Conforme perché protetto: la compliance che parte dal dato

Nessuna norma impone un algoritmo specifico, ma diverse chiedono una cifratura adeguata al rischio. L'art. 32 del GDPR cita esplicitamente la cifratura tra le misure tecniche adeguate; NIS2 e DORA richiedono protezione, controllo degli accessi e tracciabilità. Nella pratica si adottano AES-256 per i dati a riposo e TLS 1.3 in transito, con una transizione verso standard post-quantum per i dati che devono restare riservati per anni.

Non sempre, ma incide molto. L'art. 34 del GDPR prevede che la comunicazione della violazione agli interessati possa non essere necessaria se i dati coinvolti erano protetti con misure, come la cifratura, che li rendono inintelligibili a chi non è autorizzato. Restano validi gli altri obblighi, inclusa la notifica al Garante ex art. 33.

La Direttiva (UE) 2022/2555 è stata recepita in Italia con il D.Lgs. 138/2024. Impone a soggetti essenziali e importanti misure di gestione del rischio, controllo degli accessi, tracciabilità delle attività e notifica tempestiva degli incidenti, con responsabilità diretta degli organi di gestione. Il riferimento attuativo più aggiornato è la Determinazione ACN 127437 del 13 aprile 2026.

La Shadow AI è l'uso non governato di strumenti di intelligenza artificiale pubblici da parte dei dipendenti, ad esempio incollare documenti riservati in un chatbot esterno. Il dato esce dal controllo aziendale nell'istante in cui viene inviato a un LLM esterno, con rischi su GDPR e AI Act. Un'AI privata on-premise mantiene i documenti dentro il perimetro.

GDPR, NIS2 e DORA convergono su una richiesta pratica: dimostrare chi ha fatto cosa, quando e con quali autorizzazioni. Servono log inalterabili delle azioni sui dati (creazione, apertura, modifica, condivisione, revoca), estendibili anche a credenziali e chiavi API. La minaccia più difficile da intercettare è l'insider legittimo, che usa accessi validi oltre il dovuto.