Paniere domande

L'AI Act è stato pubblicato nella GU dell'UE il 12 luglio 2024 ed è entrato in vigore il 1 agosto 2024 (20 giorni dopo la pubblicazione). L'applicazione è differita: 6 mesi per divieti, 12 mesi per GPAI, 24 mesi per alto rischio.

I sistemi AI a rischio inaccettabile (es. social scoring da governi, manipolazione subliminale, biometric mass surveillance in tempo reale) sono vietati nell'UE. Gli altri livelli hanno obblighi crescenti.

L'allegato III dell'AI Act classifica i sistemi AI per selezione/assunzione del personale (incluse PA) come ad 'alto rischio', soggetti a obblighi di qualità dei dati, documentazione, trasparenza, supervisione umana.

I GPAI (General Purpose AI) sono modelli come i Large Language Models (LLM) addestrati su larga scala con capacità polivalenti. Soggetti a obblighi specifici tra cui trasparenza, copyright e valutazione per modelli con rischi sistemici.

L'AI Office (istituito con Decisione della Commissione europea, febbraio 2024) è l'organismo europeo centrale per l'applicazione dell'AI Act, in particolare per i modelli GPAI. Le autorità nazionali vigilano sugli altri sistemi.

I fornitori di sistemi AI ad alto rischio hanno obblighi multipli: sistema di gestione della qualità, documentazione tecnica, registrazione nell'EU AI database, trasparenza, supervisione umana, robustezza e sicurezza informatica.

La Direttiva NIS2 è stata recepita in Italia con il D.Lgs. n. 138 del 4 settembre 2024, in vigore dal 16 ottobre 2024. Il D.Lgs. 65/2018 era il recepimento della NIS1. La L. 90/2024 riguarda la cybersecurity PA (Legge Crosetto).

L'ACN (Agenzia per la Cybersicurezza Nazionale), istituita con D.L. 82/2021, è l'autorità nazionale competente NIS2, gestisce il CSIRT Italia e coordina la risposta agli incidenti cyber.

I soggetti essenziali (energia, trasporti, banche, sanità, acqua, infrastrutture digitali) hanno vigilanza ex-ante proattiva e sanzioni fino a 10M€ o 2% fatturato. I soggetti importanti: vigilanza ex-post e sanzioni fino a 7M€ o 1,4%.

NIS2 introduce un processo in tre fasi: allerta precoce entro 24h, notifica entro 72h con valutazione iniziale, relazione finale entro 1 mese. Il termine GDPR per data breach è 72h ma è una norma diversa.

La L. 90/2024 (Legge Crosetto) obbliga le PA a notificare gli incidenti ad ACN entro 24h, a nominare un referente per la cybersicurezza e ad adottare misure di sicurezza minime secondo le linee guida ACN.

Il CSIRT Italia (Computer Security Incident Response Team) riceve le notifiche di incidenti NIS2/GDPR, coordina la risposta a livello nazionale, coopera con ENISA e gli altri CSIRT europei.

L'art. 21 NIS2 elenca misure minime obbligatorie: politiche di analisi del rischio, gestione incidenti, continuità operativa (BCP/DRP), sicurezza della supply chain, sicurezza nello sviluppo, valutazione efficacia misure, igiene informatica, crittografia, MFA, comunicazioni sicure.

L'art. 37 GDPR stabilisce che tutti gli enti pubblici (autorità e organismi pubblici) devono designare obbligatoriamente un DPO, indipendentemente dal tipo di trattamento o dimensione.

La pseudonimizzazione (art. 4 n.5 GDPR) sostituisce gli identificativi diretti con alias, ma i dati rimangono personali perché la re-identificazione è possibile con le informazioni aggiuntive. Diversa dall'anonimizzazione (irreversibile).

Art. 35 GDPR: la DPIA è obbligatoria per trattamenti ad alto rischio: profilazione sistematica, trattamento su larga scala di categorie speciali, videosorveglianza su larga scala. Il Garante pubblica liste di casi obbligatori.

Artt. 44-49 GDPR: i trasferimenti extra-UE richiedono: decisione di adeguatezza (es. UK, Giappone, USA con DPF), garanzie adeguate (clausole contrattuali standard, BCR, codici di condotta), o deroghe specifiche.

Art. 83(5) GDPR: le violazioni più gravi comportano sanzioni fino a 20M€ o 4% del fatturato mondiale annuo. Le violazioni meno gravi (art. 83(4)) prevedono fino a 10M€ o 2%.

Art. 33 GDPR: il titolare notifica il data breach all'autorità di controllo entro 72 ore dalla scoperta, salvo che sia improbabile che presenti un rischio per i diritti e le libertà delle persone.

L'art. 9 GDPR elenca le categorie speciali che richiedono protezione rafforzata: origine razziale/etnica, opinioni politiche, convinzioni religiose/filosofiche, appartenenza sindacale, dati genetici, biometrici identificativi, dati sanitari, vita/orientamento sessuale.

Il CAD è il D.Lgs. 7 marzo 2005, n. 82, più volte modificato. Il D.Lgs. 196/2003 è il Codice Privacy (ora sostituito). Il D.Lgs. 165/2001 è il TUPI. Il D.Lgs. 33/2013 è il Decreto Trasparenza.

Art. 3-bis CAD: il domicilio digitale è un indirizzo PEC o altro servizio di recapito certificato qualificato, registrato nell'INAD (Indice Nazionale dei Domicili Digitali). SPID è un'identità digitale, non un domicilio.

Art. 21 CAD: il documento informatico sottoscritto con firma digitale o altra firma elettronica qualificata ha l'efficacia prevista dall'art. 2702 c.c. (scrittura privata). La firma elettronica semplice ha valore probatorio libero.

Art. 64-bis CAD: le PA devono rendere disponibili i propri servizi in rete tramite la piattaforma digitale nazionale dati e garantire l'interoperabilità tramite API. Il cittadino ha diritto all'accesso digitale (art. 3 CAD).

Art. 69 CAD: le PA che abbiano svolto sviluppo di software sono tenute a rendere il codice sorgente disponibile su piattaforme pubbliche (Developers Italia) in modalità open source, salvo motivate eccezioni.

Il SPC (artt. 73-87 CAD) è l'infrastruttura di interconnessione telematica delle PA italiane, gestita da AgID, che garantisce sicurezza, qualità e interoperabilità delle comunicazioni tra le PA.

Il Piano Triennale è adottato dalla Presidenza del Consiglio dei Ministri su proposta di AgID (art. 14-bis CAD). Definisce la strategia ICT della PA: cloud, interoperabilità, sicurezza, dati, piattaforme abilitanti.

Art. 2 D.Lgs. 165/2001: il rapporto di impiego pubblico è regolato dal codice civile e dalle leggi sui rapporti di lavoro subordinato privato, nonché dai CCNL. È il principio di 'privatizzazione' del pubblico impiego.

Art. 5 D.Lgs. 165/2001: il potere di gestione del personale spetta ai dirigenti (potere privatistico), mentre gli organi politici definiscono gli obiettivi e le risorse (atti di indirizzo). È il principio di separazione politica-gestione.

Il D.Lgs. 24/2023 ha recepito la Direttiva UE 2019/1937 (Whistleblowing), abrogando il previgente art. 54-bis D.Lgs. 165/2001. Introduce tutele rafforzate per chi segnala illeciti, sia nel pubblico che nel privato.

Art. 36 D.Lgs. 165/2001: il lavoro flessibile è ammesso solo per esigenze temporanee ed eccezionali. La violazione non determina conversione a tempo indeterminato ma obbliga al risarcimento del danno.

Art. 28 D.Lgs. 165/2001: l'accesso alla dirigenza avviene tramite concorso pubblico (bandito dalla SNA) o corso-concorso selettivo. Gli incarichi a esterni sono ammessi entro limiti percentuali definiti dalla legge.

Il D.P.R. 62/2013 si applica a tutti i dipendenti delle PA (art. 2), inclusi i collaboratori a qualsiasi titolo. Le PA possono adottare codici integrativi. La violazione costituisce illecito disciplinare.

Art. 2 L. 241/1990: il termine generale è di 30 giorni, salvo che disposizioni legislative o regolamentari stabiliscano termini diversi (max 90 giorni per PA statali, 180 per casi eccezionali autorizzati dal CdM).

Art. 20 L. 241/1990: per i procedimenti ad istanza di parte, la mancata risposta entro il termine equivale ad accoglimento (silenzio-assenso), salvo eccezioni per interessi primari (sicurezza, salute, patrimonio culturale, ecc.).

Artt. 14-14-quinquies L. 241/1990: la Conferenza di servizi riunisce le PA interessate a un procedimento per acquisire simultaneamente pareri, riducendo i tempi rispetto alle procedure sequenziali.

Il D.Lgs. 33/2013 disciplina gli obblighi di pubblicazione sul sito istituzionale (sezione 'Amministrazione Trasparente') e il diritto di accesso civico e accesso civico generalizzato (FOIA italiano).

Art. 6 L. 241/1990: il responsabile del procedimento valuta l'ammissibilità, acquisisce dichiarazioni/documenti, propone o emette il provvedimento. Non ha necessariamente potere decisionale finale (che può spettare al dirigente).