AI Act e Cyber Resilience Act: le scadenze aggiornate e le competenze da costruire

Prima il perimetro, poi la scadenza

AI Act e Cyber Resilience Act, abbreviato CRA, vengono spesso riuniti sotto l’etichetta della conformità digitale. Per impostare la formazione serve però distinguerli: l’AI Act disciplina sistemi e modelli di intelligenza artificiale secondo il relativo ruolo e rischio; il CRA riguarda la cybersicurezza dei prodotti con elementi digitali che rientrano nel suo campo di applicazione. Non ogni utilizzatore aziendale è automaticamente un fabbricante soggetto agli stessi obblighi. [1] [4]

La nostra proposta didattica è partire da un caso concreto: quale soluzione realizziamo, acquistiamo o utilizziamo? Chi ne stabilisce finalità e modalità d’impiego? Chi la immette sul mercato? Senza questa mappa, una presentazione sulle date rischia di produrre un calendario senza responsabili.

AI Act: il calendario è stato aggiornato

La Commissione europea comunica che l’AI Omnibus è entrato in vigore il 27 luglio 2026. Le regole per i sistemi ad alto rischio dell’allegato III sono previste dal 2 dicembre 2027; per quelli incorporati nei prodotti regolamentati dell’allegato I, dal 2 agosto 2028. La Commissione segnala anche semplificazioni amministrative e modifiche alle misure sull’alfabetizzazione in materia di IA. [1]

Questo aggiornamento non equivale a rinviare indistintamente tutto l’AI Act. Il Service Desk europeo indica l’applicazione delle disposizioni sulla trasparenza dal 2 agosto 2026 e una transizione fino al 2 dicembre 2026 per determinati sistemi già sul mercato, riferita all’articolo 50, paragrafo 2. La verifica deve quindi riguardare la disposizione e il caso specifico, non soltanto l’etichetta “IA”. [2]

CRA: le notifiche sono già una responsabilità operativa

Dall’11 settembre 2026 i fabbricanti interessati devono segnalare vulnerabilità attivamente sfruttate e incidenti gravi che incidono sulla sicurezza dei prodotti. La Commissione indica un preallarme entro 24 ore dalla conoscenza e una notifica entro 72 ore. Per la relazione finale distingue le vulnerabilità — entro 14 giorni dalla disponibilità della misura correttiva — dagli incidenti gravi, entro un mese dalla notifica delle 72 ore. [3]

ENISA ha attivato la Single Reporting Platform; i principali requisiti di cybersicurezza del CRA si applicheranno dall’11 dicembre 2027. Gli obblighi degli open-source software stewards hanno una decorrenza distinta, anch’essa indicata nell’11 dicembre 2027. [4] Attendere la scadenza generale del prodotto può quindi far trascurare un adempimento già applicabile al fabbricante.

Come trasformare le regole in una lezione utile

Proponiamo tre moduli: riconoscere il proprio ruolo, gestire una segnalazione e documentare una decisione. Nel primo, i partecipanti classificano un prodotto o un impiego dell’IA con il supporto di chi presidia la conformità. Nel secondo, simulano l’arrivo di una vulnerabilità sfruttata e ricostruiscono chi riceve la notizia, chi valuta il perimetro e chi prepara le informazioni. Nel terzo, compilano una scheda con fonte, data di verifica, motivazione e responsabile.

Per sviluppo e prodotto l’esercizio può riguardare dipendenze e gestione delle correzioni; per acquisti, le informazioni da ottenere dal fornitore; per direzione e responsabili di processo, risorse ed escalation. L’obiettivo formativo proposto è verificabile: al termine, ogni partecipante deve sapere riconoscere il limite della propria competenza e attivare il referente corretto.

Le certificazioni ISO 27001 e ISO 42001 possono offrire un contesto di gestione per organizzare responsabilità ed evidenze; non vanno presentate come una sostituzione automatica degli adempimenti di legge. Un percorso serio collega apprendimento, pratica e riesame delle informazioni, tenendo separati requisiti normativi e scelte organizzative.