NUOVE REGOLE SULLA FORMAZIONE DEL PERSONALE DI FORNITORI IA
Fornitori e deployer di sistemi IA devono formare in maniera approfondita il proprio personale e i collaboratori: lo stabilisce una modifica del Digital Ominibus on AI, altrimenti Regolamento UE 2026/1744, entrato in vigore alla fine di luglio. In sostanza il datore di lavoro deve adottare misure volte a sostenere l’alfabetizzazione IA dei dipendenti e collaboratori, insomma deve garantire una certa soglia di formazione e conoscenza, a seconda dell’utilizzo da parte dei diversi reparti o lavoratori. “Un personale adeguatamente formato è anche un presidio organizzativo funzionale al rispetto dei principi di correttezza, trasparenza e accountability previsti dal GDPR, oltre che uno strumento per prevenire fenomeni come l’uso non autorizzato di strumenti di AI generativa (il cosiddetto shadow AI) con dati aziendali o personali”, hanno scritto due esperti della materia come Paola Perego e Pasquale Mancino. Quindi per le aziende che adottano sistemi di IA generativa a supporto del personale, è importante tener presente l’elemento detto IA Literacy e prevedere test, monitoraggio della partecipazione alla formazione, analisi degli incidenti e fare verifiche periodiche.
IL DATA ACT PREVEDE L’ACCESSO DELL’UTENTE A DATI DI OGGETTI IA
Dal 12 settembre 2026 l’utente deve poter accedere ai dati che ha generato grazie a dispositivi connessi e oggetti intelligenti, come ad esempio i dispositivi interconnessi della propria auto: lo prevede il Regolamento UE 2023/2854, detto Data Act. Quindi fabbricanti, fornitori di servizi e fornitori di cloud, sono tenuti dal 12 settembre a precise prescrizioni circa l’accesso da fornire agli utenti. In sostanza i dispositivi devono essere progettati, – by design – con impostazioni predefinite che assicurino l’accesso sicuro e gratuito ai propri dati da parte del cliente/utilizzatore. Il data holder deve assicurare la condivisione con terze parti su richiesta dell’utente o di assicuratori e manutentori e il data holder è tenuto anche a condividere i dati con autorità pubbliche in occasione di emergenze, mentre i fornitori di servizi cloud devono consentire il passaggio dei dati verso altri provider preferibilmente a titolo gratuito. I tecnici e gli esperti di informatici fanno presente che rendere accessibili i dati all’utente può prevedere maggiori rischi di furto dei dati stessi e ci sono problematiche anche circa la protezione dei segreti industriali e la proprietà intellettuale. Queste prescrizioni del Data Act sono all’articolo 3 che titola ‘Obbligo di rendere accessibili all’utente i dati del prodotto e dei servizi correlati’. Per questo si parla anche di Access by Design: ovvero l’accesso per l’utente/interessato deve avvenire in fase di progettazione dei dispositivi. L’articolo prevede che l’utente possa sapere prima di iniziare l’uso del dispositivo: “a) il tipo, il formato e il volume stimato di dati del prodotto che il prodotto connesso può generare; b) se il prodotto connesso è in grado di generare dati in modo continuo e in tempo reale; c) se il prodotto connesso è in grado di archiviare dati sul dispositivo o su un server remoto, compresa, se del caso, la durata prevista della conservazione; d) il modo in cui l’utente può accedere a tali dati, reperirli o, se del caso, cancellarli, compresi i mezzi tecnici per farlo, nonché le condizioni d’uso e la qualità del servizio”. Mentre il Regolamento è stato applicata dal 2 settembre 2025, per l’articolo 3.1 il legislatore ha deciso di posticipare al 12 settembre 2026.
MEGA ATTACCO A TRE AEROPORTI BRITANNICI
I tre areoporti di Stansted, Manchester e East Midlands, posseduti da una stessa società, sono stati attaccati da pirati informatici che sono riusciti a catturare i dati di quasi 9 milioni di passeggeri. In particolare si tratta di dati di contatto, codici postali e targhe di automobili. La denuncia è stata fatta da Manchester Airports Group proprietario e gestore dei tre scali. Interessante sapere che gran parte dei dati esfiltrati sono stati inseriti dai passeggeri stessi utilizzando l’wifi gratuito dei terminal e i servizi relativi a parcheggi e Fast truck, da lì la tipologia particolare dei dati rubati. Secondo le dichiarazioni aziendali, non sarebbero stati presi dati bancari, relativi ai pagamenti e in termini di sicurezza dei voli non ci sono pericoli. I dati sottratti vengono rivenduti in rete e alcuni esperti ipotizzano che l’attacco sia stato fatto da cybercriminali russi, ma non c’è nessuna prova. I criminali hanno anche chiesto un riscatto, che stando ai media locali la compagnia aeroportuale si è rifiutata di pagare. L’episodio induce a rinnovare la precauzione di non usare wi-fi areoportuali, alberghieri e di stazioni ferroviarie o parchi, ma piuttosto la rete della propria compagnia telefonica che è molto più sicura dal punto di vista degli attacchi.
AI ACT: CONTROLLI SU 30 SOCIETA’ NELLA UE
Diventando operativo il 2 agosto una parte dell’AI Act, la Commissione europea ha avviato controlli presso oltre 30 società attive in Europa e legate all’IA. Da quando riportato dall’ufficio stampa della Commissione si tratta per ora di un’interlocuzione tra organi UE e aziende, non di ispezioni o sanzioni. Infatti i nomi delle aziende non sono stati resi pubblici. Secondo quanto riportato, il confronto serve anche a confrontarsi sul tema della cybersicurezza.
TEAMSYSTEM ATTACCATA ESFILTRATI DATI CONTABILI
Anche i cloud sono a rischio: lo dimostra l’attacco a TeamSystem che offre servizi di contabilità e gestione finanziari alle aziende. Sarebbero stati sottratti dati anagrafici, dati di contatto, coordinate Iban e movimentazioni contabili. Nonostante l’attacco risalga alla fine di agosto non sono state divulgate le informazioni sulla mole di clienti coinvolti e la quantità di dati rubati, tanto meno è stato spiegato come i malviventi sono penetrati nella piattaforma. Quel che si sa che sono stati colpiti alcuni utenti del software Contabilità in Cloud e dati inseriti dagli stessi nella piattaforma. TeamSystem assicura è che non sono a rischio le credenziali di accesso. I Dpo delle aziende che utilizzano la piattaforma devono fare controlli sul coinvolgimento o meno, individuare le persone e i dati interessati dal furto e valutare i rischi; quindi verificare se ci sia stato un data breach da notificare al Garante. Sul fronte pratico c’è il rischio di pagamenti bancari non autorizzati. Quindi il titolare dovrà controllare richieste di pagamenti, dati Iban del creditore per evitare di pagare finte fatture.
ATTENZIONE A SMALTIRE DOCUMENTI CARTACEI SECONDO LE NORME
A Pontinia, nel Lazio, delle guardie ittiche volontarie hanno scoperto una discarica abusiva di documenti con parecchi dati personali buttati alla rinfusa in un’area protetta. Si tratta di verbali, atti giudiziaria, multe, documenti relativi ad attività amministrative, pare provenienti da privati e da attività commerciali. L’episodio surreale ci fa rinnovare l’attenzione sulle corrette procedure di smaltimento degli archivi che prevedono la distruzione dei documenti con macchine apposite o il conferimento dei plichi ad aziende specializzate nello smaltimento.
Il Notiziario, coperto da copyright e creato senza il ricorso all’Intelligenza artificiale, è stato realizzato dall’Avv. Gianluca Amarù, l’Avv. Eleonora Maschio, il Dpo Marco Fossi consulente aziendale e Alessandra Fava giornalista e Dpo, riuniti nell’acronimo A2F Privacy&Compliance. Amarù, Fava e Fossi hanno pubblicato Manuale di accoglienza enti e autorità (Liberodiscrivere, 2019) , Howto – Come scrivere i documenti privacy (Liberodiscrivere 2020), Privacy in progress (editore FrancoAngeli, giugno 2021) e La Privacy dei dati digitali (FrancoAngeli editore, 2023), La Privacy del dato sanitario (FrancoAngeli, 2024), a firma di Amarù, Fava, Fossi e del DPO Ferdinando Mainardi. Nel 2025 è uscito per Mondadori l’instant book Smetti di farti spiare, a cura del presidente di Federprivacy Nicola Bernardi, con Amarù, Fava, Fossi. Infine Amarù, Fava, Fossi, Maschio hanno pubblicato NIS2: come rafforzare la cybersicurezza (FrancoAngeli, 2025).
