AI Act: il rinvio high-risk non rinvia la governance
Cosa è cambiato
Dal 2 agosto 2026 l'AI Act è nella fase generale di applicazione. L'AI Omnibus, Regolamento (UE) 2026/1744, entrato in vigore il 27 luglio 2026, ha esteso le scadenze high-risk: 2 dicembre 2027 per i sistemi standalone dell'Allegato III, 2 agosto 2028 per i sistemi incorporati in prodotti già coperti dalla normativa di sicurezza di prodotto (Allegato I). Restano operative le disposizioni già applicabili, incluse quelle di trasparenza dell'art. 50 e gli obblighi GPAI.
Perché conta
Il rinvio riguarda un insieme di obblighi documentali, non la necessità di sapere quali sistemi esistono e come influenzano le decisioni. Uno stesso modello può passare da manutenzione a controllo del traffico, o da assistenza all'utente a supporto di decisioni sul personale — la classificazione dipende da intended purpose, ruolo nella decisione e impatto, non dall'etichetta commerciale.
Serve un controllo di portafoglio orientato ai casi d'uso — processo, decisione influenzata, dati, fornitore, ruolo provider/deployer, supervisione umana, evidenze e modifiche sostanziali — non un registro di modelli. Procurement e change management devono alimentare lo stesso inventario. La compliance documentale arriva dopo la capacità di osservare il ciclo di vita, non prima.
Cosa osservare
Altri segnali
AI Act: obblighi di trasparenza operativi dal 2 agosto 2026
La Commissione europea ha avviato l'applicazione delle regole di trasparenza dell'AI Act: i sistemi generativi devono segnalare i contenuti generati o alterati dall'AI con marcature leggibili da macchina, non solo dichiararlo nei termini di servizio.
NIST porta l'AI dentro l'analisi del Cybersecurity Framework 2.0
NIST ha pubblicato la bozza iniziale (Initial Public Draft) della Special Publication 1353, una quick-start guide che illustra modi pratici e concreti in cui l'AI e prompt strutturati possono supportare l'analisi, la pianificazione, l'implementazione e il monitoraggio degli obiettivi del Cybersecurity Framework 2.0.
Il controllo degli accessi si sposta dentro il database
NIST ha pubblicato l'Internal Report 8611, "m-NGAC: Transcending Traditional Database Security Models", che descrive un'implementazione del Next Generation Access Control embedded direttamente nel database, con applicazione della policy a livello di riga, colonna e campo, indipendentemente dallo strumento con cui il dato viene interrogato.