Nuove regole per il mondo digitale: cosa cambia davvero con NIS2 e AI Act

Per anni il mondo della tecnologia ha corso molto più veloce delle leggi, muovendosi spesso in una zona grigia fatta di linee guida volontarie e autoregolamentazione. Il 2024 ha segnato la fine di questa fase. L'Unione Europea ha infatti introdotto due pilastri normativi destinati a ridisegnare il modo in cui lavorano le aziende: la direttiva NIS2 sulla cybersicurezza e l'AI Act sull'intelligenza artificiale.

Lontane dall'essere semplici adempimenti burocratici, queste due leggi trasformano la sicurezza informatica e l'uso dell'AI da "questioni per soli tecnici" a responsabilità dirette di chi guida le imprese.

La direttiva NIS2: la cybersicurezza diventa un obbligo di legge.

Entrata in vigore nei Paesi europei nell'autunno del 2024 (in Italia tramite apposito decreto legislativo), la NIS2 amplia enormemente la platea di organizzazioni obbligate a rispettare rigidi standard di sicurezza informatica. Non riguarda più solo banche, energia e trasporti, ma coinvolge migliaia di medie e grandi imprese in settori chiave come il manifatturiero, l'agroalimentare, la sanità, la logistica e i servizi digitali.

In parole semplici, la direttiva impone alle aziende di dimostrare di avere "messo in sicurezza la casa", introducendo tre novità principali:

• Segnalazione rapida degli incidenti: In caso di attacco cyber grave, l'azienda non può più nascondere il problema. Deve inviare una prima notifica alle autorità nazionali (in Italia l'ACN, Agenzia per la Cybersicurezza Nazionale) entro 24 ore dalla scoperta.

• Sicurezza della filiera (Supply Chain): Le grandi aziende devono verificare che anche i loro fornitori rispettino standard minimi di sicurezza, creando un effetto a cascata che coinvolge indirettamente anche le piccole imprese.

• Responsabilità dei vertici: Per la prima volta, i membri del consiglio di amministrazione e i dirigenti sono ritenuti personalmente responsabili se l'azienda non adotta le misure previste, rischiando sanzioni pesanti e persino la sospensione temporanea dagli incarichi dirigenziali.

L'AI Act: mettere un freno ai rischi dell'intelligenza artificiale.

Parallelamente, nel 2024 l'Europa ha approvato e avviato l'entrata in vigore graduale dell'AI Act, la prima legge al mondo organica sull'intelligenza artificiale. L'obiettivo non è bloccare l'innovazione, ma classificare i sistemi di AI in base al livello di rischio che comportano per la sicurezza e i diritti dei cittadini.

• Rischio inaccettabile (Vietati): Sistemi che manipolano il comportamento umano o assegnano punteggi sociali ai cittadini sono banditi.

• Alto rischio (Sotto stretto controllo): Algoritmi usati per selezionare il personale, valutare il merito creditizio, gestire infrastrutture critiche o supportare diagnosi mediche devono garantire massima trasparenza, controllo umano e qualità dei dati.

• Rischio limitato o minimo (Obbligo di trasparenza): Per strumenti di uso quotidiano come chatbot o generatori di immagini e testi, la regola principale è la chiarezza: l'utente deve sempre sapere che sta interagendo con una macchina o guardando un contenuto generato dall'AI.

• 
  

L'impatto concreto: dal reparto IT al consiglio di amministrazione.

Il filo rosso che unisce NIS2 e AI Act è chiaro: la tecnologia non è più neutrale né priva di conseguenze legali. Per i tecnici IT, queste norme significano dover documentare meglio i processi, gestire con rigore gli aggiornamenti e monitorare costantemente le reti. Per i manager, invece, significa dover stanziare budget adeguati, formare il personale e integrare il rischio digitale nelle decisioni strategiche quotidiane.

In sintesi: 3 azioni pratiche per adeguarsi senza panico.

Come affrontare questo nuovo scenario normativo trasformandolo in un'opportunità di crescita? Ecco tre passi da cui partire:

• Verificare il perimetro aziendale: Controllate con i vostri consulenti legali e IT se la vostra azienda rientra direttamente negli obblighi della NIS2 o se fa parte della catena di fornitura di clienti soggetti alla normativa.

• Mappare gli strumenti di AI in uso: Fate un inventario di quali software basati sull'intelligenza artificiale vengono usati in azienda (anche in modo informale dai dipendenti) e valutate quali dati vengono inseriti al loro interno.

• Formare i vertici oltre ai dipendenti: La consapevolezza digitale deve partire dall'alto. Organizzare sessioni di aggiornamento dedicate a dirigenti e amministratori è ormai un requisito esplicito previsto dalle nuove regole europee.