Nel 2026 le imprese che usano IA e servizi digitali critici entrano in una fase in cui la conformità non è più “nice to have”: scattano obblighi stringenti su governance dell’IA, misure di cybersicurezza e notifiche degli incidenti, con sanzioni rilevanti in caso di inadempienza.
Quadro normativo 2026 in sintesi
- AI Act UE: dal 2 agosto 2026 diventano operative le norme sull’IA ad alto rischio e gli obblighi di trasparenza verso gli utenti (es. avviso quando interagiscono con un sistema IA o vedono contenuti generati da IA).
- Direttiva NIS2 in Italia (d.lgs. 138/2024): dal 1° gennaio 2026 entrano in vigore gli obblighi operativi di sicurezza per le entità essenziali e importanti (settori energia, sanità, trasporti, infrastrutture digitali, servizi digitali ecc.).
- Legge italiana 132/2025 sull’IA: integra l’AI Act con principi nazionali su trasparenza, sicurezza, cybersicurezza lungo il ciclo di vita dei sistemi IA e tutele in ambito lavoro e privacy.
IA: nuovi obblighi per le imprese
- Dal 2026 i sistemi IA ad alto rischio (es. scoring creditizio, HR, infrastrutture critiche, sanità) dovranno essere mappati, classificati per livello di rischio e documentati (dataset, versioni modello, log, supervisione umana).
- Scatteranno obblighi di trasparenza: informativa chiara quando un utente interagisce con un sistema IA o fruisce di contenuti sintetici, in linea con l’art. 50 dell’AI Act.
- La Legge 132/2025 richiede che la cybersicurezza sia garantita come precondizione “lungo tutto il ciclo di vita” dei sistemi e modelli IA, con particolare attenzione ai sistemi a finalità generali.
Cybersicurezza: cosa cambia con NIS2
- Le imprese rientranti nel perimetro NIS2 devono registrarsi sulla piattaforma ACN entro il 28 febbraio 2025 e adeguare misure tecniche e organizzative entro il 1° gennaio 2026 (gestione rischi, controlli accesso, crittografia, business continuity, formazione personale).
- Dal gennaio 2026 diventano vincolanti le modalità di gestione e notifica degli incidenti significativi: pre-notifica al CSIRT Italia entro 24 ore, notifica completa entro 72 ore, relazione finale entro 30 giorni.
- Entro il 30 settembre 2026 i soggetti NIS devono dimostrare la piena implementazione delle misure di sicurezza previste dagli allegati ACN, con possibili audit e ispezioni.
AI Act vs NIS2 per le aziende
| Profilo | AI Act (IA) | NIS2 (cybersicurezza) |
|---|---|---|
| Ambito | Sistemi e modelli di IA, soprattutto alto rischio e GPAI. | Reti e sistemi informativi in 18 settori critici. |
| Focus principale | Rischi per diritti fondamentali, trasparenza, controllo umano. | Continuità operativa, resilienza e gestione incidenti cyber. |
| Obbligo chiave | Mappare IA, classificare rischio, documentare, informare utenti. | Gestire rischi, implementare misure minime, notificare incidenti al CSIRT. |
| Tempistica 2026 | Dal 2 agosto 2026 per alto rischio e trasparenza. | Dal 1° gennaio 2026 obblighi operativi; full implementation entro 30/09/2026. |
Cose pratiche da fare nel 2026
- Avviare un inventory incrociato: dove c’è IA (anche embedded in SaaS) e quali sistemi rientrano nel perimetro NIS2.
- Aggiornare policy, DPIA e risk assessment integrando requisiti AI Act, Legge 132/2025, NIS2 e GDPR, con log, tracciabilità e supervisione umana per processi automatizzati critici.
- Definire una governance unificata (compliance–IT–security–HR–legale) e procedure di incident management che coprano sia data breach sia incidenti legati a sistemi IA (es. output malevoli, compromissione modelli).
Rientrano nell’ambito NIS2 in Italia le medie e grandi imprese (e alcune P.A. e PMI critiche) che operano in 18 settori “essenziali” o “importanti”, come energia, trasporti, sanità, finanza, infrastrutture digitali, servizi digitali e parte della manifattura.
Criteri generali di inclusione
- La NIS2 si applica in via ordinaria alle imprese con almeno 50 dipendenti o fatturato annuo superiore a 10 milioni di euro, se attive nei settori indicati negli allegati I e II.
- Alcune categorie sono incluse a prescindere dalle dimensioni (es. organi costituzionali, ministeri, alcune infrastrutture critiche e operatori di servizi digitali chiave).
Settori “ad alta criticità” (entità essenziali)
Esempi di soggetti tipicamente classificati come essenziali (Allegato I / settori ad alta criticità):
- Energia: produzione, trasmissione e distribuzione di elettricità, gas, petrolio, idrogeno, teleriscaldamento/raffrescamento.
- Trasporti: aereo, ferroviario, marittimo, su strada (es. gestori infrastrutture, grandi operatori logistici).
- Bancario e infrastrutture dei mercati finanziari: banche, sistemi di pagamento, controparti centrali.
- Sanità: ospedali, cliniche, laboratori, produttori di farmaci e dispositivi medici critici.
- Acqua potabile e acque reflue: gestori idrici e depurazione.
- Infrastrutture digitali: data center, cloud, DNS, IXPs, reti di distribuzione contenuti, trust services.
- Pubblica amministrazione centrale e alcune PA regionali, oltre al settore “spazio” (operatori infrastrutture spaziali).
Altri settori critici (entità importanti)
Esempi di soggetti importanti (Allegato II / altri settori critici):
- Servizi postali e corrieri.
- Gestione dei rifiuti (raccolta, trattamento, riciclo).
- Chimica (produzione/distribuzione prodotti chimici).
- Agroalimentare: produzione, trasformazione e distribuzione industriale di alimenti.
- Manifattura in specifici comparti: dispositivi medici, elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto.
- Fornitori di servizi ICT gestiti (MSP/MSSP), altri servizi digitali B2B, organizzazioni di ricerca.
Essenziali vs importanti: logica di classificazione
Come capire se una specifica azienda rientra
- Verificare:
- settore di attività rispetto agli elenchi di Allegato I e II (o agli schemi riassuntivi pubblicati da ACN/ministeri/associazioni di categoria).
- dimensioni (soglia 50 dipendenti / 10M € fatturato) e ruolo nella filiera (fornitore essenziale di un soggetto NIS2).
- In Italia l’ACN e le autorità di settore stanno comunicando via PEC ai soggetti individuati l’obbligo di registrazione e di adeguamento.
＼ Get the latest news ／
