,

La governance collaborativa come scelta strategica

Avv. R. Eva Cresci

Quando in Iusintech incontriamo per la prima volta le imprese interessate a innovare registriamo sempre le solite preoccupazioni di fondo:  paura di perdere il controllo sui dati e sul know-how aziendale, senso di incertezza e confusione normativa (specie su interdipendenza tra GDPR e AI Act), spaesamento sulle scelte di recruitment, ma anche una certa ritrosia a valorizzare le competenze in chiave sinergica.

Se negli ultimi anni sentiamo incessantemente parlare di trasformazione e rafforzamento della digitalizzazione attraverso iniziative (=investimenti) su cloud, cybersecurity, data analysis e interoperabilità, questi interventi spesso si fermano all’adozione di nuovi applicativi valutati solo dal punto di vista operativo, senza che si entri nel merito delle effettive implicazioni che impattano sulla gestione del rischio, così come richiesto dal quadro normativo europeo introdotto con l’AI Act, dalla normativa nazionale ex L. 132/25 e dai principi generali di organizzazione, amministrazione e controllo che derivano dal diritto societario italiano (ad esempio art. 2086 c.c., che impone assetti organizzativi adeguati alla natura e dimensione dell’impresa).

Parlare di governance, specie in ambito AI, significa infatti passare ad un livello successivo più sistematico e strategico, che contempla accountability, risk assessment strutturato, procedure di supervisione, monitoraggio continuo, documentazione tecnica, policy interne, ecc. ovvero una corretta sincronizzazione delle varie competenze aziendali, intesa non solo come leva di efficienza ma ANCHE come un integratore di processi decisionali, di controllo e di rendicontazione.

In questo scenario,  si inserisce la prospettiva del cosiddetto “Digital Omnibus”, orientata a una progressiva razionalizzazione e coordinamento del corpus normativo europeo in materia digitale (AI Act, Data Act, Data Governance Act, Cyber Resilience Act), con l’obiettivo di ridurre frammentazioni applicative e rafforzare la coerenza tra obblighi di compliance, accountability e gestione del rischio tecnologico. Per le imprese ciò significa prepararsi a un contesto regolatorio sempre più integrato, nel quale le scelte di delega “alle macchine” incidono direttamente sull’assetto organizzativo e sulle responsabilità dei decisori.

Alcuni esempi concreti possono aiutare a comprendere la portata del tema.

Una PMI che introduce un sistema di AI per lo screening automatizzato dei CV entra potenzialmente nell’ambito dei sistemi “ad alto rischio” ai sensi dell’AI Act (allegato III con entrata in vigore prevista nell’agosto prossimo e con obblighi specifici in materia di risk management, qualità dei dati, documentazione tecnica, supervisione umana e registrazione). Non si tratta solo di acquistare un software: occorre verificare ruoli (provider/deployer), basi giuridiche ex art. 6 AI Act, eventuale DPIA ex art. 35 GDPR, livello di trasparenza e discriminazione dei modelli.

Analogamente, l’adozione di strumenti di AI generativa per supportare funzioni marketing o customer care espone l’impresa a rischi di trattamento illecito di dati personali, di dispersione del know-how aziendale e di utilizzo di modelli addestrati su dataset non adeguatamente verificati sotto il profilo delle licenze e dei diritti di proprietà intellettuale. Anche in questo caso, governance significa presidio contrattuale, policy interne, controlli sugli accessi, regole di conservazione e cancellazione dei dati, supervisione umana e tracciabilità.

L’innovazione non è più solo una questione tecnica o di efficienza da delegare all’IT: è una scelta strategica che incide direttamente sulla responsabilità degli amministratori e sulla sostenibilità giuridica del modello di business, ciò anche in vista delle pesanti sanzioni che si prospettano all’orizzonte.

Per chi sta innovando, o intende farlo, è il momento di scegliere e adottare un nuovo approccio quello della governance collaborativa, introducendo prassi di frequente confronto tra board e dipartimenti ICT, sicurezza, legal e compliance, promuovendo un linguaggio condiviso e la discussione multidisciplinare. Solo così si può costruire un percorso di cambiamento su solide basi, trasformando obblighi regolatori in vantaggio competitivo, clausole contrattuali punitive in accordi sostenibili e la centralità della supervisione umana in credibilità verso mercato, investitori e stakeholder.

____________

Segui Iusintech per acquisire maggiore consapevolezza su innovazione, diritto e compliance. Se hai domande, puoi scriverci a hello@iusintech.com.

Riproduzione Riservata

/da
,

La provenienza dei dati e i nuovi criteri di responsabilità condivisa

Avv. R. Eva Cresci

L’ecosistema AI sta attraversando una fase di profonda mutazione normativa che obbliga le imprese italiane a una riflessione non più rimandabile sul tema della #provenienzadeidati. 

 Al centro della  questione si colloca il concetto di Text and Data Mining (TDM), ovvero quella capacità degli algoritmi di setacciare quantità monumentali di informazioni per estrarre schemi, correlazioni, pattern e inferenze non identificabili altrimenti. 

Se fino a pochi anni fa questa pratica era relegata ad ambiti di ricerca o analisi statistica, oggi rappresenta il motore propulsivo dietro ogni modello di AI generativa che le PMI stanno cominciando ad integrare compulsivamente nei processi produttivi. 

 Tuttavia, l’attuale quadro normativo (Legge 132/2025, AI Act 2024/1689, Direttiva Copyright 790/2019), stabilisce un confine netto tra ciò che è tecnicamente possibile e ciò che è giuridicamente lecito. 

Per un’impresa, ignorare questa distinzione significa esporsi a significativi rischi reputazionali e legali, poiché la liceità dell’output prodotto da un sistema dipende strettamente dalla liceità dell’estrazione dei dati avvenuta a monte, secondo il principio della trasparenza sancito dall’Articolo 53 dell’AI Act. 

Immaginiamo un caso d’uso comune nel settore manifatturiero o del design industriale. Un’azienda decide di adottare un modello di AI generativa per supportare il proprio ufficio stile nella creazione di nuovi pattern o prototipi di prodotto. Il software viene acquistato con una regolare licenza d’uso, ma se il fornitore del modello ha addestrato l’algoritmo tramite TDM su database di concorrenti o su immagini protette senza rispettare il diritto di opt-out previsto dall’Articolo 4 della Direttiva (UE) sul Copyright 2019/790, l’azienda acquirente si ritrova a operare con uno strumento non conforme. In questo scenario, l’output generato potrebbe incorporare elementi che violano la proprietà intellettuale altrui, rendendo l’impresa italiana passibile di richieste di risarcitorie o, addirittura, del blocco immediato della produzione. 

Un altro esempio critico riguarda il settore del marketing, dove l’impiego di chatbot evoluti addestrati senza una chiara certificazione della catena di custodia dei dati può portare alla pubblicazione di contenuti che replicano indebitamente lo stile di terzi, attivando sanzioni che la nuova normativa nazionale ha reso particolarmente incisive per chi non rispetta le riserve espresse dai titolari dei diritti: es. sono previste specifiche aggravanti penali se  l’intelligenza artificiale viene utilizzata come strumento per commettere reati di plagio in violazione del diritto d’autore. 

Vanno dunque alzate le antenne guardando a quanto sta accadendo recentemente nelle aule di tribunale europee. 

Un caso emblematico sulla questione TDM è la recentissima sentenza del Tribunale Regionale di Monaco I (Landgericht München I) nel caso GEMA contro OpenAI (causa 42 O 14139/24) del novembre 2025. I giudici hanno stabilito che l’eccezione TDM prevista dalla normativa europea copre solo la fase iniziale di analisi dei dati, ma non si estende alla fase in cui il modello “memorizza” e riproduce brani di opere protette (come i testi delle canzoni) rendendoli accessibili al pubblico attraverso la consultazione della piattaforma. Se il modello viene usato per scopi commerciali e genera output che competono con le opere originali, il diritto ad accedere ai dati per scopo di addestramento decade, poiché tale attività esorbita dalle finalità del TDM. 

In sintesi, il caso GEMA stabilisce che il TDM è un mezzo per imparare, non una licenza di plagio.

Questa decisione segue e precisa il precedente caso Kneschke contro LAION (causa 310 O 227/23), dove la Corte Regionale di Amburgo aveva invece inizialmente favorito l’eccezione TDM per scopi di ricerca scientifica e i due distinti approcci interpretativi dimostrano che il confine della legalità è ancora in fase di definizione e che l’uso commerciale dei modelli richiede tutele contrattuali granitiche. 

La ponderazione dei risvolti legali delle licenze d’uso (anche quando riguarda i provider più forti conosciuti sul mercato!) diventa quindi anche sotto questo profilo un aspetto fondamentale, posto che, contrariamente a quanto si potrebbe pensare, il semplice fatto che un prodotto sia disponibile sul mercato non rende superflua la richiesta di garanzie specifiche.

La Legge 132/2025 chiarisce, infatti, che l’accesso legittimo alla fonte è il prerequisito ineludibile e le imprese utilizzatrici devono quindi pretendere dai fornitori la prova documentale che le tecniche di TDM utilizzate siano conformi agli standard di trasparenza previsti dall’Allegato IX dell’AI Act. Da qui i nuovi criteri di responsabilità condivisa che partono dai doveri degli sviluppatori, si estendono al fornitore e interessano anche gli utilizzatori richiamati a esercitare controlli di compliance a cascata a loro volta.

Pertanto, l’adozione di clausole di manleva e la richiesta di report di conformità devono diventare parte integrante della due diligence pre-contrattuale. Non si tratta di un inutile appesantimento burocratico per le imprese, ma della costruzione di uno scudo legale necessario per muoversi in un’economia dove il dato è la materia prima, ma il rispetto dei diritti resta il perimetro invalicabile della correttezza commerciale. 

Riproduzione Riservata

/da
,

Governare i dati per liberare l’innovazione: perché la data-governance è il motore silenzioso del progresso tecnologico nelle aziende IT

Avv. Raffaella Aghemo

– Perché la data-governance è ormai il motore silenzioso del progresso tecnologico nelle aziende IT che costruiscono software per grandi organizzazioni

Proprio la scorsa settimana ero a pranzo con un cliente, con il quale ho anche una discreta confidenza, che ad un certo punto, mi chiede come gestire in maniera efficace i dati delle aziende a cui sviluppa software, e stiamo parlando di grandi aziende, senza mettere a rischio i loro dati personali, i dati di cui dispongono e di cui hanno custodia, nonché i dati aziendali, che potrebbero disvelare anche indicazioni sul know-how. Proprio in virtù di questo bel colloquio, ho pensato di mettere nero su bianco, quanto ho prospettato al lui. Ve ne parlo qui di seguito.

Quando una grande azienda affida a un partner tecnologico lo sviluppo di una soluzione critica, non sta semplicemente acquistando righe di codice, sta consegnando frammenti della propria identità: dati di clienti e dipendenti, processi interni, documenti che racchiudono il proprio know‑how competitivo, a volte perfino strategie future. In quel momento, il partner software non è più un “fornitore”: è un custode di valore. È qui che la governance dei dati smette di essere un tema da addetti ai lavori e diventa un elemento abilitante di fiducia, velocità, qualità e, soprattutto, innovazione.

Negli ultimi anni abbiamo imparato che l’innovazione non nasce soltanto da algoritmi più potenti o da infrastrutture più performanti, nasce da dati ben governati: coerenti, rintracciabili, accessibili a chi deve usarli e protetti da chi non deve. In ogni fase, dall’analisi dei requisiti al collaudo, fino alla messa in produzione, una buona data governance toglie attrito, evita rielaborazioni, riduce gli errori, accelera le consegne e costruisce affidabilità nel tempo. È il filo rosso invisibile che unisce team diversi (prodotto, sviluppo, legale, sicurezza, marketing) e che rende possibile decidere con lucidità, integrare sistemi eterogenei e scalare le soluzioni quando il business lo richiede.

Questa centralità non è un gusto del momento. È la risposta concreta a tre pressioni che ogni software house, azienda IT che dir si voglia, avverte quotidianamente quando lavora per grandi organizzazioni.

1. La pressione della fiducia

Una soluzione può essere brillante sul piano funzionale e del design, ma se gestisce dati personali dei clienti o segreti industriali, la prima domanda che una grande azienda si fa è: possiamo fidarci? La fiducia non si dichiara: si dimostra. Si dimostra con tracce, registri, criteri di accesso, piani di retention e cancellazione, trasparenza su chi vede cosa e perché. È ciò che la normativa europea chiede da anni con il GDPR, che non è un “peso legale” ma un invito a progettare sistemi che rispettino i principi di liceità, minimizzazione e accountability, anche tramite DPIA, quando l’impatto sui diritti è elevato. E oggi la stessa logica di responsabilità verificabile si estende ai sistemi di intelligenza artificiale con l’AI Act: per i casi d’uso ad alto rischio, il regolamento impone gestione del rischio, qualità dei dati, documentazione tecnica, registri e supervisione umana; cioè precisamente quei mattoni organizzativi che chiamiamo Data & AI Governance.

2. La pressione della complessità

Le architetture moderne sono distribuite, toccano sistemi legacy e servizi cloud, cambiano versione in fretta. Senza un piano strategico, un governo chiaro del ciclo di vita dei dati, da dove arrivano, come si trasformano, chi li usa, quando si cancellano, la complessità diventa fragilità. Qui aiutano gli standard e i riferimenti consolidati (l’ISO/IEC 27001 offre una cornice di sicurezza informativa risk‑based, mentre l’ISO/IEC 38505‑1 traduce i principi di buona governance dell’IT nel dominio dei dati), indicando responsabilità, strategia e soprattutto una mappa di accountability che attraversi raccolta, conservazione, decisione e dismissione del dato.

3. La pressione dell’opportunità

Riprendendo la famosa frase della grande campionessa del tennis Billie Jean King, secondo la quale «La pressione è un privilegio», senza dati affidabili, l’innovazione rimane promessa; con dati governati, diventa routine. Pensiamo all’IA generativa nei processi B2B: può accelerare documentazione tecnica, assistenza, quality assurance. Ma perché l’output sia utilizzabile in azienda, servono paletti chiari su cosa alimenta i modelli, chi può vedere i prompt e gli output, come gestire i diritti di proprietà intellettuale e l’eventuale contaminazione con dati di terzi. La nuova disciplina europea sull’IA prevede obblighi di trasparenza e, per i modelli di uso generale (GPAI), doveri documentali, sintesi dei contenuti di training e misure di sicurezza; anche questo spinge verso logiche di inventory (sarebbe un luogo centralizzato in cui è possibile comprendere dove viene utilizzata la tecnologia IA, offrendo una visione aggiornata su quali progetti, modelli e database sono associati all’intelligenza artificiale e all’apprendimento automatico), logging e post‑market monitoring che una data governance matura ha già nel suo DNA.

A livello di ecosistema, poi, il Data Governance Act incentiva la creazione di spazi europei di dati e meccanismi affidabili di intermediazione, aprendo scenari in cui la collaborazione tra pubblico e privato richiede standard comuni e regole chiare di riuso e accesso.

– Dal “rispettare le regole” al “vincere il mercato”

Per un’azienda IT che sviluppa software per grandi clienti, governare i dati non è più sinonimo di “evitare sanzioni”: significa vincere gare, essere scelti e rimanere partner nel tempo. Significa saper parlare sia con il CISO sia con il responsabile legale, con HR e con chi guida il prodotto; significa presentarsi ad un audit con evidenze e non con buone intenzioni; significa poter dimostrare che il ciclo di vita dei dati, personali e non, è disegnato, misurato e migliorato.

Questo impatta la qualità del software in modo diretto. Un flusso dati ordinato riduce la rielaborazione, previene bug collegati a formati incoerenti, facilita integrazioni con sistemi esterni, dà prevedibilità alle roadmap. Ma soprattutto sblocca la possibilità di costruire prodotti data‑intensive con affidabilità industriale: funzioni predittive, scoring, raccomandazioni, automazioni intelligenti. In altre parole, la data governance non è un vincolo: è capacità di esecuzione.

– La sfida delle decisioni collegiali: coerenza oltre la somma delle parti

Nei grandi progetti, le decisioni non sono mai di una sola persona: sono collegiali. Il giurista Lewis A. Kornhauser ha mostrato come un gruppo, pur formato da individui coerenti, possa produrre risultati incoerenti se non esplicita regole di aggregazione: è il cosiddetto “dilemma discorsivo”.

Pertanto la lezione è semplice: definire criteri comuni, votare pacchetti coerenti e rendicontare le ragioni, così che le decisioni non siano solo “consistenti” ma anche coerenti nel tempo. In termini pratici, questo si sposa con l’AI Act, che chiede documentazione e tracciabilità dei presupposti con cui un sistema ad alto rischio viene progettato, validato e monitorato dopo il rilascio.

– Conclusione

In definitiva, data — governance significa stringere con il cliente un patto di responsabilità: vi mostriamo come trattiamo i vostri dati, vi diciamo chi li vede, vi spieghiamo quando li cancelliamo, vi dimostriamo come misuriamo bias, accuratezza e robustezza dei modelli, vi ascoltiamo quando qualcosa non funziona e lo correggiamo. È un patto che ha solide basi normative (GDPR per i dati personali, AI Act per i sistemi di IA, DGA per il riuso e i meccanismi fidati di condivisione) ma che soprattutto parla il linguaggio del valore: più fiducia, più velocità, meno attriti, più innovazione.

La “grande occasione”, per chi sviluppa software, è proprio qui: fare della governance dei dati non l’ultima sezione del capitolato, ma il primo mattone del progetto. Perché innovare davvero significa saper tenere insieme creatività e disciplina. La disciplina, nel mondo dei dati, si chiama governance.

Immagina una grande azienda che si prepara a lanciare un nuovo servizio digitale. Il team marketing è pronto, gli sviluppatori hanno completato il codice, i server sono configurati. Ma c’è un dettaglio che può trasformare il successo in un rischio: la gestione dei dati. Chi accede alle informazioni dei clienti? Come vengono protetti i segreti industriali? In assenza di una governance chiara, ogni innovazione diventa fragile. Pertanto occorre ribadire che:

1. La governance dei dati è un vantaggio competitivo, non un costo.
2. Investire in policy e tracciabilità riduce rischi e accelera i progetti.
3. Coinvolgere tutti i livelli aziendali crea cultura e fiducia.
4. Normative come GDPR e AI Act non sono ostacoli, ma leve per qualità e trasparenza.
5. La coerenza nelle decisioni collegiali è essenziale per approvare sistemi complessi.

Spero che questo mio approfondimento possa essere utile a qualcun altro che dovesse trovarsi ad affrontare le medesime questioni.

Riproduzione Riservata

/da