NIS2 e il regolamento sull’intelligenza artificiale

1. Che cosa si eredita

AI-CLOUD è costruito sull’infrastruttura OpenKBS, che gira su AWS. Da lì vengono le certificazioni verificate da revisori indipendenti, che nessuno di noi si è rilasciato da solo: ISO/IEC 27001 (gestione della sicurezza delle informazioni), ISO/IEC 27017 (sicurezza nel cloud), ISO/IEC 22301 (continuità operativa), SOC 2 Type II e C5. I dati della piattaforma si trovano nella regione di Francoforte, in Germania — dentro l’Unione europea.

2. Se si rientra nell’ambito della NIS2

La direttiva — in Italia il D.lgs. 4 settembre 2024, n. 138, con l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità competente e CSIRT Italia come destinatario delle notifiche — obbliga i soggetti regolati a gestire il rischio della catena di fornitura, cioè a verificare sé stessi e i propri fornitori. Per un soggetto del genere AI-CLOUD è un fornitore su cui c’è qualcosa da mettere agli atti: infrastruttura certificata, dati nell’UE, cifratura in transito e a riposo, registro delle azioni dell’operatore e obbligo contrattuale di notifica in caso di incidente. Le risposte complete, insieme alla sezione su ciò che ancora non abbiamo, sono nella pagina Sicurezza dei dati.

3. Il regolamento sull’intelligenza artificiale

Il regolamento (UE) 2024/1689 si applica per fasi. Da febbraio 2025 sono in vigore le pratiche vietate (art. 5) e l’obbligo di alfabetizzazione in materia di IA (art. 4) — chi usa questi strumenti, o decide sulla base dei loro risultati, deve capire che cosa sta facendo. Da agosto 2026 valgono anche le regole per i sistemi ad alto rischio dell’allegato III: selezione del personale, credito e assicurazioni, istruzione, infrastrutture critiche. Se l’applicazione rientra lì, gli obblighi sono di chi la mette in servizio in qualità di deployer — la piattaforma non se li assume al posto suo, ma gli dà con che cosa assolverli.

4. Che cosa mette a disposizione la piattaforma

• Tracciabilità: per ogni richiesta si registra quale modello e quale sua versione è stata usata, quando e a quale costo — per progetto. È il registro che il revisore chiede di vedere.
• Una persona dentro la decisione: il risultato del modello non viene eseguito in automatico. Le azioni critiche passano da un’approvazione, non accadono da sole.
• Dichiarazione: i contenuti generati dall’intelligenza artificiale sono contrassegnati come tali — l’obbligo di trasparenza dell’art. 50.
• Dati nell’UE: la piattaforma e la banca dati stanno a Francoforte. Fa eccezione proprio l’elaborazione da parte del modello linguistico — il dettaglio è nella pagina «Sicurezza dei dati».

5. Dove passa la linea

Le certificazioni qui sopra appartengono all’infrastruttura, non a 3D Code EOOD. La conformità alla NIS2 e al regolamento sull’IA è del soggetto che le usa — un programma non rende conforme un’impresa e nessun fornitore può assumersela al posto suo. Quello che possiamo fare: compilare e firmare il questionario, sottoscrivere un accordo sul trattamento dei dati personali e mettere per iscritto che cosa sta sotto l’applicazione del Cliente. Basta scriverci dalla pagina Contatti.