AI Act e NIS2:
tutto ciò che devi sapere
e come Digiup può supportare le aziende
AI Act e NIS2 stanno necessariamente ed inevitabilmente cambiando il modo in cui le aziende devono gestire tecnologia, dati e sicurezza.
Da una parte l’Unione Europea sta introducendo un quadro normativo specifico per l’intelligenza artificiale, dall’altra, la direttiva NIS2 innalza il livello di sicurezza informatica richiesto a numerose organizzazioni considerate essenziali o importanti per l’economia e la società.
Le due normative non riguardano soltanto il reparto IT, entrambe portano le aziende a interrogarsi su come vengono utilizzate le tecnologie digitali, quali rischi comportano, chi ne è responsabile e quali misure devono essere adottate per gestirli.
Ogni Azienda deve verificare il proprio stato ed intervenire ove necessario per gestire al meglio I rischi legati all’AI e alla cybersecurity.
AI Act e NIS2: due normative diverse, un obiettivo comune
L’AI Act, il regolamento europeo sull’intelligenza artificiale, introduce un approccio basato sul rischio per disciplinare lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di AI. Il regolamento distingue diverse categorie di rischio e stabilisce obblighi differenti in funzione del sistema e del suo utilizzo.
La NIS2, invece, riguarda la resilienza e la sicurezza dei sistemi informatici e di rete. La direttiva introduce requisiti di gestione del rischio cyber, obblighi di segnalazione degli incidenti e responsabilità per le organizzazioni che rientrano nel suo ambito di applicazione.
Sono quindi normative diverse, ma nella pratica si incontrano in un punto fondamentale: la necessità per l’azienda di conoscere e governare la propria tecnologia.
AI Act: cosa cambia per le aziende?
Il primo errore da evitare è pensare che l’AI Act riguardi soltanto chi sviluppa modelli di intelligenza artificiale. Il regolamento distingue, infatti, tra diversi ruoli e casi d’uso, tra cui fornitori e deployer, e gli obblighi dipendono dalla tipologia di sistema e dal suo livello di rischio.
Per un’azienda che utilizza strumenti di AI, quindi, la prima attività dovrebbe essere capire quali sistemi vengono effettivamente utilizzati, per quali finalità, quali dati trattano e quali decisioni supportano.
Ad esempio, un’azienda potrebbe utilizzare strumenti di AI generativa per creare documenti, chatbot per il servizio clienti, sistemi automatici per analizzare informazioni oppure applicazioni che supportano processi HR, finanziari o operativi.
Non tutti questi utilizzi hanno lo stesso livello di rischio, di conseguenza il regolamento adotta un approccio basato sul rischio e vieta alcune pratiche considerate inaccettabili, mentre per determinate applicazioni classificate come ad alto rischio sono previsti requisiti più stringenti.
Tra gli elementi che assumono particolare importanza ci sono la gestione del rischio, la qualità dei dati, la documentazione, la trasparenza, la supervisione umana, la cybersecurity e la capacità di monitorare il comportamento del sistema.
Il calendario di applicazione dell’AI Act è progressivo. Il regolamento è entrato in vigore nel 2024 e diverse disposizioni sono già applicabili; il quadro aggiornato prevede l’applicazione generale dal 2 agosto 2026, mentre alcune disposizioni relative ai sistemi classificati come ad alto rischio sono state differite al 2027 e al 2028.
Questo rende il 2026 un momento particolarmente importante per le aziende che utilizzano o stanno introducendo sistemi di AI.
Aspettare che la normativa sia completamente applicabile prima di iniziare a prepararsi potrebbe significare arrivare troppo tardi.
NIS2: la cybersecurity diventa una responsabilità organizzativa
Se l’AI Act introduce regole per l’intelligenza artificiale, la NIS2 porta la cybersecurity a un livello ancora più vicino alla governance aziendale.
La direttiva riguarda soggetti pubblici e privati appartenenti a specifici settori e, in generale, amplia il perimetro rispetto alla precedente NIS. Il suo obiettivo è garantire un livello elevato e uniforme di cybersicurezza nell’Unione Europea.
Il punto centrale non è semplicemente acquistare un nuovo software di sicurezza.
Le aziende non devono acquistare nuovi software di sicurezza, ma adottare misure tecniche, operative e organizzative adeguate alla gestione dei rischi. Il quadro comprende aspetti come analisi e gestione del rischio, gestione degli incidenti, continuità operativa, gestione delle crisi, sicurezza della supply chain, gestione delle vulnerabilità, crittografia, sicurezza delle risorse umane e autenticazione multifattore.
E, come già ampiamente discusso nei nostri articoli precedent, è necessario entrare nell’ottica che la sicurezza non riguarda più esclusivamente un problema del reparto IT ma deve essere assimilate ai processi aziendali standard.
E se si verifica un attacco?
È uno degli aspetti più importanti della NIS2.
Quando un soggetto essenziale o importante viene a conoscenza di un incidente significativo, la direttiva prevede un preallarme senza indebito ritardo e comunque entro 24 ore. La notifica dell’incidente deve seguire entro 72 ore, mentre una relazione finale deve essere presentata entro un mese, secondo le condizioni previste dalla direttiva.
Questo cambia radicalmente il modo in cui un’azienda deve prepararsi, non solo rilevando l’attacco ma mettendosi nella posizione di capire cosa è successo, valutarne l’impatto, raccogliere le informazioni necessarie, gestire la risposta e comunicare correttamente l’incidente.
In altre parole, la capacità di risposta diventa importante quanto la capacità di prevenzione.
AI Act e NIS2: perché le due normative si incontrano
A prima vista AI Act e NIS2 sembrano riguardare due mondi distinti.
In realtà, nelle aziende moderne, AI e cybersecurity sono sempre più interconnesse.
Un sistema di intelligenza artificiale tratta dati, comunica con applicazioni, può accedere a informazioni aziendali e, in alcuni casi, può interagire direttamente con infrastrutture e processi.
Allo stesso tempo, l’intelligenza artificiale può diventare uno strumento per migliorare la cybersecurity, analizzando grandi quantità di eventi, correlando informazioni e supportando gli operatori nella gestione degli incidenti.
Questo crea una situazione interessante: l’AI deve essere protetta, ma può anche contribuire a proteggere l’azienda.
Per questo una strategia di compliance efficace non dovrebbe affrontare AI Act e NIS2 come due progetti completamente separati.
Da dove dovrebbe partire un’azienda?
Il primo passo è capire cosa esiste già.
Prima di introdurre nuove procedure o acquistare nuove tecnologie, è necessario costruire una fotografia dell’ambiente aziendale.
Quali sistemi di AI vengono utilizzati? Chi li utilizza? Quali dati vengono elaborati? Quali fornitori sono coinvolti? Quali applicazioni sono connesse? Quali sistemi sono esposti a Internet? Quali account hanno privilegi elevati? Quali procedure esistono in caso di incidente?
Queste domande permettono di individuare il divario tra la situazione attuale e il livello di sicurezza e governance richiesto.
Da qui può partire un percorso strutturato di assessment, remediation e monitoraggio.
La compliance non dovrebbe diventare un progetto documentale
Uno dei rischi più frequenti quando entra in vigore una nuova normativa è trasformare la compliance in una raccolta di documenti.
Procedure, policy e registri sono importanti, ma da soli non rendono un’azienda più sicura.
Se una policy stabilisce che gli accessi privilegiati devono essere controllati, l’organizzazione deve essere effettivamente in grado di controllarli.
Se una procedura prevede la gestione degli incidenti, deve essere possibile rilevare l’incidente, analizzarlo, intervenire e documentare ciò che è successo.
Se l’azienda utilizza un sistema di AI che tratta dati sensibili o supporta un processo importante, deve sapere come funziona, quali dati utilizza e quali rischi introduce.
La compliance più efficace è quella che diventa parte dei processi quotidiani dell’azienda.
Come Digiup diventa di supporto?
È proprio in questo passaggio che un partner tecnologico può fare la differenza.
Digiup può supportare le aziende nell’affrontare AI Act e NIS2 partendo dalla situazione concreta dell’organizzazione e non dalla semplice interpretazione teorica della normativa.
Il percorso può iniziare da un assessment per comprendere l’attuale livello di esposizione, individuare le principali vulnerabilità e verificare quali processi, sistemi e tecnologie devono essere adeguati.
Per la NIS2 questo significa lavorare sulla sicurezza dell’infrastruttura, sulla gestione delle vulnerabilità, sul monitoraggio degli eventi, sulla protezione degli endpoint, sulla gestione degli accessi, sulla sicurezza della supply chain e sulla capacità di risposta agli incidenti.
Per l’AI Act significa invece aiutare l’azienda a comprendere come vengono utilizzati i sistemi di intelligenza artificiale, quali rischi introducono, quali dati vengono trattati e quali meccanismi di governance e controllo devono essere implementati.
L’obiettivo è “essere compliant” e costruire un’organizzazione capace di conoscere i propri rischi e di gestirli in modo continuativo con estrema consapevolezza.
Tecnologia, persone e processi
AI Act e NIS2 hanno anche un messaggio comune: la sicurezza non può essere affidata a una singola tecnologia.
Un firewall non rende automaticamente un’azienda conforme alla NIS2. Un software di AI Governance non rende automaticamente un’organizzazione conforme all’AI Act.
Per fare in modo che questa complessa macchina funzioni servono persone, processi, competenze e strumenti che lavorino insieme.
È necessario sapere chi prende le decisioni, chi gestisce gli incidenti, chi autorizza determinati accessi, chi controlla i sistemi di AI e come vengono documentate le attività.
La tecnologia diventa quindi un abilitatore della governance, non un suo sostituto.
Il 2026 è il momento giusto per iniziare
AI Act e NIS2 non sono solamente due nuovi adempimenti normativi, si definiscono come l’occasione per rivedere il modo in cui l’azienda gestisce tecnologia, dati, cybersecurity e rischio operativo, perché l’intelligenza artificiale sta entrando rapidamente nei processi aziendali e, contemporaneamente, la superficie di attacco continua ad ampliarsi.
Aspettare che un incidente renda evidente una vulnerabilità significa intervenire quando il problema è già iniziato.
Conoscere i propri sistemi, valutare i rischi e costruire processi di sicurezza adeguati significa invece prepararsi prima.