Nell’ambito dei sistemi di AI assumono un ruolo rilevante i rischi connessi al trattamento dei dati personali. Nulla di nuovo. Ma quali sono? cerchiamo di esplorarne due tra i più significativi e le conseguenti misure da mettere in atto per mitigarli.

Il 14 ottobre 2025, l’International Organization for Standardization (ISO) e l’International Electrotechnical Commission (IEC) hanno annunciato il rilascio della seconda edizione della norma ISO/IEC 27701, lo standard internazionale per i Sistemi di Gestione delle Informazioni sulla protezione dei dati personali (PIMS - Privacy Information Management Systems).

I princìpi OCSE sulla protezione dei dati personali hanno rappresentato il primo vero standard internazionale di riferimento in materia di privacy. Ecco perchè si può affermare che il GDPR sistematizza e rafforza i principi OCSE, traducendoli in obblighi operativi verificabili.

Nel sistema di governance privacy delineato dal GDPR, il Responsabile della Protezione dei Dati (Data Protection Officer) riveste un ruolo centrale che deve garantire, tra le altre misure, anche la continuità in caso di sua assenza o indisponibilità.

Nel contesto dei rapporti di lavoro, il principio di non discriminazione si declina non solo come divieto di trattamenti differenziati ingiustificati, ma anche come obbligo per il datore di lavoro di adottare misure organizzative, procedurali e culturali idonee a prevenire comportamenti lesivi della privacy e della dignità e dei diritti dei lavoratori. 

La protezione dei segreti commerciali e delle informazioni riservate (trade secrets) non può essere affidata esclusivamente alla sottoscrizione di accordi di riservatezza (NDA). Tali accordi rappresentano uno strumento essenziale, ma non sufficiente.

La linea guida ISO 19011, riferimento internazionale per la conduzione degli audit dei sistemi di gestione, è in fase di revisione con una versione aggiornata — ISO/DIS 19011:2025 — la cui pubblicazione è prevista per il primo quadrimestre del 2026.

La gestione degli incidenti secondo la Direttiva NIS2 presenta diverse complessità. Questo tema è stato affrontato ed è in continuo aggiornamento in numerose comunicazioni pubblicate sotto forma di linee guida, FAQ e deliberazioni dell’Autorità competente.

Il documento, intitolato "La Tassonomia Cyber dell’ACN" (TC-ACN), pubblicato a novembre 2025, è una guida operativa che definisce “il linguaggio comune per lo scambio di informazioni relative a eventi e minacce di cybersicurezza”. Il documento risulta fondamentale nel caso in cui si dovesse segnalare al CSIRT un incidente nel perimetro della NIS 2. 

Nel settembre 2025 l’Agenzia per la Cybersicurezza Nazionale ha pubblicato le “Linee Guida NIS Specifiche di base Guida alla lettura” , un documento pensato per accompagnare i soggetti pubblici e privati nell’applicazione del Decreto Legislativo 4 settembre 2024, n. 138, con cui l’Italia ha recepito la Direttiva (UE) 2022/2555 (NIS2).