AI Archivi - IUSINTECH

Diritto e AI, Diritto e dati, Diritto e innovazione, Intelligenza Artificiale, Tecnologia e nuovi diritti

Se l’Europa insegue l’innovazione, ne guida però anche il percorso giuridico: gli Stati Uniti e la proposta del Trump America AI Act

Avv. Raffaella Aghemo

Il 18 marzo 2026, la senatrice Marsha Blackburn ha presentato il TRUMP AMERICA AI Act, che sta per Republic Unifying Meritocratic Performance Advancing Machine Intelligence by Eliminating Regulatory Interstate Chaos Across American Industry Act. Questo imponente disegno di legge, di 291 pagine, si propone di istituire il primo quadro normativo federale completo per la regolamentazione dell’intelligenza artificiale negli Stati Uniti.

Si legge già nella prima pagina la seguente dicitura: “Una legge per promuovere l’innovazione nell’intelligenza artificiale e salvaguardare bambini, creatori, comunità e fermare la censura.”

Suddivisa in 17 Titoli affronta diverse tematiche: il Titolo 1, è dedicato alle “Misure di sicurezza minime riguardo al dovere di diligenza per gli sviluppatori di chatbot basati sull’intelligenza artificiale”, corredato da un’istruzione alla FTC di emanare norme per le garanzie minime di conformità con l’autorità di applicazione della legge per la FTC e i procuratori generali.

«Ogni sviluppatore di un chatbot basato sull’intelligenza artificiale deve prestare la dovuta diligenza nella progettazione, nello sviluppo e nel funzionamento di tale chatbot al fine di prevenire e mitigare i danni agli utenti dello stesso, qualora una persona ragionevole e prudente concorderebbe sul fatto che:

(1) tali danni fossero ragionevolmente prevedibili da parte dello sviluppatore; e

(2) la progettazione, lo sviluppo e il funzionamento di tale chatbot siano stati fattori che hanno contribuito a causare tali danni.»

Il Titolo 2 è invece dedicato all’Effetto sull’occupazione correlato all’IA. Il termine «effetto sull’occupazione correlato all’IA» indica qualsiasi cambiamento nella forza lavoro attribuibile all’intelligenza artificiale, inclusi la perdita del posto di lavoro, la riqualificazione professionale o nuove opportunità di impiego. Si legge: «Entro 30 giorni dall’ultimo giorno di ciascun trimestre, un soggetto interessato deve, in relazione a tale trimestre, comunicare al Segretario eventuali effetti occupazionali legati all’IA, subiti dal soggetto negli Stati Uniti, indicando in particolare:

(1) il numero di dipendenti licenziati, o di contratti di collaboratori autonomi che sono stati annullati, rescissi o non rinnovati dal soggetto interessato negli Stati Uniti durante il trimestre a causa, in tutto o in parte, della sostituzione o dell’automazione tramite intelligenza artificiale delle funzioni svolte da tali dipendenti o collaboratori;

(2) il numero di dipendenti assunti, o di contratti di collaboratori autonomi stipulati, dall’entità interessata negli Stati Uniti durante il trimestre a causa, in tutto o in parte, dell’intelligenza artificiale;

(3) il numero di posizioni dell’entità interessata negli Stati Uniti che sono state occupate in qualsiasi momento durante il trimestre per le quali l’entità interessata ha deciso di non procedere alla copertura sulla base di una motivazione che è dovuta, in tutto o in parte, all’intelligenza artificiale;

(4) il numero di dipendenti o collaboratori autonomi che l’entità interessata ha riqualificato, o ha assistito nella riqualificazione, sulla base di una motivazione che è, in tutto o in parte, dovuta all’intelligenza artificiale; e

(5) qualsiasi altra informazione relativa agli effetti sull’occupazione legati all’IA..»

Il Titolo 3 abroga l’Articolo 230 del Communications Decency Act nella sua interezza, quello afferente allo scudo di responsabilità che, dal 1996, proteggeva le piattaforme online dalla responsabilità civile per i contenuti di terzi. Il disegno di legge impone alle agenzie federali di acquisire esclusivamente modelli linguistici di grandi dimensioni conformi ai “Principi di intelligenza artificiale imparziale”. Il direttore dell’OMB (Office of the Management of the Budget) dovrà emanare le linee guida attuative entro 120 giorni dall’entrata in vigore della legge.

Il Titolo 4 è molto importante, in quanto tratta di una materia tanto importante quanto delicata, ossia “Protezione dei bambini dai rischi di traffico sessuale, suicidio e altre forme di abuso”. Qui l’art. 412 predispone un dovere di diligenza, affinché le piattaforme esercitino la dovuta diligenza nell’implementazione di misure atte a proteggere i minori da danni più o meno riconoscibili, per

limitare la possibilità per altri utenti o visitatori di comunicare con il minore;
impedire ad altri utenti o visitatori, registrati o meno, di visualizzare i dati personali del minore raccolti o condivisi sulla piattaforma coperta, in particolare limitando l’accesso pubblico ai dati personali;
limitare per impostazione predefinita le caratteristiche di progettazione che incoraggino o aumentino la frequenza, il tempo impiegato o l’attività di minori sulla piattaforma coperta lo scorrimento infinito, la riproduzione automatica, premi per il tempo trascorso sulla piattaforma, notifiche e altre caratteristiche di progettazione che risultino atte ad un utilizzo compulsivo della piattaforma da parte del minore;
controllo raccomandazione personalizzata dei sistemi, compresa la possibilità per un minore di avere
1. un’opzione ben visibile per rinunciare a tali raccomandazioni personalizzate, pur consentendo la distribuzione riproduzione di contenuti basati su un ordine cronologico; e
1. un’opzione ben visibile per limitare i tipi o le categorie di raccomandazioni da tali sistemi; e
limitare la condivisione della geolocalizzazione del minore e fornire preavviso in merito.

Inoltre devono essere previste misure di facile utilizzo per le impostazioni privacy da parte dei genitori o di chi ne fa le veci e misure idonee a garantire la sicurezza del minore con punti di contatto accessibili e pronte in caso di reclami o di altre necessità.

Non da ultimo, secondo le prescrizioni del Guard Act son previsti obblighi penali e civili, in particolare per la protezione dei minori dai chatbot basati sull’intelligenza artificiale, e richiesta di verifica dell’età.

L’art. 416 fa divieto di svolgere ricerche di mercato sui bambini, dichiarando: «la piattaforma coperta non deve, nel caso di un utente o visitatore che la piattaforma coperta sa essere un bambino, condurre ricerche di mercato relative a tale bambino.»

Il Titolo 5 tratta dei cosiddetti AI companion di cui vi ho gia parlato precedentemente qui, che qui viene identificato come quel sistema che

fornisce una risposta adattiva simile a quella umana e risponde agli input dell’utente; e
è progettato per incoraggiare o facilitare la simulazione di interazioni interpersonali o emotive interazione, amicizia, compagnia o comunicazione terapeutica.

Il Titolo 6 riprende una classificazione piuttosto familiare e parla di sistema “basato sul rischio”.

Il Titolo 7, Istituzione di norme legali per i prodotti di intelligenza artificiale avanzata, può essere citato come “Allineamento degli incentivi” per la leadership, l’eccellenza e il progresso nello sviluppo o ”AI LEAD Act”.

Si istituisce un quadro normativo federale in materia di responsabilità del produttore per i sistemi di intelligenza artificiale, con diritto di azione legale da parte dei privati. In base a tale legge, gli sviluppatori possono essere ritenuti responsabili per danni causati da difetti di progettazione, mancata comunicazione di informazioni, mancanza di garanzie esplicite o prodotti irragionevolmente pericolosi. La legge vieta inoltre le clausole inique di limitazione della responsabilità nei contratti relativi ai prodotti di intelligenza artificiale.

Si richiede, inoltre, ad ogni fornitore di sistemi di intelligenza artificiale ad alto rischio di condurre un audit annuale indipendente da parte di terzi per individuare discriminazioni. Inoltre, tutte le entità soggette alla normativa devono fornire una formazione etica annuale a tutto il personale, utilizzando un programma di studi stabilito dalla FTC.

Altra sezione importante è il Titolo 12, intitolato anche “Legge NO FAKES del 2026”,

In questa sezione e nelle seguenti si affronta il nodo dei diritti di proprietà intellettuale, nodo che si estrinseca con le seguenti disposizioni:

Si istituisce un diritto federale all’immagine che protegge la voce e l’immagine delle persone da riproduzioni digitali non autorizzate, applicabile anche post mortem.
Si prevede espressamente che la riproduzione, la copia o l’elaborazione computazionale non autorizzata di opere protette da copyright a fini di addestramento, messa a punto, sviluppo o inferenza dell’IA NON costituisce un uso lecito (Titolo 15 Artificial Intelligence Copyright, Transparency, And Training Data Accountability).
Si dispone che il NIST sviluppi standard volontari per le informazioni sulla provenienza dei contenuti, la filigrana digitale e il rilevamento di contenuti sintetici e richiede ai fornitori di consentire ai proprietari di allegare informazioni sulla provenienza. Queste informazioni non possono essere rimosse (Titolo 14 che può essere citato come “Prodotto sull’origine dei contenuti” Protezione e integrità dai contenuti multimediali modificati e deepfake Legge del 2026′)’.
Si consente ai titolari dei diritti d’autore di ottenere un mandato amministrativo che imponga la divulgazione di informazioni su come le loro opere protette da copyright sono state utilizzate per addestrare modelli di intelligenza artificiale.(Titolo 13 definito anche “Train Act”)

Per chi avesse, come me la pazienza di leggersi 291 pagine, potete trovare il documento integrale a questo link: https://www.blackburn.senate.gov/services/files/15AAEA28-5403-480D-8720-5E4C2D6F2A9A

Riproduzione Riservata

26 Marzo 2026/da aghemo

Diritto e AI, Diritto e dati, Diritto e innovazione

La governance collaborativa come scelta strategica

Avv. R. Eva Cresci

Quando in Iusintech incontriamo per la prima volta le imprese interessate a innovare registriamo sempre le solite preoccupazioni di fondo: paura di perdere il controllo sui dati e sul know-how aziendale, senso di incertezza e confusione normativa (specie su interdipendenza tra GDPR e AI Act), spaesamento sulle scelte di recruitment, ma anche una certa ritrosia a valorizzare le competenze in chiave sinergica.

Se negli ultimi anni sentiamo incessantemente parlare di trasformazione e rafforzamento della digitalizzazione attraverso iniziative (=investimenti) su cloud, cybersecurity, data analysis e interoperabilità, questi interventi spesso si fermano all’adozione di nuovi applicativi valutati solo dal punto di vista operativo, senza che si entri nel merito delle effettive implicazioni che impattano sulla gestione del rischio, così come richiesto dal quadro normativo europeo introdotto con l’AI Act, dalla normativa nazionale ex L. 132/25 e dai principi generali di organizzazione, amministrazione e controllo che derivano dal diritto societario italiano (ad esempio art. 2086 c.c., che impone assetti organizzativi adeguati alla natura e dimensione dell’impresa).

Parlare di governance, specie in ambito AI, significa infatti passare ad un livello successivo più sistematico e strategico, che contempla accountability, risk assessment strutturato, procedure di supervisione, monitoraggio continuo, documentazione tecnica, policy interne, ecc. ovvero una corretta sincronizzazione delle varie competenze aziendali, intesa non solo come leva di efficienza ma ANCHE come un integratore di processi decisionali, di controllo e di rendicontazione.

In questo scenario, si inserisce la prospettiva del cosiddetto “Digital Omnibus”, orientata a una progressiva razionalizzazione e coordinamento del corpus normativo europeo in materia digitale (AI Act, Data Act, Data Governance Act, Cyber Resilience Act), con l’obiettivo di ridurre frammentazioni applicative e rafforzare la coerenza tra obblighi di compliance, accountability e gestione del rischio tecnologico. Per le imprese ciò significa prepararsi a un contesto regolatorio sempre più integrato, nel quale le scelte di delega “alle macchine” incidono direttamente sull’assetto organizzativo e sulle responsabilità dei decisori.

Alcuni esempi concreti possono aiutare a comprendere la portata del tema.

Una PMI che introduce un sistema di AI per lo screening automatizzato dei CV entra potenzialmente nell’ambito dei sistemi “ad alto rischio” ai sensi dell’AI Act (allegato III con entrata in vigore prevista nell’agosto prossimo e con obblighi specifici in materia di risk management, qualità dei dati, documentazione tecnica, supervisione umana e registrazione). Non si tratta solo di acquistare un software: occorre verificare ruoli (provider/deployer), basi giuridiche ex art. 6 AI Act, eventuale DPIA ex art. 35 GDPR, livello di trasparenza e discriminazione dei modelli.

Analogamente, l’adozione di strumenti di AI generativa per supportare funzioni marketing o customer care espone l’impresa a rischi di trattamento illecito di dati personali, di dispersione del know-how aziendale e di utilizzo di modelli addestrati su dataset non adeguatamente verificati sotto il profilo delle licenze e dei diritti di proprietà intellettuale. Anche in questo caso, governance significa presidio contrattuale, policy interne, controlli sugli accessi, regole di conservazione e cancellazione dei dati, supervisione umana e tracciabilità.

L’innovazione non è più solo una questione tecnica o di efficienza da delegare all’IT: è una scelta strategica che incide direttamente sulla responsabilità degli amministratori e sulla sostenibilità giuridica del modello di business, ciò anche in vista delle pesanti sanzioni che si prospettano all’orizzonte.

Per chi sta innovando, o intende farlo, è il momento di scegliere e adottare un nuovo approccio quello della governance collaborativa, introducendo prassi di frequente confronto tra board e dipartimenti ICT, sicurezza, legal e compliance, promuovendo un linguaggio condiviso e la discussione multidisciplinare. Solo così si può costruire un percorso di cambiamento su solide basi, trasformando obblighi regolatori in vantaggio competitivo, clausole contrattuali punitive in accordi sostenibili e la centralità della supervisione umana in credibilità verso mercato, investitori e stakeholder.

____________

Segui Iusintech per acquisire maggiore consapevolezza su innovazione, diritto e compliance. Se hai domande, puoi scriverci a hello@iusintech.com.

Riproduzione Riservata

19 Marzo 2026/da aghemo

Diritto e AI, Diritto e dati, Diritto e innovazione, Proprietà Intellettuale - Know How

La provenienza dei dati e i nuovi criteri di responsabilità condivisa

Avv. R. Eva Cresci

L’ecosistema AI sta attraversando una fase di profonda mutazione normativa che obbliga le imprese italiane a una riflessione non più rimandabile sul tema della #provenienzadeidati.

Al centro della questione si colloca il concetto di Text and Data Mining (TDM), ovvero quella capacità degli algoritmi di setacciare quantità monumentali di informazioni per estrarre schemi, correlazioni, pattern e inferenze non identificabili altrimenti.

Se fino a pochi anni fa questa pratica era relegata ad ambiti di ricerca o analisi statistica, oggi rappresenta il motore propulsivo dietro ogni modello di AI generativa che le PMI stanno cominciando ad integrare compulsivamente nei processi produttivi.

Tuttavia, l’attuale quadro normativo (Legge 132/2025, AI Act 2024/1689, Direttiva Copyright 790/2019), stabilisce un confine netto tra ciò che è tecnicamente possibile e ciò che è giuridicamente lecito.

Per un’impresa, ignorare questa distinzione significa esporsi a significativi rischi reputazionali e legali, poiché la liceità dell’output prodotto da un sistema dipende strettamente dalla liceità dell’estrazione dei dati avvenuta a monte, secondo il principio della trasparenza sancito dall’Articolo 53 dell’AI Act.

Immaginiamo un caso d’uso comune nel settore manifatturiero o del design industriale. Un’azienda decide di adottare un modello di AI generativa per supportare il proprio ufficio stile nella creazione di nuovi pattern o prototipi di prodotto. Il software viene acquistato con una regolare licenza d’uso, ma se il fornitore del modello ha addestrato l’algoritmo tramite TDM su database di concorrenti o su immagini protette senza rispettare il diritto di opt-out previsto dall’Articolo 4 della Direttiva (UE) sul Copyright 2019/790, l’azienda acquirente si ritrova a operare con uno strumento non conforme. In questo scenario, l’output generato potrebbe incorporare elementi che violano la proprietà intellettuale altrui, rendendo l’impresa italiana passibile di richieste di risarcitorie o, addirittura, del blocco immediato della produzione.

Un altro esempio critico riguarda il settore del marketing, dove l’impiego di chatbot evoluti addestrati senza una chiara certificazione della catena di custodia dei dati può portare alla pubblicazione di contenuti che replicano indebitamente lo stile di terzi, attivando sanzioni che la nuova normativa nazionale ha reso particolarmente incisive per chi non rispetta le riserve espresse dai titolari dei diritti: es. sono previste specifiche aggravanti penali se l’intelligenza artificiale viene utilizzata come strumento per commettere reati di plagio in violazione del diritto d’autore.

Vanno dunque alzate le antenne guardando a quanto sta accadendo recentemente nelle aule di tribunale europee.

Un caso emblematico sulla questione TDM è la recentissima sentenza del Tribunale Regionale di Monaco I (Landgericht München I) nel caso GEMA contro OpenAI (causa 42 O 14139/24) del novembre 2025. I giudici hanno stabilito che l’eccezione TDM prevista dalla normativa europea copre solo la fase iniziale di analisi dei dati, ma non si estende alla fase in cui il modello “memorizza” e riproduce brani di opere protette (come i testi delle canzoni) rendendoli accessibili al pubblico attraverso la consultazione della piattaforma. Se il modello viene usato per scopi commerciali e genera output che competono con le opere originali, il diritto ad accedere ai dati per scopo di addestramento decade, poiché tale attività esorbita dalle finalità del TDM.

In sintesi, il caso GEMA stabilisce che il TDM è un mezzo per imparare, non una licenza di plagio.

Questa decisione segue e precisa il precedente caso Kneschke contro LAION (causa 310 O 227/23), dove la Corte Regionale di Amburgo aveva invece inizialmente favorito l’eccezione TDM per scopi di ricerca scientifica e i due distinti approcci interpretativi dimostrano che il confine della legalità è ancora in fase di definizione e che l’uso commerciale dei modelli richiede tutele contrattuali granitiche.

La ponderazione dei risvolti legali delle licenze d’uso (anche quando riguarda i provider più forti conosciuti sul mercato!) diventa quindi anche sotto questo profilo un aspetto fondamentale, posto che, contrariamente a quanto si potrebbe pensare, il semplice fatto che un prodotto sia disponibile sul mercato non rende superflua la richiesta di garanzie specifiche.

La Legge 132/2025 chiarisce, infatti, che l’accesso legittimo alla fonte è il prerequisito ineludibile e le imprese utilizzatrici devono quindi pretendere dai fornitori la prova documentale che le tecniche di TDM utilizzate siano conformi agli standard di trasparenza previsti dall’Allegato IX dell’AI Act. Da qui i nuovi criteri di responsabilità condivisa che partono dai doveri degli sviluppatori, si estendono al fornitore e interessano anche gli utilizzatori richiamati a esercitare controlli di compliance a cascata a loro volta.

Pertanto, l’adozione di clausole di manleva e la richiesta di report di conformità devono diventare parte integrante della due diligence pre-contrattuale. Non si tratta di un inutile appesantimento burocratico per le imprese, ma della costruzione di uno scudo legale necessario per muoversi in un’economia dove il dato è la materia prima, ma il rispetto dei diritti resta il perimetro invalicabile della correttezza commerciale.

Riproduzione Riservata

19 Marzo 2026/da aghemo

Diritto e AI, Diritto e dati, Diritto e innovazione, Governance, Intelligenza Artificiale, Privacy Data Protection Cybersecurity, Tecnologia e nuovi diritti

Governare i dati per liberare l’innovazione: perché la data-governance è il motore silenzioso del progresso tecnologico nelle aziende IT

Avv. Raffaella Aghemo

– Perché la data-governance è ormai il motore silenzioso del progresso tecnologico nelle aziende IT che costruiscono software per grandi organizzazioni

Proprio la scorsa settimana ero a pranzo con un cliente, con il quale ho anche una discreta confidenza, che ad un certo punto, mi chiede come gestire in maniera efficace i dati delle aziende a cui sviluppa software, e stiamo parlando di grandi aziende, senza mettere a rischio i loro dati personali, i dati di cui dispongono e di cui hanno custodia, nonché i dati aziendali, che potrebbero disvelare anche indicazioni sul know-how. Proprio in virtù di questo bel colloquio, ho pensato di mettere nero su bianco, quanto ho prospettato al lui. Ve ne parlo qui di seguito.

Quando una grande azienda affida a un partner tecnologico lo sviluppo di una soluzione critica, non sta semplicemente acquistando righe di codice, sta consegnando frammenti della propria identità: dati di clienti e dipendenti, processi interni, documenti che racchiudono il proprio know‑how competitivo, a volte perfino strategie future. In quel momento, il partner software non è più un “fornitore”: è un custode di valore. È qui che la governance dei dati smette di essere un tema da addetti ai lavori e diventa un elemento abilitante di fiducia, velocità, qualità e, soprattutto, innovazione.

Negli ultimi anni abbiamo imparato che l’innovazione non nasce soltanto da algoritmi più potenti o da infrastrutture più performanti, nasce da dati ben governati: coerenti, rintracciabili, accessibili a chi deve usarli e protetti da chi non deve. In ogni fase, dall’analisi dei requisiti al collaudo, fino alla messa in produzione, una buona data governance toglie attrito, evita rielaborazioni, riduce gli errori, accelera le consegne e costruisce affidabilità nel tempo. È il filo rosso invisibile che unisce team diversi (prodotto, sviluppo, legale, sicurezza, marketing) e che rende possibile decidere con lucidità, integrare sistemi eterogenei e scalare le soluzioni quando il business lo richiede.

Questa centralità non è un gusto del momento. È la risposta concreta a tre pressioni che ogni software house, azienda IT che dir si voglia, avverte quotidianamente quando lavora per grandi organizzazioni.

1. La pressione della fiducia

Una soluzione può essere brillante sul piano funzionale e del design, ma se gestisce dati personali dei clienti o segreti industriali, la prima domanda che una grande azienda si fa è: possiamo fidarci? La fiducia non si dichiara: si dimostra. Si dimostra con tracce, registri, criteri di accesso, piani di retention e cancellazione, trasparenza su chi vede cosa e perché. È ciò che la normativa europea chiede da anni con il GDPR, che non è un “peso legale” ma un invito a progettare sistemi che rispettino i principi di liceità, minimizzazione e accountability, anche tramite DPIA, quando l’impatto sui diritti è elevato. E oggi la stessa logica di responsabilità verificabile si estende ai sistemi di intelligenza artificiale con l’AI Act: per i casi d’uso ad alto rischio, il regolamento impone gestione del rischio, qualità dei dati, documentazione tecnica, registri e supervisione umana; cioè precisamente quei mattoni organizzativi che chiamiamo Data & AI Governance.

2. La pressione della complessità

Le architetture moderne sono distribuite, toccano sistemi legacy e servizi cloud, cambiano versione in fretta. Senza un piano strategico, un governo chiaro del ciclo di vita dei dati, da dove arrivano, come si trasformano, chi li usa, quando si cancellano, la complessità diventa fragilità. Qui aiutano gli standard e i riferimenti consolidati (l’ISO/IEC 27001 offre una cornice di sicurezza informativa risk‑based, mentre l’ISO/IEC 38505‑1 traduce i principi di buona governance dell’IT nel dominio dei dati), indicando responsabilità, strategia e soprattutto una mappa di accountability che attraversi raccolta, conservazione, decisione e dismissione del dato.

3. La pressione dell’opportunità

Riprendendo la famosa frase della grande campionessa del tennis Billie Jean King, secondo la quale «La pressione è un privilegio», senza dati affidabili, l’innovazione rimane promessa; con dati governati, diventa routine. Pensiamo all’IA generativa nei processi B2B: può accelerare documentazione tecnica, assistenza, quality assurance. Ma perché l’output sia utilizzabile in azienda, servono paletti chiari su cosa alimenta i modelli, chi può vedere i prompt e gli output, come gestire i diritti di proprietà intellettuale e l’eventuale contaminazione con dati di terzi. La nuova disciplina europea sull’IA prevede obblighi di trasparenza e, per i modelli di uso generale (GPAI), doveri documentali, sintesi dei contenuti di training e misure di sicurezza; anche questo spinge verso logiche di inventory (sarebbe un luogo centralizzato in cui è possibile comprendere dove viene utilizzata la tecnologia IA, offrendo una visione aggiornata su quali progetti, modelli e database sono associati all’intelligenza artificiale e all’apprendimento automatico), logging e post‑market monitoring che una data governance matura ha già nel suo DNA.

A livello di ecosistema, poi, il Data Governance Act incentiva la creazione di spazi europei di dati e meccanismi affidabili di intermediazione, aprendo scenari in cui la collaborazione tra pubblico e privato richiede standard comuni e regole chiare di riuso e accesso.

– Dal “rispettare le regole” al “vincere il mercato”

Per un’azienda IT che sviluppa software per grandi clienti, governare i dati non è più sinonimo di “evitare sanzioni”: significa vincere gare, essere scelti e rimanere partner nel tempo. Significa saper parlare sia con il CISO sia con il responsabile legale, con HR e con chi guida il prodotto; significa presentarsi ad un audit con evidenze e non con buone intenzioni; significa poter dimostrare che il ciclo di vita dei dati, personali e non, è disegnato, misurato e migliorato.

Questo impatta la qualità del software in modo diretto. Un flusso dati ordinato riduce la rielaborazione, previene bug collegati a formati incoerenti, facilita integrazioni con sistemi esterni, dà prevedibilità alle roadmap. Ma soprattutto sblocca la possibilità di costruire prodotti data‑intensive con affidabilità industriale: funzioni predittive, scoring, raccomandazioni, automazioni intelligenti. In altre parole, la data governance non è un vincolo: è capacità di esecuzione.

– La sfida delle decisioni collegiali: coerenza oltre la somma delle parti

Nei grandi progetti, le decisioni non sono mai di una sola persona: sono collegiali. Il giurista Lewis A. Kornhauser ha mostrato come un gruppo, pur formato da individui coerenti, possa produrre risultati incoerenti se non esplicita regole di aggregazione: è il cosiddetto “dilemma discorsivo”.

Pertanto la lezione è semplice: definire criteri comuni, votare pacchetti coerenti e rendicontare le ragioni, così che le decisioni non siano solo “consistenti” ma anche coerenti nel tempo. In termini pratici, questo si sposa con l’AI Act, che chiede documentazione e tracciabilità dei presupposti con cui un sistema ad alto rischio viene progettato, validato e monitorato dopo il rilascio.

– Conclusione

In definitiva, data — governance significa stringere con il cliente un patto di responsabilità: vi mostriamo come trattiamo i vostri dati, vi diciamo chi li vede, vi spieghiamo quando li cancelliamo, vi dimostriamo come misuriamo bias, accuratezza e robustezza dei modelli, vi ascoltiamo quando qualcosa non funziona e lo correggiamo. È un patto che ha solide basi normative (GDPR per i dati personali, AI Act per i sistemi di IA, DGA per il riuso e i meccanismi fidati di condivisione) ma che soprattutto parla il linguaggio del valore: più fiducia, più velocità, meno attriti, più innovazione.

La “grande occasione”, per chi sviluppa software, è proprio qui: fare della governance dei dati non l’ultima sezione del capitolato, ma il primo mattone del progetto. Perché innovare davvero significa saper tenere insieme creatività e disciplina. La disciplina, nel mondo dei dati, si chiama governance.

Immagina una grande azienda che si prepara a lanciare un nuovo servizio digitale. Il team marketing è pronto, gli sviluppatori hanno completato il codice, i server sono configurati. Ma c’è un dettaglio che può trasformare il successo in un rischio: la gestione dei dati. Chi accede alle informazioni dei clienti? Come vengono protetti i segreti industriali? In assenza di una governance chiara, ogni innovazione diventa fragile. Pertanto occorre ribadire che:

1. La governance dei dati è un vantaggio competitivo, non un costo.
2. Investire in policy e tracciabilità riduce rischi e accelera i progetti.
3. Coinvolgere tutti i livelli aziendali crea cultura e fiducia.
4. Normative come GDPR e AI Act non sono ostacoli, ma leve per qualità e trasparenza.
5. La coerenza nelle decisioni collegiali è essenziale per approvare sistemi complessi.

Spero che questo mio approfondimento possa essere utile a qualcun altro che dovesse trovarsi ad affrontare le medesime questioni.

Riproduzione Riservata

19 Marzo 2026/da aghemo

Diritto e dati, Diritto e innovazione, Governance