Digital ProtectionAcademy · Crybu

Digital Protection Academy

Comprendi, proteggi e governa il tuo mondo digitale.

Scopri come funzionano dati, documenti, email e sistemi di sicurezza attraverso spiegazioni, animazioni ed esperienze interattive.

Esplora gli argomenti Entra nel laboratorio →

38 simulatori e giochi · 12 minacce · AI sicura · AI Act · dati fittizi · nessuna registrazione

Schema animato: un computer aziendale invia documenti ed email a un server, che li copia in un archivio e in una copia remota isolata. POSTAZIONE SERVER EMAIL · MX ARCHIVIO COPIA ISOLATA

Esplora gli argomenti

Otto aree, un unico patrimonio digitale.

Ogni area spiega i concetti, li mostra in movimento e ti lascia provare con un simulatore. In più, due capitoli speciali su AI sicura e normative. Puoi usarla da solo, in aula o durante un incontro con un cliente.

01 / PROTEGGERE

Backup: la copia che ti permette di ripartire.

Un backup è una copia dei dati fatta per poterli recuperare dopo un errore, un guasto o un attacco. Conta come viene fatta, dove viene tenuta, per quanto tempo e, soprattutto, se il ripristino è stato provato.

Completo e incrementale
Il completo copia tutto; l'incrementale copia solo ciò che è cambiato dall'ultimo backup. Si combinano per risparmiare tempo e spazio.
Automatico e programmato
Parte da solo, a orari definiti. Un backup che dipende dalla memoria di qualcuno prima o poi salta.
Locale e remoto
Il locale (disco, NAS) ripristina in fretta; il remoto (altra sede, cloud) sopravvive a furto, incendio o allagamento.
Strategia 3-2-1
Tre copie dei dati, su due supporti diversi, di cui una fuori sede. Oggi si aggiunge spesso una copia isolata o immutabile.
Versionamento
Conserva più stati dello stesso file: puoi tornare alla versione di ieri, non solo all'ultima salvata.
Retention
Per quanto tempo si tengono le versioni. Troppo breve e l'errore scoperto tardi non è più recuperabile.
Crittografia
Le copie sono cifrate in transito e a riposo: chi le ruba non le legge. Le chiavi vanno custodite a parte.
Copie isolate e immutabili
Non raggiungibili dalla rete aziendale o non modificabili per un periodo fissato: nemmeno un amministratore compromesso le cancella.
Protezione ransomware
Il ransomware cifra i file e cerca anche i backup raggiungibili. La difesa è una copia che non può toccare.
Disaster recovery
Il piano per far ripartire sistemi interi, non solo file: chi fa cosa, in che ordine, con quali risorse.
RPO e RTO
RPO: quanti dati puoi permetterti di perdere (es. 4 ore). RTO: in quanto tempo devi tornare operativo (es. 1 giorno).
Verifica del ripristino
Test periodici di restore: l'unico modo per sapere che il backup funziona davvero.
Non basta avere una copia. Bisogna poter ripristinare.

Animazione · 3-2-1

Tre copie, due supporti, una lontano.

Il dato originale vive sul server. Una copia va su un NAS in ufficio per i ripristini rapidi, un'altra in un data center remoto, isolata dalla rete aziendale. Se un evento colpisce la sede, la terza copia resta intatta.

RPO e RTO in pratica: backup ogni 4 ore significa che nel caso peggiore perdi 4 ore di lavoro. Il tempo di download dal remoto determina quanto resti fermo.

Strategia 3-2-1: dato originale sul server, copia su NAS locale, copia remota isolata. ORIGINALE1 · server NAS2 · locale CLOUD3a · remota IMMUTABILE3b · isolata

Simulatore

Perdita dei dati: cosa si salva davvero?

Scegli un incidente e il tipo di protezione. Il computer mostra cosa succede ai documenti e cosa si può recuperare.

Domande frequenti sul backup

La sincronizzazione cloud (Drive, OneDrive, Dropbox) è un backup?

Non da sola. La sincronizzazione replica anche gli errori: se cancelli o cifri un file, la modifica si propaga ovunque. Diventa utile come protezione solo con versionamento, cestino a lunga retention e una copia indipendente.

Ogni quanto devo fare il backup?

Dipende dall'RPO: chiediti quante ore di lavoro puoi permetterti di rifare. Per molti uffici il backup notturno non basta per i dati più attivi.

Come verifico che il backup funziona?

Ripristinando davvero, a campione e con regolarità, su un ambiente di prova. Il registro "backup completato" dice che la copia è stata fatta, non che sia utilizzabile.

Il backup basta per conservare a norma le fatture?

No. Il backup serve a recuperare dati; la conservazione digitale a norma garantisce valore legale nel tempo con regole precise. Vedi la sezione Conservazione.

CollegatiConservazioneRansomwareBackup email
Proteggi i tuoi dati

02 / ORGANIZZARE

Archiviazione: trovare il documento giusto in pochi secondi.

Archiviare non è accumulare file in una cartella condivisa. È dare a ogni documento un posto, una descrizione e delle regole di accesso, così che chiunque ne abbia diritto lo ritrovi e lo usi.

Archivio digitale
Un sistema che raccoglie i documenti con struttura, regole e storico, al posto di cartelle sparse su PC e chiavette.
Classificazione
Un piano condiviso di categorie (contratti, fatture, personale…) che vale per tutti, non il criterio di ognuno.
Metadati
Dati che descrivono il documento: cliente, data, tipo, importo, scadenza. Sono loro a rendere possibile la ricerca.
Ricerca avanzata
Filtri combinati su metadati e testo pieno: "contratti del cliente Rossi in scadenza nel 2027".
Versionamento
Ogni revisione resta disponibile e si sa qual è quella valida, senza file "definitivo_v3_ok".
Permessi
Chi vede, chi modifica, chi approva. Le buste paga non devono essere aperte da tutto l'ufficio.
Tracciabilità
Registro di chi ha aperto, modificato o condiviso un documento e quando.
Integrazione CRM/ERP
Il documento si collega alla scheda cliente o all'ordine: si apre da lì, senza cercarlo altrove.
Ricerca semantica AI
Trova per significato e non solo per parola esatta: "accordi di riservatezza" trova anche "NDA". Va usata con permessi rispettati.
Un documento archiviato deve essere facile da trovare, gestire e utilizzare.

Simulatore

Archivio disordinato: mettilo in ordine.

Dodici documenti fittizi, nomi poco chiari, nessun metadato. Assegna tipo e cliente, poi prova a cercare: guarda come cambia l'efficienza dell'archivio.

Domande frequenti sull'archiviazione

Una cartella condivisa ben ordinata non basta?

Funziona finché le persone sono poche e disciplinate. Mancano però metadati ricercabili, permessi granulari, storico delle versioni e registro degli accessi.

Archiviare significa anche conservare a norma?

No. L'archivio organizza i documenti per lavorarci; la conservazione a norma ne garantisce il valore legale nel tempo. Spesso servono entrambe.

La ricerca AI legge documenti riservati?

Un sistema ben configurato mostra a ciascuno solo i risultati che è autorizzato a vedere. È un requisito da verificare prima di adottarla.

CollegatiConservazioneOrganizzare la postaVersionamento
Metti ordine nei documenti

03 / PRESERVARE

Conservazione digitale: un documento che resta valido nel tempo.

La conservazione digitale a norma è un processo regolato che garantisce, per tutto il periodo previsto, che un documento informatico sia integro, autentico, leggibile e reperibile, e che possa essere esibito con valore legale.

Integrità
Il documento non è stato alterato. Si verifica con l'impronta (hash) calcolata al momento del versamento.
Autenticità
Si può dimostrare la provenienza e che il documento è ciò che dichiara di essere.
Leggibilità
Formati idonei e aperti, leggibili anche tra molti anni con strumenti diversi da quelli di oggi.
Reperibilità
Indici e metadati permettono di trovarlo ed esibirlo quando viene richiesto, ad esempio in una verifica.
Metadati
Le Linee guida AgID definiscono un insieme minimo di metadati che accompagnano ogni documento informatico.
Pacchetti documentali
Di versamento (PdV), di archiviazione (PdA) e di distribuzione (PdD): i documenti entrano, vengono conservati ed escono in forma strutturata.
Firme e riferimenti temporali
Quando previsti, firme elettroniche, sigilli e marche temporali attestano chi e quando, secondo il regolamento eIDAS.
Tempi di conservazione
Variano per tipo di documento e norma: per le scritture contabili il Codice civile indica in genere dieci anni.
Esibizione
La produzione del documento conservato, con le prove della sua integrità, a chi ha titolo per richiederlo.
Ruoli e responsabilità
Titolare dell'oggetto, responsabile della conservazione, eventuale conservatore esterno e manuale di conservazione.
Quadro normativo
CAD (D.Lgs. 82/2005), Linee guida AgID su formazione, gestione e conservazione, GDPR, Regolamento eIDAS e, per i documenti fiscali, il DM 17 giugno 2014.
Backup ≠ conservazione
Un backup cloud, anche cifrato e immutabile, non è conservazione a norma: mancano processo, metadati, pacchetti, ruoli e manuale.
Conservare non significa semplicemente salvare un file.

Tabella interattiva

Backup, archiviazione, conservazione a confronto.

Seleziona una disciplina per evidenziarla, o una domanda per vedere chi risponde.

Simulatore

Quale soluzione serve?

Per ogni documento fittizio scegli backup, archiviazione, conservazione o una combinazione. Poi verifica.

Domande frequenti sulla conservazione

Le fatture elettroniche vanno conservate a norma?

Sì, la conservazione elettronica delle fatture elettroniche è un obbligo. L'Agenzia delle Entrate offre un servizio gratuito previa adesione; in alternativa ci si affida a un conservatore. Le condizioni vanno verificate con il proprio consulente fiscale.

Posso conservare a norma da solo?

In teoria sì, rispettando tutti i requisiti delle Linee guida AgID. In pratica la maggior parte delle organizzazioni affida il servizio a un conservatore esterno che rispetta i requisiti AgID, mantenendo un responsabile interno.

Le foto dell'evento aziendale vanno in conservazione?

Di norma no: un archivio ben organizzato con backup è sufficiente, salvo che l'immagine abbia valore probatorio o documentale.

Le informazioni normative di questa pagina hanno scopo divulgativo e non sostituiscono la consulenza di un professionista.

CollegatiBackupArchiviazioneFirme e identità
Richiedi un'analisi

04 / COMUNICARE

La tua email è molto più di una casella di posta.

Dietro ogni messaggio ci sono un dominio, dei server, dei protocolli e delle regole di accesso. Capirli aiuta a scegliere le caselle giuste, a non perdere comunicazioni e a riconoscere chi scrive davvero.

Indirizzo email
Nome e dominio separati da @: mario@azienda.it. È l'identificativo, non il contenitore.
Casella
Lo spazio sul server dove arrivano e restano i messaggi. Un indirizzo può consegnare in una casella, in più caselle o in nessuna.
Dominio
La parte dopo la @. Se è dell'azienda, l'azienda controlla indirizzi, caselle e accessi.
Provider
Chi fornisce il servizio di posta: gestisce server, spazio, filtri antispam e disponibilità.
Server
I computer che inviano, ricevono e custodiscono i messaggi, sempre accesi in un data center.
Webmail
Accesso alla posta dal browser, senza installare nulla.
Client email
Un programma o un'app (Outlook, Thunderbird, Mail) che si collega alla casella.
SMTP
Il protocollo che spedisce: dal client al server del mittente e da server a server.
IMAP
Legge i messaggi lasciandoli sul server e sincronizza cartelle e stati su tutti i dispositivi.
POP3
Scarica i messaggi su un solo dispositivo, spesso cancellandoli dal server. Oggi raramente indicato.
Record MX
L'indicazione nel DNS del dominio che dice a quale server consegnare la posta di quel dominio.
Sincronizzazione
Letto su telefono, letto anche sul PC: con IMAP lo stato è lo stesso ovunque.
Backup e archiviazione email
Il provider protegge il servizio, non sempre i tuoi messaggi da cancellazioni. Serve una copia indipendente e, se richiesto, un archivio.

Animazione

Il viaggio di un messaggio, passo dopo passo.

Premi «Invia» e segui l'email dal mittente al destinatario. Puoi anche avanzare una tappa alla volta.

Tipologie di email

Non tutte le caselle sono uguali.

Seleziona una tipologia per vederne proprietà, vantaggi, limiti e permessi.

Perché condividere la password è una cattiva idea

Non si sa più chi ha fatto cosa, non si può togliere l'accesso a una sola persona, la password finisce in chat e post-it, e se una sola persona viene ingannata l'intera casella è compromessa. La soluzione giusta è una casella condivisa o un accesso delegato: ognuno entra con le proprie credenziali e le azioni restano tracciate.

Identità e avatar

Il nome che vedi non è l'indirizzo che scrive.

Nome visualizzato
Testo libero scelto da chi scrive: chiunque può chiamarsi «Ufficio Amministrazione».
Indirizzo effettivo
Quello tra < >: è il dato da controllare, dominio compreso.
Avatar, foto, logo
Immagini caricate dal mittente o recuperate dal servizio. Si copiano in un istante.
Firma
Il blocco di testo in fondo: utile, ma è solo testo, imitabile.
Identità verificata
Controlli tecnici del dominio (SPF, DKIM, DMARC) e, dove supportati, indicatori di mittente verificato.
Impersonificazione
Fingersi qualcun altro con nomi, loghi e domini simili per ottenere pagamenti o dati.
Un logo o un avatar non garantisce l'autenticità di chi scrive.

Simulatore · Chi ti ha scritto?

Tre messaggi con nome e avatar quasi identici. Uno solo arriva davvero dal fornitore. Quale?

Anatomia di un'email

Ogni parte del messaggio ha un ruolo.

Seleziona un elemento del messaggio per scoprire a cosa serve e a cosa fare attenzione.

Simulatore · Rispondi a tutti?

Scegli come rispondere e guarda chi riceverà davvero il tuo messaggio.

Copie, inoltri e deleghe

Dove va a finire un messaggio, e chi può leggerlo.

CC e CCN
CC: in copia, visibile a tutti. CCN: in copia nascosta, gli altri non lo vedono. Da usare per invii a molti destinatari esterni.
Inoltro manuale
Una persona decide di girare un messaggio: scelta consapevole, caso per caso.
Inoltro automatico
Una regola gira tutto altrove, anche verso caselle esterne: comodo e rischioso.
Alias
Un indirizzo in più che consegna in una casella esistente, senza spazio proprio.
Distribuzione
Un indirizzo di gruppo che recapita una copia a ciascun membro.
Accesso delegato
Un collega opera sulla tua casella con le sue credenziali, con permessi definiti (leggere, inviare per conto).
Casella condivisa
Una casella dell'azienda a cui più persone accedono, senza password comune.
Backup, archiviazione, conservazione
Backup per recuperare messaggi cancellati; archiviazione per ritrovarli; conservazione quando una comunicazione deve mantenere valore probatorio.

Simulatore · Dove arriva il messaggio?

Un cliente scrive a info@azienda.example. Attiva o disattiva alias, gruppi e inoltri: il percorso si aggiorna e i rischi vengono segnalati.

Organizzazione della posta

Una casella ordinata lavora per te.

Inbox, Inviata, Bozze
Arrivo, messaggi spediti, messaggi non ancora inviati.
Archivio e Tutti i messaggi
Archiviare toglie dalla Inbox senza cancellare: il messaggio resta cercabile.
Cestino e Spam
Il cestino si svuota dopo un periodo; lo spam addestra il filtro.
Cartelle o etichette
La cartella contiene il messaggio in un solo posto. L'etichetta (Gmail) è un'etichetta adesiva: lo stesso messaggio può averne molte.
Categorie e priorità
Raggruppamenti automatici (promozioni, aggiornamenti) e contrassegni per ciò che conta.
Filtri e regole
Azioni automatiche: SE arriva da… ALLORA etichetta, sposta, inoltra.
Ricerca e thread
Operatori di ricerca (da:, oggetto:) e conversazioni raggruppate per oggetto.
Newsletter e disiscrizioni
Disiscriviti dai mittenti legittimi; segnala come spam ciò che non hai mai chiesto.

Simulatore · Organizza la casella

Venti messaggi fittizi. Selezionali, etichettali, archivia, elimina, segnala spam, assegna priorità e cerca.

Simulatore · Crea una regola

Componi condizioni SE e un'azione ALLORA: vedi subito quali messaggi vengono intercettati.

Domande frequenti sull'email

Meglio IMAP o POP3?

Quasi sempre IMAP: i messaggi restano sul server e si vedono uguali da ogni dispositivo. POP3 ha senso solo in casi particolari e con un backup locale curato.

Quando un dipendente lascia l'azienda, cosa succede alla sua casella?

La casella aziendale nominativa resta dell'azienda: si blocca l'accesso, si gestiscono messaggi e risposta automatica secondo le policy e nel rispetto della normativa sul lavoro e della privacy. Conviene definire queste regole prima.

Il provider fa già il backup della mia posta?

Protegge il servizio dai guasti, ma una cancellazione volontaria o un account compromesso possono far sparire i messaggi oltre i tempi del cestino. Un backup indipendente copre questi casi.

CollegatiAutenticazionePhishingArchiviazione
Migliora le tue email

05 / DIFENDERE

Riconosci il rischio prima che diventi un problema.

La maggior parte degli attacchi informatici non forza i sistemi: convince le persone. Ecco le dodici minacce più comuni, come si sviluppano, come riconoscerle e cosa fare. Ognuna ha un mini esercizio.

Phishing messaggi fraudolenti

Email che imitano banche, corrieri, fornitori o servizi interni per farti cliccare un collegamento, inserire credenziali o aprire un allegato. Sono inviate a migliaia di destinatari: basta che pochi cadano.

Esempio

«La tua casella ha superato lo spazio disponibile. Accedi entro 24 ore per non perdere i messaggi.»

Segnali di rischio

  • Urgenza o minaccia di blocco
  • Collegamento verso un dominio diverso da quello atteso
  • Saluto generico, richiesta di credenziali

Comportamenti consigliati

  • Non cliccare: apri il servizio digitando tu l'indirizzo
  • Controlla il dominio effettivo del collegamento
  • Segnala il messaggio all'IT

Spear phishing attacchi mirati

Un phishing costruito su misura per una persona o un ufficio, con informazioni vere raccolte da social, sito aziendale o email precedenti. Il contesto credibile abbassa le difese.

Esempio

«Ciao Giulia, come detto martedì ti giro il capitolato aggiornato del progetto Delta. Accedi con le credenziali aziendali per scaricarlo.»

Segnali di rischio

  • Contesto corretto ma canale o indirizzo insoliti
  • Richiesta di accesso su un sito esterno
  • Pressione a fare in fretta

Comportamenti consigliati

  • Verifica con il collega su un canale diverso
  • Limita le informazioni pubbliche su progetti e ruoli
  • Segnala anche se non hai cliccato

Whaling attacchi ai dirigenti

Spear phishing rivolto a titolari, amministratori e direttori: chi può autorizzare pagamenti o accedere a dati riservati. Usa toni istituzionali, legali o di urgenza societaria.

Esempio

«Notifica riservata al legale rappresentante: scaricare l'atto entro oggi per evitare conseguenze.»

Segnali di rischio

  • Tono ufficiale e riservatezza imposta
  • Allegati o link da enti che non comunicano così
  • Richieste che scavalcano le procedure

Comportamenti consigliati

  • Le procedure valgono anche per i vertici
  • Verifica con ufficio legale o amministrazione
  • Formazione dedicata a chi ha poteri di firma

Smishing truffe tramite SMS

Phishing via SMS o messaggistica. Sullo schermo piccolo è più difficile leggere l'indirizzo, e i messaggi sembrano arrivare da corrieri, banche o enti.

Esempio

«Il tuo pacco è in giacenza. Paga 1,99 € di spese per la riconsegna: [link abbreviato]»

Segnali di rischio

  • Link abbreviati o domini strani
  • Piccoli pagamenti come esca
  • Spedizioni che non aspettavi

Comportamenti consigliati

  • Controlla nell'app ufficiale del servizio
  • Non inserire dati di carte da un link ricevuto
  • Blocca e segnala il mittente

Vishing truffe telefoniche

Chiamate di finti operatori di banca, assistenza IT o fornitori. Il numero sul display può essere falsificato e la voce sicura convince a dettare codici o installare programmi.

Esempio

«Sono dell'assistenza informatica, vedo un problema sul tuo account: mi leggi il codice che ti è appena arrivato?»

Segnali di rischio

  • Richiesta di codici OTP o password
  • Urgenza e tono rassicurante
  • Invito a installare programmi di controllo remoto

Comportamenti consigliati

  • Riattacca e richiama il numero ufficiale
  • Nessuno legittimo chiede di dettare codici
  • Segnala la chiamata

Quishing phishing tramite QR

Il collegamento è nascosto in un codice QR: su un adesivo, un volantino o un PDF allegato a un'email. Il QR sposta l'attacco sul telefono, spesso meno protetto, e sfugge ai filtri della posta.

Esempio

Un adesivo con QR incollato sopra quello del parchimetro, o un PDF: «Inquadra il QR per firmare il contratto».

Segnali di rischio

  • QR applicati sopra altri QR
  • QR che portano a pagine di accesso o pagamento
  • QR al posto di un normale collegamento in un'email

Comportamenti consigliati

  • Leggi l'indirizzo mostrato prima di aprirlo
  • Non fare accessi né pagamenti da un QR sospetto
  • Usa app e siti ufficiali

Email spoofing falsificazione del mittente

Il campo «Da» di un'email si può scrivere come si vuole. Senza controlli tecnici, un messaggio può sembrare inviato da un indirizzo aziendale vero. Spesso il «Rispondi a» porta altrove.

Esempio

Da: direzione@azienda.example · Rispondi a: direzione.azienda@posta-gratuita.example

Segnali di rischio

  • Indirizzo di risposta diverso dal mittente
  • Avvisi del client sul mittente non verificato
  • Intestazioni con SPF, DKIM o DMARC non superati

Comportamenti consigliati

  • Controlla le intestazioni o chiedi all'IT
  • Per il dominio aziendale: configurare SPF, DKIM e DMARC
  • Segnala i messaggi sospetti

BEC frodi tramite identità email aziendali

Business Email Compromise: l'attaccante usa una casella aziendale violata, o ne imita una, per deviare pagamenti o ottenere dati. Spesso si inserisce in conversazioni vere, quindi il mittente può essere autentico.

Esempio

Nella solita conversazione con il fornitore: «Da questo mese abbiamo cambiato banca, ecco il nuovo IBAN. Vi chiediamo di saldare entro oggi.»

Segnali di rischio

  • Cambio di coordinate bancarie
  • Urgenza e riservatezza
  • Richiesta di non usare i canali abituali

Comportamenti consigliati

  • Verifica telefonica a un numero già noto
  • Doppia approvazione per nuovi IBAN
  • MFA sulle caselle per ridurre le violazioni

Social engineering manipolazione delle persone

Tecniche che sfruttano autorità, urgenza, paura, curiosità o gentilezza per far aggirare le procedure. È alla base di quasi tutte le altre minacce, online e di persona.

Esempio

Un «tecnico» senza appuntamento chiede di entrare in sala server; una chiavetta trovata nel parcheggio con scritto «Stipendi».

Segnali di rischio

  • Pressione emotiva o fretta
  • Richiesta di eccezioni alle regole
  • Lusinghe o autorità non verificabile

Comportamenti consigliati

  • «Verifico e la richiamo» è sempre lecito
  • Rispetta le procedure di accesso e identificazione
  • Non collegare dispositivi trovati

Malware software malevoli

Programmi che danneggiano, spiano o prendono il controllo: trojan, spyware, keylogger, programmi che rubano password e sessioni. Arrivano con allegati, download, software non ufficiale o vulnerabilità non corrette.

Esempio

Un allegato «Fattura_118.pdf.exe» oppure un documento che chiede di «abilitare il contenuto» per essere letto.

Segnali di rischio

  • Doppie estensioni e file compressi inattesi
  • Richieste di abilitare macro
  • Rallentamenti, finestre e programmi sconosciuti

Comportamenti consigliati

  • Aggiornamenti di sistema e applicazioni
  • Software solo da fonti ufficiali
  • Protezione dei dispositivi e segnalazione rapida

Ransomware cifratura o blocco dei dati

Un malware che cifra i file e i sistemi, e spesso copia i dati prima di cifrarli, per chiedere un riscatto due volte: per la chiave e per non pubblicarli. Cerca anche i backup raggiungibili dalla rete.

Esempio

I file della cartella condivisa diventano «contratto.docx.locked» e in ogni cartella compare «LEGGIMI.txt».

Segnali di rischio

  • File che non si aprono ed estensioni cambiate
  • Attività insolita su dischi e rete
  • Note di riscatto

Comportamenti consigliati

  • Isola il dispositivo dalla rete e avvisa subito l'IT
  • Segui il piano di risposta agli incidenti
  • Ripristina da copie isolate e verificate

MFA fatigue push bombing: richieste ripetute di autenticazione

Chi ha già rubato la password avvia l'accesso più volte, inviando una raffica di notifiche «Approvi l'accesso?». Spera in un sì per errore, per stanchezza o dopo una finta telefonata dell'assistenza.

Esempio

A mezzanotte arrivano dieci richieste di approvazione in pochi minuti, da una località sconosciuta.

Segnali di rischio

  • Richieste che non hai avviato tu
  • Notifiche in serie, a orari insoliti
  • Chiamate che ti chiedono di approvare

Comportamenti consigliati

  • Rifiuta, cambia la password e segnala
  • Preferisci conferme con numero da digitare
  • Valuta passkey e chiavi FIDO2
Un attacco riuscito di solito non sfrutta un computer debole, ma un momento di fretta.

Gioco

Phishing Detective

Messaggi simulati, alcuni legittimi e alcuni fraudolenti. Per ognuno scegli: aprire, verificare con un canale indipendente, segnalare o ignorare. Tre livelli di difficoltà.

Gioco

La frode del direttore

Una richiesta urgente di pagamento, apparentemente dalla direzione. Cosa fai?

Domande frequenti sulla cybersecurity

Ho cliccato un link sospetto: cosa faccio?

Non inserire dati; se li hai inseriti, cambia subito la password dal sito vero e avvisa l'IT. Segnala comunque: il tempo di reazione conta più della vergogna di aver sbagliato.

Un antivirus basta a fermare il phishing?

No. Molti messaggi di phishing non contengono nulla di malevolo per un antivirus: chiedono solo di inserire dati in una pagina. Servono filtri, autenticazione forte e persone allenate a riconoscerli.

Se il mittente è un indirizzo vero, posso fidarmi?

Non sempre: una casella vera può essere compromessa (BEC). Le richieste insolite, soprattutto di pagamento o di cambio IBAN, vanno verificate su un canale diverso.

Conviene pagare un riscatto?

Pagare non garantisce né la chiave né la cancellazione dei dati sottratti, e può avere implicazioni legali. La difesa efficace sono backup isolati, un piano di risposta e il supporto di professionisti.

CollegatiBackup anti-ransomwareChi ti ha scritto?MFA
Richiedi un'analisi

06 / VERIFICARE

Una password non è sempre sufficiente.

Autenticarsi significa dimostrare di essere chi si dice di essere. Più prove indipendenti si combinano, più è difficile che qualcuno entri al posto tuo. Nessun metodo però è infallibile: conta come si combinano e come si gestiscono.

Uno, due o più fattori

Autenticazione a un fattore
Una sola prova, di solito la password. Se viene indovinata, rubata o riusata altrove, l'account è aperto.
Autenticazione a due fattori
Due prove distinte, ad esempio password più codice. Il termine si usa spesso anche quando le due prove sono dello stesso tipo.
Autenticazione multifattore
Almeno due fattori di categorie diverse. Due password non sono MFA; password più telefono sì.
Le tre categorie di fattori: qualcosa che conosci, che possiedi, che sei. L'MFA ne combina almeno due. CONOSCIpassword, PIN POSSIEDItelefono, chiave SEIimpronta, volto MFA

Tecnologie

Vantaggi, limiti e rischi di ogni metodo.

Password
Semplice e universale. Si indovina se debole, si ruba con il phishing, si propaga se riusata. Meglio lunga e unica.
Password manager
Genera e ricorda password uniche e compila solo sul sito giusto. Va protetto a sua volta con una password forte e MFA.
OTP
Codice usa e getta valido pochi secondi. Riduce il riuso, ma una pagina falsa può chiederlo e usarlo subito.
SMS
Comodo e diffuso. Esposto a SIM swap, intercettazioni e phishing: meglio di nessun fattore, meno di un'app o di una chiave.
App di autenticazione
Genera i codici sul telefono, senza rete telefonica. Più solida degli SMS; resta vulnerabile a pagine di phishing in tempo reale.
Notifiche push
Un tocco per approvare. Rapide, ma esposte alla MFA fatigue: meglio con numero da digitare e dettagli della richiesta.
Passkey
Sostituiscono la password con una coppia di chiavi crittografiche legata al sito vero. Resistono al phishing; il dispositivo e il suo sblocco vanno protetti.
Chiavi FIDO2
Dispositivo fisico (USB, NFC) con la stessa logica delle passkey. Molto resistenti al phishing; vanno gestite scorte e smarrimenti.
Biometria
Impronta o volto sbloccano il dispositivo. In genere il dato biometrico resta sul dispositivo; non si cambia come una password.
Codici di recupero
Servono se perdi il secondo fattore. Vanno conservati offline: chi li trova può entrare.
Single Sign-On
Un solo accesso aziendale per molte applicazioni: meno password, controllo centrale. Se quell'accesso è debole, lo sono tutte.
Sessioni e revoca accessi
Dopo il login resta una sessione aperta. In caso di sospetto vanno chiuse tutte e revocati dispositivi e app autorizzate.
Il secondo fattore riduce molto il rischio. Non lo azzera.

Simulatore

Proteggi l'account

Scegli password, utilizzo e secondo fattore: guarda come cambia la resistenza a cinque scenari di compromissione. Nessuna password reale viene richiesta.

Simulatore

Approvi l'accesso?

Una notifica MFA che non ti aspettavi. Scegli cosa fare e guarda le conseguenze.

Simulatore

Account compromesso

Arriva un avviso di accesso sospetto. Scegli le azioni e l'ordine: il pannello mostra in tempo reale se l'attaccante è ancora dentro e se può rientrare.

Domande frequenti sull'autenticazione

L'SMS come secondo fattore è ancora utile?

Sì, rispetto alla sola password. Dove possibile, però, conviene passare a un'app di autenticazione o, meglio ancora, a passkey e chiavi FIDO2, che resistono al phishing.

Le passkey sostituiscono le password?

Su molti servizi sì: si accede sbloccando il dispositivo. Servono comunque un metodo di recupero sicuro e la protezione del dispositivo stesso.

Cosa significa revocare le sessioni?

Chiudere tutti gli accessi già aperti, su ogni dispositivo. Cambiare la password non sempre basta: una sessione rubata può restare valida finché non viene revocata.

CollegatiMFA fatigueCaselle condiviseFirme e riferimenti temporali
Proteggi i tuoi accessi

07 / SPERIMENTARE

Crybu Digital Lab: esplora, sbaglia, impara.

Tre percorsi con esercizi a scelta, punti, livelli e badge educativi. Ogni esercizio ha uno scenario, un obiettivo, conseguenze e una spiegazione, e si può ripetere. Senza registrazione: il salvataggio dei progressi è facoltativo e resta nel tuo browser.

Percorso 1

Principiante

Email, backup, phishing e password: le abitudini quotidiane che fanno la differenza.

Percorso 2

Professionale

Caselle condivise, filtri, autenticazione e documenti: gli strumenti di lavoro usati bene.

Percorso 3

Responsabile aziendale

Governance, continuità, rischi e automazioni: le decisioni che spettano a chi guida.

Tutti i simulatori e i giochi

  1. 01 · BackupPerdita dei dati4 incidenti × 4 protezioni.
  2. 02 · ArchiviazioneArchivio disordinatoMetadati, ricerca, efficienza.
  3. 03 · ConservazioneTabella a confrontoTre discipline, un problema.
  4. 04 · ConservazioneQuale soluzione serve?6 documenti da valutare.
  5. 05 · EmailIl viaggio di un messaggioSMTP, DNS, MX, IMAP.
  6. 06 · EmailChi ti ha scritto?Nomi e avatar ingannevoli.
  7. 07 · EmailAnatomia e Rispondi a tutti13 elementi, 3 scenari.
  8. 08 · EmailDove arriva il messaggio?Alias, gruppi, inoltri, rischi.
  9. 09 · EmailOrganizza la casella20 messaggi, etichette, filtri.
  10. 10 · EmailCrea una regolaSE / ALLORA con anteprima.
  11. 11 · SicurezzaLe 12 minacceAnimazioni e mini esercizi.
  12. 12 · GiocoPhishing Detective3 livelli, email vere e false.
  13. 13 · GiocoTrova il link sospettoDominio effettivo e trucchi.
  14. 14 · GiocoLa frode del direttoreVerifica indipendente.
  15. 15 · AccessiProteggi l'accountPassword e fattori a confronto.
  16. 16 · AccessiApprovi l'accesso?MFA fatigue.
  17. 17 · AccessiAccount compromessoContenimento e recupero.
  18. 18 · AutomazioneSmistamento automaticoDimostrazione con dati fittizi.
  19. 19 · AI sicuraArchitettura Zero Trust5 richieste attraverso i controlli.
  20. 20 · AI sicuraDai accesso all'AIAgente e CRM, minimo privilegio.
  21. 21 · AI sicuraQuali poteri dai all'agente?8 poteri, controlli proporzionati.
  22. 22 · AI sicuraPuoi condividere questo documento?6 documenti, contesto e garanzie.
  23. 23 · AI sicuraCloud, locale, ibridaConfronto su 9 criteri.
  24. 24 · AI sicuraScegli l'architettura6 casi d'uso.
  25. 25 · AI sicuraDocumento riservatoPermessi nel recupero RAG.
  26. 26 · AI sicuraAutonomia progressiva5 livelli, limiti per compito.
  27. 27 · AI sicuraIl documento trappolaPrompt injection indiretta.
  28. 28 · AI sicuraHuman in the loop8 operazioni da approvare.
  29. 29 · AI sicuraAnomalie nel registroAudit e arresto dell'agente.
  30. 30 · AI sicuraControl Room AISospendi, revoca, approva, blocca.
  31. 31 · AI sicuraLa tua azienda è pronta?Checklist con priorità.
  32. 32 · NormeLe categorie dell'AI ActPiramide del rischio e GPAI.
  33. 33 · GiocoÈ ad alto rischio?6 casi da classificare.
  34. 34 · NormeQuali norme mi riguardano?8 domande, orientamento preliminare.
  35. 35 · GiocoPosso utilizzare questi dati?7 scenari, verifiche GDPR.
  36. 36 · GiocoChi è responsabile?Ruoli nella catena del valore.
  37. 37 · LaboratorioProgetta un'AI responsabileChecklist di governance.

08 / AUTOMATIZZARE

Automazione e intelligenza artificiale, al servizio delle regole.

Molte delle attività viste nei simulatori si possono automatizzare: smistare la posta, classificare documenti, controllare i backup, segnalare anomalie. Ogni voce indica il suo stato, così è chiaro cosa è già operativo e cosa è previsto.

  • Smistamento email

    Da confermare

    I messaggi in arrivo vengono indirizzati alla casella, alla persona o alla coda giusta.

    Es. Le richieste di assistenza finiscono nella coda del supporto.

  • Classificazione intelligente

    Da confermare

    Email e documenti ricevono categoria e metadati in base al contenuto.

    Es. Una fattura viene riconosciuta e marcata come Amministrazione.

  • Priorità automatica

    Da confermare

    I messaggi urgenti vengono evidenziati in base a mittente, contenuto e scadenze.

    Es. Un guasto segnalato da un cliente sale in cima alla lista.

  • Estrazione attività

    Da confermare

    Dalle comunicazioni si ricavano compiti e scadenze da assegnare.

    Es. «Preventivo entro venerdì» diventa un'attività in agenda.

  • Analisi documentale

    Da confermare

    Lettura dei documenti per estrarre dati utili: importi, date, controparti.

    Es. Dal contratto si ricavano durata e data di rinnovo.

  • Ricerca semantica

    Da confermare

    Ricerca per significato nell'archivio, nel rispetto dei permessi di ciascuno.

    Es. «Accordi di riservatezza» trova anche i documenti intitolati NDA.

  • Monitoraggio backup

    Da confermare

    Controllo continuo dell'esito dei backup, con avvisi in caso di errori.

    Es. Un'attività notturna fallita genera un avviso al mattino.

  • Segnalazione anomalie

    Da confermare

    Individuazione di comportamenti insoliti su accessi, caselle e sistemi.

    Es. Una nuova regola di inoltro verso l'esterno viene segnalata.

  • Gestione scadenze

    Da confermare

    Promemoria per rinnovi, contratti, certificati e adempimenti.

    Es. Avviso 60 giorni prima della scadenza di un contratto.

  • Reportistica

    Da confermare

    Riepiloghi periodici su backup, email, sicurezza e attività.

    Es. Report mensile dello stato dei backup per la direzione.

  • Integrazione CRM

    Da confermare

    Email, documenti e richieste collegati alla scheda del cliente.

    Es. La richiesta dal sito crea un nuovo contatto nel CRM.

  • Assistenza automatizzata

    Da confermare

    Risposte guidate alle domande frequenti, con passaggio a una persona quando serve.

    Es. Istruzioni per reimpostare la password, poi un operatore.

Dimostrazione

Smistamento, priorità ed estrazione delle attività.

CollegatiRegole emailRicerca semanticaMonitoraggio backup
Scopri le automazioni

08 / AUTOMATIZZARE · DIETRO LE QUINTE

Sistemi che restano allineati.

Quando più programmi e più persone lavorano sugli stessi dati, serve una regola chiara su chi decide. E un modo sicuro per aggiornare tutto senza perdite né doppioni.

Animazione · Sincronizzazione

Due moduli, lo stesso cliente, due indirizzi.

Il CRM e la Fatturazione modificano nello stesso istante la stessa scheda. Avvia la modifica in parallelo e scegli la regola che li riconcilia.

Per ogni dato va deciso chi lo scrive e come si risolve un conflitto, prima che accada.

Animazione · Documento condiviso

Un'offerta, tre persone al lavoro.

Lo stesso documento, tre modi di lavorarci. Scegli come collabora il team e guarda quante versioni restano alla fine.

Meno copie in giro, più visibilità su chi ha cambiato cosa.

Animazione · Aggiornamento automatico

Un clic sul DB master, tutti i sistemi aggiornati.

Il database principale alimenta CRM, sito, archivio, fatturazione, app e report. Clicca la botte del DB master per pubblicare l'aggiornamento e segui come si propaga.

Si aggiorna per passi: prima la verifica, poi la distribuzione, sempre con la strada per tornare indietro.
CollegatiVersionamentoArchivio digitaleAutomazioni
Scopri le automazioni

09 / CONTROLLARE

AI Security & Governance: lavorare con l'intelligenza artificiale mantenendo il controllo.

Chatbot, assistenti, agenti autonomi e automazioni possono leggere email, consultare il CRM, preparare documenti ed eseguire azioni. Questa sezione mostra come farlo proteggendo dati, identità, credenziali e sistemi: architetture, regole, esempi e simulatori.

L'intelligenza artificiale può lavorare per la tua azienda. Ma deve farlo con le tue regole.

Architettura animata · Zero Trust

Ogni richiesta passa dai controlli, prima di toccare i dati.

Utente, assistente o agente non parlano direttamente con server, database, CRM, email, documenti e API esterne. In mezzo ci sono un gateway di sicurezza, il gestore delle identità, il gestore dei permessi e il gestore dei segreti, e tutto finisce nel registro delle attività. Zero Trust significa che nessun componente è considerato affidabile in automatico, nemmeno quelli interni: ogni richiesta viene verificata, ogni volta.

Credenziali

Password, API key e segreti.

Password
Segreto di una persona. Non va mai scritta in un prompt né condivisa con un agente.
API key
Chiave che autorizza un programma a usare un servizio. Chi la possiede agisce al posto tuo, spesso senza MFA.
Token
Credenziale rilasciata dopo un'autenticazione, con durata e permessi definiti. Più è breve e ristretto, meglio è.
OAuth 2.0
Standard con cui concedi a un'applicazione un accesso delegato e limitato, senza consegnarle la password.
Scope
L'ambito di un'autorizzazione OAuth: «leggere la posta» è diverso da «inviare e cancellare».
Service account
Identità dedicata a un programma o a un agente, distinta da quelle delle persone e con un responsabile umano.
Secret manager
Il gestore dei segreti: custodisce chiavi e token cifrati, li rilascia solo a chi è autorizzato e registra ogni uso.
Credenziali temporanee
Valide pochi minuti, per una sola operazione: se rubate, scadono prima di essere utili.
Rotazione
Sostituzione periodica delle chiavi, e immediata dopo un sospetto o l'uscita di un collaboratore.
Revoca degli accessi
Disattivare subito una credenziale o un'autorizzazione, senza dover fermare tutto il resto.
Minimo privilegio
Ogni identità, umana o agentica, riceve solo i permessi necessari al suo compito, per il tempo necessario.

Regole di sicurezza

  • NEGAPassword e chiavi inserite nei prompt.
  • NEGASegreti salvati nel codice sorgente.
  • NEGAAPI key esposte nel frontend, cioè nel browser dell'utente.
  • USAUn gestore dei segreti per ogni chiave e token.
  • USAAmbienti di sviluppo e produzione separati, con chiavi diverse.
  • USACredenziali dedicate per ogni agente e integrazione.
  • USAToken con durata e privilegi limitati.
  • USARegistri degli accessi che non contengono mai i segreti.
  • USARevoca immediata delle autorizzazioni.

Simulatore · Dai accesso all'AI

Devi collegare un agente AI al CRM. Scegli quale accesso concedergli e guarda cosa succede in tre scenari.

Autorizzazioni

Permessi: cosa l'AI può fare, e chi lo decide.

RBAC
Permessi basati sui ruoli: «commerciale» legge i clienti del suo portafoglio.
ABAC
Permessi basati sugli attributi: sede, orario, tipo di documento, livello di riservatezza.
Identità umane e agentiche
Persone e agenti hanno identità distinte: le azioni dell'agente non risultano fatte «da Mario».
Separazione dei compiti
Chi prepara un pagamento non è chi lo approva, che sia una persona o un agente.
Permessi temporanei
Concessi per un compito e una durata, poi scadono da soli.
Sola lettura
Il punto di partenza più prudente per quasi ogni integrazione.
Approvazioni umane
Un via libera esplicito per le operazioni critiche.
Audit
Ogni accesso e ogni azione registrati, per ricostruire chi ha fatto cosa.
Revoca
Un permesso si toglie in un attimo, senza fermare l'intero agente.

Sei poteri diversi, da concedere uno per uno

  1. 1 · LeggereQuali dati, documenti e caselle l'AI può consultare.
  2. 2 · ElaborareCosa può riassumere, classificare, confrontare o tradurre.
  3. 3 · ModificareQuali record e documenti può cambiare.
  4. 4 · ComunicareA chi può scrivere, dentro e fuori l'azienda.
  5. 5 · EliminareCosa può cancellare, e con quale possibilità di recupero.
  6. 6 · Eseguire autonomamenteQuali azioni può completare senza che una persona intervenga.
Le autorizzazioni le applica il backend. Le istruzioni al modello non bastano.

Simulatore · Quali poteri dai all'agente?

Abilita o disabilita gli otto poteri dell'assistente commerciale e scegli i controlli per le operazioni critiche. L'indicatore è educativo, non una misura formale del rischio.

Dati e privacy

Dati aziendali e AI: cosa condividere, e come.

Dati pubblici
Già divulgati: sito, brochure, listini pubblici.
Dati interni
Procedure, organizzazione, documenti di lavoro non destinati all'esterno.
Dati riservati
Contratti, margini, strategie, risultati non pubblicati.
Dati personali
Qualsiasi informazione su una persona identificata o identificabile.
Dati particolari
Salute, opinioni, dati biometrici e altre categorie dell'art. 9 GDPR: tutele rafforzate.
Minimizzazione
Inviare solo ciò che serve al compito, non il documento intero «per comodità».
Anonimizzazione
Rende impossibile risalire alla persona: i dati non sono più personali, se è fatta bene.
Pseudonimizzazione
Sostituisce i nomi con codici: con la chiave si risale alla persona, quindi restano dati personali.
Crittografia
Dati cifrati in transito e a riposo, con chiavi custodite dall'azienda o dal fornitore.
Retention e cancellazione
Per quanto tempo il servizio conserva prompt e risposte, e come si cancellano.
Trasferimenti
Dove vengono trattati i dati e se escono dall'Unione europea, con quali garanzie.
Uso da parte dei provider
Se il fornitore usa i contenuti per addestrare o migliorare i modelli: cambia tra fornitori, prodotti e configurazioni.
GDPR e valutazione dei rischi
Base giuridica, accordo sul trattamento con il fornitore e, quando il rischio è elevato, valutazione d'impatto (DPIA).

Simulatore · Puoi condividere questo documento?

Scegli documento, servizio AI, cosa invii e se l'uso è autorizzato: la risposta cambia con il contesto.

Confronto interattivo

AI cloud, locale, privata o ibrida?

Un modello locale non è automaticamente sicuro, e un servizio cloud non è automaticamente insicuro. Conta come sono configurati accessi, credenziali, registri e contratti.

Simulatore · Scegli l'architettura

Seleziona un caso d'uso: vedi architetture possibili, vantaggi, criticità e controlli consigliati.

RAG e documenti

Quando l'AI cerca nei tuoi documenti.

RAG
Retrieval-Augmented Generation: prima si recuperano i documenti pertinenti, poi il modello risponde basandosi su quelli.
Indicizzazione
I documenti vengono spezzati in parti e preparati per la ricerca.
Embedding
Rappresentazioni numeriche del significato di un testo, che permettono la ricerca per concetto.
Database vettoriale
Archivio degli embedding: va protetto come i documenti da cui derivano.
Permessi documentali
Chi può vedere cosa deve valere anche dentro l'indice.
Filtri per utente e workspace
Ogni ricerca è limitata ai documenti dell'utente e del suo spazio di lavoro.
Separazione dei tenant
I documenti di un cliente non compaiono mai nelle ricerche di un altro.
Protezione dei documenti
Cifratura, retention e cancellazione anche per le copie indicizzate.
Controllo delle fonti
La risposta cita da quali documenti proviene, per poterla verificare.
Un assistente AI non deve poter recuperare documenti che l'utente non è autorizzato a consultare.

I controlli vanno applicati durante il recupero dei documenti, non soltanto nella risposta finale: ciò che il modello ha letto può sempre riaffiorare.

Simulatore · Documento riservato

Scegli chi sei, interroga l'archivio e confronta i due modi di applicare i permessi.

Agenti e automazioni

Dal chatbot all'agente: quanta autonomia, con quali limiti.

Chatbot informativo
Risponde a domande su contenuti definiti. Non agisce sui sistemi.
Assistente AI
Aiuta una persona a scrivere, cercare, riassumere. Decide sempre la persona.
Agente operativo
Esegue compiti in più passaggi su sistemi aziendali.
Automazione deterministica
Regole fisse, sempre uguali: prevedibile e verificabile. Spesso basta questa.
Agente con strumenti e API
Usa strumenti esterni (CRM, posta, pagamenti): ogni strumento è un potere da autorizzare.
Sistema multiagente
Più agenti si dividono il lavoro: servono identità, limiti e supervisione per ciascuno.

Autonomia progressiva

  1. Livello 1 · L'AI suggeriscePropone, la persona decide ed esegue.
  2. Livello 2 · L'AI prepara un'azioneBozza, ordine o modifica pronti da controllare.
  3. Livello 3 · L'AI esegue dopo approvazioneServe un via libera esplicito, caso per caso.
  4. Livello 4 · L'AI esegue entro limiti definitiDa sola, ma dentro confini di spesa, frequenza e destinatari.
  5. Livello 5 · L'AI coordina più operazioniCon supervisione, controlli e possibilità di arresto sempre disponibili.

Il livello più alto non è sempre il migliore: il livello giusto dipende dal rischio del compito. Ogni autorizzazione prevede limiti di spesa, frequenza, destinatari, strumenti, operazioni e durata.

Simulatore · Quanta autonomia per questo compito?

Attacchi specifici

Come si attacca un sistema AI.

Prompt injection
Istruzioni scritte per far ignorare al modello le sue regole.
Indirect prompt injection
Le istruzioni arrivano nascoste in un contenuto che l'AI legge: email, pagina web, documento.
Esfiltrazione dei dati
Far uscire informazioni tramite risposte, link, invii o chiamate a strumenti.
Tool misuse
Spingere l'agente a usare in modo improprio gli strumenti che ha a disposizione.
Output non attendibili
Risposte plausibili ma errate o inventate: vanno verificate prima di agire.
Data poisoning
Dati manipolati inseriti nell'addestramento o nell'archivio consultato.
Documenti malevoli
File costruiti per ingannare l'AI o chi la usa.
Accessi eccessivi
Più permessi di quanti ne servano: amplificano qualunque errore o attacco.
Manipolazione degli agenti
Convincere un agente, passo dopo passo, a superare i propri limiti.
Supply chain AI
Modelli, librerie, plugin o dati di terze parti compromessi.
Rischi di MCP e API
Ogni server MCP o API collegata aggiunge strumenti e permessi: va verificata, limitata e tracciata.

Simulatore · Il documento trappola

Un agente deve riassumere un documento che contiene una falsa istruzione rivolta all'AI. Scopri il testo nascosto e scegli come deve comportarsi.

Human in the loop

Quando serve l'approvazione di una persona.

Approvazione richiesta

Operazioni critiche

Comunicazioni esterne, modifiche a dati importanti, eliminazioni, pagamenti, operazioni legali, modifiche ai permessi, accesso a informazioni particolarmente riservate.

Automatizzabile entro limiti

Operazioni a basso rischio

Etichettare la posta, preparare bozze interne, riassumere documenti autorizzati, creare promemoria: senza approvazione caso per caso, ma con limiti definiti e controlli a campione.

Avvia il flusso: Richiesta → Analisi AI → Verifica permessi → Preparazione azione → Approvazione → Esecuzione → Audit.

Monitoraggio e governance

Vedere cosa fanno gli agenti, e poterli fermare.

Audit log
Registro di richieste, decisioni, approvatori ed esiti, senza segreti.
Monitoraggio agenti
Stato, carico e comportamento di ogni agente nel tempo.
Tracciamento delle operazioni
Ogni azione collegata a chi l'ha chiesta, all'agente e all'autorizzazione usata.
Alert
Avvisi su volumi, orari, destinazioni e posizioni insolite.
Controllo dei costi
Budget per agente e servizio, con avviso prima della soglia.
Limiti di utilizzo
Tetti a richieste, record letti, invii e spesa: un ciclo errato si ferma da solo.
Valutazione dei risultati
Controlli a campione sulla qualità: errori, risposte inventate, casi limite.
Test di sicurezza
Prove periodiche con prompt injection, documenti trappola e richieste fuori perimetro.
Incident response
Chi fa cosa quando un agente sbaglia o viene manipolato: contenere, analizzare, ripristinare, comunicare.
Kill switch
Arresto immediato di un agente o di tutti: revoca credenziali, chiude sessioni, sospende le code.
Revisione periodica dei permessi
A intervalli fissi si verifica che ogni permesso serva ancora; quelli inutili si tolgono.

Esercizio · Trova le anomalie nel registro

Simulatore · Control Room AI

Una dashboard dimostrativa con agenti attivi, permessi, azioni eseguite e in attesa, alert, consumi ed eventi di sicurezza. Gestisci il turno.

Autovalutazione

Checklist · La tua azienda è pronta?

Dieci domande su credenziali, MFA, permessi, documenti, separazione dei dati, approvazioni, monitoraggio, backup, fornitori AI e formazione. Ricevi un risultato educativo con le priorità di intervento. Non è una certificazione né un audit formale, e le risposte restano nel tuo browser.

Glossario tecnico

Le parole dell'AI sicura.

Modello linguistico
Il modello che genera testo a partire da un prompt. Non «sa» quali dati sei autorizzato a vedere.
Prompt
Le istruzioni e i contenuti inviati al modello. Non è un luogo sicuro per i segreti.
Istruzioni di sistema
Le regole impostate da chi configura l'assistente: utili, ma non sostituiscono i permessi.
Strumento
Una funzione che l'agente può chiamare: cercare, scrivere, inviare, pagare.
Model Context Protocol
Protocollo aperto per collegare agenti a strumenti e dati tramite «server MCP».
Zero Trust
Nessuna fiducia implicita: ogni richiesta è verificata per identità, permesso e contesto.
Gestore delle identità
Il sistema che autentica persone e agenti e rilascia i token.
Gestore dei permessi
Il punto che decide se una richiesta è consentita, secondo ruoli e attributi.
Human in the loop
Una persona approva o corregge prima che l'azione diventi effettiva.
Valutazione d'impatto
Analisi dei rischi per le persone prevista dal GDPR per i trattamenti ad alto rischio.
Accordo sul trattamento
Il contratto con cui il fornitore si impegna a trattare i dati secondo le istruzioni dell'azienda (art. 28 GDPR).
Allucinazione
Una risposta plausibile ma inventata: per questo gli output si verificano.

Integrazione Crybu

Persone e agenti, ognuno con il suo ruolo.

Risorse umane e risorse agentiche lavorano insieme, con identità, responsabilità, autorizzazioni e controlli distinti.

Le integrazioni qui sotto sono previste: lo stato di ciascuna indica cosa è già disponibile e cosa no.

  • Governance

    Da confermare

    Policy d'uso dell'AI, responsabili e regole approvate in un unico posto.

  • Gestione utenti e ruoli

    Da confermare

    Identità umane e agentiche distinte, con ruoli e responsabili assegnati.

  • Agenti 24/7

    Da confermare

    Agenti operativi a ogni ora, entro limiti, approvazioni e arresto immediato.

  • CRM

    Da confermare

    Accesso degli agenti ai dati dei clienti con permessi minimi e tracciati.

  • Documenti

    Da confermare

    Ricerca e analisi documentale che rispetta i permessi già nel recupero.

  • Email

    Da confermare

    Smistamento, bozze e invii con approvazione per le comunicazioni esterne.

  • API

    Da confermare

    Collegamenti con altri sistemi tramite credenziali dedicate e temporanee.

  • Server MCP

    Da confermare

    Strumenti esposti agli agenti tramite MCP, con elenco autorizzato e controlli.

  • Monitoraggio

    Da confermare

    Stato degli agenti, alert e anomalie a colpo d'occhio.

  • Log e audit

    Da confermare

    Registro di chi ha fatto cosa, quando e con quale autorizzazione, senza segreti.

  • Gestione costi cloud

    Da confermare

    Consumi, budget e limiti di spesa per agenti e servizi AI.

Domande frequenti su AI Security e governance

Basta scrivere nel prompt «non rivelare dati riservati»?

No. Le istruzioni al modello possono essere aggirate, ad esempio con una prompt injection. I limiti vanno applicati dal sistema: permessi, filtri nel recupero dei documenti, approvazioni e registri.

Posso dare a un agente AI le mie credenziali per fare prima?

Meglio di no. L'agente deve avere un'identità propria, con permessi minimi e credenziali temporanee gestite da un gestore dei segreti: così le sue azioni sono distinguibili e revocabili senza toccare il tuo account.

Un'AI installata in azienda è più sicura di una in cloud?

Non per forza. Un modello locale tiene i dati in casa, ma richiede competenze per aggiornamenti, accessi, registri e backup. Un servizio cloud con contratto adeguato e configurazione corretta può offrire garanzie elevate. Conta l'architettura complessiva.

I fornitori AI usano i miei dati per addestrare i modelli?

Dipende dal fornitore, dal prodotto e dalla configurazione: i servizi per uso personale e quelli aziendali hanno spesso condizioni diverse. Vanno lette le condizioni e verificati contratto e accordo sul trattamento.

Cos'è un kill switch per gli agenti AI?

Un comando che ferma subito uno o tutti gli agenti: revoca le credenziali, chiude le sessioni e sospende le operazioni in coda. È uno strumento d'emergenza; nella gestione ordinaria è meglio revocare il singolo permesso.

La checklist vale come valutazione di conformità?

No. È un'autovalutazione educativa che aiuta a individuare le priorità. Una valutazione formale richiede l'analisi dei sistemi reali e, per gli aspetti normativi, il supporto di professionisti.

«L'AI deve poter fare tutto ciò che è autorizzata a fare, e nulla di più.»

La sicurezza deriva dall'architettura, dai controlli tecnici e dalla governance, non soltanto dalle istruzioni scritte nei prompt.

Riferimenti normativi e tecnici con finalità divulgative: non sostituiscono la consulenza di un professionista. Tutti gli esempi usano dati fittizi e nessun simulatore richiede credenziali reali.

CollegatiAutenticazioneSocial engineeringAutomazioniAI Act e normative
Richiedi un'analisi

10 / RISPETTARE · CAPITOLO NORMATIVO

Innovare con l'intelligenza artificiale, rispettando le regole.

Una guida interattiva alle principali normative italiane ed europee su intelligenza artificiale, dati e sicurezza: quali possono riguardare la tua organizzazione, quali obblighi verificare e come progettare processi tecnologici conformi. Con casi pratici, decisioni e conseguenze.

Norma cogente

Regolamenti, direttive recepite e leggi: obbligatori per chi rientra nel loro campo di applicazione, con controlli e sanzioni.

Standard volontario

Norme tecniche (ISO/IEC e simili) che un'organizzazione sceglie di adottare ed eventualmente certificare. Aiutano a dimostrare buone pratiche, non sostituiscono la legge.

Linea guida

Indicazioni di autorità e istituzioni su come applicare le norme. Alcune sono vincolanti nei casi previsti dalla legge (es. Linee guida AgID richiamate dal CAD), altre sono orientamenti.

Diagramma animato

Dalla tecnologia agli obblighi, in sette passaggi.

  1. Inventario dei sistemi
  2. Classificazione del rischio
  3. Ruolo dell'organizzazione
  4. Norme applicabili
  5. Obblighi e documenti
  6. Controlli tecnici
  7. Monitoraggio e revisione

Il percorso si ripete: un cambio di finalità, di fornitore o di normativa riporta al punto di partenza.

EU AI Act · Regolamento (UE) 2024/1689

Il primo regolamento organico sull'intelligenza artificiale.

L'AI Act stabilisce regole comuni nell'Unione per sviluppare, immettere sul mercato e usare sistemi e modelli di AI. Segue un approccio basato sul rischio: più l'uso può incidere su salute, sicurezza e diritti fondamentali, più gli obblighi sono stringenti. Si applica in modo progressivo e può essere modificato da atti successivi: verifica sempre il calendario e l'osservatorio.

Cos'è
Un regolamento europeo, direttamente applicabile in tutti gli Stati membri senza bisogno di recepimento.
A chi si applica
A chi immette sistemi AI sul mercato UE, ovunque abbia sede; a chi li usa in ambito professionale nell'UE; a fornitori e utilizzatori extra UE quando l'output è usato nell'Unione (art. 2). Esclusi tra l'altro usi militari, ricerca scientifica e uso personale non professionale.
Sistemi AI e modelli GPAI
Il sistema è l'applicazione che genera output per un determinato uso (art. 3). Il modello per finalità generali (GPAI) è la base che può essere integrata in molti sistemi: ha una disciplina propria (artt. 51-56).
Pratiche vietate
Usi considerati inaccettabili, come manipolazione dannosa, punteggio sociale e alcuni impieghi biometrici (art. 5).
Sistemi ad alto rischio
Componenti di sicurezza di prodotti regolati (Allegato I) e usi elencati nell'Allegato III, come selezione del personale, istruzione e accesso al credito (art. 6).
Obblighi di trasparenza
Chi interagisce con un'AI o vede contenuti generati, deepfake compresi, deve poterlo sapere (art. 50).
Supervisione umana
I sistemi ad alto rischio devono poter essere sorvegliati da persone competenti, in grado di interpretare, ignorare o fermare l'output (art. 14).
Gestione del rischio
Un processo continuo, per tutto il ciclo di vita, che identifica, valuta e riduce i rischi (art. 9).
Documentazione tecnica
Descrizione del sistema, dei dati, dei test e delle misure adottate, prima dell'immissione sul mercato (art. 11 e Allegato IV).
Registrazioni e tracciabilità
Log automatici degli eventi (art. 12), conservati dal fornitore e dal deployer per i periodi previsti (artt. 19 e 26).
Robustezza e cybersecurity
Livelli adeguati di accuratezza, robustezza e sicurezza, anche contro manipolazione dei dati e degli input (art. 15).
Monitoraggio e incidenti
Monitoraggio dopo l'immissione sul mercato (art. 72) e segnalazione degli incidenti gravi alle autorità (art. 73).
Responsabilità e sanzioni
Fino a 35 milioni di euro o il 7% del fatturato mondiale per le pratiche vietate; fino a 15 milioni o il 3% per altri obblighi; importi ridotti per PMI e start-up (art. 99).
Formazione e competenze AI
Fornitori e deployer devono garantire un livello sufficiente di alfabetizzazione AI del personale coinvolto (art. 4).
Autorità
A livello UE l'Ufficio per l'AI della Commissione; in Italia la Legge 132/2025 indica AgID e ACN come autorità nazionali.

I ruoli nella catena del valore

Art. 3, n. 3

Fornitore (provider)

Sviluppa un sistema o un modello, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.

Art. 3, n. 4

Deployer

Usa un sistema AI sotto la propria autorità, in ambito professionale. È il ruolo tipico dell'azienda che adotta un servizio.

Art. 3, n. 6

Importatore

Soggetto stabilito nell'UE che immette sul mercato un sistema con il nome di un fornitore extra UE.

Art. 3, n. 7

Distributore

Mette a disposizione un sistema già sul mercato, senza esserne fornitore o importatore.

Il ruolo dipende da ciò che si fa davvero: chi mette il proprio marchio, modifica in modo sostanziale o cambia la finalità di un sistema ad alto rischio diventa fornitore (art. 25).

La classificazione segue i criteri dell'art. 6 e degli Allegati I e III: per un caso reale, chiedi a un esperto.

Classificazione interattiva

Le categorie dell'AI Act, una per una.

Seleziona un livello della piramide per vedere cosa comprende, gli esempi, gli obblighi principali e da quando si applica.

Esercizio didattico con casi fittizi. Le norme sono citate a scopo divulgativo e i risultati non valgono come parere: per la tua situazione rivolgiti a un professionista (legale, compliance, DPO).

Gioco

È un sistema AI ad alto rischio?

Sei casi, dal chatbot informativo agli impieghi biometrici. Individua la possibile categoria normativa: dopo ogni scelta trovi la risposta motivata, cosa cambierebbe la classificazione, articoli e allegati, obblighi e la differenza tra rischio tecnico e classificazione giuridica.

Esercizio didattico con casi fittizi. Le norme sono citate a scopo divulgativo e i risultati non valgono come parere: per la tua situazione rivolgiti a un professionista (legale, compliance, DPO).

Timeline interattiva

Calendario dell'AI Act.

Le principali date di applicazione, con il riferimento normativo e il collegamento alla fonte ufficiale. Le proposte di modifica sono indicate come tali finché non vengono approvate. Il calendario è aggiornato dalla redazione: le voci contrassegnate «Da verificare» attendono un controllo sulla fonte.

  1. Pubblicazione nella Gazzetta ufficiale UE

    ApplicabileDa verificare

    Il Regolamento (UE) 2024/1689 viene pubblicato nella Gazzetta ufficiale dell'Unione europea.

    GU L, 12.7.2024 · Fonte ufficiale ↗

  2. Entrata in vigore

    ApplicabileDa verificare

    Il regolamento entra in vigore il ventesimo giorno dalla pubblicazione. Gli obblighi si applicano poi in modo progressivo.

    Art. 113 · Fonte ufficiale ↗

  3. Pratiche vietate e alfabetizzazione AI

    ApplicabileDa verificare

    Si applicano i capi I e II: definizioni, obbligo di alfabetizzazione AI del personale per fornitori e deployer (art. 4) e divieto delle pratiche dell'art. 5.

    Art. 113, lett. a · Fonte ufficiale ↗

  4. Modelli GPAI, governance e sanzioni

    ApplicabileDa verificare

    Si applicano le regole sui modelli per finalità generali (capo V), sulla governance (capo VII), sulle autorità di notifica e sulle sanzioni (capo XII, escluso l'art. 101).

    Art. 113, lett. b · Fonte ufficiale ↗

  5. Proposta «Digital Omnibus» sull'AI

    Proposta di modificaDa verificare

    La Commissione propone modifiche all'AI Act, tra cui il collegamento dell'applicazione delle regole sull'alto rischio alla disponibilità di norme tecniche e strumenti di supporto, con date limite più avanzate (indicate nella proposta: 2 dicembre 2027 per l'Allegato III e 2 agosto 2028 per l'Allegato I). Verificare lo stato dell'iter legislativo e il testo eventualmente adottato.

    Proposta COM(2025) 836 · Fonte ufficiale ↗

  6. Applicazione generale: alto rischio (Allegato III) e trasparenza

    ApplicabileDa verificare

    Data di applicazione generale secondo il testo originario: obblighi per i sistemi ad alto rischio dell'Allegato III e obblighi di trasparenza dell'art. 50. Per l'alto rischio verificare eventuali rinvii approvati.

    Art. 113 · Fonte ufficiale ↗

  7. Alto rischio legato ai prodotti (Allegato I) e GPAI già sul mercato

    PrevistaDa verificare

    Secondo il testo originario si applicano l'art. 6, par. 1 e gli obblighi corrispondenti per i sistemi che sono componenti di sicurezza di prodotti regolati. I fornitori di modelli GPAI immessi sul mercato prima del 2 agosto 2025 devono adeguarsi entro questa data.

    Art. 113, lett. c · Art. 111, par. 3 · Fonte ufficiale ↗

  8. Sistemi ad alto rischio usati da autorità pubbliche

    PrevistaDa verificare

    I sistemi ad alto rischio già immessi sul mercato prima del 2 agosto 2026 e destinati a essere usati da autorità pubbliche devono essere resi conformi entro questa data.

    Art. 111, par. 2 · Fonte ufficiale ↗

  9. Grandi sistemi IT dell'Allegato X

    PrevistaDa verificare

    I componenti AI dei sistemi IT su larga scala dell'Allegato X (es. nel settore libertà, sicurezza e giustizia) immessi sul mercato prima del 2 agosto 2027 devono essere resi conformi entro questa data.

    Art. 111, par. 1 · Fonte ufficiale ↗

Schede normative

Le principali normative da conoscere.

Ogni norma ha un proprio campo di applicazione: non tutte riguardano tutte le organizzazioni. Il percorso «Quali norme mi riguardano?» aiuta a orientarsi.

Norma cogente

GDPR

Reg. (UE) 2016/679 · applicabile dal 25 maggio 2018

Protezione dei dati personali per chiunque li tratti in ambito professionale.

  • Basi giuridiche, informative e diritti degli interessati
  • Ruoli: titolare, contitolare, responsabile del trattamento
  • Sicurezza, DPIA, data breach (notifica entro 72 ore), trasferimenti extra UE
Testo ufficiale ↗
Norma cogente

AI Act

Reg. (UE) 2024/1689 · applicazione progressiva

Regole per lo sviluppo, la commercializzazione e l'utilizzo dei sistemi e dei modelli di AI.

  • Approccio basato sul rischio
  • Obblighi diversi per fornitori, deployer, importatori e distributori
  • Possibili modifiche in corso: vedi il calendario
Testo ufficiale ↗
Norma cogente

Legge italiana sull'AI

L. 23 settembre 2025, n. 132 · in vigore dal 10 ottobre 2025

Disposizioni nazionali e settoriali, da leggere insieme all'AI Act, che resta prevalente.

  • Principi e regole per sanità, lavoro, professioni intellettuali e PA
  • Diritto d'autore e nuove fattispecie penali
  • AgID e ACN autorità nazionali; deleghe al Governo da seguire
Testo ufficiale ↗
Norma cogente

NIS2

Dir. (UE) 2022/2555 · D.Lgs. 138/2024

Cybersecurity per i soggetti essenziali e importanti che rientrano nel campo di applicazione, per settore e dimensione.

  • Misure di gestione del rischio e governance degli organi di amministrazione
  • Notifica degli incidenti significativi: preallarme in 24 ore, notifica in 72
  • Sicurezza della catena di fornitura
Testo ufficiale ↗
Norma cogente

DORA

Reg. (UE) 2022/2554 · applicabile dal 17 gennaio 2025

Resilienza operativa digitale di banche, assicurazioni, intermediari e loro fornitori ICT critici.

  • Quadro di gestione dei rischi ICT
  • Segnalazione degli incidenti gravi e test di resilienza
  • Gestione dei fornitori ICT terzi
Testo ufficiale ↗
Norma cogente

eIDAS

Reg. (UE) 910/2014 · modificato dal Reg. (UE) 2024/1183

Identità digitale e servizi fiduciari validi in tutta l'Unione.

  • Firme elettroniche semplici, avanzate e qualificate; sigilli
  • Validazioni temporali e servizi fiduciari qualificati
  • Portafoglio europeo di identità digitale (eIDAS 2)
Testo ufficiale ↗
Norma cogente

CAD e Linee guida AgID

D.Lgs. 82/2005 · Linee guida su documenti informatici

Formazione, gestione e conservazione dei documenti informatici. Vedi anche Conservazione digitale.

  • Valore giuridico del documento informatico
  • Gestione documentale e protocollo
  • Conservazione: ruoli, pacchetti, manuale
Testo ufficiale ↗
Norma cogente

ePrivacy e comunicazioni

Dir. 2002/58/CE · Codice privacy, art. 122

Riservatezza delle comunicazioni elettroniche, cookie e strumenti di tracciamento.

  • Consenso per cookie e tracciamenti non tecnici
  • Linee guida del Garante sui cookie (2021)
  • Regole sulle comunicazioni commerciali elettroniche
Testo ufficiale ↗
Norma cogente

Data Act e Data Governance Act

Reg. (UE) 2023/2854 · Reg. (UE) 2022/868

Accesso, utilizzo e condivisione dei dati, nei rispettivi ambiti di applicazione.

  • Data Act: dati dei prodotti connessi, cambio di fornitore cloud (dal 12 settembre 2025)
  • DGA: riutilizzo di dati pubblici protetti, intermediari, altruismo dei dati
Data Act ↗Data Governance Act ↗
Norma cogente

European Accessibility Act

Dir. (UE) 2019/882 · D.Lgs. 82/2022

Requisiti di accessibilità per determinati prodotti e servizi digitali, dal 28 giugno 2025.

  • Commercio elettronico, servizi bancari, e-book, trasporti, terminali
  • Esenzioni per le microimprese che forniscono servizi
  • Per la PA vale anche la Legge 4/2004
Testo ufficiale ↗
Norma cogente

Cyber Resilience Act

Reg. (UE) 2024/2847

Requisiti di cybersecurity per i prodotti con elementi digitali, hardware e software, nei casi previsti.

  • Sicurezza fin dalla progettazione e gestione delle vulnerabilità
  • Segnalazioni dall'11 settembre 2026
  • Applicazione generale dall'11 dicembre 2027
Testo ufficiale ↗

Standard volontari e framework

Non sono obblighi di legge: si adottano per organizzare la gestione e, dove previsto, si certificano tramite organismi accreditati.

Standard volontario

ISO/IEC 27001

Sistema di gestione della sicurezza delle informazioni

Requisiti per gestire i rischi sulle informazioni, con controlli organizzativi, tecnici, fisici e sulle persone.

Scheda ISO ↗
Standard volontario

ISO/IEC 42001

Sistema di gestione dell'intelligenza artificiale

Politiche, ruoli, valutazione d'impatto e controlli per sviluppare o usare l'AI in modo responsabile.

Scheda ISO ↗
Standard volontario

ISO/IEC 27701

Gestione delle informazioni privacy

Requisiti per gestire i dati personali come titolare o responsabile; utile per documentare le misure richieste dal GDPR. Verifica l'edizione vigente.

Scheda ISO ↗
Standard volontario

ISO 22301

Continuità operativa

Sistema di gestione per prepararsi alle interruzioni, rispondere e ripartire: si collega a backup e disaster recovery.

Scheda ISO ↗
Framework · linea guida

NIST AI Risk Management Framework

NIST AI 100-1 · Stati Uniti

Quadro volontario per governare, mappare, misurare e gestire i rischi dell'AI, con un profilo dedicato all'AI generativa.

Pagina NIST ↗

Simulatore · percorso guidato

Quali norme mi riguardano?

Otto domande sulla tua organizzazione e sull'uso dell'AI. Il risultato indica normative potenzialmente applicabili, ruolo, obblighi da verificare, documenti, misure tecniche, scadenze, fonti ufficiali e questioni da approfondire con uno specialista. È un orientamento preliminare, non un parere legale.

Esercizio didattico con casi fittizi. Le norme sono citate a scopo divulgativo e i risultati non valgono come parere: per la tua situazione rivolgiti a un professionista (legale, compliance, DPO).

Gioco

Posso utilizzare questi dati?

Sette scenari reali di lavoro, dai curriculum alle registrazioni vocali. Scegli come procedere e scopri quali verifiche servono: base giuridica, informativa, minimizzazione, sicurezza e accordi con i fornitori.

Esercizio didattico con casi fittizi. Le norme sono citate a scopo divulgativo e i risultati non valgono come parere: per la tua situazione rivolgiti a un professionista (legale, compliance, DPO).

Gioco

Chi è responsabile?

Sviluppatore AI → fornitore della piattaforma → azienda utilizzatrice → utente finale. Assegna a ciascuno il suo ruolo: gli obblighi dipendono dalle attività svolte, non dal nome commerciale del servizio.

Esercizio didattico con casi fittizi. Le norme sono citate a scopo divulgativo e i risultati non valgono come parere: per la tua situazione rivolgiti a un professionista (legale, compliance, DPO).

Documentazione e governance

I documenti che tengono insieme la compliance.

Non servono tutti a tutti: dipende da ruolo, dimensione, settore e rischio. Per ciascuno, cosa contiene e quando può essere richiesto.

Inventario dei sistemi AI
Elenco di sistemi e modelli in uso: finalità, fornitore, dati, responsabile, classificazione.
QuandoPunto di partenza per qualunque organizzazione che usi l'AI.
Registro dei trattamenti
Finalità, categorie di dati e interessati, destinatari, tempi di conservazione, misure di sicurezza.
QuandoGDPR, art. 30: obbligatorio salvo le esenzioni previste per le piccole organizzazioni.
Valutazione dei rischi
Rischi tecnici, organizzativi e per le persone, con le misure per ridurli.
QuandoSistemi ad alto rischio (AI Act, art. 9), soggetti NIS2 e DORA, buona pratica per tutti.
DPIA
Valutazione d'impatto sulla protezione dei dati: trattamento, necessità, rischi, misure.
QuandoGDPR, art. 35: trattamenti che possono presentare un rischio elevato, come profilazione o dati particolari su larga scala.
Politica di utilizzo dell'AI
Strumenti ammessi, dati che si possono inserire, approvazioni, responsabilità.
QuandoConsigliata appena il personale usa servizi AI; supporta l'alfabetizzazione dell'art. 4.
Gestione dei fornitori
Valutazione, contratti, accordi sul trattamento, verifiche periodiche, uscita.
QuandoGDPR art. 28, NIS2 (catena di fornitura), DORA (fornitori ICT terzi).
Registro delle autorizzazioni
Chi, persona o agente, può accedere a cosa, con quali permessi e fino a quando.
QuandoBuona pratica di sicurezza; utile come prova delle misure adottate. Vedi Permessi.
Procedure di supervisione
Chi sorveglia il sistema, con quale competenza, come interviene o lo ferma.
QuandoSistemi ad alto rischio (artt. 14 e 26) e agenti con azioni critiche.
Gestione degli incidenti
Rilevazione, classificazione, contenimento, comunicazioni e notifiche alle autorità.
QuandoData breach GDPR, incidenti NIS2 e DORA, incidenti gravi AI Act (art. 73).
Audit e controlli
Verifiche periodiche, interne o esterne, su misure, log e permessi.
QuandoRichiesti da più norme e dagli standard volontari; prova della diligenza.
Formazione
Piano, contenuti, partecipanti e registrazione delle sessioni.
QuandoAlfabetizzazione AI (art. 4, dal 2 febbraio 2025), organi di amministrazione NIS2, GDPR.
Documentazione dei sistemi ad alto rischio
Documentazione tecnica, istruzioni per l'uso, dichiarazione di conformità, registrazione.
QuandoSolo se applicabile: fornitori di sistemi ad alto rischio (art. 11 e Allegato IV); per i deployer le istruzioni e i log.

Laboratorio

Progetta un'AI responsabile.

Configura un sistema scegliendo finalità, dati, utenti, autorizzazioni, modello, provider, autonomia, supervisione, conservazione e monitoraggio. La checklist preliminare si aggiorna a ogni scelta e segnala le criticità. Non dichiara mai il sistema conforme.

Esercizio didattico con casi fittizi. Le norme sono citate a scopo divulgativo e i risultati non valgono come parere: per la tua situazione rivolgiti a un professionista (legale, compliance, DPO).

Osservatorio normativo

Normative, stato e ultima verifica.

Un registro aggiornabile delle norme e degli standard citati in questa pagina. Le righe con il bordo arancione e l'etichetta «Da verificare» non sono ancora state controllate sulla fonte ufficiale: prima di prendere decisioni, consulta sempre il collegamento.

Osservatorio normativo: normativa, tipo e autorità, ambito, date, stato e modifiche rilevanti
NormativaTipo e autoritàAmbitoDateStato e verificaModifiche rilevanti
AI ActReg. (UE) 2024/1689Fonte ufficiale ↗ Norma cogenteUE · in Italia AgID e ACN Sviluppo, immissione sul mercato e uso dei sistemi e modelli AI Pubblicazione12/07/2024Applicazione02/02/2025 Applicazione progressiva
Da verificareUltima verifica: non ancora effettuata		 Proposta «Digital Omnibus» COM(2025) 836 su tempi dell'alto rischio e semplificazioni: verificare l'iter.
Legge italiana sull'intelligenza artificialeLegge 23 settembre 2025, n. 132Fonte ufficiale ↗ Norma cogenteStato italiano · AgID e ACN Principi, disposizioni di settore (sanità, lavoro, professioni, PA), diritto d'autore, norme penali, deleghe al Governo Pubblicazione25/09/2025Applicazione10/10/2025 In vigore
Da verificareUltima verifica: non ancora effettuata		 Prevede decreti attuativi: verificare quelli adottati.
GDPRReg. (UE) 2016/679Fonte ufficiale ↗ Norma cogenteGarante per la protezione dei dati personali · EDPB Protezione dei dati personali Pubblicazione04/05/2016Applicazione25/05/2018 In vigore
Da verificareUltima verifica: non ancora effettuata		 In Italia integrato dal Codice privacy (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).
NIS2Dir. (UE) 2022/2555 · D.Lgs. 138/2024Fonte ufficiale ↗ Norma cogenteACN (Agenzia per la cybersicurezza nazionale) Cybersecurity di soggetti essenziali e importanti Pubblicazione27/12/2022Applicazione16/10/2024 Applicazione progressiva
Da verificareUltima verifica: non ancora effettuata		 Obblighi attuati per fasi con determinazioni ACN: verificare scadenze e provvedimenti.
DORAReg. (UE) 2022/2554Fonte ufficiale ↗ Norma cogenteBanca d'Italia, Consob, IVASS · ESA europee Resilienza operativa digitale del settore finanziario Pubblicazione27/12/2022Applicazione17/01/2025 In vigore
Da verificareUltima verifica: non ancora effettuata		 Completato da norme tecniche di regolamentazione e attuazione.
eIDASReg. (UE) 910/2014 · modificato dal Reg. (UE) 2024/1183Fonte ufficiale ↗ Norma cogenteAgID · Commissione europea Identità digitale, firme, sigilli, validazioni temporali, servizi fiduciari, portafoglio europeo di identità digitale Pubblicazione28/08/2014Applicazione01/07/2016 Applicazione progressiva
Da verificareUltima verifica: non ancora effettuata		 eIDAS 2 (Reg. 2024/1183) in vigore dal 20 maggio 2024, con atti di esecuzione successivi.
Codice dell'amministrazione digitaleD.Lgs. 82/2005 · Linee guida AgID su formazione, gestione e conservazione dei documenti informaticiFonte ufficiale ↗ Norma cogenteAgID Documento informatico, gestione documentale, conservazione Pubblicazione16/05/2005Applicazione01/01/2006 In vigore
Da verificareUltima verifica: non ancora effettuata		 Le Linee guida AgID sono vincolanti nei casi previsti dal CAD: verificare la versione vigente.
ePrivacy e comunicazioniDir. 2002/58/CE · D.Lgs. 196/2003, art. 122Fonte ufficiale ↗ Norma cogenteGarante per la protezione dei dati personali Riservatezza delle comunicazioni, cookie e strumenti di tracciamento Pubblicazione31/07/2002Applicazione31/10/2003 In vigore
Da verificareUltima verifica: non ancora effettuata		 Linee guida del Garante su cookie e altri strumenti di tracciamento (2021).
Diritto d'autore nel mercato unico digitaleDir. (UE) 2019/790 · L. 633/1941Fonte ufficiale ↗ Norma cogenteAGCOM · autorità giudiziaria Estrazione di testo e dati, opere e contenuti usati e generati con l'AI Pubblicazione17/05/2019Applicazione12/12/2021 In vigore
Da verificareUltima verifica: non ancora effettuata		 La Legge 132/2025 interviene sulla L. 633/1941 per le opere create con l'ausilio dell'AI.
Data ActReg. (UE) 2023/2854Fonte ufficiale ↗ Norma cogenteAutorità designate dagli Stati membri Accesso e uso dei dati dei prodotti connessi, cambio di fornitore cloud Pubblicazione22/12/2023Applicazione12/09/2025 Applicazione progressiva
Da verificareUltima verifica: non ancora effettuata		 Alcuni obblighi si applicano da date successive: verificare.
Data Governance ActReg. (UE) 2022/868Fonte ufficiale ↗ Norma cogenteAgID per l'Italia Riutilizzo dei dati pubblici protetti, intermediari di dati, altruismo dei dati Pubblicazione03/06/2022Applicazione24/09/2023 In vigore
Da verificareUltima verifica: non ancora effettuata		 Nessuna segnalata
European Accessibility ActDir. (UE) 2019/882 · D.Lgs. 82/2022Fonte ufficiale ↗ Norma cogenteAgID e autorità di vigilanza di settore Accessibilità di determinati prodotti e servizi digitali Pubblicazione07/06/2019Applicazione28/06/2025 In vigore
Da verificareUltima verifica: non ancora effettuata		 Periodi transitori per alcuni prodotti e servizi; esenzioni per le microimprese che forniscono servizi.
Cyber Resilience ActReg. (UE) 2024/2847Fonte ufficiale ↗ Norma cogenteAutorità di vigilanza del mercato · ENISA Cybersecurity dei prodotti con elementi digitali Pubblicazione20/11/2024Applicazione11/12/2027 Applicazione progressiva
Da verificareUltima verifica: non ancora effettuata		 Obblighi di segnalazione dall'11 settembre 2026; applicazione generale dall'11 dicembre 2027.
ISO/IEC 42001Sistema di gestione dell'intelligenza artificialeFonte ufficiale ↗ Standard volontarioISO/IEC Governance e gestione dei sistemi AI Pubblicazione18/12/2023Applicazione: su adozione volontaria In vigore
Da verificareUltima verifica: non ancora effettuata		 Nessuna segnalata
NIST AI Risk Management FrameworkNIST AI 100-1Fonte ufficiale ↗ Linea guidaNIST (Stati Uniti) Gestione dei rischi dell'AI, uso volontario Pubblicazione26/01/2023Applicazione: su adozione volontaria In vigore
Da verificareUltima verifica: non ancora effettuata		 Profilo per l'AI generativa (NIST AI 600-1, 2024).

Integrazione prevista. L'osservatorio è pensato per collegarsi in futuro ai moduli Crybu di monitoraggio normativo, con avvisi sulle modifiche e promemoria delle scadenze. Oggi viene aggiornato manualmente dalla redazione: la funzione automatica non è ancora disponibile.

Integrazione Crybu

Dalla norma al processo, con una persona che valida.

Il capitolo si collega alle altre aree della piattaforma e, in futuro, ai moduli di Crybu Control Center. Le voci contrassegnate «Previsto» non sono ancora operative.

Disponibile in questa paginaAI Security & GovernanceArchitetture, permessi, segreti, RAG e Control Room. Disponibile in questa paginaGestione documentaleArchiviazione, metadati e conservazione digitale. Disponibile in questa paginaFormazionePercorsi del Lab per l'alfabetizzazione del personale.
PrevistoGDPR CheckerVerifica guidata di registro, informative, fornitori e DPIA.
PrevistoAgenti 24/7 e gestione permessiIdentità agentiche, ruoli e approvazioni. Vedi autonomia e permessi.
PrevistoAudit e monitoraggioRegistri, alert e report per la direzione. Vedi monitoraggio.

Percorso futuro · individuare e gestire gli adempimenti

  1. Mappatura di sistemi, dati e fornitori
  2. Orientamento automatico sulle norme
  3. Validazione umana di un professionista
  4. Piano degli adempimenti e documenti
  5. Scadenze e monitoraggio nel Control Center

Le valutazioni giuridiche restano sempre a persone qualificate: gli strumenti automatici preparano il lavoro, non lo sostituiscono.

Glossario

Le parole della compliance digitale.

Regolamento e direttiva
Il regolamento si applica direttamente in tutti gli Stati; la direttiva va recepita con una legge nazionale (es. NIS2 con il D.Lgs. 138/2024).
Modello per finalità generali
Modello addestrato su grandi quantità di dati, capace di svolgere molti compiti e di essere integrato in vari sistemi.
Deployer
Chi usa un sistema AI sotto la propria autorità in ambito professionale.
Valutazione d'impatto sui diritti fondamentali
Richiesta dall'art. 27 dell'AI Act ad alcuni deployer di sistemi ad alto rischio.
Valutazione di conformità
Procedura con cui il fornitore dimostra che un sistema ad alto rischio rispetta i requisiti, prima della marcatura CE.
Alfabetizzazione AI
Competenze e conoscenze per usare l'AI in modo consapevole, comprendendone opportunità e rischi (art. 4).
Titolare del trattamento
Chi decide finalità e mezzi del trattamento di dati personali (GDPR).
Responsabile del trattamento
Chi tratta dati per conto del titolare, ad esempio un fornitore cloud, sulla base di un accordo (art. 28).
Agenzia per la cybersicurezza nazionale
Autorità italiana per la cybersecurity e per NIS2; con AgID, autorità nazionale per l'AI.
Sandbox regolamentare
Ambiente controllato, sotto la supervisione delle autorità, per sperimentare sistemi AI innovativi (art. 57).
Estrazione di testo e dati
Analisi automatica di grandi quantità di contenuti, consentita entro le eccezioni del diritto d'autore e le riserve dei titolari.
Norma armonizzata
Standard tecnico europeo il cui rispetto fa presumere la conformità ai requisiti di un regolamento.

Domande frequenti su AI Act e normative

La mia azienda usa solo ChatGPT o servizi simili: l'AI Act mi riguarda?

Dipende dal ruolo e dall'uso. Il Regolamento (UE) 2024/1689 definisce i ruoli di fornitore e deployer (art. 3), l'alfabetizzazione AI (art. 4), le pratiche vietate (art. 5) e gli obblighi di trasparenza (art. 50); restano da considerare anche il GDPR e i contratti con il fornitore. Per la tua organizzazione rivolgiti a un professionista (legale, compliance, DPO).

Tutti gli agenti AI sono sistemi ad alto rischio?

I criteri di classificazione sono nell'art. 6 e negli Allegati I e III del Regolamento (UE) 2024/1689. Se un caso concreto vi rientri va valutato da un esperto, sulla base dell'uso previsto.

Le date dell'AI Act possono cambiare?

Sì. Il regolamento può essere modificato da atti successivi: la proposta «Digital Omnibus» del novembre 2025 prevede, tra l'altro, di posticipare alcune scadenze dell'alto rischio. Fino all'approvazione definitiva valgono le date del testo in vigore: verifica il calendario e la fonte ufficiale.

Una certificazione ISO/IEC 42001 rende conformi all'AI Act?

La ISO/IEC 42001 è uno standard volontario di gestione; gli obblighi dell'AI Act sono fissati dal Regolamento (UE) 2024/1689, valutazione di conformità compresa (art. 43). Il rapporto tra i due va valutato con un professionista.

Il risultato del percorso «Quali norme mi riguardano?» è un parere legale?

No. È un orientamento preliminare basato su poche risposte: indica cosa verificare. L'applicabilità effettiva dipende da fatti, dimensioni, contratti e settore, da valutare con un professionista.

Chi si occupa dell'AI Act in Italia?

La Legge 132/2025 indica AgID e ACN come autorità nazionali per l'intelligenza artificiale, ciascuna per le proprie competenze. Restano le competenze del Garante privacy sui dati personali e delle autorità di settore.

«Innovare con l'AI significa conoscere le regole prima di scrivere il codice.»

La conformità non si dichiara in automatico: si costruisce con ruoli chiari, documenti, controlli tecnici e la verifica di professionisti.

Contenuti con finalità divulgative, aggiornati alla data dell'ultima verifica indicata per ciascuna voce. Non costituiscono parere legale né certificazione di conformità. Le norme cambiano: fa sempre fede il testo pubblicato sulle fonti ufficiali.

CollegatiAI SecurityConservazione e CADChecklist AIControl Center
Richiedi un'analisi

Crybu

Dalla teoria alla tua azienda.

Hai visto come si proteggono dati, documenti, email, accessi e sistemi AI. Per capire cosa serve davvero alla tua organizzazione, parla con chi se ne occupa ogni giorno.

Consulenza specializzata

Scrivici la tua situazione

Raccontaci cosa vuoi proteggere, organizzare o automatizzare: ti rispondiamo con un primo orientamento.

info@crybu.io Richiedi una consulenza