La scadenza prevista dalla legge dell’UE sull’IA potrebbe slittare, ma la vulnerabilità dei vostri dati relativi all’IA non aspetterà

La fase più impegnativa della legge dell’UE sull’intelligenza artificiale è prevista per agosto 2026, anche se Bruxelles sta cercando di posticiparla al 2027. Per i team addetti alla sicurezza e alla protezione dei dati, tale data rappresenta un elemento di distrazione. La vera prova consiste nel verificare se si riesce a constatare che l'intelligenza artificiale sta già trasferendo i vostri dati.

Al momento, tra i vertici del settore della sicurezza circola una storia rassicurante. Funziona così. Gli obblighi più onerosi previsti dalla legge dell’UE sull’intelligenza artificiale erano da sempre fissati per agosto 2026; il pacchetto “Digital Omnibus” li rinvierà a dicembre 2027, garantendo così un po’ di respiro. Quella storia è vera solo per metà. La conclusione è errata.

Qual è la situazione attuale in termini di tempistiche

Ecco come stanno realmente le cose. La legge sull'intelligenza artificiale è in vigore dall'agosto 2024 e viene applicata in più fasi. Le pratiche vietate e gli obblighi in materia di alfabetizzazione all’IA sono in vigore dal febbraio 2025. Le norme di governance e gli obblighi relativi all'intelligenza artificiale a uso generale sono in vigore dall'agosto 2025. Gli obblighi relativi ai sistemi ad alto rischio erano previsti per il 2 agosto 2026, e tale data rimane tuttora valida ai fini della conformità. Il “Digital Omnibus”, concordato in linea di principio dalle istituzioni dell’UE, rinvierebbe gli obblighi ad alto rischio al 2 dicembre 2027, ma entrerà in vigore solo una volta formalmente adottato e pubblicato. Fino a quando ciò non accadrà, la data prevista rimane agosto 2026. Le sanzioni previste dalla legge possono arrivare fino a 35 milioni di euro o al 7% del fatturato globale e si applicano alle imprese al di fuori dell’UE che immettono sistemi di intelligenza artificiale sul mercato dell’UE.

Pertanto, la data potrebbe subire variazioni. Notate ciò che non si muove insieme ad esso.

La legge dell'UE sull'intelligenza artificiale viene applicata in più fasi. L'agosto 2026 rimane in vigore a meno che il "Digital Omnibus" non venga prima adottato formalmente.

La data cambia, ma l’obbligo rimane

La legge sull'intelligenza artificiale non sostituisce il GDPR. Entrambe le disposizioni si applicano contemporaneamente a qualsiasi sistema di intelligenza artificiale che tratti dati personali; ciò significa che i Suoi attuali obblighi in materia di protezione dei dati non subiscono alcuna modifica a causa di eventuali ritardi nella tempistica prevista per i sistemi ad alto rischio. Gli obblighi in materia di alfabetizzazione e governance dell’IA già in vigore presuppongono qualcosa che la maggior parte delle organizzazioni non è ancora in grado di garantire: una comprensione chiara e aggiornata di quali sistemi di IA siano in funzione all’interno dell’azienda e a quali dati essi abbiano accesso. La tenuta dei registri, il controllo umano e la gestione dei rischi non sono semplici formalità burocratiche. È impossibile eseguirle su un’attività che non si vede.

Questo è il divario, e si sta ampliando più rapidamente rispetto alla normativa. Ben l’80% delle aziende della classifica Fortune 500 utilizza attualmente agenti di intelligenza artificiale attivi, eppure solo il 14% di esse dispone di un’autorizzazione di sicurezza completa per tali sistemi. Gli agenti e gli strumenti di intelligenza artificiale stanno accedendo a dati sensibili attraverso canali che i controlli tradizionali non sono mai stati progettati per monitorare: flussi di lavoro collegati all’MCP, agenti commerciali, automazioni create dai dipendenti e strumenti di intelligenza artificiale “ombra” che nessuno ha mai approvato. La perdita di dati non è più solo un problema legato alle persone. Un agente che agisce per conto di un dipendente può trasferire un file riservato in pochi secondi, e la maggior parte dei sistemi di sicurezza non rileverà mai che ciò sia avvenuto.

In che cosa consiste concretamente la preparazione

Ecco perché non è opportuno basare la propria pianificazione sulla scadenza. Indipendentemente dal fatto che gli obblighi ad alto rischio entrino in vigore nel 2026 o nel 2027, il lavoro necessario per rendere un’organizzazione a prova di contestazione è lo stesso, e deve iniziare fin da ora.

In primo luogo, si crei un inventario aggiornato delle tecnologie di intelligenza artificiale in uso, sia autorizzate che non autorizzate, e si associ tale inventario ai dati a cui esse possono accedere. Non è possibile governare, riferire o sostenere ciò che non si vede. Incydr è stato progettato per fornire ai team di sicurezza tale visibilità proprio nel punto in cui i dati circolano effettivamente, tra endpoint, browser, soluzioni SaaS e strumenti di intelligenza artificiale, coprendo l’intero percorso dei dati aziendali dall’ingresso all’uscita.

Incydr garantisce una visibilità completa, dall’ingresso all’uscita, sui percorsi utilizzati dagli agenti e dagli strumenti di intelligenza artificiale per il trasferimento dei dati.

In secondo luogo, assumete rapidamente il controllo. I tempi previsti dalla normativa sono ridotti, e un’implementazione che richiede diversi trimestri non è di alcun aiuto quando l’obbligo è già in vigore. Il vantaggio di Incydr rispetto alle soluzioni DLP tradizionali, basate sulla classificazione dei contenuti e particolarmente complesse, è la velocità: una visibilità utile ottenibile in pochi giorni, anziché un programma che si protrae per diversi trimestri e che, prima ancora di produrre risultati, risulta ormai superato.

In terzo luogo, valutate l’intenzione, non solo il contenuto. Le autorità di vigilanza, i revisori e il vostro stesso modello di rischio attribuiscono tutti grande importanza al fatto che un’esposizione sia stata causata da dolo, negligenza o da un’operazione di routine. Gli strumenti incentrati esclusivamente sui contenuti non sono in grado di fornirvi questa informazione. Incydr valuta il contesto relativo al trasferimento dei dati, consentendo così ai team di concentrare la propria attenzione sugli eventi che comportano un rischio reale, anziché dedicarsi a ogni singolo falso positivo.

Gli agenti estendono questo stesso problema a nuovi ambiti, ed è proprio in questa direzione che si sta orientando la categoria. In occasione dell’RSAC 2026, Mimecast ha presentato in anteprima l’Agent Risk Center, un’estensione di Incydr progettata per individuare, gestire e porre rimedio alle esposizioni dei dati, indipendentemente dal fatto che l’azione provenga da un dipendente o da un agente che agisce per suo conto. Il principio è coerente con quanto esposto in precedenza: una visione unitaria dell’attività relativa ai dati relativi alle persone e agli agenti, una governance misurabile e misure correttive che collegano un riscontro a un’azione concreta. È la risposta logica a un contesto normativo che vi richiederà sempre più spesso di rendere conto del software autonomo allo stesso modo in cui si rende conto del personale.

Le squadre che saranno pronte non sono quelle che seguono il calendario dei triloghi. Sono proprio loro a considerare l’agosto 2026 come la spinta determinante che effettivamente rappresenta, un motivo per capire, finalmente, cosa stia facendo l’intelligenza artificiale con i propri dati. La data potrebbe subire variazioni. L'esposizione è già una realtà.

Per colmare il divario di preparazione all’intelligenza artificiale occorre partire da una “Proof of Value” di Incydr

Una prova di valore della durata di 30 giorni, limitata a 50-100 utenti in un reparto ad alto impiego di IA come quello di ingegneria, fornisce un quadro utilizzabile già dalla prima settimana. Entro il trentesimo giorno, disporrete di prove, controlli e di un quadro di governance da presentare al consiglio di amministrazione e alle autorità di vigilanza.