Controlli sulla posta elettronica aziendale. Ottimizzazione del lavoro con l’intelligenza artificiale. Raccolta, analisi intelligente (AI) e utilizzo dei log nel contesto lavorativo. Esigenza comune di fondo: assicurare un’effettiva cybersicurezza in azienda.
Il tema è attuale e strategico, eppure è giuridicamente delicato per imprese e per enti pubblici: da un lato rischiano sanzioni, dall’altro rischiano di compromettere la sicurezza dei dati e dei sistemi, dunque ulteriori sanzioni. Sono collegate conseguenze economiche, reputazionali e di pregiudizio a terzi.
Partiamo dai log: qui esistono ampie zone di oggettiva incertezza giuridica, in merito a quali raccoglierne, quanti, per quanto tempo, con quali strumenti di intelligenza artificiale analizzarli, come, in che punto e quanto coinvolgere analisti umani. Affrontare queste zone in cui si affievolisce il principio della certezza del diritto è diventato ineludibile. Per ragioni evidenti: secondo il rapporto Clusit 2026, nel 2025, gli incidenti di sicurezza in Italia sono aumentati del 42% rispetto all’anno precedente. E’ un incremento enorme, anche a voler tenere conto di situazioni non registrate e di rumore statistico.
Ne deriva significativo impatto non solo sui diritti dei soggetti che ne sono vittima (si pensi a data breach in ambito sanitario o bancario), ma anche sull’economia complessiva nazionale. Oggi la compromissione informatica è diventata problema di ordine pubblico.
Il diritto deve facilitarne la soluzione.
Parlerò di tutti questi temi come relatore a Roma, domani il 24 settembre, nel contesto di un evento organizzato congiuntamente da Officine Dati e dall’Istituto italiano privacy.
Il dibattito su sicurezza, privacy e intelligenza artificiale aziendale
Quello di Roma sarà un convegno sull’intelligenza artificiale in azienda. Non si tratterà di un seminario tradizionale, ma di una simulazione d’udienza, con partecipazione limitata di pubblico. I relatori, cioè, non si limiteranno a esporre le loro tesi, ma svilupperanno un contraddittorio reciproco, che coinvolgerà anche funzionari del Garante. Di qui la scelta di un evento ristretto e l’applicazione della Chatham House rule.
L’obiettivo è di pervenire a un confronto giuridico reale, di portare cioè i temi trattati a una definizione precisa. Sarà per questo anche presente un perito, tipicamente un esperto informatico, auspicabilmente con competenze in forensics, e un giurista terzo nel ruolo di “giudice”, ossia di esperto a cui è affidato un compito di sintesi finale.
Non si tratta, naturalmente di un processo, non c’è una parte che vince, è solo un formato di coinvolgimento di pubblico e relatori secondo dinamiche completamente diverse da quelle tradizionali.
Sanzioni per l’eccessiva conservazione dei log
Il tema dei log si colloca esattamente all’intersezione tra cybersicurezza, protezione dei dati personali, articolo 4 dello Statuto dei lavoratori. Ed è un’intersezione assai complessa, come rilevano numerosi provvedimenti recenti di ordinanza-ingiunzione del Garante per la protezione dei dati personali, ad esempio quello, ben noto, nei confronti di Regione Lombardia, provv. GPDP 29.4.2025 [10134221].
Esistono criticità oggettive di ricostruzione dell’esegesi giuridica. Ad esempio difformità nel trattamento dei metadati di posta elettronica rispetto ai log di navigazione. Ora, interpretazione giuridica, in particolare quella di un soggetto istituzionale come il Garante, deve seguire linee regolari e leggibili, deve avere una coerenza di sistema per garantire certezza giuridica e affidamento. In mancanza di certezza giuridica, si può sanzionare?
Il ragionamento dovrebbe tenere conto di almeno tre fattori:
Su alcune di queste considerazioni, sia permesso rimandare a temi già affrontati in un precedente articolo di questo blog giuridico: La sicurezza informatica è controllo a distanza?
Email aziendali e IA in azienda
Altri temi della giornata, articolata in quattro sessioni, saranno quelli della: