EN 18286 e armonizzazione con l'AI Act

Con la Decisione di esecuzione 2026/2274, la Commissione europea ha indicato la prima norma armonizzata ai sensi del Regolamento europeo 2024/1689 sull'IA: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32026D2274.

Essa indica come norma armonizzata la EN 18286:2026 dal titolo "Intelligenza artificiale — Sistema di gestione della qualità ai fini dei requisiti normativi del regolamento dell’UE sull’IA": https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:80556,2916257&cs=12A382BDB5385F509EBAA7CD4808AFBF3.

Interessante un lungo documento di Cirilli e Perrone dal titolo "AI Act, legge 132/2025, EN 18286, ISO/IEC 42001" (segnalatomi da Biagio Lammoglia): https://zenodo.org/records/23402613.

Ho letto solo la parte relativa alla EN 18286 e, francamente, mi sembra che ci sia tanto rumore per nulla. Copio-incollo il documento di Cirilli e Perrone: "ai sensi dell’art. 40 dell’AI Act, chi applica la norma [in questo caso la EN 18286] gode della presunzione di conformità ai requisiti corrispondenti [in questo caso quelli dell'articolo 17 "Sistema di gestione della qualità"], delimitati dall’Allegato ZA della norma stessa". Mi sembrano più i punti dichiarati non coperti di quelli coperti.

Va detto che è sempre bene avere un riferimento per soddisfare i requisiti normativi e questa EN 18286 ne è uno. Infatti, in caso di ispezione delle autorità è bene disporre di modelli riconosciuti.

D. Lgs. 179 del 2026 - Regole italiane per l'IA

E' stato pubblicato il D. Lgs. 179 del 2026 che "stabilisce regole armonizzate sull'intelligenza artificiale, in materia di poteri delle Autorità nazionali e di utilizzo dell'intelligenza artificiale nella formazione": https://www.normattiva.it/eli/id/2026/10/08/26G00200/ORIGINAL.

Localizza alcuni punti dell'AI Act, come previsto dallo stesso.

Tutta la prima parte suddivide i poteri in particolare tra AgID, ACN e Banca d'Italia. Come ci aspettavamo, ACN ha poteri di vigilanza.

Curiosamente, a mio parere, dà ad AgID la parte relativa all'autorità di notifica, ossia alla certificazione dei prodotti con IA. Dico "curiosamente" perché al momento mi sembra che le competenze siano in ACN, con il CSA e il CRA. Ma forse sbaglio io.

Specifica le sanzioni e regolamenta gli "Spazi di sperimentazione normativa".

Il Capo III, dall'articolo 36, tratta molto della formazione in materia di IA. Io penso che ci sia molta carenza in materia di uso degli strumenti informatici in generale e soprattutto sui loro impatti sociali, lavorativi e nell'ambito della formazione scolastica (si pensi a quanto poco siamo consapevoli della necessità della disconnessione, a partire dagli insegnanti che aggiornano i sistemi o interagiscono con gli studenti negli orari più assurdi). In parte questo D. Lgs. ne approfitta e include anche formazione sui social, ma io penso che andrebbe fatto un ragionamento più generale. La formazione è ripresa dall'articolo 43 e seguenti.

L'articolo 41 riguarda la "Tutela del lavoratore nei processi decisionali assistiti da sistemi di intelligenza artificiale". Richiede un intervento umano nelle decisioni relative ai lavoratori, ma non in ambito di ricerca e selezione. Questo è ripreso anche dall'articolo 48, che permette l'uso di sistemi di IA nei servizi di orientamento, incontro tra domanda e offerta di lavoro.

L'articolo 42 riguarda la sicurezza sul lavoro e in particolare la necessità di valutare i rischi dell'uso dell'IA per la salute e la sicurezza dei lavoratori.

L'articolo 52 include tra i segreti commerciali i dati di addestramento dei sistemi di IA.

L'ho trovato molto complesso da leggere. Quindi invito a segnalarmi errori e carenze.

2025 ISO Survey Results

Ogni anno IAF mette a disposizione i dati sul numero di certificati ISO nel mondo: https://www.iafcertsearch.org/analytics/iso-survey.

Non mi sembrano ci siano notizie inaspettate (la ISO 9001 è la più utilizzata, seguita dalla ISO 14001). Se però altri hanno altre impressioni, me le facciano sapere.

Convegno "Sotto attacco" (e Gli uomini possono fare tutto - Ottobre 2026)

Un momento di glorificazione personale.

Il 1 ottobre ho partecipato all'evento "Sotto attacco" alla Fiera di Treviglio.

Qui c'è un video in cui non si sente cosa dico, ma c'è una musica che sembra che sia molto ispirato: https://www.youtube.com/watch?v=Aqyh0CYznQc.

Qui invece citano alcuni miei passaggi (un pelo edulcorati): https://www.pianuranetwork.com/cybersecurity-per-colpire-il-grande-si-passa-dal-piccolo-fornitore-e-chi-e-impreparato-esce-dalla-filiera/.

E' stato divertente andarci. Peccato dover essere tornato a casa di gran carriera perché un figlio non stava bene (raffreddori e influenze di stagione, che ha fatto il piacere di passarli a me) e dovevamo fare un passaggio di consegne tra genitori. Vabbè... ogni tanto anche gli uomini devono rinunciare a cene offerte per i figli.

Stato degli standard ISO/IEC 270xx (ottobre 2026)

La settimana del 28 settembre si è tenuto l'incontro semestrale del  SC 27 WG 1, che gestisce alcuni standard importanti per la sicurezza delle informazioni; in particolare la ISO/IEC 27001.

Il WG 1, che si occupa degli standard relativi ai sistemi di gestione, ha lavorato sulle prossime versioni di:

• ISO/IEC 27003, relativa all'interpretazione della ISO/IEC 27001; se ne prevede la pubblicazione a inizio 2028;
• ISO/IEC 27004 sulle misurazioni per il sistema di gestione per la sicurezza delle informazioni; se ne prevede la pubblicazione ad aprile 2027;
• ISO/IEC 27007 con indicazioni per la conduzione degli audit sulla ISO/IEC 27001, ulteriori rispetto a quelle già presenti nella ISO 19011; se ne prevede la pubblicazione ad aprile 2027;
• ISO/IEC 27008 con indicazione per le verifiche dei controlli di sicurezza delle informazioni; forse dovranno ripartire i lavori da capo;
• ISO/IEC 27102 per supportare le ciber-assicurazioni; se ne prevede la pubblicazione a inizio 2028. 

Insomma, non ci sono stati aggiornamenti particolarmente significativi. Mentre ricordo che proprio recentemente è stata pubblicata la nuova versione della ISO/IEC 27017, di importanza per il mercato italiano dei fornitori di servizi cloud.

Nello stesso periodo si è tenuto l'incontro del WG 5 a Kaunas, in Lituania. Io mi occupo soprattutto di ISO/IEC 27701 e ISO/IEC 27018 e queste, anche a causa della loro recente pubblicazione, non sono state oggetto dell'incontro

VERA 8.0.3

Ho caricato la versione del VERA 8.0.3 in italiano e inglese: https://github.com/CesareGallotti/VERA.

Il VERA è il mio foglio di calcolo per la valutazione del rischio. Alcuni lo apprezzano, altri no, ma non danno valide alternative soprattutto per le PMI. Quindi questo è.

L'ho aggiornato con i controlli della ISO/IEC 27017:2026, ISO/IEC 27018:2025 e ISO/IEC 27701:2025. Dovrei essere a posto per un po'. Però ACN sta già facendo circolare bozze di misure NIS "rafforzate" e minaccia di pubblicarle a febbraio. Su questa iper regolamentazione italiana nell'iper regolamentazione europea ho molte perplessità, ma non è questo il post dove esprimerle.

In questa versione ho apportato anche molte correzioni e ringrazio Alessandro Epiglotti, Roberto Giuliani (che mi fatto anche un controllo con l'IA e quindi mi ha costretto a correggere numerosi errori di formula e a usare HLOOKUP e VLOOKUP e non XLOOKUP per compatibilità), Arturo Messina, Antonio Ostuni, Fernando Rossi (Security Lab Advisory).

Alessandro Epiglotti mi ha anche fatto osservare che il foglio non è più very easy. Ha ragione e quindi ho deciso che l'acronimo è "Valuable enhanced risk assessment". Magari qualcuno ha idee migliori.

Penso sempre che sia un approccio relativamente semplice da seguire. Ma effettivamente il foglio non lo è più.

Cyber warfare - Milano 4 novembre 2026

Il 4 novembre, a Milano in Città Studi, ci sarà il DFA Open Day 2026. Quest'anno è dedicato al Cyber Warfare: https://www.eventbrite.it/e/biglietti-dfa-open-day-2026-cyber-warfare-1993848347079.

Non è proprio un tema su cui sono concentrato, ma l'open day è sempre un'occasione per me preziosa e non solo perché faccio parte degli organizzatori.

Quindi spero che qualcuno coglierà l'occasione per partecipare (iscrivendosi prima, così ci organizziamo meglio).