Cosa hanno in comune i principali quadri normativi
Avvertenza: quanto segue è una panoramica generale a solo scopo informativo e non costituisce una consulenza legale. Consulta un legale prima di trarre conclusioni sulla conformità della tua organizzazione ai requisiti applicabili.
Gran parte delle organizzazioni che devono gestire l’utilizzo dell’IA è soggetta contemporaneamente a più quadri normativi. Tra questi rientrano:
- Il regolamento UE sull’intelligenza artificiale, che classifica determinati utilizzi dell’IA ad alto rischio, come ad esempio nella selezione del personale, nell’istruzione, nelle infrastrutture critiche e nelle attività delle forze dell’ordine. Gli strumenti utilizzati in questi ambiti richiedono registri delle attività, supervisione umana e controlli dei rischi documentati.
- DORA e NIS2 impongono requisiti di resilienza digitale alle organizzazioni che operano nei mercati dell’UE. Questi requisiti possono riguardare anche le dipendenze da applicazioni SaaS con funzionalità di IA nei settori finanziario e infrastrutturale e nelle attività aziendali essenziali.
- Il NIST AI RMF e la norma ISO/IEC 42001 sono spesso rilevanti negli appalti delle grandi aziende e delle amministrazioni pubbliche. Se non puoi documentare quali strumenti IA utilizzi o dimostrare l’applicazione dei controlli di governance, potresti avere difficoltà a rispettare gli obblighi contrattuali che fanno riferimento a questi standard.
- Il GDPR attribuisce particolare importanza ai controlli tecnici nelle verifiche sui fornitori. Tuttavia, le indicazioni dell’EDPB e della CNIL sottolineano la necessità di valutare come i sistemi di IA trattano i dati personali durante l’addestramento, un aspetto che rientra nelle verifiche sui fornitori di IA previste dall’articolo 28.
Questi quadri normativi affrontano rischi diversi, ma condividono i medesimi requisiti operativi: un inventario degli strumenti di IA in uso, il monitoraggio degli accessi e prove dell’effettivo funzionamento dei controlli. Per soddisfare questi requisiti, la supervisione è fondamentale.
Molte organizzazioni non dispongono ancora di uno o più di questi elementi fondamentali, ma il rapporto LastPass 2026 sullo stato della sicurezza dell’IA e del SaaS ti aiuta a capire a quali interventi dare la priorità per colmare il divario tra i criteri definiti e le prove della loro applicazione.
Come prepararsi alle verifiche di conformità partendo dalla supervisione
Quali prove richiedono i revisori?
In genere, i revisori richiedono inventari degli strumenti IA, valutazioni dei rischi, controlli degli accessi e registri di monitoraggio che dimostrino l’effettiva applicazione dei criteri.
Tutti i quadri normativi prevedono lo stesso punto di partenza: sapere quali strumenti vengono effettivamente utilizzati prima di introdurre i controlli.
Individua: mantieni una visione costantemente aggiornata di tutti gli strumenti SaaS e IA cui accedono i dipendenti, compresi quelli utilizzati tramite account personali.
- LastPass Business Max crea l’inventario sempre aggiornato necessario per questa prima fase, rilevando gli strumenti SaaS e IA a cui i dipendenti accedono tramite l’estensione browser di LastPass.
Valuta: confronta l’inventario con i requisiti normativi applicabili alla tua organizzazione. Parti dalle categorie a rischio più elevato e amplia gradualmente la valutazione. Ogni strumento esaminato e documentato contribuisce a raccogliere le prove necessarie per dimostrare la conformità.
Gestisci: applica controlli sugli accessi proporzionati al livello di rischio di ciascuno strumento.
- Con LastPass, gli amministratori possono applicare regole specifiche per ogni applicazione al momento dell’accesso, creando così il registro dei controlli applicati necessario per questa fase.
Come riconoscere un’organizzazione pronta a dimostrare la conformità
Le organizzazioni che monitorano continuamente l’utilizzo dell’IA sono più preparate ad affrontare verifiche e valutazioni di conformità.
Grazie alle funzionalità di rilevamento e governance di LastPass, puoi:
- Conoscere i rischi più elevati a cui è esposta la tua organizzazione prima che li individuino i revisori.
- Concludere più rapidamente accordi con le grandi aziende. Quando i responsabili degli acquisti chiedono prove del monitoraggio attivo, puoi fornire registri delle attività anziché un semplice PDF contenente i criteri aziendali.
Nota: LastPass offre supervisione sugli accessi e registri dei controlli applicati, elementi comunemente richiesti dai quadri normativi. Come per qualsiasi soluzione tecnologica a supporto della conformità, i requisiti specifici applicabili alla tua organizzazione dipendono dal settore, dal Paese e dalle modalità di utilizzo. Un consulente legale qualificato può aiutarti a valutarli.
Tutti i dati sulla conformità nella governance dell’IA
Il rapporto LastPass 2026 sullo stato della sicurezza dell’IA e del SaaS analizza i tassi di adozione dell’IA, le lacune nella governance e la proliferazione delle applicazioni SaaS sulla base di dati reali raccolti nelle organizzazioni. I risultati si basano sulle risposte di 412 responsabili IT, sulle abitudini di accesso di 450.784 utenti appartenenti a 20.631 organizzazioni e sull’utilizzo delle applicazioni in 15.907 organizzazioni.
