Cosa vi si applica
Tre di questi non li avete scelti.
È la distinzione che cambia tutto, e quasi nessuno la fa: alcuni obblighi derivano da una legge e si applicano a un'azienda che ne abbia i requisiti, voglia o no. Gli altri sono standard che si adottano per scelta. Confonderli fa spendere dove non serve, e lascia scoperto dove serve.
Obblighi di legge
Non si scelgono. Se i requisiti ci sono, si applicano — e la mancanza ha una sanzione.
- GDPR Regolamento (UE) 2016/679 dall'apertura
- AI Act Regolamento (UE) 2024/1689 dall'apertura
- NIS2 Direttiva (UE) 2022/2555 — in Italia, D.Lgs. 138/2024 dall'apertura
Standard volontari
Si adottano per scelta, di solito perché li chiede un cliente. Alcuni si certificano con un ente terzo, altri si applicano e basta. Sono a catalogo e aprono dopo i tre di legge.
- ISO/IEC 27001 Sicurezza delle informazioni a catalogo
- ISO/IEC 42001 Gestione dell'intelligenza artificiale a catalogo
- SOC 2 Trust Services Criteria, AICPA a catalogo
- NIST AI RMF AI Risk Management Framework 1.0 a catalogo
Come ci si arriva
Come si arriva a sapere cosa vi tocca.
Non con un questionario da ottanta domande, e non con una percentuale di conformità. In quattro passi.
-
Dite chi siete
Poche domande, e solo quelle che cambiano qualcosa: cosa fa l'azienda, quante persone, se l'intelligenza artificiale la usate o la fate. Il primo giorno basta la partita IVA.
-
Il prodotto calcola cosa vi si applica
Da quelle risposte discende quali obblighi vi riguardano, e ognuno arriva con la norma che lo impone scritta accanto — l'articolo, non una categoria inventata da noi.
-
L'inquadramento lo confermate voi
Il calcolo ve lo mostriamo per intero, ma la conclusione giuridica resta vostra: siete voi a chiudere, e la conferma è essa stessa un atto firmato, con i fatti di quel giorno dentro. Se il calcolo si muove, la vostra chiusura non diventa sbagliata: diventa superata.
-
Da lì nascono i documenti dovuti
Ognuno dice quale obbligo copre e cosa gli manca ancora. Quando è approvato e firmato viene sigillato, ed entra nel pacchetto che si verifica senza di noi.
Dove non sappiamo, non concludiamo. Alcune qualificazioni dipendono da soglie che il legislatore non ha ancora fissato. In quei casi il prodotto raccoglie i fatti e dice che non può decidere, invece di produrre un esito plausibile con la nostra marca temporale sopra.