Il bando EPSO (European Personnel Selection Office, l'ufficio europeo di selezione del personale) C/2026/4668 cerca amministratori di grado AD 8 in due settori, intelligenza artificiale e cybersecurity, e non pubblica un programma d'esame: dice solo che la prova di settore è «specifica per il settore» e descrive le mansioni nell'Allegato II. Questa guida trasforma quelle mansioni in argomenti di studio. Per ciò che le altre guide di Explorables spiegano già, trovi il collegamento diretto al capitolo e i punti da saper riconoscere in una domanda; per ciò che manca, il contenuto è scritto qui. Ogni capitolo finisce con un'esercitazione a scelta multipla.
Il concorso EPSO/AD/430/26 seleziona amministratori di grado AD 8: un livello che richiede esperienza professionale, non un primo impiego. I candidati idonei cercati sono 240 per l'intelligenza artificiale e 254 per la cybersecurity, e si può scegliere un solo settore. Le domande si sono chiuse il 13 ottobre 2026; tutte le prove si svolgono a distanza, con sorveglianza.
Le prove sono cinque, ma solo una decide la graduatoria. Le altre quattro sono a soglia: o le superi, o sei fuori, ma un punto in più non ti fa salire.
| Prova | Lingua | Domande e tempo | Soglia | A che cosa serve |
|---|---|---|---|---|
| Ragionamento verbale | lingua 1 | 20 in 35 min | 10/20 | idoneità |
| Ragionamento numerico | lingua 1 | 10 in 20 min | 10/20 sommati | idoneità |
| Ragionamento astratto | lingua 1 | 10 in 10 min | idoneità | |
| Prova di settore (a scelta multipla) | lingua 2 | 30 in 40 min | 15/30 | graduatoria |
| EUFTE (EU Foundations Test Essay, tema su questioni europee) | lingua 2 | 1 tema in 40 min | 5/10 | idoneità |
La graduatoria si forma con il solo punteggio della prova di settore, tra chi ha superato tutte le soglie. Il tema viene corretto solo per i candidati in testa (in linea di principio fino a circa una volta e mezza il numero dei posti) e serve a superare l'idoneità. Quindi l'unico punto dove lo studio si trasforma in posizione è la prova di settore.
Trenta domande in quaranta minuti lasciano poco più di un minuto a testa. È il ritmo di chi riconosce la risposta, non di chi la ricostruisce ragionando da zero.
Il tempo per domanda
Con la soglia a 15/30, servono almeno metà delle risposte giuste; per entrare nei primi 240 o 254 ne servono molte di più.
Per ogni argomento impara la distinzione che una domanda può chiedere: chi è il fornitore e chi il deployer, quando un sistema è ad alto rischio, che differenza c'è tra deriva dei dati e deriva del concetto, tra 24 e 72 ore nelle notifiche. Le domande a scelta multipla vivono di queste coppie.
Il bando descrive le mansioni del settore in categorie. Per l'intelligenza artificiale sono tre: costruire e gestire soluzioni di AI dall'inizio alla fine; garantirne un uso conforme e verificabile; seguire le politiche sull'AI e la loro applicazione. Per la cybersecurity sono cinque: rischio e garanzia; architettura e tecnologia; operazioni e risposta agli incidenti; governance, politiche e coordinamento; sensibilizzazione, competenze e consulenza (compresi identità digitale, firme elettroniche e servizi fiduciari).
I capitoli seguono le stesse categorie. La tabella del riepilogo dice, voce per voce, dove si studia ciascuna.
Le esercitazioni di questa guida sono scritte per allenare, non sono domande ufficiali EPSO. Le date e gli articoli delle norme sono quelli in vigore al momento della stesura (ottobre 2026): prima della prova controlla su EUR-Lex che nel frattempo non siano cambiati.
Cinque prove, una sola che conta per la posizione: 30 domande di settore in 40 minuti, soglia 15. Si studia per riconoscere distinzioni in fretta.
La prima categoria di mansioni chiede di conoscere architetture, algoritmi e pattern di progettazione, di saper scegliere e ottimizzare un modello, e di lavorare con l'AI generativa, la RAG (Retrieval-Augmented Generation, generazione aumentata dal recupero di documenti) e l'AI agentica. Sono gli argomenti che le altre guide di Explorables trattano a fondo, con laboratori. Per ognuno trovi i collegamenti ai capitoli e le affermazioni da saper riconoscere come vere o false.
Rispondi a ogni domanda e leggi la spiegazione: se sbagli, segui il collegamento del riquadro corrispondente.
La parte tecnica dell'AI è già nelle guide: per l'esame conta saper distinguere fasi di addestramento, architetture, costi di inferenza, RAG contro fine-tuning, workflow contro agente.
Una banca addestra nel 2024 un modello che riconosce i pagamenti fraudolenti, e funziona. Nel 2026 i truffatori hanno cambiato tecnica, i clienti pagano più spesso dal telefono, gli importi medi sono saliti. Il codice del modello è identico, ma il mondo che descrive non lo è più: senza qualcuno che misuri, il modello sbaglia sempre di più e nessuno se ne accorge.
Il software tradizionale si guasta quando cambia il codice. Un modello di machine learning si guasta anche quando cambiano i dati. MLOps (Machine Learning Operations) è l'insieme di pratiche che porta un modello dalla sperimentazione alla produzione e lo tiene sotto controllo: versionare dati, codice e modelli insieme, automatizzare addestramento e rilascio, misurare in continuo. È l'equivalente di DevOps per sistemi in cui una parte del comportamento viene dai dati.
Il ciclo è un anello, non una linea: il monitoraggio produce i dati e i segnali per la versione successiva. È la stessa idea che l'AI Act rende obbligatoria per i sistemi ad alto rischio con il sistema di gestione del rischio «per l'intero ciclo di vita» e il monitoraggio successivo all'immissione sul mercato (vedi il capitolo 5).
La qualità dei dati si descrive con alcune dimensioni ricorrenti: completezza (mancano valori?), accuratezza (i valori sono veri?), coerenza (lo stesso fatto ha lo stesso valore in sistemi diversi?), tempestività (sono aggiornati?), unicità (ci sono duplicati?) e validità (rispettano formato e regole?). Nei sistemi ad alto rischio l'AI Act chiede dati di addestramento pertinenti, sufficientemente rappresentativi e, per quanto possibile, esenti da errori e completi (articolo 10).
I dati si dividono in tre parti: addestramento (il modello impara), validazione (si scelgono iperparametri e varianti), test (si misura una volta sola, alla fine). La fuga di informazione (data leakage) avviene quando nel modello entra qualcosa che in produzione non ci sarà: una colonna calcolata dopo il fatto da prevedere, o gli stessi clienti sia in addestramento sia in test. Il risultato è un modello che in prova sembra eccellente e in produzione delude.
Dividere a caso dati che hanno un ordine nel tempo. Se si deve prevedere il futuro, il test deve stare dopo l'addestramento: altrimenti il modello «vede» il futuro durante l'addestramento.
La lineage (provenienza) dei dati registra da dove arriva ogni dato e quali trasformazioni ha subito. Un feature store è un archivio delle variabili già calcolate, condiviso tra addestramento e produzione: serve a evitare il training-serving skew, cioè che la stessa variabile venga calcolata in due modi diversi nei due ambienti.
Per poter rispondere a «quale modello ha preso questa decisione, e perché?» bisogna poter ricostruire un modello. Si versionano quattro cose: codice, dati (o un'impronta che li identifica), configurazione (iperparametri, seme casuale) e ambiente (librerie, immagine del container).
| Strumento | A che cosa serve | Esempi |
|---|---|---|
| Tracciamento degli esperimenti | registra per ogni prova parametri, metriche e artefatti | MLflow, Weights & Biases |
| Versionamento dei dati | lega ogni modello allo stato esatto dei dati | DVC, lakeFS, tabelle Delta |
| Registro dei modelli | catalogo delle versioni con il loro stato (in prova, in produzione, ritirata) | MLflow Model Registry, registri dei cloud |
| Orchestrazione delle pipeline | esegue in ordine e ripete i passi (dati → addestramento → valutazione) | Kubeflow Pipelines, Airflow |
| Servizio del modello | espone il modello come servizio, con scalabilità | KServe, Triton, vLLM per gli LLM |
Nel software si parla di CI (Continuous Integration, integrazione continua: ogni modifica viene compilata e provata) e CD (Continuous Delivery, rilascio continuo). MLOps aggiunge la CT (Continuous Training, addestramento continuo): la pipeline si riavvia da sola quando arrivano dati nuovi o quando il monitoraggio segnala un calo. Una classificazione molto citata, proposta da Google, distingue tre livelli:
Notebook, passi fatti a mano, il data scientist consegna un file del modello agli ingegneri.
rilasci rari, nessun monitoraggioLa pipeline di addestramento è automatizzata e si riavvia con dati nuovi: addestramento continuo.
il modello si aggiorna da soloAnche la pipeline stessa è codice provato e rilasciato automaticamente.
si cambia il metodo, non solo i datiI test di un sistema di ML non riguardano solo il codice: si provano i dati (schema, intervalli, valori mancanti), il modello (prestazioni sopra soglia, nessun peggioramento su sottogruppi, tempi di risposta) e l'infrastruttura.
| Strategia | Come funziona | Quando si usa |
|---|---|---|
| Shadow (ombra) | il modello nuovo riceve il traffico vero ma le sue risposte non arrivano agli utenti: si confrontano soltanto | prima prova senza rischio |
| Canary | una piccola quota del traffico (per esempio il 5%) va al modello nuovo; si allarga se va bene | rilascio graduale |
| Blue-green | due ambienti completi; si sposta tutto il traffico dall'uno all'altro, e indietro in un attimo | ritorno immediato alla versione precedente |
| Test A/B | due versioni a gruppi di utenti scelti a caso, per misurare con la statistica quale è migliore | decidere sull'effetto reale |
Il modo di servire il modello cambia l'architettura: batch (previsioni calcolate in blocco, per esempio ogni notte), online (una risposta per richiesta, in millisecondi), edge (sul dispositivo, senza rete).
Un modello impara una relazione tra ingressi x e risposta y. Questa relazione può smettere di valere in modi diversi, che hanno nomi diversi:
Il data drift si misura confrontando la distribuzione di una variabile in produzione con quella di riferimento (l'addestramento). Una misura molto usata in ambito bancario è il PSI (Population Stability Index, indice di stabilità della popolazione): si divide la variabile in intervalli e si confrontano le percentuali.
PSI su tre intervalli
Ogni termine è positivo o nullo, perché differenza e logaritmo hanno sempre lo stesso segno. Regola pratica: sotto 0,1 stabile, tra 0,1 e 0,25 cambiamento moderato da indagare, sopra 0,25 cambiamento forte.
Sposta la media e cambia la dispersione della popolazione in produzione; osserva le barre dei cinque intervalli e il PSI.
La variabile è una gaussiana divisa in cinque intervalli fissati sul riferimento (confini a −1,5, −0,5, 0,5 e 1,5 deviazioni standard). Le soglie 0,1 e 0,25 sono una convenzione diffusa, non una legge: ogni organizzazione le tara sui propri dati.
Quando le risposte vere arrivano (il cliente ha restituito il prestito o no), si misurano anche le prestazioni nel tempo e per sottogruppi: un modello può restare stabile in media e peggiorare su una fascia di popolazione, che è un problema di equità (vedi il capitolo 7).
Con un LLM spesso non si addestra nulla: si usa un modello di un fornitore e si costruisce intorno. Il ciclo resta, ma gli oggetti versionati cambiano: il prompt, l'insieme di domande di valutazione, la configurazione della RAG e la versione del modello del fornitore. Un cambio di una riga nel prompt è un rilascio, e va provato contro un insieme di casi di riferimento prima di andare in produzione.
Scegli una risposta per domanda; la spiegazione dice dove sta la distinzione.
Un modello va trattato come un prodotto che invecchia: si versiona tutto ciò che cambia il risultato, si rilascia per gradi, si misurano le derive e si riaddestra.
Il bando chiede di saper decidere tra costruire e comprare («build or buy»), selezionare e ottimizzare i modelli, guidare progetti di AI fino alla produzione e conoscere protocolli come l'MCP (Model Context Protocol). Sono decisioni che in un'istituzione pubblica pesano più che altrove, perché toccano dove finiscono i dati, chi risponde degli obblighi dell'AI Act e quanto si resta legati a un fornitore.
Tra comprare un servizio finito e addestrare un modello da zero c'è una scala. Si sale di un gradino solo quando quello sotto non basta, perché ogni gradino costa più del precedente in dati, competenze e responsabilità.
Fare fine-tuning per «insegnare» al modello i documenti interni. Il fine-tuning è un modo poco affidabile di aggiungere fatti: il modello li mescola e non sa citarli, e ogni aggiornamento richiede un nuovo addestramento. Per la conoscenza si usa la RAG, per il comportamento il fine-tuning.
Una seconda scelta è dove gira il modello: un modello proprietario usato via API (i pesi restano al fornitore), oppure un modello open-weight (pesi scaricabili) installato sui propri server o su un cloud scelto. «Open-weight» non vuol dire «open source»: la licenza può limitare l'uso, e di solito non sono pubblici né i dati né il codice di addestramento.
| Criterio | Servizio via API | Modello open-weight ospitato in casa |
|---|---|---|
| Dati | escono verso il fornitore: servono garanzie contrattuali e sulla localizzazione | restano nell'infrastruttura scelta |
| Costo | a consumo (per token): basso all'inizio, cresce con l'uso | fisso (GPU, personale): conviene sopra un certo volume |
| Qualità | di solito i modelli più capaci | in genere un passo indietro, ma spesso sufficiente su compiti ristretti |
| Controllo della versione | il fornitore aggiorna o ritira i modelli | la versione resta finché la si tiene |
| Competenze necessarie | integrazione | infrastruttura, servizio di inferenza, sicurezza, aggiornamenti |
| Dipendenza dal fornitore (lock-in) | alta, se si usano funzioni proprietarie | bassa |
Imposta volume e lunghezza delle richieste e confronta il costo mensile a consumo con il costo fisso di un'installazione propria; il punto di pareggio è il volume da cui la seconda conviene.
Prezzi e costi sono valori di esempio: usa quelli veri del tuo caso. La GPU è calcolata a 2,50 € l'ora per 730 ore al mese; il modello assume che le GPU scelte bastino al volume, cosa che va verificata a parte (vedi la guida sull'inferenza, capitolo 5).
Il caso iniziale del laboratorio
Sotto il pareggio conviene il consumo, sopra il costo fisso. Il conto economico non basta: localizzazione dei dati e controllo della versione possono decidere da soli.
Le classifiche pubbliche (benchmark) misurano compiti generici e possono essere contaminate: se le domande del test sono finite nei dati di addestramento, il punteggio misura la memoria, non la capacità. La prova che conta è un insieme di valutazione costruito sul proprio compito, con esempi reali e una metrica decisa prima, su cui confrontare due o tre candidati.
I criteri ricorrenti sono: qualità sul compito; latenza e costo (vedi la guida sull'inferenza); lunghezza del contesto; lingue supportate, che in un'istituzione europea vuol dire tutte le 24 lingue ufficiali; licenza; luogo in cui girano i dati; documentazione disponibile (una model card, vedi il capitolo 7).
Prima dell'USB ogni dispositivo aveva il suo cavo. L'MCP (Model Context Protocol) fa per le applicazioni di AI ciò che un connettore standard fa per i dispositivi: chi scrive un collegamento a un sistema lo scrive una volta, e lo usa qualunque applicazione compatibile.
L'MCP è un protocollo aperto pubblicato da Anthropic nel novembre 2024 e adottato poi dai principali fornitori; a dicembre 2025 è stato affidato alla Agentic AI Foundation, nell'ambito della Linux Foundation. Senza uno standard, ogni applicazione deve scrivere un'integrazione per ogni sistema: il numero cresce come un prodotto. Con un protocollo comune cresce come una somma.
Integrazioni con e senza protocollo comune
I ruoli sono tre. L'host è l'applicazione di AI con cui lavora l'utente (un assistente, un editor di codice). Dentro l'host, un client mantiene la connessione con un server; un server MCP è un programma che espone le capacità di un sistema (un archivio documentale, un database, un servizio). I messaggi seguono JSON-RPC 2.0 (un formato standard di chiamata remota in JSON) e viaggiano su stdio (il server gira sulla stessa macchina) o su HTTP (server remoto, con autorizzazione OAuth).
| Chi la offre | Primitiva | Che cos'è | Chi decide di usarla |
|---|---|---|---|
| server | Tools | funzioni eseguibili (cerca un fascicolo, crea un ticket) | il modello, con conferma dell'utente |
| Resources | dati da leggere come contesto (un file, un record) | l'applicazione | |
| Prompts | modelli di istruzioni pronti | l'utente | |
| client | Sampling | il server chiede all'host di far generare testo al suo modello | l'host, con controllo dell'utente |
| Elicitation | il server chiede un'informazione all'utente | l'utente |
All'avvio client e server si scambiano un messaggio di inizializzazione in cui dichiarano versione del protocollo e capacità supportate. Un protocollo vicino ma diverso è A2A (Agent2Agent, proposto da Google nel 2025): MCP collega un agente ai suoi strumenti, A2A collega agenti tra loro.
Un server MCP è codice di terzi con accesso a sistemi veri. I rischi tipici sono la prompt injection nascosta nei dati o nelle descrizioni dei tool (il «tool poisoning»), permessi troppo ampi e server non verificati. Le contromisure sono le solite: privilegio minimo, conferma umana sulle azioni che cambiano qualcosa, elenco dei server ammessi.
Molti progetti di AI muoiono come prototipi: la dimostrazione funziona su dieci esempi scelti, ma nessuno ha deciso come si misura il successo, chi paga l'esercizio e chi risponde degli errori. Un percorso tipico ha tre tappe: prova di fattibilità (PoC, proof of concept) su dati veri, pilota con utenti veri in un perimetro ristretto, produzione. Il passaggio da una tappa all'altra si decide su criteri scritti prima.
Il bando cita anche il monitoraggio tecnologico: seguire nuovi modelli e metodi. Le fonti affidabili sono le model card e i rapporti tecnici dei fornitori, le valutazioni indipendenti (per esempio HELM di Stanford o le classifiche basate su preferenze umane come LMArena) e le pubblicazioni dell'AI Office della Commissione.
Scegli una risposta per domanda.
Si sale da prompt a RAG a fine-tuning solo se serve; API o modello in casa si sceglie su volume, dati e controllo; l'MCP standardizza il collegamento a strumenti e dati, con rischi da governare.
Un modello di visione che riconosce espressioni del viso. Usato per ordinare le foto delle vacanze non ha obblighi particolari. Usato per selezionare candidati a un lavoro è ad alto rischio. Usato per dedurre le emozioni dei dipendenti in ufficio è vietato. La classe di rischio dipende dalla finalità, non dall'algoritmo.
Il regolamento sull'intelligenza artificiale, Regolamento (UE) 2024/1689, è la prima legge orizzontale sull'AI al mondo. È un regolamento, quindi si applica direttamente in tutti gli Stati membri senza recepimento. Segue la logica delle norme europee sulla sicurezza dei prodotti: più alto il rischio per salute, sicurezza e diritti fondamentali, più numerosi gli obblighi. È entrato in vigore il 1° agosto 2024 e si applica per tappe (vedi più sotto).
Il regolamento definisce un sistema di AI (articolo 3, punto 1) come un sistema automatizzato progettato per funzionare con livelli di autonomia variabili, che può adattarsi dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali. La definizione riprende quella dell'OCSE (Organizzazione per la cooperazione e lo sviluppo economico). Il punto che la distingue dal software tradizionale è la capacità di inferenza: un programma che applica regole scritte interamente da un essere umano non è un sistema di AI.
Gli obblighi cadono su soggetti diversi, gli operatori:
Un deployer, un importatore o un distributore diventa fornitore (articolo 25) se mette il proprio nome o marchio su un sistema ad alto rischio, se vi apporta una modifica sostanziale, o se ne cambia la finalità in modo che diventi ad alto rischio. Chi riadatta un chatbot generico per selezionare personale ne assume gli obblighi da fornitore.
Il regolamento ha portata extraterritoriale: si applica ai fornitori che immettono sistemi sul mercato dell'Unione ovunque siano stabiliti, e anche ai fornitori e deployer di paesi terzi quando l'output del sistema è usato nell'Unione. Restano fuori gli usi esclusivamente militari, di difesa e di sicurezza nazionale, la ricerca scientifica pura, l'uso personale non professionale, e in parte i sistemi rilasciati con licenza libera e aperta (salvo che siano vietati, ad alto rischio o soggetti agli obblighi di trasparenza).
Accanto ai quattro livelli c'è un regime separato per i modelli di AI per finalità generali (GPAI, General-Purpose AI), come i grandi modelli linguistici: si regola il modello in sé, prima che qualcuno lo usi per uno scopo preciso. I livelli non si escludono: un sistema ad alto rischio che dialoga con le persone ha anche gli obblighi di trasparenza.
Dal 2 febbraio 2025 sono vietati otto gruppi di pratiche, perché contrari ai valori dell'Unione:
Le strade per essere ad alto rischio sono due.
Prima strada, i prodotti (articolo 6, paragrafo 1): il sistema è un prodotto, o un componente di sicurezza di un prodotto, coperto dalla normativa di armonizzazione dell'Allegato I (macchine, giocattoli, dispositivi medici, ascensori, veicoli…) e quel prodotto richiede una valutazione della conformità da parte di terzi.
Seconda strada, gli usi dell'Allegato III (articolo 6, paragrafo 2), in otto settori:
| Allegato III | Settore | Esempi di usi ad alto rischio |
|---|---|---|
| 1 | Biometria | identificazione biometrica remota (non in tempo reale), categorizzazione biometrica, riconoscimento delle emozioni dove permesso |
| 2 | Infrastrutture critiche | componenti di sicurezza nella gestione del traffico, della fornitura di acqua, gas, elettricità, riscaldamento, infrastrutture digitali critiche |
| 3 | Istruzione e formazione | ammissione, valutazione dei risultati, sorveglianza durante gli esami |
| 4 | Occupazione | selezione del personale e filtro dei CV, decisioni su promozioni e licenziamenti, assegnazione dei compiti, monitoraggio delle prestazioni |
| 5 | Servizi essenziali | accesso a prestazioni pubbliche, merito creditizio (salvo la rilevazione delle frodi), prezzi delle assicurazioni vita e malattia, smistamento delle chiamate di emergenza |
| 6 | Contrasto (forze dell'ordine) | valutare l'attendibilità delle prove, il rischio di recidiva, la profilazione nelle indagini |
| 7 | Migrazione, asilo, frontiere | valutazione dei rischi, esame delle domande di asilo e visto |
| 8 | Giustizia e processi democratici | assistere un giudice nell'interpretare fatti e legge; influenzare l'esito di elezioni |
C'è un'eccezione (articolo 6, paragrafo 3): un sistema dell'Allegato III non è ad alto rischio se non presenta un rischio significativo, per esempio quando svolge un compito procedurale limitato, migliora il risultato di un'attività umana già completata, rileva schemi decisionali senza sostituire la valutazione umana, o svolge un compito preparatorio. L'eccezione non vale mai se il sistema fa profilazione di persone fisiche. Il fornitore che la invoca deve documentare la sua valutazione e registrare comunque il sistema.
Due obblighi in più toccano direttamente il settore pubblico. La valutazione d'impatto sui diritti fondamentali (FRIA, Fundamental Rights Impact Assessment, articolo 27) va fatta prima del primo uso da parte dei deployer che sono organismi di diritto pubblico o enti privati che forniscono servizi pubblici, e dai deployer di sistemi per il merito creditizio e per i prezzi delle assicurazioni vita e malattia. E chi subisce una decisione basata su un sistema ad alto rischio ha diritto a una spiegazione del ruolo che il sistema ha avuto (articolo 86).
Gli incidenti gravi vanno segnalati all'autorità di vigilanza entro 15 giorni da quando se ne viene a conoscenza; il termine scende a 10 giorni in caso di decesso e a 2 giorni per un'infrazione diffusa o un incidente che coinvolge un'infrastruttura critica.
Per i sistemi dell'Allegato III la valutazione della conformità è di regola un controllo interno del fornitore; serve un organismo notificato esterno per la biometria quando non si applicano norme armonizzate. Per i prodotti dell'Allegato I si segue la procedura già prevista dalla normativa di quel prodotto. Le norme armonizzate, preparate da CEN e CENELEC (comitato tecnico congiunto JTC 21), danno presunzione di conformità.
Un modello di AI per finalità generali è un modello addestrato con grandi quantità di dati, capace di svolgere con competenza un'ampia gamma di compiti distinti e integrabile in molti sistemi a valle. Dal 2 agosto 2025 tutti i suoi fornitori devono (articolo 53):
I modelli rilasciati con licenza libera e aperta sono esentati dai primi due obblighi, ma non dagli altri. Un modello ha rischio sistemico se ha capacità di impatto elevato: si presume quando il calcolo usato per addestrarlo supera 1025 operazioni in virgola mobile (FLOP), oppure lo designa la Commissione. Il fornitore deve notificarlo alla Commissione entro due settimane. Per questi modelli si aggiungono (articolo 55): valutazione del modello con test avversariali, valutazione e mitigazione dei rischi sistemici, segnalazione degli incidenti gravi, adeguata cybersicurezza.
Il codice di buone pratiche per i modelli per finalità generali, pubblicato il 10 luglio 2025 in tre capitoli (trasparenza, diritto d'autore, sicurezza), è lo strumento volontario con cui i fornitori possono dimostrare di rispettare questi obblighi. I modelli già sul mercato prima del 2 agosto 2025 hanno tempo fino al 2 agosto 2027.
Ordine di grandezza della soglia di 1025 FLOP
Sotto la soglia, ma vicino: la soglia individua solo i modelli più grandi della frontiera. La formula 6·N·D è un'approssimazione; il regolamento conta il calcolo cumulativo effettivamente usato.
Scegli uno scenario e prova a classificarlo prima di leggere la risposta: classe, articoli, chi ha gli obblighi.
Gli scenari sono semplificati: nei casi reali conta la descrizione esatta della finalità prevista e il contesto d'uso, e le linee guida della Commissione sugli articoli 5 e 6 precisano i confini.
| Livello | Organismo | Che cosa fa |
|---|---|---|
| Unione | Ufficio per l'AI (AI Office), dentro la Commissione (DG CNECT) | vigila sui modelli per finalità generali, prepara linee guida, modelli e codici di buone pratiche |
| Comitato europeo per l'AI (AI Board) | un rappresentante per Stato membro; coordina e consiglia per un'applicazione uniforme | |
| Gruppo di esperti scientifici indipendenti | supporta l'AI Office; può lanciare «segnalazioni qualificate» su modelli con rischio sistemico | |
| Forum consultivo | industria, start-up, società civile, mondo accademico | |
| Stati membri | Autorità di vigilanza del mercato e autorità di notifica | controllano i sistemi sul mercato nazionale e designano gli organismi notificati |
| Istituzioni UE | Garante europeo della protezione dei dati (GEPD, in inglese EDPS) | è l'autorità di vigilanza per le istituzioni, gli organi e gli organismi dell'Unione, e può infliggere loro sanzioni |
Gli Stati membri devono predisporre almeno uno spazio di sperimentazione normativa (regulatory sandbox, articolo 57) entro il 2 agosto 2026, dove sviluppare e provare sistemi sotto la guida dell'autorità. E dal 2 febbraio 2025 fornitori e deployer devono garantire un livello sufficiente di alfabetizzazione in materia di AI del proprio personale (articolo 4).
| Violazione | Fino a | Oppure, se superiore, fino a |
|---|---|---|
| Pratiche vietate (art. 5) | 35 milioni € | 7% del fatturato mondiale annuo |
| Altri obblighi degli operatori | 15 milioni € | 3% |
| Informazioni inesatte o fuorvianti alle autorità | 7,5 milioni € | 1% |
| Fornitori di modelli per finalità generali (Commissione, art. 101) | 15 milioni € | 3% |
| Istituzioni e organismi dell'Unione (GEPD, art. 100) | 1,5 milioni € per le pratiche vietate, 750.000 € per gli altri obblighi | — |
Per le PMI (piccole e medie imprese) e le start-up vale il minore dei due importi, non il maggiore.
Nel novembre 2025 la Commissione ha proposto, con il pacchetto «Digital Omnibus», di legare l'applicazione delle regole sull'alto rischio alla disponibilità delle norme tecniche, con un rinvio massimo a dicembre 2027 (Allegato III) e agosto 2028 (Allegato I). Prima della prova verifica su EUR-Lex se la modifica è stata adottata e con quali date: è il tipo di dettaglio che una domanda può chiedere.
Scegli una risposta per domanda.
L'AI Act classifica gli usi in quattro livelli di rischio e regola a parte i modelli generali. Gli obblighi pesano soprattutto sul fornitore; il deployer pubblico aggiunge la valutazione d'impatto sui diritti fondamentali. Divieti dal 2025, alto rischio dal 2026–2027, salvo rinvii.
Quasi ogni sistema di AI che lavora su persone tratta dati personali: per addestrarlo, per usarlo, o perché le sue risposte riguardano qualcuno. Allora vale la normativa sulla protezione dei dati. Il bando chiede di garantire la conformità all'AI Act, alle politiche interne e alle norme su protezione dei dati e sicurezza, e di conoscere i quadri di governance e gestione del rischio.
Il GDPR (General Data Protection Regulation, Regolamento (UE) 2016/679) si applica a qualunque trattamento di dati personali, cioè di informazioni che riguardano una persona fisica identificata o identificabile. Distingue il titolare del trattamento (chi decide finalità e mezzi) dal responsabile (chi tratta per conto del titolare, per esempio il fornitore di un servizio cloud, con un contratto ai sensi dell'articolo 28).
Le sanzioni arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo per la violazione dei principi e dei diritti, e fino a 10 milioni o al 2% per gli altri obblighi.
Il GDPR non si applica alle istituzioni, agli organi e agli organismi dell'Unione: per loro vale il Regolamento (UE) 2018/1725 (spesso chiamato EUDPR), con principi e diritti allineati al GDPR. Lo controlla il Garante europeo della protezione dei dati (GEPD), che è anche l'autorità di vigilanza dell'AI Act per le istituzioni. Ogni istituzione ha un responsabile della protezione dei dati (DPO, Data Protection Officer). Nel 2024 il GEPD ha pubblicato orientamenti sull'uso dell'AI generativa da parte delle istituzioni.
Un modello addestrato su dati personali non è automaticamente anonimo. Il Comitato europeo per la protezione dei dati (EDPB, European Data Protection Board), nel parere 28/2024 del dicembre 2024, ha chiarito che un modello si può considerare anonimo solo se è trascurabile la probabilità di estrarne dati personali, direttamente o con domande mirate, e che va valutato caso per caso. Se i dati sono stati trattati illecitamente durante lo sviluppo, il problema può ricadere sull'uso successivo del modello.
Per usare il legittimo interesse come base giuridica, l'EDPB richiama il test in tre passi: un interesse legittimo, la necessità del trattamento per raggiungerlo, il bilanciamento con i diritti delle persone (che si aspettano quel trattamento?).
La DPIA del GDPR guarda ai rischi per i dati personali; la FRIA dell'AI Act guarda a tutti i diritti fondamentali (non discriminazione, libertà di espressione, diritto a un ricorso effettivo…). Se una DPIA è già stata fatta, la FRIA la integra invece di ripeterla (articolo 27, paragrafo 4, dell'AI Act).
Descrivi il progetto spuntando le caselle; il riquadro dice quali valutazioni scattano e perché.
Regole ridotte all'essenziale: l'obbligo di DPIA dipende anche dagli elenchi delle autorità nazionali (e del GEPD per le istituzioni), e la FRIA ha esclusioni (per esempio le infrastrutture critiche del punto 2 dell'Allegato III).
Gestire il rischio vuol dire, in ogni quadro, lo stesso ciclo: identificare che cosa può andare storto, analizzare quanto è probabile e quanto è grave, valutare se è accettabile, trattarlo. Le opzioni di trattamento sono quattro: evitare (non fare l'attività), ridurre (misure di mitigazione), trasferire o condividere (contratto, assicurazione), accettare (con decisione documentata). È lo schema della norma ISO 31000, che i quadri sull'AI riprendono.
| Quadro | Che cos'è | Da ricordare |
|---|---|---|
| NIST AI RMF 1.0 (gennaio 2023) | quadro volontario statunitense di gestione del rischio dell'AI | quattro funzioni: Govern (trasversale), Map (contesto e rischi), Measure (metriche), Manage (trattamento); profilo per l'AI generativa (NIST AI 600-1, 2024) |
| ISO/IEC 42001:2023 | norma sul sistema di gestione dell'AI, certificabile | ciclo Plan-Do-Check-Act come ISO 27001 per la sicurezza; politica, ruoli, valutazione d'impatto, miglioramento continuo |
| ISO/IEC 23894:2023 | guida alla gestione del rischio dell'AI | applica ISO 31000 ai rischi propri dell'AI |
| Orientamenti etici per un'AI affidabile (HLEG, aprile 2019) | gruppo di esperti di alto livello della Commissione | sette requisiti: intervento e sorveglianza umani; robustezza tecnica e sicurezza; riservatezza e governance dei dati; trasparenza; diversità, non discriminazione ed equità; benessere sociale e ambientale; accountability. Lista di autovalutazione ALTAI (2020) |
| Principi dell'OCSE sull'AI (2019, aggiornati nel 2024) | primo standard intergovernativo sull'AI | la sua definizione di sistema di AI è quella ripresa dall'AI Act |
Dentro un'organizzazione, la governance dell'AI si costruisce con alcuni strumenti ricorrenti: un inventario dei sistemi di AI in uso con la loro classe di rischio, una politica che dice che cosa è ammesso, un comitato che approva i casi più rischiosi, ruoli chiari tra chi sviluppa, chi controlla e chi verifica. Il modello delle tre linee descrive questa divisione: la prima linea gestisce il rischio nel lavoro quotidiano, la seconda (gestione dei rischi, conformità) fissa le regole e controlla, la terza (audit interno) verifica in modo indipendente.
Confondere un quadro volontario con un obbligo. NIST AI RMF, ISO/IEC 42001 e le linee guida dell'HLEG non sono legge; l'AI Act e il GDPR sì. Le norme armonizzate europee, una volta pubblicate, sono volontarie ma danno presunzione di conformità all'AI Act.
Scegli una risposta per domanda.
Con dati personali valgono GDPR (o il Regolamento 2018/1725 nelle istituzioni) e AI Act insieme: DPIA e FRIA si integrano. I quadri di rischio sono volontari ma danno il metodo: identificare, analizzare, valutare, trattare.
Il bando chiede di garantire che i sistemi siano affidabili, verificabili, equi, spiegabili e tracciabili. Sono proprietà diverse dall'accuratezza, e ognuna ha le sue misure e le sue tecniche. Le norme le richiamano esplicitamente: l'AI Act chiede dati esaminati per i bias (art. 10), registrazione degli eventi (art. 12), trasparenza verso il deployer (art. 13), sorveglianza umana (art. 14), robustezza e cybersicurezza (art. 15).
Un sistema ordina i candidati a un posto. Nel gruppo A il 50% dei candidati è davvero qualificato, nel gruppo B il 30%. Che cosa vuol dire che il sistema è «equo»? Che seleziona la stessa percentuale nei due gruppi? Che trova la stessa quota dei qualificati in ciascun gruppo? Che tra i selezionati la quota di qualificati sia la stessa? Sono tre risposte diverse, e con tassi di base diversi non possono valere tutte e tre.
Il risultato, dimostrato nel 2016–2017 (Kleinberg e colleghi; Chouldechova), è un teorema di impossibilità: se i tassi di base differiscono e il classificatore non è perfetto, non si possono avere insieme parità predittiva e uguali tassi di errore. Scegliere una definizione di equità è una decisione di politica, non tecnica, e va documentata. Una regola pratica usata nelle selezioni del personale negli Stati Uniti è la regola dei quattro quinti: il tasso di selezione del gruppo meno favorito non dovrebbe scendere sotto l'80% di quello del gruppo più favorito.
Rapporto tra tassi di selezione
0,60 è sotto 0,80: secondo la regola dei quattro quinti c'è un indizio di impatto sfavorevole sul gruppo B, da indagare. Non è una prova di discriminazione: se B ha meno qualificati, il rapporto basso può riflettere la realtà.
Cambia la quota di qualificati nel gruppo B e le soglie dei due gruppi; osserva che con soglie uguali i tassi di errore coincidono ma i tassi di selezione no, e che pareggiare i tassi di selezione sposta gli errori.
Il punteggio del sistema segue una gaussiana di media 0,65 per i qualificati e 0,40 per gli altri (deviazione standard 0,12), uguale nei due gruppi: il sistema è «ugualmente bravo» con tutti, e le differenze vengono solo dai tassi di base e dalle soglie.
Le fonti dei bias sono di solito nei dati: rappresentazione (un gruppo è poco presente), misura (l'etichetta è un indicatore distorto, per esempio gli arresti al posto dei reati), storia (i dati riproducono decisioni passate discriminatorie), variabili proxy (il CAP che fa le veci dell'origine). Togliere la variabile protetta non basta, perché le proxy la ricostruiscono. Le mitigazioni si applicano prima (riequilibrare i dati), durante (vincoli nell'addestramento) o dopo (soglie diverse, come nel laboratorio).
Tre parole vicine con significati diversi. Trasparenza: si sa che cosa fa il sistema, con quali dati, con quali limiti. Interpretabilità: un essere umano capisce il funzionamento interno del modello (una regressione lineare, un albero piccolo). Spiegabilità: si sa dare una ragione comprensibile di una singola decisione, anche per un modello che in sé non è interpretabile.
Le spiegazioni sono globali (quali variabili contano in generale) o locali (perché questa decisione per questa persona), e i metodi sono intrinseci (si usa un modello già leggibile) o a posteriori (post-hoc, si spiega un modello opaco dall'esterno).
| Metodo | Idea | Tipo |
|---|---|---|
| SHAP (SHapley Additive exPlanations) | distribuisce la previsione tra le variabili con i valori di Shapley della teoria dei giochi: quanto ha contribuito ciascuna rispetto a un valore di riferimento | locale, aggregabile in globale |
| LIME (Local Interpretable Model-agnostic Explanations) | perturba l'esempio, guarda come cambia la risposta e adatta un modello semplice valido solo lì vicino | locale |
| Spiegazione controfattuale | il cambiamento minimo che avrebbe ribaltato l'esito: «con 300 € di reddito in più il prestito sarebbe stato concesso» | locale, utile per chi subisce la decisione |
| Importanza per permutazione | quanto peggiora il modello se si mescolano a caso i valori di una variabile | globale |
| Mappe di salienza | quali pixel o token hanno pesato di più (gradienti) | locale, per immagini e testo |
Prendere i pesi dell'attention di un transformer come spiegazione. Mostrano dove il modello «guarda», non perché decide; e il testo con cui un LLM spiega il proprio ragionamento non è garantito essere il calcolo che ha prodotto la risposta. Il funzionamento dell'attention è nella guida sul training, capitolo D degli approfondimenti.
Un sistema è verificabile (auditable) se un terzo può controllare come è stato costruito e come si comporta. Servono documenti e registrazioni:
La sorveglianza umana ha forme diverse: human-in-the-loop (una persona approva ogni decisione), human-on-the-loop (una persona supervisiona e può intervenire), human-in-command (una persona decide se e come usare il sistema). L'articolo 14 dell'AI Act chiede che chi sorveglia sia in grado di capire capacità e limiti del sistema, di interpretarne l'output, di non usarlo, di ignorarlo o di fermarlo, e che resti consapevole del rischio di automation bias: la tendenza a fidarsi troppo di ciò che propone una macchina. Una firma umana su una decisione che nessuno ha davvero esaminato non è sorveglianza.
Oltre ai rischi di ogni software, un sistema di AI ha superfici di attacco proprie, perché i dati diventano comportamento.
| Attacco | Quando | Che cosa fa |
|---|---|---|
| Avvelenamento dei dati (data poisoning) | addestramento | dati manipolati inseriti nell'addestramento per degradare il modello o installare una backdoor (un comportamento che scatta con un segnale preciso) |
| Esempi avversariali (evasion) | uso | piccole modifiche dell'input, spesso invisibili, che cambiano la risposta (un adesivo su un cartello stradale) |
| Prompt injection | uso | istruzioni nascoste nell'input o nei documenti letti (indiretta) che il modello esegue al posto di quelle legittime |
| Jailbreak | uso | richieste costruite per aggirare le regole di sicurezza del modello |
| Estrazione del modello | uso | interrogare molte volte il modello per costruirne una copia |
| Inferenza di appartenenza e inversione | uso | capire se una persona era nei dati di addestramento, o ricostruirne i dati |
Due riferimenti da conoscere. La OWASP Top 10 per le applicazioni LLM (edizione 2025) elenca: prompt injection; divulgazione di informazioni sensibili; catena di fornitura; avvelenamento di dati e modelli; gestione impropria dell'output; autonomia eccessiva (excessive agency); fuga del prompt di sistema; debolezze di vettori ed embedding; disinformazione; consumo illimitato di risorse. MITRE ATLAS è il catalogo di tattiche e tecniche di attacco ai sistemi di AI, costruito sul modello di MITRE ATT&CK (vedi il capitolo 11).
Il red teaming è la prova offensiva organizzata: una squadra cerca di far sbagliare il sistema prima che lo faccia un avversario. È uno degli obblighi dei modelli con rischio sistemico (test avversariali, articolo 55).
Scegli una risposta per domanda.
Equità, spiegabilità, tracciabilità e sicurezza si misurano ciascuna a parte. Le definizioni di equità si escludono a vicenda: la scelta va motivata. La sorveglianza umana deve essere reale, non una firma.
La terza categoria di mansioni chiede di capire il rapporto tra tecnologia e politiche, seguire tendenze e impatto sociale, conoscere l'ecosistema dei modelli per finalità generali e i nuovi rischi, valutare le strategie di organizzazioni pubbliche e private. In una domanda a scelta multipla questo diventa quasi sempre: quale atto, in quale anno, con quale scopo. Dal 2018 la politica europea si muove su due binari, che la Commissione chiama eccellenza (investimenti, calcolo, dati, competenze) e fiducia (regole, diritti, sicurezza).
| Quando | Atto | Che cosa porta |
|---|---|---|
| apr 2018 | Comunicazione «L'intelligenza artificiale per l'Europa» | prima strategia: investimenti, preparazione ai cambiamenti socioeconomici, quadro etico e giuridico |
| dic 2018 | Piano coordinato sull'AI con gli Stati membri | allineare le strategie nazionali; rivisto nel 2021 |
| apr 2019 | Orientamenti etici per un'AI affidabile (HLEG) | i sette requisiti (capitolo 6) |
| feb 2020 | Libro bianco sull'AI e strategia europea per i dati | l'«ecosistema di eccellenza e di fiducia», l'idea di regolare in base al rischio |
| apr 2021 | Proposta di regolamento sull'AI e revisione del piano coordinato | l'impianto a livelli di rischio |
| gen 2024 | Pacchetto per l'innovazione nell'AI | istituzione dell'AI Office; AI Factories sui supercomputer EuroHPC; iniziativa GenAI4EU |
| mag–ago 2024 | AI Act adottato (maggio), pubblicato (12 luglio), in vigore dal 1° agosto | capitolo 5 |
| set 2024 | L'UE firma la Convenzione quadro del Consiglio d'Europa sull'AI | primo trattato internazionale vincolante su AI, diritti umani, democrazia e Stato di diritto |
| feb 2025 | Vertice di Parigi sull'azione per l'AI; iniziativa InvestAI | obiettivo di mobilitare 200 miliardi di euro, di cui 20 per le AI Gigafactories; ritirata la proposta di direttiva sulla responsabilità per l'AI |
| apr 2025 | Piano d'azione per il continente dell'AI (AI Continent Action Plan) | cinque pilastri: infrastruttura di calcolo, dati, adozione e algoritmi, competenze, semplificazione normativa (con un servizio di assistenza sull'AI Act) |
| lug 2025 | Codice di buone pratiche per i modelli per finalità generali | capitolo 5 |
| ott 2025 | Strategia «Apply AI» e strategia per l'AI nella scienza | portare l'AI nei settori (sanità, industria, pubblica amministrazione…) e nelle PMI; risorse comuni per la ricerca (RAISE) |
| nov 2025 | Pacchetto «Digital Omnibus» e strategia per l'Unione dei dati | semplificazione delle norme digitali, rinvio proposto per l'alto rischio |
Clicca gli atti dal più vecchio al più recente; un errore viene segnalato e puoi riprovare.
L'infrastruttura passa per l'impresa comune EuroHPC (European High Performance Computing Joint Undertaking), che possiede e gestisce i supercomputer europei. Le AI Factories sono centri costruiti intorno a questi supercomputer che offrono calcolo, dati e supporto a start-up, PMI e ricercatori per addestrare e adattare modelli; le AI Gigafactories sono impianti molto più grandi, con l'obiettivo di addestrare modelli di frontiera. La strategia Apply AI sposta l'accento dalla costruzione all'uso: l'Europa ha ricerca forte ma adozione lenta nelle imprese e nelle amministrazioni.
Sul lato dei dati, la strategia del 2020 ha prodotto il Data Governance Act, il Data Act e gli spazi comuni europei di dati per settore (sanità, energia, mobilità…), che la guida AD 7 tratta nel capitolo sulla governance dei dati.
L'AI Act non è l'unica norma che tocca l'AI. Le altre da riconoscere:
| Norma | Che cosa c'entra con l'AI |
|---|---|
| GDPR e Regolamento (UE) 2018/1725 | dati personali in addestramento e uso, decisioni automatizzate (capitolo 6) |
| Direttiva (UE) 2024/2853 sulla responsabilità per danno da prodotti difettosi | il software, AI compresa, è un prodotto: il produttore risponde dei danni senza bisogno di provare la colpa. Recepimento entro dicembre 2026 |
| Direttiva (UE) 2019/790 sul diritto d'autore nel mercato unico digitale | eccezioni per l'estrazione di testo e dati, con diritto dei titolari di riservarsi (opt-out) fuori dalla ricerca |
| Regolamento sui servizi digitali (DSA, Digital Services Act) | le piattaforme molto grandi valutano i rischi sistemici dei loro sistemi di raccomandazione |
| Direttiva (UE) 2024/2831 sul lavoro mediante piattaforme digitali | limiti e trasparenza sulla gestione algoritmica dei lavoratori |
| Regolamento sulla ciberresilienza (CRA, Cyber Resilience Act) | requisiti di sicurezza per i prodotti con elementi digitali (capitolo 12) |
Il confronto con gli altri grandi attori è utile per le domande di ragionamento: gli Stati Uniti procedono soprattutto con atti dell'esecutivo e norme dei singoli Stati, senza una legge federale orizzontale; la Cina ha regole specifiche per tipo di servizio (algoritmi di raccomandazione, sintesi profonda, AI generativa). L'Unione è l'unica con un regolamento orizzontale basato sul rischio, e conta su un «effetto Bruxelles»: chi vuole vendere nel mercato europeo si adegua, e spesso estende le stesse regole altrove.
Pochi fornitori, quasi tutti extraeuropei, addestrano i modelli di frontiera; migliaia di imprese costruiscono prodotti sopra di loro. Questa struttura a catena del valore spiega perché l'AI Act chiede ai fornitori di modelli generali di dare informazioni a chi sta a valle: senza, il fornitore del sistema finale non può rispettare i propri obblighi. I modelli open-weight allargano l'accesso e la verificabilità, ma una volta pubblicati i pesi non si possono ritirare né controllarne l'uso.
I rischi sistemici discussi a livello internazionale, per esempio nell'International AI Safety Report (gennaio 2025, coordinato da Yoshua Bengio), sono in tre famiglie: uso malevolo (aiuto ad attacchi informatici, informazioni su armi chimiche o biologiche, manipolazione e disinformazione), malfunzionamenti (errori, bias, perdita di controllo su sistemi autonomi), rischi sistemici (concentrazione del mercato, impatto sul lavoro, consumo di energia, dipendenza da pochi fornitori).
Una domanda può chiedere di giudicare la strategia AI di un ente. Le dimensioni da guardare sono sempre le stesse: obiettivi legati a problemi reali e misurabili; dati disponibili, di qualità e utilizzabili legalmente; competenze e formazione (anche l'obbligo di alfabetizzazione dell'articolo 4); infrastruttura e dipendenza dai fornitori; governance e gestione del rischio (inventario dei sistemi, classificazione AI Act, DPIA e FRIA); sostenibilità, economica e ambientale. La Commissione stessa ha adottato nel 2024 una comunicazione sull'uso dell'AI al proprio interno (AI@EC), con regole per il personale sull'uso degli strumenti di AI generativa e strumenti interni come GPT@EC.
Le iniziative di politica cambiano in fretta e una domanda può riguardare un atto uscito dopo la stesura di questa guida. Prima della prova controlla le ultime comunicazioni della Commissione sulla pagina della strategia digitale e lo stato del Digital Omnibus.
Scegli una risposta per domanda.
Dal 2018 l'Unione lavora su eccellenza e fiducia: piano coordinato, libro bianco, AI Act, poi AI Factories, InvestAI, piano per il continente dell'AI e Apply AI. Nel mondo, l'AI Act è l'unica legge orizzontale basata sul rischio.
Nessuno mette una porta blindata al ripostiglio e lascia aperta la stanza con i gioielli. In sicurezza informatica si fa la stessa cosa in modo sistematico: si elencano i beni, si stima che cosa li minaccia e quanto costerebbe perderli, e si sceglie dove mettere le difese.
Il vocabolario di base è condiviso da tutti gli standard. Un bene (asset) è ciò che ha valore: dati, sistemi, servizi, reputazione. Una minaccia è ciò che può causare un danno (un gruppo criminale, un guasto, un errore umano). Una vulnerabilità è la debolezza che la minaccia può sfruttare (un software non aggiornato, una password debole). Il rischio nasce dall'incontro dei tre e si misura con due grandezze: la probabilità che accada e l'impatto se accade.
L'impatto si descrive sulle tre proprietà della triade RID (in inglese CIA): riservatezza (solo chi è autorizzato vede), integrità (nessuno altera senza autorizzazione), disponibilità (il servizio c'è quando serve). Spesso si aggiungono autenticità e non ripudio (chi ha firmato non può negarlo).
| Quadro | Che cos'è | Da ricordare |
|---|---|---|
| ISO/IEC 27001:2022 | requisiti di un sistema di gestione della sicurezza delle informazioni (SGSI, in inglese ISMS); certificabile | ciclo Plan-Do-Check-Act; l'Allegato A elenca 93 controlli in quattro temi: organizzativi, persone, fisici, tecnologici. La dichiarazione di applicabilità dice quali si applicano e perché |
| ISO/IEC 27002 | guida all'attuazione dei controlli | non certificabile: spiega i controlli della 27001 |
| ISO/IEC 27005 | gestione del rischio per la sicurezza delle informazioni | identificazione, analisi, valutazione, trattamento |
| NIST CSF 2.0 (febbraio 2024) | quadro statunitense volontario, molto usato anche in Europa | sei funzioni: Govern (aggiunta nella 2.0), Identify, Protect, Detect, Respond, Recover; profili attuale e obiettivo |
| CIS Controls | 18 controlli prioritari del Center for Internet Security | per chi parte: inventario dei beni e del software, configurazioni sicure, gestione delle vulnerabilità |
Una valutazione della maturità misura a che livello un'organizzazione applica questi controlli, di solito su una scala da iniziale (fatto a caso) a ottimizzato (misurato e migliorato di continuo), e confronta il profilo attuale con quello obiettivo. Per le istituzioni dell'Unione è un obbligo periodico del Regolamento 2023/2841 (capitolo 12).
Il metodo qualitativo più diffuso è la matrice probabilità × impatto, ciascuno su una scala da 1 a 5: il prodotto dice la priorità. Il metodo quantitativo stima una perdita in euro all'anno, la ALE (Annualized Loss Expectancy, perdita annua attesa), e permette di confrontarla con il costo di un controllo.
Perdita annua attesa, e quanto vale un controllo
Il controllo conviene se la riduzione della perdita attesa supera il suo costo annuo. Le stime di ARO sono incerte: il conto serve a confrontare opzioni, non a prevedere il futuro.
Imposta probabilità e impatto per vedere il livello sulla matrice; poi imposta valore, esposizione, frequenza e costo del controllo per vedere se il controllo conviene.
Le soglie della matrice (basso fino a 4, medio fino a 9, alto fino a 15, critico oltre) sono una convenzione comune: ogni organizzazione fissa le proprie nella sua metodologia, insieme alla propensione al rischio.
Le opzioni di trattamento sono le stesse del capitolo 6: ridurre, evitare, trasferire (un'assicurazione, un contratto con il fornitore), accettare. Il rischio che resta dopo il trattamento è il rischio residuo, e deve essere accettato formalmente dal proprietario del rischio, cioè da chi ha l'autorità sul bene, non dal reparto informatico.
Ogni vulnerabilità pubblica riceve un identificativo CVE (Common Vulnerabilities and Exposures, per esempio CVE-2021-44228, Log4Shell). La gravità tecnica si esprime con il punteggio CVSS (Common Vulnerability Scoring System, versioni 3.1 e 4.0) da 0 a 10:
| CVSS | 0 | 0,1–3,9 | 4,0–6,9 | 7,0–8,9 | 9,0–10 |
|---|---|---|---|---|---|
| Gravità | nessuna | bassa | media | alta | critica |
Il CVSS misura quanto è grave una vulnerabilità se sfruttata, non quanto è probabile che lo sia. Per decidere l'ordine delle correzioni si aggiungono: l'EPSS (Exploit Prediction Scoring System, la probabilità stimata di sfruttamento nei prossimi 30 giorni), il catalogo KEV (Known Exploited Vulnerabilities, le vulnerabilità già sfruttate, tenuto dall'agenzia statunitense CISA), l'esposizione del sistema (raggiungibile da internet?) e la criticità del bene. In Europa l'ENISA (Agenzia dell'Unione europea per la cibersicurezza) gestisce dal 2025 la banca dati europea delle vulnerabilità prevista dalla direttiva NIS2.
Correggere in ordine di CVSS e basta. Una vulnerabilità «media» già sfruttata su un server esposto a internet viene prima di una «critica» su un sistema isolato.
La divulgazione coordinata delle vulnerabilità (CVD, Coordinated Vulnerability Disclosure) è il processo con cui chi scopre una falla la comunica al produttore e aspetta la correzione prima di renderla pubblica. La NIS2 affida a un CSIRT (Computer Security Incident Response Team) di ogni Stato membro il ruolo di coordinatore.
| Attività | Che cosa fa | Che cosa dice |
|---|---|---|
| Scansione delle vulnerabilità | strumenti automatici cercano versioni e configurazioni note come deboli | un elenco ampio, con falsi positivi |
| Penetration test | un esperto prova davvero a sfruttare le debolezze, entro un perimetro e regole concordate per iscritto | che cosa un attaccante riesce a ottenere |
| Red team | simulazione realistica e prolungata di un avversario, anche con ingegneria sociale; il blue team (chi difende) di solito non è avvisato | se l'organizzazione rileva e risponde |
| Purple team | attacco e difesa lavorano insieme, tecnica per tecnica | dove migliorare le rilevazioni |
Un penetration test si dice black box (il tester non sa nulla, come un attaccante esterno), grey box (sa qualcosa, per esempio ha un account utente) o white box (ha documentazione e codice). Le fasi tipiche: definizione del perimetro e delle regole d'ingaggio, ricognizione, scansione ed enumerazione, sfruttamento, post-sfruttamento (movimento laterale, escalation dei privilegi), rapporto con le correzioni raccomandate. Nel settore finanziario europeo il quadro TIBER-EU definisce i red team guidati dall'intelligence sulle minacce, e il regolamento DORA (Digital Operational Resilience Act) li rende obbligatori per le entità più rilevanti.
Il privilegio minimo dice che ognuno deve avere solo gli accessi necessari al proprio lavoro; la separazione dei compiti che una persona sola non deve poter completare un'operazione sensibile (chi crea un fornitore non lo paga). La revisione periodica degli accessi chiede ai responsabili di confermare o togliere i permessi di ciascuno, e il processo joiner-mover-leaver li aggiorna quando una persona entra, cambia ruolo o esce: gli accessi rimasti a chi ha cambiato ufficio sono una delle cause più comuni di incidenti.
Per riferire alla direzione si usano due tipi di indicatori: i KPI (Key Performance Indicator) misurano come funzionano i controlli (percentuale di vulnerabilità critiche corrette entro i tempi stabiliti, copertura dell'autenticazione a più fattori); i KRI (Key Risk Indicator) segnalano che il rischio sta crescendo (numero di sistemi non più supportati, tasso di clic nelle simulazioni di phishing).
Scegli una risposta per domanda.
Il rischio è probabilità per impatto su un bene; si gestisce con un sistema (ISO 27001, NIST CSF) e si tratta in quattro modi. Le vulnerabilità si ordinano per gravità, sfruttamento ed esposizione; i test dicono che cosa un attaccante ottiene davvero.
Il bando chiede di progettare l'architettura di sicurezza di sistemi informatici, cloud e ibridi, di conoscere controlli e prodotti (SIEM, XDR, IAM, PAM e simili), lo sviluppo sicuro, la crittografia, il DevSecOps e l'uso di AI e calcolo quantistico nella sicurezza. Il filo comune è un cambio di modello: dalla rete aziendale considerata sicura a ogni accesso verificato.
La difesa in profondità mette più strati di controlli indipendenti, in modo che il cedimento di uno non basti: rete, sistema, applicazione, dati, persone. Il modello a perimetro («dentro il firewall ci si fida») è stato superato da cloud, lavoro da remoto e attacchi che partono da un computer interno compromesso.
Lo zero trust, descritto dal NIST nella pubblicazione SP 800-207 (2020), parte da tre idee: nessuna fiducia implicita per posizione di rete; ogni accesso a una risorsa è deciso di volta in volta in base a identità, stato del dispositivo e contesto; privilegio minimo e microsegmentazione per limitare i movimenti laterali. Un punto di decisione (policy decision point) valuta la richiesta, un punto di applicazione (policy enforcement point) la lascia passare o la blocca.
L'IAM (Identity and Access Management) gestisce chi è chi e che cosa può fare. Le quattro fasi sono identificazione (dichiaro chi sono), autenticazione (lo dimostro), autorizzazione (che cosa mi è permesso), tracciamento (che cosa ho fatto). L'autenticazione a più fattori (MFA, Multi-Factor Authentication) combina fattori di tipo diverso: qualcosa che so (password), che ho (telefono, chiavetta), che sono (impronta). Due password non sono due fattori.
Un codice via SMS o un'app che chiede «approvi?» si possono carpire con una pagina falsa o con richieste ripetute finché l'utente accetta (MFA fatigue). Le chiavi FIDO2 e le passkey legano la risposta al dominio vero, quindi una pagina falsa non riceve nulla di utile.
| Protocollo | Serve a | Da non confondere |
|---|---|---|
| SAML 2.0 | accesso unico (SSO, Single Sign-On) federato, messaggi XML; diffuso nelle applicazioni aziendali | — |
| OAuth 2.0 | autorizzazione delegata: un'applicazione ottiene un token per agire su risorse per conto dell'utente | non è un protocollo di autenticazione |
| OpenID Connect | strato di identità sopra OAuth 2.0: aggiunge un ID token (in formato JWT) che dice chi è l'utente | usa OAuth, ma serve ad autenticare |
| Kerberos, LDAP | autenticazione e directory nelle reti aziendali (Active Directory) | — |
I modelli di controllo degli accessi più citati sono RBAC (Role-Based Access Control, permessi assegnati ai ruoli), ABAC (Attribute-Based, decisioni su attributi di utente, risorsa e contesto), DAC (discrezionale, decide il proprietario della risorsa) e MAC (obbligatorio, etichette di classificazione imposte dal sistema, come nelle informazioni classificate).
Il PAM (Privileged Access Management) protegge gli account con privilegi elevati (amministratori, account di servizio): credenziali custodite in una cassaforte e ruotate, accesso just-in-time concesso solo per il tempo necessario, registrazione delle sessioni, approvazione per le operazioni critiche. Gli account privilegiati sono il primo obiettivo di un attaccante dopo l'ingresso.
| Sigla | Nome | Che cosa fa |
|---|---|---|
| SIEM | Security Information and Event Management | raccoglie i log da tutta l'infrastruttura, li correla e genera allarmi; conserva le prove |
| SOAR | Security Orchestration, Automation and Response | automatizza la risposta con playbook (isolare un host, bloccare un indirizzo, aprire un ticket) |
| EDR | Endpoint Detection and Response | sorveglia i comportamenti su computer e server, isola il dispositivo, conserva la telemetria |
| XDR | Extended Detection and Response | estende la rilevazione dell'EDR a rete, email, cloud e identità, correlando le fonti |
| IDS / IPS | Intrusion Detection / Prevention System | rileva (IDS) o blocca (IPS) traffico malevolo per firme o anomalie |
| WAF | Web Application Firewall | filtra le richieste HTTP verso un'applicazione web (iniezioni, attacchi noti) |
| DLP | Data Loss Prevention | impedisce che dati sensibili escano (email, chiavette, cloud) |
| CASB | Cloud Access Security Broker | controlla l'uso dei servizi cloud da parte degli utenti |
Per la posta elettronica, tre record DNS proteggono dal furto del mittente: SPF (quali server possono inviare per il dominio), DKIM (firma crittografica dei messaggi), DMARC (che cosa fare dei messaggi che falliscono i controlli, e a chi riferire).
| Strumento | Esempi | Garantisce | Come |
|---|---|---|---|
| Cifratura simmetrica | AES | riservatezza | una sola chiave per cifrare e decifrare; veloce, ma la chiave va condivisa |
| Cifratura asimmetrica | RSA, curve ellittiche | riservatezza, scambio di chiavi | chiave pubblica per cifrare, privata per decifrare; lenta, si usa per scambiare una chiave simmetrica |
| Funzione di hash | SHA-256, SHA-3 | integrità | impronta di lunghezza fissa; non si inverte; non è cifratura |
| MAC / HMAC | HMAC-SHA256 | integrità e autenticità | hash con una chiave segreta condivisa |
| Firma digitale | RSA, ECDSA, EdDSA | integrità, autenticità, non ripudio | si firma l'hash con la chiave privata, chiunque verifica con la pubblica |
Chi garantisce che una chiave pubblica appartenga davvero a qualcuno? La PKI (Public Key Infrastructure): un'autorità di certificazione firma un certificato (formato X.509) che lega la chiave a un'identità. Il protocollo TLS 1.3, che protegge HTTPS, usa la crittografia asimmetrica per autenticare il server e concordare una chiave (con uno scambio Diffie-Hellman effimero, che dà la segretezza in avanti: rubare la chiave privata domani non decifra il traffico di oggi), poi cifra tutto in modo simmetrico. Le password non si cifrano: si conservano con un hash lento e con sale (Argon2, bcrypt), perché un attaccante che ruba l'archivio non possa provarle in fretta.
Modifica uno dei due testi anche di un solo carattere e osserva quanti dei 256 bit dell'impronta cambiano.
L'hash è calcolato davvero dal browser (Web Crypto API). È l'«effetto valanga»: per questo un hash rivela qualunque alterazione, ma da solo non dice chi l'ha fatta; per quello serve una firma o un MAC.
Un computer quantistico abbastanza grande eseguirebbe l'algoritmo di Shor, che fattorizza i numeri e risolve il logaritmo discreto in tempo polinomiale: RSA e curve ellittiche sarebbero rotti. Sulla crittografia simmetrica l'effetto è minore: l'algoritmo di Grover accelera la ricerca esaustiva con un guadagno quadratico, che si compensa raddoppiando la lunghezza della chiave.
Quanto toglie Grover a una chiave simmetrica
Per la parte simmetrica basta AES-256; la parte asimmetrica va sostituita con algoritmi nuovi.
Nell'agosto 2024 il NIST ha pubblicato i primi standard di crittografia post-quantistica: FIPS 203 (ML-KEM, derivato da Kyber, per lo scambio di chiavi), FIPS 204 (ML-DSA, da Dilithium, per le firme) e FIPS 205 (SLH-DSA, da SPHINCS+, firme basate su hash). La minaccia è già attuale per i dati a lunga riservatezza: chi registra oggi traffico cifrato può decifrarlo domani («harvest now, decrypt later»). Nel 2025 gli Stati membri e la Commissione hanno concordato una tabella di marcia: iniziare la transizione entro il 2026, proteggere i sistemi critici entro il 2030, completarla per quanto possibile entro il 2035. La parola chiave è agilità crittografica: progettare i sistemi in modo che cambiare algoritmo sia una configurazione, non una riscrittura. Nella fase di passaggio si usano schemi ibridi, classico e post-quantistico insieme.
Correggere un difetto di sicurezza costa tanto meno quanto prima lo si trova. Il DevSecOps porta i controlli dentro la pipeline di sviluppo («shift left», spostarli a sinistra nel ciclo):
La OWASP Top 10 elenca i rischi più comuni delle applicazioni web; il controllo degli accessi difettoso (broken access control) è al primo posto nelle edizioni recenti, seguito da errori di configurazione, problemi crittografici e iniezioni. Gli attacchi alla catena di fornitura del software (SolarWinds nel 2020, la backdoor nella libreria xz nel 2024) mostrano che il codice di terzi è parte della propria superficie di attacco.
Scegli una risposta per domanda.
Zero trust: ogni accesso è verificato. L'identità è il nuovo perimetro (MFA resistente al phishing, PAM). Hash per l'integrità, firma per il non ripudio, cifratura per la riservatezza; RSA e curve ellittiche vanno sostituite prima che arrivi un computer quantistico.
Il bando chiede di saper monitorare e rilevare le minacce, cercarle in modo proattivo (threat hunting), condurre analisi forensi e risposta agli incidenti, migliorare un SOC (Security Operations Center, centro operativo di sicurezza) e fornire servizi di CSIRC (Computer Security Incident Response Capability). Il presupposto di tutto il capitolo è il principio «assume breach»: progettare le operazioni come se l'attaccante fosse già dentro.
Un SOC sorveglia l'infrastruttura in continuo, di solito con il SIEM al centro (capitolo 10). Il lavoro è organizzato per livelli: il livello 1 smista gli allarmi e scarta i falsi positivi; il livello 2 indaga gli incidenti confermati; il livello 3 fa analisi avanzate, threat hunting e scrive nuove regole di rilevazione. Il problema cronico è l'affaticamento da allarmi: troppi falsi positivi fanno ignorare quelli veri. Migliorare un SOC vuol dire soprattutto regole di rilevazione migliori (legate a tecniche di attacco reali), automazione delle risposte ripetitive (SOAR) e metriche.
La Cyber Kill Chain di Lockheed Martin descrive un attacco in sette fasi: ricognizione, armamento (preparare il malware), consegna (email, sito), sfruttamento, installazione, comando e controllo, azioni sugli obiettivi. L'idea utile è che interrompere una sola fase interrompe l'attacco.
MITRE ATT&CK è una base di conoscenza, costruita su attacchi osservati, di tattiche (il perché: l'obiettivo di un passo) e tecniche (il come). Le tattiche della matrice per le reti aziendali sono 14: ricognizione, sviluppo delle risorse, accesso iniziale, esecuzione, persistenza, escalation dei privilegi, elusione delle difese, accesso alle credenziali, scoperta, movimento laterale, raccolta, comando e controllo, esfiltrazione, impatto. Serve a misurare la copertura delle regole di rilevazione e a descrivere i gruppi di attaccanti con un linguaggio comune.
L'intelligence sulle minacce (threat intelligence) va dal livello strategico (chi ci prende di mira e perché, per la direzione) a quello tecnico (indicatori da caricare negli strumenti). Gli indicatori di compromissione (IoC, Indicator of Compromise) sono tracce concrete: l'hash di un file, un indirizzo IP, un dominio. La piramide del dolore di David Bianco li ordina per quanto costa all'attaccante cambiarli: un hash si cambia in un secondo, le tattiche e le tecniche (TTP) quasi mai, quindi le rilevazioni basate sul comportamento durano di più.
Le informazioni si condividono con il TLP (Traffic Light Protocol, versione 2.0): TLP:RED solo ai destinatari presenti, TLP:AMBER dentro la propria organizzazione e ai clienti che ne hanno bisogno (AMBER+STRICT solo dentro l'organizzazione), TLP:GREEN alla propria comunità, TLP:CLEAR senza limiti. I formati di scambio sono STIX e TAXII; la piattaforma MISP è molto usata nelle comunità europee.
Il threat hunting non aspetta un allarme: parte da un'ipotesi («se un gruppo usasse questa tecnica, lascerebbe queste tracce») e la verifica nei dati. Ciò che trova diventa una nuova regola di rilevazione.
È il ciclo della guida NIST SP 800-61 (la revisione 3 dell'aprile 2025 lo riorganizza sulle funzioni del CSF 2.0) e, con nomi quasi uguali, del modello SANS (preparazione, identificazione, contenimento, eradicazione, ripristino, lezioni apprese).
Spegnere o reinstallare subito la macchina infetta. Si perde la memoria volatile, che può contenere chiavi, processi e connessioni dell'attaccante, e spesso l'attaccante ha altri punti di accesso. Prima si contiene isolando dalla rete, si raccolgono le prove, poi si pulisce.
Contro il ransomware conta soprattutto la preparazione: backup offline o immutabili e provati, segmentazione, MFA sugli accessi remoti. Le autorità europee raccomandano di non pagare: il pagamento non garantisce il recupero e finanzia nuovi attacchi.
Durante un incidente gli orologi delle norme partono quasi tutti da quando l'organizzazione viene a conoscenza dell'incidente, non da quando è iniziato. Confonderli è un errore tipico.
Imposta il momento in cui l'organizzazione viene a conoscenza dell'incidente e scegli il regime: il riquadro calcola le scadenze.
Termini essenziali: le norme hanno dettagli in più (relazioni intermedie su richiesta, classificazione dell'incidente come «significativo» o «grave», in DORA il termine iniziale di 4 ore decorre dalla classificazione). Il mese è calcolato come mese di calendario.
L'analisi forense ricostruisce che cosa è successo in modo che il risultato regga davanti a un giudice o a un'autorità. Tre regole:
Il prodotto finale è una linea temporale degli eventi (accesso iniziale, movimenti, dati toccati) che risponde alle domande che contano per le notifiche: quali dati, di chi, da quando.
Un CSIRT (Computer Security Incident Response Team) è la squadra che gestisce gli incidenti per una comunità. Per le istituzioni, gli organi e gli organismi dell'Unione questo ruolo è del CERT-EU, che con il Regolamento 2023/2841 è diventato il Servizio per la cibersicurezza delle istituzioni dell'Unione (mantenendo la sigla): raccoglie le notifiche, coordina la risposta, condivide l'intelligence. Tra gli Stati membri la NIS2 organizza la rete dei CSIRT (cooperazione tecnica) e la rete EU-CyCLONe (gestione delle crisi informatiche su larga scala), mentre l'ENISA dà supporto a entrambe.
Scegli una risposta per domanda.
Il SOC rileva, il threat hunting cerca senza aspettare, la risposta segue preparazione, rilevazione, contenimento, eradicazione, ripristino e lezioni apprese. Le prove si raccolgono in ordine di volatilità e con catena di custodia; le notifiche partono dalla conoscenza dell'incidente.
Le ultime due categorie di mansioni riguardano la governance (strategia pluriennale, politiche e norme, conformità e audit, rappresentanza nei gruppi interistituzionali) e la sensibilizzazione e consulenza (formazione, gestione delle identità, firme elettroniche e servizi fiduciari). In una domanda a scelta multipla diventano: quale norma si applica a chi, con quali obblighi e in quali tempi.
| Norma | A chi si applica | Il cuore |
|---|---|---|
| Regolamento (UE, Euratom) 2023/2841 | istituzioni, organi e organismi dell'Unione | quadro interno di gestione del rischio, valutazione della maturità, piano di cibersicurezza, notifica al CERT-EU |
| Direttiva NIS2 (UE) 2022/2555 | soggetti essenziali e importanti in 18 settori negli Stati membri | misure di gestione del rischio (art. 21), notifica degli incidenti (art. 23), responsabilità degli organi di gestione |
| Cyber Resilience Act (UE) 2024/2847 | fabbricanti di prodotti con elementi digitali | sicurezza fin dalla progettazione, gestione delle vulnerabilità, marcatura CE |
| DORA (UE) 2022/2554 | entità finanziarie e loro fornitori ICT critici | resilienza operativa digitale, test, rischio da terze parti |
| Cybersecurity Act (UE) 2019/881 | ENISA e sistemi di certificazione | mandato permanente dell'ENISA, quadro europeo di certificazione della cibersicurezza |
| Cyber Solidarity Act (UE) 2025/38 | Stati membri, Commissione | sistema europeo di allerta, meccanismo per le emergenze, riserva dell'UE per la cibersicurezza |
| eIDAS (UE) 910/2014, modificato da (UE) 2024/1183 | identità digitale e prestatori di servizi fiduciari | firme, sigilli, portafoglio europeo di identità digitale |
È la norma che un amministratore AD 8 in cybersecurity applicherà ogni giorno. In vigore dal 7 gennaio 2024, chiede a ogni istituzione, organo e organismo dell'Unione:
L'attuazione è sorvegliata dal Comitato interistituzionale per la cibersicurezza (IICB, Interinstitutional Cybersecurity Board), con un rappresentante per istituzione, che può emanare orientamenti, raccomandazioni e avvertimenti. Il CERT-EU fornisce il servizio di risposta agli incidenti e l'intelligence (capitolo 11).
La NIS2 ha sostituito la prima direttiva NIS del 2016; il termine di recepimento era il 17 ottobre 2024. Si applica, di regola, alle medie e grandi imprese (almeno 50 dipendenti o più di 10 milioni di euro di fatturato) di 18 settori: 11 ad alta criticità (energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio) e 7 critici (servizi postali, rifiuti, sostanze chimiche, alimenti, fabbricazione, fornitori digitali, ricerca). Alcuni soggetti vi rientrano a prescindere dalle dimensioni, come i fornitori di DNS e i prestatori di servizi fiduciari.
I soggetti sono essenziali (vigilanza preventiva, sanzioni fino ad almeno 10 milioni o 2% del fatturato) o importanti (vigilanza successiva, fino ad almeno 7 milioni o 1,4%). Gli organi di gestione approvano le misure, ne sorvegliano l'attuazione, ne rispondono e devono seguire una formazione.
Le notifiche (articolo 23) al CSIRT o all'autorità nazionale seguono lo stesso schema del Regolamento 2023/2841: 24 ore, 72 ore, un mese.
Il Cyber Resilience Act impone requisiti di cibersicurezza a hardware e software venduti nell'Unione: sicurezza fin dalla progettazione e per impostazione predefinita, gestione delle vulnerabilità per tutto il periodo di assistenza (di norma almeno cinque anni), aggiornamenti di sicurezza, SBOM, marcatura CE. I prodotti sono divisi in predefiniti, importanti (classi I e II) e critici, con valutazioni della conformità più severe per le classi alte. Gli obblighi di segnalare le vulnerabilità attivamente sfruttate e gli incidenti gravi, tramite la piattaforma unica dell'ENISA, si applicano dall'11 settembre 2026; il resto dall'11 dicembre 2027.
Il Cybersecurity Act del 2019 ha dato all'ENISA (con sede ad Atene) un mandato permanente e ha creato il quadro europeo di certificazione della cibersicurezza per prodotti, servizi e processi, con livelli di affidabilità di base, sostanziale ed elevato; il primo sistema adottato è l'EUCC (2024), basato sui Common Criteria.
Il Cyber Solidarity Act (in vigore da febbraio 2025) crea un sistema europeo di allerta (una rete di centri informatici transfrontalieri che rilevano le minacce), un meccanismo per le emergenze con una riserva dell'UE di fornitori di fiducia che possono intervenire su richiesta, e un meccanismo di riesame degli incidenti su larga scala.
Il regolamento DORA, applicabile dal 17 gennaio 2025, è la norma settoriale per la finanza: gestione del rischio ICT, segnalazione degli incidenti gravi, test di resilienza (fino ai test di penetrazione guidati dalle minacce, ogni tre anni per le entità più rilevanti), registro dei contratti con fornitori ICT e sorveglianza europea dei fornitori critici.
Altri soggetti da riconoscere: il Centro europeo di competenza per la cibersicurezza (ECCC, a Bucarest), che gestisce i finanziamenti di ricerca e industria; il Centro europeo per la lotta alla criminalità informatica di Europol (EC3); il «pacchetto di strumenti della diplomazia informatica» con cui il Consiglio può adottare sanzioni contro gli autori di attacchi.
I documenti di governance hanno una gerarchia: la strategia (pluriennale, obiettivi e priorità), la politica (che cosa si deve fare, approvata dalla direzione), gli standard (requisiti obbligatori misurabili, per esempio la lunghezza minima delle chiavi), le procedure (come si fa, passo per passo), le linee guida (raccomandazioni non obbligatorie). Conformità e audit verificano che gli standard siano applicati: l'audit interno risponde alla direzione, quello esterno (nelle istituzioni anche la Corte dei conti europea) dà una garanzia indipendente. Una buona metrica di governance collega i rischi agli obiettivi dell'istituzione, non solo ai numeri tecnici.
Gran parte degli incidenti comincia da una persona: un clic su un link, una password riutilizzata, una richiesta urgente del «direttore». Una campagna di sensibilizzazione efficace è continua (non un corso all'anno), mirata per ruolo (chi gestisce pagamenti, chi amministra sistemi) e misurata (simulazioni di phishing, tasso di segnalazione oltre al tasso di clic). Il comportamento da premiare è la segnalazione rapida, non l'assenza di errori.
Per le competenze professionali l'ENISA ha pubblicato nel 2022 il quadro europeo delle competenze in cibersicurezza (ECSF, European Cybersecurity Skills Framework), con 12 profili di ruolo (tra cui responsabile della sicurezza delle informazioni, risponditore agli incidenti, analista dell'intelligence sulle minacce, architetto, auditor, penetration tester); la Commissione ha lanciato nel 2023 la Cybersecurity Skills Academy.
Il regolamento eIDAS (electronic IDentification, Authentication and trust Services), riformato nel 2024 («eIDAS 2»), copre due cose: il riconoscimento reciproco dei mezzi di identificazione elettronica nazionali, con livelli di garanzia basso, significativo ed elevato, e i servizi fiduciari. La novità principale è il portafoglio europeo di identità digitale (EUDI Wallet): ogni Stato membro deve offrirne almeno uno ai cittadini, gratuitamente, entro la fine del 2026, per identificarsi, conservare attestati (patente, diplomi) e firmare.
| Firma | Requisiti | Effetto giuridico |
|---|---|---|
| Semplice | dati in forma elettronica associati ad altri dati e usati per firmare (un nome digitato, una casella spuntata) | non si possono negare gli effetti solo perché elettronica, ma il valore probatorio è da valutare |
| Avanzata | connessa unicamente al firmatario, idonea a identificarlo, creata con mezzi sotto il suo esclusivo controllo, collegata ai dati in modo da rilevarne ogni modifica | valore probatorio maggiore |
| Qualificata | avanzata + certificato qualificato + dispositivo per la creazione di una firma qualificata (QSCD) | equivale alla firma autografa ed è riconosciuta in tutti gli Stati membri |
Il sigillo elettronico è l'equivalente della firma per una persona giuridica (un'istituzione, un'impresa): garantisce origine e integrità di un documento, non la volontà di una persona. Gli altri servizi fiduciari sono la validazione temporale (prova che un dato esisteva a una certa ora), il recapito elettronico certificato, i certificati di autenticazione dei siti web e, con la riforma del 2024, l'attestazione elettronica di attributi, l'archiviazione elettronica e i registri elettronici. I prestatori qualificati sono vigilati dagli organismi nazionali ed elencati negli elenchi di fiducia (trusted lists) degli Stati membri.
Scegli una situazione e decidi prima di leggere la risposta.
Le regole nazionali possono chiedere forme specifiche per certi atti (per esempio alcuni contratti immobiliari); qui c'è solo ciò che dice eIDAS.
Scegli una risposta per domanda.
Istituzioni UE: Regolamento 2023/2841, IICB e CERT-EU. Stati membri: NIS2. Prodotti: CRA. Finanza: DORA. Tutte chiedono gestione del rischio, responsabilità del vertice e notifiche in 24 ore, 72 ore e un mese. La firma qualificata equivale a quella autografa in tutta l'Unione.
guide vuol dire che l'argomento è già spiegato a fondo in un'altra guida di Explorables; qui che è spiegato in questa guida; da completare che conviene integrarlo con le fonti ufficiali.
| Mansione | Dove | Copertura |
|---|---|---|
| Architetture, algoritmi, pattern | capitolo 2 → architetture-llm, training-llm, machine-learning | guide |
| Selezione e ottimizzazione dei modelli | capitolo 4, capitolo 2 → inferenza-llm | guide qui |
| Costruire o comprare, guida di progetti | capitolo 4 | qui |
| MLOps, ciclo di vita, test | capitolo 3 → ai-engineering | qui |
| Dati per addestramento e uso, governance dei dati | capitolo 3, capitolo 6 | qui |
| AI generativa, RAG, AI agentica | capitolo 2 → ai-engineering, assistente-agente | guide |
| MCP e protocolli | capitolo 4 | qui |
| Governance e gestione del rischio dell'AI | capitolo 6 | qui |
| AI Act | capitolo 5 | qui da completare con lo stato del Digital Omnibus |
| Protezione dei dati | capitolo 6 | qui |
| Equità, spiegabilità, tracciabilità, auditabilità | capitolo 7 | qui |
| Alfabetizzazione sull'AI | capitolo 5 (art. 4) | qui |
| Politiche, tendenze, impatto sociale, strategie | capitolo 8 | qui da completare con gli atti più recenti |
| Rischio, maturità, vulnerabilità, test, accessi, metriche | capitolo 9 | qui |
| Architettura, controlli, sviluppo sicuro, crittografia, AI e quantistica | capitolo 10 | qui |
| Monitoraggio, threat hunting, forense, SOC, CSIRC | capitolo 11 | qui |
| Governance, politiche, conformità, audit, gruppi interistituzionali | capitolo 12 | qui |
| Sensibilizzazione, IAM, firme elettroniche, servizi fiduciari | capitolo 12, capitolo 10 | qui |