PROGETTO COMPLIANCE INTEGRATA: IA, GDPR E CYBERSECURITY

Modulo 1 – La mappa: tre normative, un solo sistema
Perché GDPR, NIS2 e AI Act convergono: il dato, il sistema informativo e l’algoritmo come strati del medesimo oggetto;
Ambiti di applicazione e ruoli a confronto: titolare e responsabile del trattamento; soggetto essenziale e soggetto importante; fornitore e utilizzatore di sistemi di IA;
I punti di contatto operativi: analisi del rischio, accountability documentale, responsabilità degli organi apicali, gestione degli incidenti, formazione del personale, catena di fornitura;
il test di applicabilità: come si stabilisce in concreto a che cosa è tenuto un determinato ente;
esercitazione: autovalutazione guidata sui tre perimetri, condotta su un ente-tipo scelto in aula.

Modulo 2 – GDPR: dall’adempimento al sistema di gestione
Accountability e onere della prova: il registro delle attività di trattamento come strumento di governo e non come allegato formale;
La valutazione d’impatto sulla protezione dei dati: presupposti, redazione e aggiornamento, con il template europeo di riferimento;
Misure di sicurezza e catena dei responsabili: istruzioni, verifiche sui fornitori, servizi in cloud;
Violazione dei dati personali: valutazione del rischio, notifica, gestione dei quasi-incidenti e tenuta del registro delle violazioni;
La prassi recente dell’Autorità Garante: tracciamento nelle comunicazioni e-mail, tecniche di identificazione dei dispositivi nelle applicazioni, videosorveglianza;
Esercitazione: qualificazione e gestione di un incidente reale.

Modulo 3 – NIS2 e cybersecurity: obblighi di governance e misure
Perimetro soggettivo e categorizzazione: registrazione presso l’Agenzia per la cybersicurezza nazionale e criteri di classificazione;
Le responsabilità degli organi di gestione: approvazione delle misure, vigilanza, obbligo formativo e profili di responsabilità personale;
Le misure di sicurezza di base e il framework operativo: come si legge, come si compila, come si pianifica l’adeguamento;
La notifica degli incidenti a stadi e il suo coordinamento con la notifica prevista dal GDPR: una procedura unica, non due;
Sicurezza della catena di fornitura: requisiti contrattuali e verifiche;
Esercitazione: analisi delle lacune su un insieme selezionato di misure, con definizione delle priorità.

Modulo 4 – AI Act e legge italiana sull’IA: governare l’intelligenza artificiale
Classificazione per livello di rischio e calendario applicativo; distinzione fra chi sviluppa e chi utilizza il sistema;
Pratiche vietate e sistemi ad alto rischio, con approfondimento sul rapporto di lavoro: selezione, assegnazione dei compiti, valutazione e monitoraggio;
Obblighi di trasparenza sui contenuti generati o modificati mediante IA: marcatura, etichettatura, controllo editoriale;
L’alfabetizzazione in materia di IA come obbligo dell’organizzazione;
La legge nazionale sull’intelligenza artificiale: informazione ai lavoratori, ruolo delle rappresentanze, principio di sorveglianza umana;
Gli strumenti di governo: policy interna, referente per l’IA, registro dei sistemi, valutazione d’impatto;
Esercitazione: classificazione di cinque casi d’uso reali proposti dai partecipanti.

Costruzione del documento unico di compliance integrata: perimetro, attribuzione dei ruoli, cronoprogramma a dodici mesi, indicatori di monitoraggio, riesame periodico e relazione al vertice.