a significare che ai dati personali deve essere garantito un livello di protezione equivalente a quello garantito nell’UE.[11] In particolare, nel caso in cui il trasferimento si basi sulle SCC, salvo che le ulteriori misure individuate non ledano i diritti degli interessati ovvero contraddicano le previsioni delle SCC medesime, non sarà necessario chiedere l’autorizzazione all’autorità di controllo per l’adozione di tali misure. Diversamente, qualora il titolare intenda modificare le SCC ovvero nel caso in cui le misure supplementari individuate si pongano in contrasto con le SCC, sarà necessario chiedere l’autorizzazione all’autorità di controllo competente, ai sensi dell’Art. 43, comma 3, lett. a) del GDPR.[12] In particolare, il titolare dovrà adottare meccanismi per sospendere immediatamente il trasferimento quando l’importatore non è più in grado di rispettare lo strumento adottato e/o le misure supplementari si rivelano non più sufficienti a garantire un adeguato livello di protezione degli interessati.[13] In particolare, le Raccomandazioni 02/2020 individuano le seguenti “garanzie essenziali”: (i) regole chiare, precise e accessibili per il trattamento di dati personali, (ii) dimostrazione della necessità e della proporzionalità in relazione agli obiettivi legittimi perseguiti; (iii) esistenza di un meccanismo di controllo indipendente, (iv) esistenza di tutele efficaci per l’interessato.[14] Si vedano le “Domande frequenti sulla sentenza della Corte di giustizia dell'Unione europea nella causa C-311/18 — Data Protection Commissioner/Facebook Ireland Ltd e Maximillian Schrems”.[15] Si veda la nota 4.[16] A tale riguardo, si consideri che la clausola 3 della bozza di decisione della Commissione Europea, sottoposta a consultazione pubblica, con i modelli di SCC integrati sulla base della decisione della CGUE, prevede una serie di obblighi in capo all’importatore in caso di richieste di accesso ai dati personali da parte del governo. Fra questi vi è l’obbligo di notificare all’esportatore la richiesta dell’Autorità, e di comunicare a quest’ultimo la maggior quantità possibile di informazioni sulle richieste ricevute (numero di richieste, tipo di dati richiesti, autorità o autorità richiedenti, se le richieste sono state contestate e l’esito di tali contestazioni, etc.).

1. Premessa e quadro normativo di riferimento

2. Profili di interesse per le imprese in materia di protezione dei dati personali

• la misurazione della temperatura prima dell’ingresso nei locali dell’azienda (se superiore a 37.5°, l’accesso non è consentito), individuando come base giuridica di tale trattamento l’obbligo di attuare i protocolli di sicurezza contro la diffusione del COVID-19 ai sensi dell’articolo 1, n. 7, lettera d) del D.P.C.M. 11 marzo 2020, e facendo riferimento al termine dello stato di emergenza come periodo di conservazione. Le informazioni sulla temperatura non devono, di regola, essere registrate, ma è consentito identificare la persona e registrare tali informazioni se la temperatura supera la soglia indicata al fine di documentare le ragioni che hanno impedito l’accesso ai locali dell’azienda. In ogni caso, deve essere fornita l’informativa all’interessato. I dati non possono essere diffusi o comunicati a terzi, al di fuori delle specifiche previsioni normative (come nel caso di richiesta da parte dell’autorità sanitaria per la ricostruzione della filiera dei contatti stretti del soggetto risultato positivo al COVID-19).
• la richiesta di rilasciare una dichiarazione nella quale si confermi di non provenire da aree a rischio e di non essere stato/a in contatto negli ultimi 14 giorni con soggetti risultati positivi al COVID-19. Anche questo trattamento si basa sull’obbligo di attuare i protocolli di sicurezza contro la diffusione del COVID-19 ai sensi dell’articolo 1, n. 7, lettera d) del D.P.C.M. 11 marzo 2020; viene altresì chiarito che devono essere raccolti e trattati solo i dati necessari, adeguati e rilevanti per evitare la diffusione del virus (per esempio, se vengono richieste informazioni su precedenti contatti con persone risultate positive al virus, è necessario astenersi dal richiedere ulteriori informazioni in merito a tali persone).
• l’autodichiarazione di una persona che ha sviluppato i sintomi da COVID-19 mentre si trova presso la sede della società, mediante segnalazione all’ufficio del personale. A seguito della segnalazione, la persona deve essere temporaneamente isolata e la società deve provvedere ad avvertire l’autorità competente, collaborando con essa per individuare eventuali soggetti che possano aver avuto “contatti stretti” con il soggetto isolato. Per la durata del periodo di indagine, la società può chiedere ai possibili contatti stretti di lasciare lo stabilimento, come misura cautelativa.

Si segnala che tali disposizioni troverebbero applicazione anche nei confronti di visitatori esterni.A seguito dell’adozione di tale Protocollo, Confindustria ha predisposto una nota illustrativa finalizzata ad assistere le aziende nella sua applicazione; in tale contesto, vengono precisate ulteriori indicazioni circa il ruolo del medico competente: lo stesso è tenuto, tra l’altro, a segnalare al datore di lavoro situazioni di particolare “fragilità” e patologie attuali o pregresse dei dipendenti e, in risposta, il datore dovrà provvedere alla loro tutela nel rispetto della privacy.Per completezza, infine, si ritiene utile menzionare anche la “Dichiarazione sul trattamento dei dati personali nel contesto dell’epidemia di COVID-19”, adottata il 19 marzo 2020 dall’European Data Protection Board (“EDPB”).Anzitutto, l’EDPB conferma il principio per cui le norme in materia di protezione dei dati non ostacolano l’adozione di misure per il contrasto della pandemia. Tuttavia, i titolari e i responsabili del trattamento devono garantire la protezione dei dati personali degli interessati, i principi generali del diritto devono in ogni caso essere rispettati e, infine, qualsiasi misura adottata in questo contesto non può essere irrevocabile. In altri termini, l’emergenza può legittimare limitazioni delle libertà, purché tali limitazioni siano proporzionate e limitate al periodo di emergenza.Ciò premesso, per quanto concerne il trattamento dei dati nel contesto lavorativo, l’EDPB conferma che il datore di lavoro potrà trattare informazioni sanitarie specifiche di dipendenti e visitatori, nel contesto del COVID-19, solo nella misura consentita dal diritto nazionale.Per quanto concerne, più in generale, il trattamento dei dati relativi all’ubicazione, si precisa che esso deve essere conforme anche alle disposizioni di cui alla direttiva 2002/58/CE (c.d. “direttiva e-privacy”) che, in linea di principio, ammette il loro utilizzo da parte dell’operatore solo qualora tali dati siano resi anonimi o previo consenso degli interessati. Tuttavia, l’art. 15 della direttiva in questione consente di introdurre misure legislative per salvaguardare la sicurezza pubblica, nei limiti in cui dette misure siano necessarie, adeguate e proporzionate all’interno di una società democratica.Nello specifico, l’autorità sembra avallare l’utilizzo, da parte dei governi nazionali, dei dati di localizzazione da dispositivi mobili per monitorare, contenere o attenuare la diffusione del COVID-19, con la possibilità, per esempio, di geolocalizzare le persone o inviare messaggi di sanità pubblica ai soggetti che si trovano in una determinata area. Tuttavia, le autorità pubbliche dovrebbero cercare di trattare tali dati in modo anonimo, in forma aggregata e tale da non consentire la successiva re-identificazione delle persone. Qualora non vengano adottate misure di anonimizzazione dei dati, lo Stato membro interessato avrà l’obbligo di predisporre garanzie adeguate, ad esempio fornendo agli utenti di servizi di comunicazione elettronica il diritto ad un ricorso giurisdizionale. Resta fermo che, in ogni caso, lo Stato membro dovrà privilegiare quanto più possibile soluzioni meno invasive che possano essere sufficienti a fini di prevenzione. Il contenuto di questo elaborato ha valore meramente informativo e non costituisce, né può essere interpretato, quale parere professionale sugli argomenti in oggetto.Per ulteriori informazioni si prega di contattare il vostro professionista di riferimento ovvero di scrivere al seguente indirizzo: corporate.commercial@advant-nctm.com o ai seguenti professionisti: Paolo Gallarati e Francesca Bonino.Hanno altresì partecipato alla redazione del presente memorandum i seguenti collaboratori: Virginia Paparozzi, Giulio Uras e Lucrezia Lorenzini.

Il riconoscimento

La diffusione della blockchain offre la suggestione di contratti in grado di eseguire autonomamente la volontà delle parti.La tutela dei dati personali, sancita dal regolamento europeo, pone tuttavia criticità che rischiano di minarne lo sviluppo.

LA PRIVACY AI TEMPI DEL WEB

LA MINACCIA DELL'ALGOCRAZIA

BLOCKCHAIN, PROFILO GIURIDICO CERCASI

IL BALUARDO DEL GDPR

EDUCARE ALLA PRIVACY

EUROPA ANCORA INDIETRO

IL POTERE DELL’ALGOCRAZIA

I DATI FUORI DAI BLOCCHI ...

... RISCHI DI TUTELA E DIGNITÀ

IN FRANCIA LE PRIME REGOLE

STESSA STRADA PER GLI SMART CONTRACT

25 May 2018, the “Christmas” of Privacy (or the “Privacy Day”)

• clear definition of what is meant for protected disclosures;
• clear indication of who will be afforded of protection;
• clear definition of reporting channels of disclosure and providing various channels, internal or external, as the case may be;
• ensuring confidentiality reports;
• ensuring data protection does not undermine confidentiality of the whistleblower;
• financial incentives, which is an highly controversial theme and very discussed in the framework of international institutions and recommendations. Of course, it is demonstrated that financial incentives in favour of whistleblowers could eventually encourage employees to report misconducts, but at the same time is a measure somehow controversial because it may affect the vision that the public may have in whistleblowers motivation, furthermore in many Countries is hard to imagine providing for financial incentives to whistleblowers (currently in place only in two OECD Countries, South Korea and U.S.A.);
• company measures as mitigating circumstances.

 The Italian Whistleblowing law for the private sectorThe Whistleblowing law has introduced for the first time a specific regulation on the whistleblower protection in private sector. Prior to the 2017 law, whistleblower protection was not completely unknown. A preliminary regulation was introduced back in 2012 by the Law no. 190/2012 (so-called Anticorruption Law). However its ambit was restricted to the public sector.In addition, there was some protection in the private sector within the terms of Decree 231 and the Whistleblowing law builds on this. Article 2 of the Whistleblowing law applies to those companies which have implemented an organizational model in compliance with the Decree 231 system by integrating the requirements for the eligibility and effectiveness of the organizational models set forth in Article 6 of the Decree 231 and providing for certain further mandatory requirements for those companies which have chosen (or choose) to implement such organizational models. In addition to the standards currently required to comply with the Decree 231, companies may also provide the following:

• one or more channels enabling senior managers and subordinates to raise detailed disclosures of unlawful conducts relevant pursuant to Decree 231 and based on precise and congruous facts, or breaches of the organizational model of the company, which they witnessed in the carrying out of their functions; such channels must assure confidentiality of the identity of the whistleblower when handling the disclosure;
• at least one alternative reporting channel suitable to assure, through IT means, the confidentiality of the identity of the whistleblower;
• prohibition against retaliation or discriminatory acts, whether direct or indirect, towards the whistleblower for reasons, directly or indirectly, connected to the disclosure;
• within the disciplinary system adopted, sanctions against those infringing the measures for the protection of the whistleblower, as well as those making, maliciously or negligently, disclosures that turn out to be unfounded.

Under the Whistleblowing law, people who blow the whistle are now protected against any sanction, reprisal or other discriminatory measures (including dismissal or workplace re-organizations that impact negatively on their working conditions), due to the report of any wrongful behaviour of another person linked to the company and anyhow connected to the Decree 231 in the context of the workplace.The new Whistleblowing law supports and fosters the creation of an organizational culture of transparency that supports whistleblowing but it still leaves a series of open issues and challenges. The workshop was mainly aimed at discussing and increasing awareness among the public of the most challenging issues in the field of whistleblower protection and the relationship between the new law and existing provisions such as  Decree 231 and the Privacy Code. We address both of these issues below. Whistleblower protection and data protection regulation The Whistleblowing law raises several issues in relation to rights and obligations deriving from the current data protection regulation.The core issue here is how to balance the right of the whistleblowers to protect their identity under the Whistleblower law and the right of individuals to have access to their personal data under the Data Protection rules. The Whistleblowing law does not provide for a solution. The Data Protection Authority is expected to publish its views on the matter in the course of 2018. It is most likely that the right of the individual to have access to its personal data will be limited where such disclosure could allow the identification of the whistleblower, either directly or indirectly.A further complex issue concerns the necessity, or not, to obtain the consent – required under the data protection regulation – of the individual of the disclosure for the processing of its personal data. Since the Whistleblowing law does not introduce obligations but simple duties, the processing cannot be considered as based on the fulfilment of a legal obligation or on the purposes of the legitimate interest of the controller (which occurs only in certain specific cases indicated by the Data Protection Authority). On the other hand, it would be unreasonable to require companies to obtain the consent of its employees to the processing of their personal data within whistleblowing systems. The situation may change with the entry into force, next 25 May 2018, of the new data protection rules set out in Regulation (EU) no. 2016/279.Participants in the workshop believed that challenges may be avoided or overcome by means of education, awareness-raising of rules and procedures through trainings and conferences, but also ensuring effective protection and by creating an organizational culture of transparency that supports whistleblowing. Indeed, putting in place channels for protection of whistleblowers is considered to be of benefit for the companies concerned.The Italian Anticorruption Authority (ANAC) and the Data Protection Authority are expected to publish their views in the near future but there was general consensus among the participants including representatives from these agencies that more legislation may be needed. Whistleblower protection and Decree 231 Another controversial issue for the protection of whistle-blowers in private sector, was the decision to place the protection within the scope of the Decree 231, which provides the framework for non-mandatory compliance systems to be adopted by companies and indeed often only implemented after the commission of an offence by the company. Therefore, the non-adoption of a whistleblowing system has no consequences for those companies that have not implemented a Decree 231 compliance system. Rather, the whistleblower protection creates obligations only for those companies which have voluntarily chosen to comply with Decree 231. In this case, should company be sued in court, and if the existing in-house protection system does not comply with the new requirements set out in the Whistleblowing law, there may be a finding that the in-house model are not sufficient and, in the worst scenario, the company may be deemed liable for under the Decree 231.Some participants at the workshop saw advantages in bringing the protection within the scope of Decree 231 because a strong mechanism to protect disclosure of information of wrongdoing by virtuous employees may only happen in those companies that have already adopted a culture of ethics, legality and transparency, which the voluntary Decree 231 systems aim at.Notwithstanding the above, the inequality of treatment of whistleblower protection for employees of those companies that have complied with the Decree 231 and non-protection for employees of those companies that have not complied with the Decree 231 may cause issues in the implementation of the Whistleblowing law. This problem is likely to be played out in labour disputes. To whom the disclosures must be addressedA further relevant issue concerns the identification of the addressee of complaints. Indeed, while for the public sector the Whistleblowing law indicates ANAC as the exclusive addressee, nothing is mentioned for the private sector in such law.At present, it is not possible to predict what solution will be found but it is clear that, whatever the choice will be, the supervisory body appointed by the companies pursuant to the Decree 231 (so called Organismo di Vigilanza) will have to be involved in some way, as also confirmed by a note on whistleblowing published by Confindustria in January 2018 and by Transparency International’s Italian Guidelines on whistleblowing. In fact, although the Whistleblowing law does not provide for any mandatory provision, not informing the supervisory body would compromise the flow of information which represents the core of the efficiency and effectiveness of the organizational models. In addition to the supervisory board, the current practices in private with voluntary schemes is to entrust to a third-party body or an ad hoc committee, the role to receive complaints.The workshop was an opportunity for experts in the field, in the competent authorities, in the private sector and in Nctm to share an understanding of the current state of the law in Italy.   This article is for information purposes only and is not intended as a professional opinion.For further information, please contact Raffaele Caldarone.

1. The European legal culture, built on the blood and tears of the many who have had their rights denied by totalitarian regimes, has created antibodies that should be enough, in theory, to keep privacy and security in balance in their proper orbits without the risk of large and dramatic

2. In Italy, for instance, the Constitution already embodies the idea of a double guarantee system, through law and justice, that allows the judiciary and police force to fully carry out their duty, even temporarily compressing rights and fundamental freedoms of citizens in order to prevent and prosecute crimes, without this being considered as an attack on freedom. National security and that of its citizens is a primary asset that, without the need to resort to special laws, already finds ample provisions in the Constitution, Penal Code, Criminal Procedure, Privacy Code, restricting the full and unlimited enjoyment of rights, but only in the presence of stringent requirements and for a limited amount of time. In the light of the above, in theory, the conflict Apple/FBI would not have exploded in Italy and in other EU countries based on civil law jurisdiction. However, things are nev- er completely linear and simple as they might

3. First of all, evolving technology represents a constant challenge for laws and rules. How- ever, the technology is in the hands of large multinational private groups, that increasing- ly tend to legitimacy impose their standards on a transnational basis, constantly stressing the principles of jurisdiction and

5. It is normal that everyone seeks to protect their own interest. But what if, such as the Ap- ple case, a national institution of justice starts to creatively chase technology, requesting access with more and more sensitive and accurate information on each of us? At the same time, in order to avoid the excesses of mass control undertaken by certain intelli- gence and security agencies, can we afford to allow the big high tech multinationals as ul- timate guarantors of our rights and freedoms?
6. Above all, what does not help is everyone going in conflicting directions. We need uni- form signals and answers to these challenges. What will happen when the Internet of Things will be really popular and dominate our daily lives? The era of big data is here and we cannot allow the judiciary, nor intelligence agencies, or private investigators or, worse, hackers, to have indiscriminate access to data collected from thousands of  interconnected objects that control our bodies or drive our cars. However, at the same time, we can- not delegate the safeguarding of our rights to private companies that have as their objective the making of profit.

It is therefore time to rethink the relationship between States and the privacy of their citizens, not in an emergency perspective that has led to the signing of the Privacy Shield nor in the context of the debate on GDPR. We now need international treaties that put both the individ- ual and internet in the driving seat. These are the indissoluble duo that we must all learn to deal with and legislate for on the basis of our shared European culture. We have got to set aside the end of Schengen or Brexit. Here we need to come together and forge new and en- during partnerships.