Linee guida CE sulla trasparenza dei contenuti generati da IA

La Commissione europea ha pubblicato le "Guidelines on Transparency of AI-Generated Content": https://digital-strategy.ec.europa.eu/en/policies/guidelines-transparency-ai-generated-content.

Sono riportate le analisi sui casi in cui gli utenti devono essere avvisati quando interagiscono con un sistema di IA e materiale generato da sistemi di IA deve essere marcato per darne evidenza.

Ringrazio Chiara Ponti degli Idraulici della privacy.

Appalti, ANAC boccia le certificazioni ISO come requisito di gara

Chiara Ponti degli Idraulici della privacy mi ha segnalato l'articolo "Appalti, ANAC boccia le certificazioni ISO come requisito di gara: esclusione illegittima": https://www.italiaoggi.it/enti-locali-e-pa/appalti-pubblici/appalti-anac-boccia-le-certificazioni-iso-come-requisito-di-gara-esclusione-illegittima-l09eke9k.

E' commentata la Delibera n. 218 del 10 giugno 2026: https://www.anticorruzione.it/en/-/delibera-n.-218-del-10-giugno-2026.

Essa, a sua volta, richiama l’art. 100, commi 11 e 12, del D. Lgs. n. 36 del 2023, come modificato dal decreto correttivo n. 209/2024.

Esso prevede che, nell'ambito della PA, le stazioni appaltanti possono richiedere, ai partecipanti alle gare, agli operatori economici, quale requisito di capacità tecnica e professionale, esperienze pregresse.  Viene precisato che le stazioni appaltanti "richiedono esclusivamente i requisiti di partecipazione previsti dai commi precedenti dal presente articolo”. Le certificazioni non sono contemplate e quindi non devono essere considerate come requisito "di partecipazione" (possono però, se capisco bene, essere usate come requisiti "premiali").

Nuova ISO/IEC 27000:2026

E' stata pubblicata la nuova ISO/IEC 27000:2026: https://www.iso.org/standard/27000.

C'è un post su LinkedIn con alcuni ulteriori dettagli: https://www.linkedin.com/posts/isoiec-27000-ugcPost-7478432923336019968-nPLG/.

Purtroppo, sembra che non ci sia più la versione gratuita.

Sanzione a Lepida per trattamenti scorretti di dati personali

Il Garante ha sanzionato Lepida, fornitore di servizi SPID; https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10263964.

Faccio le seguenti riflessioni e mi chiedo se sono condivise:

• giusto il censurare l'approccio "tutti possono vedere tutto", soprattutto considerando i grandi numeri di autorizzati e interessati;
• giusto il dire che i documenti "lavorati" vanno subito tolti dalla circolazione per quanto possibile;
• vedo come misura faticosa l'uso di viewer per i documenti, perché farla bene non è banale e fatta male non serve a niente;
• mi fa ridere la proposta di lanciare messaggi per ricordare ogni volta di cancellare i documenti perché già la terza volta verranno ignorati.

Scadenze NIS (ver 2)

Ho provato a riepilogare, soprattutto per me stesso, le scadenze NIS. Lo dico subito: Governo e ACN non ci stanno rendendo la vita facile e questo conferma la mia impressione, ossia che dietro a tutto questo c'è un'impostazione da "grande azienda" (o da "grande società di consulenza" o da "professore") e temo che non ne siano consapevoli (perché tutto ciò ha anche delle conseguenze).

Come sempre: segnalatemi errori.

Soggetti NIS: anni successivi

• Dal 1 gennaio al 28 febbraio: aggiornamento anagrafiche come richiesto dall'art. 7, comma 1 del D. Lgs. 138 e art. 11 Determinazione art. 7;
• fino al 14 aprile: ulteriore finestra di aggiornamento anagrafiche, come richiesto dall'art. 16 Determinazione art. 7 [questa pare ridondante, visto che le modifiche vanno comunicate entro 14 giorni];
• Dal 15 aprile al 31 maggio: aggiornamento anagrafiche (inclusi indirizzamento IP pubblico e i nomi di dominio, Stati membri in cui forniscono servizi, fornitori) come richiesto dall'art. 7, commi 4 e 5 del D. Lgs. 138 e art. 16 Determinazione art. 7;
• dal 1  maggio  al  30 giugno: elenco macro-aree e impatti, come richiesto dall'art. 30, comma 1 del D. Lgs. 138 e art. 20 Determinazione art. 7;
• Dal 1 settembre al 30 novembre: designazione del rappresentante NIS in Italia e aggiornamento; come richiesto dall'art. 7, commi 4 e 5 della determinazione art 7.

Soggetti NIS: modifiche

• entro 14 giorni dalla modifica: comunicazione ad ACN delle informazioni (art. 7 comma 7 del D. Lgs. 138 e art. 1 comma 1 lettera hh della Determinazione art. 7.

Soggetti NIS: inizializzazione:

• Dal 1 gennaio al 28 febbraio: iscrizione sulla piattaforma NIS (art. 7, comma 1 del D. Lgs. 138 e art. 11 Determinazione art. 7);
• Dal 15 aprile al 31 maggio: ulteriore anagrafiche, inclusi indirizzamento IP pubblico e i nomi di dominio, Stati membri in cui forniscono servizi, fornitori, sostituto punto di contatto (art. 7, commi 4 e 5 del D. Lgs. 138 e artt. 5 e 16 Determinazione art. 7);
• dal 1 gennaio 2027: obbligo di notificare gli incidenti per chi si è registrato nel 2026 (Determinazione art. 31;
• 31 luglio 2027: implementazione delle misure di sicurezza di base per chi si è registrato nel 2026 (Determinazione art. 31).

Riferimenti alle determine al 6 maggio 2026:

• Determinazione art. 7:  " Determinazione del Direttore generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 7, comma 6, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, recante termini, modalità e procedimenti di utilizzo e accesso alla piattaforma digitale nonché ulteriori informazioni che i soggetti devono fornire all’Autorità nazionale competente NIS e termini, modalità e procedimento di designazione dei rappresentanti NIS sul territorio nazionale" -- sul sito la si trova come "Determinazione ACN 127437/2026 - Piattaforma, Punto di contatto e sostituto, aggiornamento delle informazioni e rappresentante NIS di cui all'articolo 7 del decreto NIS".
• Determinazione art. 31: " Determinazione del Direttore Generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 31, commi 1 e 2, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, lettera l), che stabilisce i termini per l’adempimento agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto medesimo per i soggetti inseriti per la prima volta nell’elenco nell’anno solare 2026" --- sul sito la si trova come "Determinazione ACN 127434/2026 - Termini per i soggetti 2026 in relazione agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS".

Come scadenze, la Determinazione art. 7 copre anche quelle relative agli accordi di condivisione di cui alla "Determinazione del Direttore generale dell’Agenzia per la cybersicurezza nazionale di cui all’articolo 17, comma 4, del decreto legislativo 4 settembre 2024, n. 138, adottata secondo le modalità di cui all’articolo 40, comma 5, lettera f), recante le modalità con cui i soggetti essenziali e i soggetti importanti notificano all’Autorità nazionale competente NIS la loro partecipazione agli accordi di condivisione delle informazioni sulla sicurezza informatica" -- sul sito la si trova come "Determinazione ACN 136118 del 10 aprile 2025 – Notifica degli accordi di condivisione delle informazioni sulla sicurezza informatica di cui all'articolo 17 del decreto NIS".

Ringrazio Cristina Borghetti e Donato Taccogna degli Idraulici della privacy.