Sicurezza e governance dell’AI
Un assistente in un reparto, la trascrizione automatica nelle riunioni, le funzioni AI accese da un aggiornamento del CRM: spesso nessuno ha deciso nulla, ed è già tutto in uso. Mettiamo ordine su strumenti, dati e responsabili. E prima che un assistente legga i dati aziendali, lo mettiamo alla prova come farebbe chi vuole ingannarlo.
01 · copia il link alla sezioneLa situazione
Nessuno l’ha deciso: è successo, un reparto alla volta.
Un reparto ha collegato un assistente alle cartelle condivise, il fornitore del CRM ha acceso funzioni nuove e nessuno ha riletto le condizioni. Nessuno sa dire con certezza quali strumenti sono in uso, quali dati leggono e dove finiscono. Prima o poi la domanda arriva: da un cliente con un questionario, dal consiglio, dopo un incidente.
In un’organizzazione grande il divieto generale dura poco: gli acquisti rinnovano le licenze, i reparti accendono le funzioni nuove. Serve una lista breve di strumenti approvati, un responsabile per ciascuno e qualche verifica tecnica fatta bene.
C’è poi un rischio nuovo: un assistente che legge email e documenti può ricevere ordini nascosti dentro quei contenuti (prompt injection).
02 · copia il link alla sezioneGovernance
In pratica: l’elenco degli strumenti in uso, un nome accanto a ciascuno e poche regole che tutti possono leggere.
03 · copia il link alla sezioneSicurezza
Un assistente che legge i dati aziendali è un nuovo accesso ai sistemi. Si prova come si prova una porta nuova.
Prima di accendere un assistente o un agente sui dati dell’azienda si fanno verifiche mirate, con autorizzazione scritta e, dove possibile, su un ambiente di prova. Le verifiche seguono l’elenco dei rischi più noti di questi sistemi, pubblicato da OWASP, fondazione senza scopo di lucro dedicata alla sicurezza del software.
Alla fine l’azienda riceve un rapporto con i problemi ordinati per gravità, le correzioni proposte e una sintesi per la direzione.
Testi scritti in email, documenti e pagine web per ingannare l’assistente: non deve eseguirli.
Anche con domande indirette, nessuno deve ottenere ciò che non può vedere.
Un agente fa solo ciò che serve al suo compito; le operazioni importanti le conferma una persona.
Resta traccia di domande, fonti e azioni, leggibile solo da chi deve.
04 · copia il link alla sezioneRiquadro di riferimento
Aggiornato il 16 settembre 2026
L’AI Act è il regolamento europeo sull’intelligenza artificiale. Riguarda anche chi i sistemi non li sviluppa ma li usa nella propria attività. Una modifica entrata in vigore il 27 luglio 2026 (il regolamento chiamato Omnibus digitale) ha spostato alcune scadenze: questo è il quadro aggiornato.
| Da quando | Che cosa | Che cosa vuol dire per voi |
|---|---|---|
| 2 febbraio 2025 | Divieti di alcune pratiche (art. 5) e preparazione di chi usa l’AI (art. 4, la norma la chiama alfabetizzazione) | Nessuno strumento in uso deve rientrare tra le pratiche vietate; chi usa l’AI va preparato |
| 10 ottobre 2025 · Italia | Entra in vigore la legge 23 settembre 2025, n. 132, sull’intelligenza artificiale | Tra l’altro, l’informazione ai lavoratori sull’uso dell’AI nei casi indicati dall’art. 11 |
| 27 luglio 2026 | Entra in vigore il Regolamento (UE) 2026/1744 (Omnibus digitale sull’AI) | La preparazione del personale resta, senza un livello fisso da raggiungere; cambiano le date per l’AI più delicata |
| 2 agosto 2026 | Obblighi di trasparenza (art. 50) | Chi parla con un assistente AI deve saperlo, salvo che sia evidente; immagini e video falsi realistici vanno dichiarati |
| 2 dicembre 2026 | Fine del periodo transitorio per la marcatura dei contenuti generati, per i sistemi già in commercio prima del 2 agosto 2026 | Riguarda soprattutto i fornitori degli strumenti: conviene chiedere nei contratti come lo gestiscono |
| 2 dicembre 2027 | Sistemi «ad alto rischio» (allegato III): per esempio l’AI usata per selezionare personale o valutare il credito | Una persona competente sorveglia il sistema, i registri si conservano almeno sei mesi, i lavoratori vanno informati prima |
| 2 agosto 2028 | L’AI dentro prodotti già regolati, come le macchine (allegato I) | Riguarda chi produce o integra questi prodotti |
| Norma | Che cosa prevede | Perché riguarda l’AI in azienda |
|---|---|---|
| GDPR, Reg. (UE) 2016/679, art. 35 | Valutazione d’impatto quando il rischio per le persone è alto | Un assistente che legge molti dati personali può richiederla: si valuta con il DPO |
| GDPR, art. 22 | Limiti alle decisioni prese solo da una macchina | Le decisioni su clienti e dipendenti non si lasciano all’AI senza una persona |
| D.Lgs. 138/2024 (la NIS2 in Italia), per le aziende soggette alla NIS2 | Gestione dei rischi per la sicurezza dei sistemi | Gli assistenti collegati ai sistemi rientrano nella stessa gestione del rischio |
| Legge 21 dicembre 2018, n. 171 — a San Marino | Protezione dei dati personali | È la norma di riferimento per le organizzazioni sammarinesi |
Riquadro informativo, non costituisce parere legale: l’applicazione al singolo caso si valuta con il DPO e i legali dell’azienda. Per le imprese sammarinesi il quadro è diverso: va valutato caso per caso.
05 · copia il link alla sezioneIl metodo
Da dove si parte, chi se ne occupa, che cosa resta all’azienda.
Da dove partire: un censimento, un assistente da verificare, un questionario, una domanda del consiglio.
Con l’IT e i reparti, l’elenco degli strumenti in uso, anche quelli arrivati con gli aggiornamenti. Si guardano gli strumenti, non le persone.
Con il DPO e i legali: che cosa tenere, che cosa sostituire, che cosa spegnere.
Sugli assistenti che leggono dati aziendali, con autorizzazione scritta.
Registro aggiornato quando arriva uno strumento nuovo; se l’azienda lo chiede, con tempi e condizioni di assistenza scritti nel contratto.
06 · copia il link alla sezionePrincipi
Un assistente che può leggere tutto va controllato come chiunque possa leggere tutto.
07 · copia il link alla sezioneDomande frequenti
08 · copia il link alla sezioneOsservatorio
Analisi e guide della Redazione Strategic.
Collegato a posta, archivi e gestionale, un assistente AI trova tutto ciò che i permessi lasciano aperto. Le regole su accessi, registri e percorso dei dati da fissare prima dell’avvio.
16 settembre 2026Posta, agenda, promemoria e documenti: il lavoro ripetitivo che un assistente di intelligenza artificiale può togliere a chi dirige, quello che resta alle persone e come valutarlo prima di cominciare.
20 agosto 2026Chi propone un progetto di intelligenza artificiale spesso lo realizza e lo gestisce. Non è un male, se è dichiarato. Tre domande e alcune clausole da leggere prima di firmare.
22 luglio 2026Le parti essenziali di questa pagina si stampano in un fascicolo di poche pagine, senza immagini e senza gli inviti al contatto.
09 · copia il link alla sezioneContatto
Qualche riga: quali strumenti o progetti di AI ci sono, chi li segue, se c’è una scadenza (un questionario, un avvio, una riunione del consiglio). Rispondiamo per email, di norma entro due giorni lavorativi.
Nel modulo non vanno inseriti documenti, credenziali o dati riservati.
Oppure scriveteci:WhatsAppstaff@strategic.sm
Su WhatsApp risponde un assistente AI di Strategic.
