News

08/09/2026

Per questo SLS Avvocati ha raccolto in questa rubrica 10 domande concrete su AI, cybersecurity e impresa.
Non un semplice riepilogo delle novità normative, ma un percorso attraverso alcune delle questioni che le imprese dovrebbero iniziare a porsi oggi.
Le dieci domande non esauriscono le questioni giuridiche legate all'AI e alla cybersecurity, ma rappresentano alcuni dei temi che oggi richiedono maggiore attenzione da parte delle imprese, governare l'innovazione significa anche comprendere in anticipo rischi, responsabilità e obblighi di compliance.
1. AI Act: il 2 agosto è già passato. E adesso?
2. Il chatbot sa di essere un chatbot. Ma l'utente lo sa?
3. Se un dato è online, posso usarlo per addestrare un'intelligenza artificiale?
4. Quando l'AI incontra il GDPR, la tecnologia non basta.
5. Il vostro software HR utilizza l'AI? Il problema potrebbe non essere soltanto la privacy.
6. Se un'intelligenza artificiale crea un video falso di te, chi è responsabile?
7. NIS2: la cybersecurity non è più soltanto una questione dell'IT department.
8. Secure by Design: la cybersecurity non dovrebbe iniziare dopo il primo attacco.
9. AI Agents: e se l'AI agisse al posto nostro?
10. Il vostro avvocato può caricare un contratto su ChatGPT?
1. AI Act: il 2 agosto è già passato. E adesso?
Per mesi si è parlato dell'AI Act come di qualcosa che sarebbe “entrato in vigore” nel futuro. Quel futuro è arrivato. Dal 2 agosto 2026 sono diventate applicabili importanti disposizioni del Regolamento europeo sull'intelligenza artificiale, comprese quelle relative agli obblighi di trasparenza e alle attività di enforcement. Per le imprese, quindi, la vera domanda non è più: “Quando si applicherà l'AI Act?” La domanda è: “Sappiamo quali sistemi di intelligenza artificiale stiamo utilizzando e quali obblighi comportano?” Perché l'AI potrebbe essere già presente nell'azienda senza che sia stata formalmente identificata come tale. Può trovarsi nel software HR che seleziona i CV, nel chatbot del sito, nel programma che analizza documenti, negli strumenti di marketing, nei software utilizzati dal customer service o nelle applicazioni che i dipendenti utilizzano quotidianamente. E non sempre chi utilizza uno strumento AI si rende conto delle conseguenze giuridiche che possono derivarne. L'AI Act sta quindi spostando l'attenzione dalla semplice tecnologia alla governance dell'intelligenza artificiale. Non basta più chiedersi quale AI utilizzare. Bisogna sapere chi la utilizza, per quale finalità, con quali dati, con quale livello di autonomia e sotto la responsabilità di chi. Per molte imprese, la vera fase di compliance inizia proprio da qui.
2. Il chatbot sa di essere un chatbot. Ma l'utente lo sa?
Immaginiamo di entrare sul sito di un'azienda e iniziare una conversazione con un assistente virtuale. La conversazione è naturale. Le risposte sono immediate. Il sistema sembra quasi una persona. Ma il fatto che l'esperienza sia naturale non significa che l'utente debba essere lasciato nel dubbio. Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza previsti dall'AI Act e la Commissione europea ha pubblicato specifiche linee guida relative all'articolo 50 del Regolamento. Il tema non riguarda soltanto i chatbot. Riguarda anche determinati contenuti generati o manipolati mediante l'intelligenza artificiale, compresi i deepfake. Per le aziende questo significa che l'utilizzo dell'AI nei rapporti con clienti e utenti non è più soltanto una questione di tecnologia o di user experience. È anche una questione di trasparenza. Se utilizziamo un sistema AI per interagire con un cliente, generare contenuti o modificare un'immagine o un video, dobbiamo chiederci se e come l'utente debba essere informato. Una delle caratteristiche più interessanti del nuovo quadro normativo è proprio questa: alcune regole non intervengono sul modo in cui l'AI viene sviluppata, ma sul modo in cui le persone vengono messe in condizione di sapere che stanno interagendo con essa. La tecnologia può diventare sempre più indistinguibile dall'uomo. Il diritto, invece, chiede che questa distinzione rimanga visibile.
3. Se un dato è online, posso usarlo per addestrare un'intelligenza artificiale?
La risposta non è: “Sì, perché è pubblico.” L'esplosione dell'AI generativa ha reso questa una delle domande più importanti per imprese e sviluppatori. A luglio 2026 l'EDPB (European Data Protection Board) ha pubblicato le nuove Guidelines 03/2026 sul web scraping nel contesto dell'intelligenza artificiale generativa, attualmente sottoposte a consultazione. Il tema è particolarmente delicato quando lo scraping riguarda dati personali. Il fatto che una persona abbia pubblicato un'informazione su Internet non significa automaticamente che quella stessa informazione possa essere raccolta, aggregata su larga scala e utilizzata per addestrare un modello di AI senza ulteriori valutazioni. Entrano in gioco, tra gli altri, base giuridica del trattamento, trasparenza, minimizzazione, limitazione della finalità e, in determinati casi, le regole relative alle categorie particolari di dati. Ma c'è anche una questione ulteriore. Quanto deve essere lunga la “memoria giuridica” di un dato? Un'informazione pubblicata oggi online può essere raccolta domani da un sistema di scraping, utilizzata tra un anno per addestrare un modello e continuare a produrre effetti molto tempo dopo. L'AI generativa ci sta quindi costringendo a ripensare un principio che sembrava intuitivo: ciò che è accessibile non è necessariamente ciò che è liberamente utilizzabile. Per chi sviluppa o utilizza sistemi AI, conoscere l'origine dei dati non è più soltanto una questione tecnica. È una questione di compliance.
4. Quando l'AI incontra il GDPR, la tecnologia non basta
A luglio il Garante per la protezione dei dati personali ha sanzionato Character.AI per violazioni del GDPR. La sanzione è stata di 158.000 euro, accompagnata da specifiche misure correttive. Il provvedimento è interessante non tanto per l'importo della sanzione, quanto per ciò che racconta sul rapporto tra intelligenza artificiale e protezione dei dati personali. Quando sviluppiamo o introduciamo un servizio AI, infatti, la privacy non può essere considerata una componente da aggiungere alla fine del progetto. Deve entrare nella progettazione. Nel provvedimento il Garante ha richiamato, tra gli altri, profili relativi ad accountability, trasparenza, informativa, privacy by design e valutazione d'impatto. La domanda per un'impresa dovrebbe quindi essere posta fin dall'inizio: • quali dati vengono raccolti? • per quali finalità vengono utilizzati? • chi può accedervi? • dove vengono conservati? • cosa accade a quei dati una volta inseriti nel sistema? L'errore più semplice da commettere è pensare che il problema sia scegliere quale AI utilizzare. Il problema giuridico, invece, è capire come utilizzarla e cosa succede ai dati che le affidiamo.
5. Il vostro software HR utilizza l'AI?
Il problema potrebbe non essere soltanto la privacy Immaginiamo un'azienda che riceva 5.000 CV per una posizione aperta. Un software basato sull'intelligenza artificiale li analizza, assegna un punteggio e propone ai recruiter i 100 candidati più interessanti. Efficienza straordinaria. Ma giuridicamente? L'AI Act considera ad alto rischio determinate applicazioni dell'intelligenza artificiale utilizzate nell'ambito dell'occupazione e del reclutamento. La ragione è intuitiva. Un algoritmo che contribuisce a decidere chi supera una prima selezione non sta semplicemente organizzando informazioni. Sta incidendo sulle opportunità di una persona. Qui l'AI si intreccia inevitabilmente con GDPR, diritto del lavoro, non discriminazione e responsabilità dell'impresa. E c'è una domanda che ogni azienda dovrebbe porsi prima di acquistare un sistema di questo tipo: “Quanto della decisione stiamo effettivamente delegando alla macchina?” Dire che “la decisione finale è comunque del recruiter” potrebbe non essere sufficiente se il sistema ha già determinato quali candidati arriveranno davanti al recruiter e quali, invece, verranno automaticamente esclusi. L'intelligenza artificiale può rendere un processo di selezione più efficiente. Ma quando l'efficienza algoritmica incide sui diritti delle persone, la domanda non è più soltanto: “Quanto tempo possiamo risparmiare?” Diventa: “Quanto controllo umano dobbiamo conservare?”
6. Se un'intelligenza artificiale crea un video falso di te, chi è responsabile?
La domanda sembra appartenere alla fantascienza. Non più. La tecnologia consente oggi di creare immagini, video e registrazioni audio estremamente realistici di persone che non hanno mai pronunciato quelle parole o compiuto quelle azioni. Il problema, però, non è soltanto stabilire se quel contenuto sia falso. Il problema è stabilire chi può essere chiamato a risponderne. Chi lo ha creato? Chi lo ha pubblicato? Chi lo ha diffuso? Quale danno ha prodotto? La questione può coinvolgere contemporaneamente diritto all'immagine, privacy, reputazione, libertà di espressione, diritto d'autore e responsabilità delle piattaforme. Anche il nuovo quadro europeo sull'intelligenza artificiale introduce specifici obblighi di trasparenza per determinati contenuti generati o manipolati mediante AI. Più l'intelligenza artificiale diventa capace di imitare perfettamente la realtà, più diventa difficile per l'utente distinguere ciò che è autentico da ciò che non lo è. E forse è proprio questo il punto più delicato. La tecnologia ci sta rendendo sempre più bravi a creare una realtà che non è mai esistita. Il diritto dovrà diventare sempre più bravo a stabilire chi risponde quando quella realtà produce conseguenze vere.
7. NIS2: la cybersecurity non è più soltanto una questione dell'IT department
Per molto tempo un attacco informatico è stato considerato principalmente un problema tecnico. Un server viene compromesso. Il reparto IT interviene. Il sistema viene ripristinato. Oggi questa visione non è più sufficiente. La direttiva NIS2 ha rafforzato gli obblighi di cybersecurity per numerose organizzazioni e attribuisce un ruolo molto più significativo alla governance e agli organi di gestione. Il motivo è semplice. Un cyber attack può bloccare la produzione, interrompere la catena di fornitura, compromettere dati, generare responsabilità contrattuali e produrre un danno economico enorme. È, a tutti gli effetti, un rischio d'impresa. E quando parliamo di rischio d'impresa, inevitabilmente parliamo anche di amministratori e management. La domanda che un consiglio di amministrazione dovrebbe porsi non è quindi soltanto: “Abbiamo un buon antivirus?” Ma: “Se domani subissimo un attacco, potremmo dimostrare di aver gestito adeguatamente il rischio prima che accadesse?” La differenza non è sottile. Nel primo caso stiamo parlando di tecnologia. Nel secondo, di governance.
8. Secure by Design: la cybersecurity non dovrebbe iniziare dopo il primo attacco
Il 30 luglio ENISA ha pubblicato un nuovo Playbook dedicato al principio del Secure by Design and Default, con particolare attenzione alle esigenze delle PMI. Il principio è semplice: la sicurezza di un prodotto digitale non dovrebbe essere aggiunta alla fine del processo di sviluppo. Dovrebbe essere progettata insieme al prodotto. Se la sicurezza viene considerata soltanto alla fine, il problema diventa correggere vulnerabilità già presenti in un prodotto ormai sviluppato. Se invece la sicurezza diventa un requisito fin dalla progettazione, sviluppo, compliance e gestione del rischio possono procedere insieme. Il tema è particolarmente rilevante anche alla luce del Cyber Resilience Act, che introduce nuovi requisiti di cybersecurity per i prodotti con elementi digitali. Per le imprese che sviluppano software e prodotti connessi, la domanda dovrebbe quindi essere: “Abbiamo progettato il nostro prodotto considerando la sicurezza e i requisiti di compliance fin dall'inizio?” La cybersecurity sta progressivamente smettendo di essere una caratteristica tecnica aggiuntiva per diventare un requisito intrinseco del prodotto. E questo significa che anche il percorso di compliance deve iniziare molto prima del lancio sul mercato.
9. AI Agents: e se l'AI agisse al posto nostro?
Se un AI Agent conclude un contratto, chi ne risponde? È una domanda che fino a poco tempo fa sarebbe sembrata puramente teorica. Oggi lo è molto meno. Gli AI Agents possono essere progettati per pianificare attività, utilizzare strumenti, interagire con altri software e compiere autonomamente una serie di azioni per raggiungere un obiettivo. Ed è qui che nasce una questione giuridica completamente nuova. Immaginiamo che un AI Agent, sulla base delle istruzioni ricevute, selezioni un fornitore, negozi determinate condizioni e invii un ordine. Chi ha concluso il contratto? L'azienda? Il dipendente che ha attivato l'agente? Il fornitore del software? E cosa succede se l'agente prende una decisione che nessuno aveva previsto? Non basta più parlare semplicemente di “utilizzo dell'AI”. Dobbiamo iniziare a parlare di autonomia dell'AI. E questo apre questioni che riguardano diritto dei contratti, responsabilità, rappresentanza, poteri dei dipendenti, cybersecurity e rapporti con i fornitori tecnologici. La vera rivoluzione degli AI Agents potrebbe quindi non essere soltanto tecnologica. Potrebbe essere giuridica. Finché l'AI ci aiuta a decidere, il problema è capire se possiamo fidarci della sua risposta. Quando invece l'AI inizia ad agire autonomamente, la domanda diventa molto più importante: “Possiamo fidarci anche delle conseguenze delle sue azioni? E chi ne risponde?”
10. Il vostro avvocato può caricare un contratto su ChatGPT?
La domanda sembra provocatoria. In realtà è una domanda che dovrebbe porsi qualsiasi professionista che utilizzi strumenti di AI generativa. Immaginiamo un contratto di fornitura contenente prezzi, condizioni commerciali, informazioni sui clienti e dati personali. Un professionista potrebbe volerlo caricare su un sistema AI per confrontare due versioni, individuare clausole problematiche, sintetizzare il contenuto o suggerire possibili modifiche. Ma cosa succede ai dati che abbiamo appena caricato? Non esiste una risposta valida per qualsiasi sistema AI. Dipende dal servizio utilizzato, dalle condizioni contrattuali, dalle impostazioni, dalle modalità di conservazione dei dati e, soprattutto, dalla natura delle informazioni che stiamo fornendo. Un conto è chiedere all'AI di analizzare una clausola costruita appositamente per fare un test. Un altro è caricare il contratto reale di un cliente. E un altro ancora è inserire informazioni coperte da obblighi di riservatezza, dati personali o informazioni commercialmente sensibili. Il punto, quindi, non è decidere se utilizzare o meno l'intelligenza artificiale. È stabilire come utilizzarla. Per le aziende questo significa dotarsi di regole interne, individuare gli strumenti autorizzati e stabilire quali informazioni possono essere utilizzate con l'AI e quali, invece, devono rimanere fuori. Perché il rischio non è utilizzare l'intelligenza artificiale. Il rischio è utilizzarla senza sapere cosa stiamo affidando alla macchina.

E quindi, da dove dovrebbe partire un'impresa?Dalle domande.
Prima ancora di acquistare un nuovo strumento AI, integrare un chatbot, automatizzare una selezione del personale o affidare dati aziendali a un sistema generativo, l'impresa dovrebbe sapere:
• quali sistemi di AI sta già utilizzando;
• per quali finalità vengono utilizzati;
• quali dati vengono trattati;
• quali decisioni vengono influenzate o assunte dal sistema;
• quale livello di autonomia possiede;
• chi ne è responsabile internamente;
• quali fornitori tecnologici sono coinvolti;
• quali obblighi di trasparenza, privacy, cybersecurity e governance devono essere rispettati.

La vera sfida della nuova stagione digitale non sarà quindi soltanto utilizzare meglio l'intelligenza artificiale. Sarà governarla. E, soprattutto, sapere dove finisce la tecnologia e dove iniziano le responsabilità dell'impresa.

SLS Avvocati può supportare le imprese nella valutazione dei rischi e degli obblighi di compliance legati all'AI e alla cybersecurity”; Per le imprese, governare l'innovazione significa anche comprendere in anticipo rischi, responsabilità e obblighi di compliance.
SLS Avvocati assiste imprese e professionisti nell'analisi degli aspetti giuridici connessi all'utilizzo dell'intelligenza artificiale, alla protezione dei dati, alla cybersecurity e alla governance dei processi digitali. Il presente approfondimento ha finalità esclusivamente informative e non costituisce parere legale.