--- title: Il fattore umano della conformità description: Il gap di competenze AI è un rischio operativo. Dopo il 2 agosto e l'art. 50 dell'AI Act, ecco perché serve un presidio interno strutturato. image: https://blog.quanture.com/hubfs/Imagine%20a%20NEW%20PLAN/Imagine%20a%20NEW%20PLAN%20(22).jpg --- [![quanture](https://blog.quanture.com/hubfs/quanture-pictogram-new.png)](https://quanture.com) - [WE ARE](https://www.quanture.com/we-are/) - [WE CARE](https://www.quanture.com/we-care/) - [JOIN US](https://www.quanture.com/join-us/) - [SUCCESS STORIES](https://www.quanture.com/case-studies/) - [DOT](https://blog.quanture.com/) - [MY.QUANTURE](https://www.quanture.com/myquanture/) - IT Design & Engineering ### [IT Design & Engineering](https://www.quanture.com/it-infrastructure/) Massimizza l’efficienza e la sicurezza del tuo ecosistema IT. [Scopri di più](https://www.quanture.com/it-infrastructure/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Hybrid Infrastructure](https://www.quanture.com/it-infrastructure/hybrid-infrastructure/) - [Infrastructure as a Service](https://www.quanture.com/managed-service/infrastructure-as-a-service/) - [On Premise | Server & Storage, Iperconvergenza, Virtualizzazione](https://www.quanture.com/it-solutions/on-premises-virtualizzazione-iperconvergenza-server-storage/) - [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/) - [ArQive | Storage your data](https://www.quanture.com/managed-service/object-storage-s3/) - [Infrastructure Assesment](https://www.quanture.com/it-consultancy-services/infrastructure-assesment/) - [Cloud Readiness Assessment](https://www.quanture.com/it-consultancy-services/cloud-readiness-assessment/) [Networking](https://www.quanture.com/it-infrastructure/networking/) - [Data Center Networking](https://www.quanture.com/it-solutions/data-center-networking/) - [Wired e Wireless](https://www.quanture.com/it-solutions/reti-lan-wlan/) - [WAN e SD-WAN](https://www.quanture.com/it-solutions/sd-wan/) - [Network Security](https://www.quanture.com/it-solutions/network-security/) - [Network Assessment](https://www.quanture.com/it-consultancy-services/network-assessment/) - [Wi-fi Site Survey](https://www.quanture.com/it-consultancy-services/wifi-site-survey/) [Business Continuity](https://www.quanture.com/it-infrastructure/business-continuity/) - [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/) - [Business Continuity](https://www.quanture.com/it-solutions/business-continuity/) - [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/it-infrastructure/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - Smart Productivity ### [Smart Productivity](https://www.quanture.com/smart-productivity/) Sfrutta appieno le tue risorse, ottimizza i flussi di lavoro e incrementa la produttività. [Scopri di più](https://www.quanture.com/smart-productivity/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/) - [Productivity Suite](https://www.quanture.com/it-solutions/productivity-suite/) - [Enterprise Collaboration](https://www.quanture.com/it-solutions/enterprise-collaboration/) - [Enterprise Voice](https://www.quanture.com/it-solutions/enterprise-voice/) - [Data Governance& AI:Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/) [Workplace](https://www.quanture.com/smart-productivity/postazioni-lavoro/) - [Mobile Device Management](https://www.quanture.com/it-solutions/mobile-device-management/) - [Virtual Workplace](https://www.quanture.com/it-solutions/virtual-workplace/) - [Workplace as a Service](https://www.quanture.com/managed-service/workplace-as-a-service/) - [E-mail Security](https://www.quanture.com/it-solutions/email-security/) - [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/) [Printing Solutions](https://www.quanture.com/smart-productivity/printing-solutions/) - [Printing Managed Services](https://www.quanture.com/managed-service/managed-print-services/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/smart-productivity/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - Cyber Security ### [Cyber Security](https://www.quanture.com/cyber-security/) Proteggi i tuoi asset digitali e garantisci la sicurezza dei dati e la continuità operativa della tua azienda. [Scopri di più](https://www.quanture.com/cyber-security/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Security Platform](https://quanture.com/cyber-security/security-platform/) - [Network Security](https://www.quanture.com/it-solutions/network-security/) - [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/) - [E-mail Security](https://www.quanture.com/it-solutions/email-security/) - [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/) - [Digital Identity & Access Security](https://www.quanture.com/it-solutions/iam-security/) - [Cyber Security Awareness](https://www.quanture.com/it-consultancy-services/cyber-security-awareness/) - [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/) - [M365 Security Hardening](https://www.quanture.com/it-consultancy-services/m365-security-hardening/) - [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/) [Ethical Hacking](https://www.quanture.com/cyber-security/ethical-hacking/) - [Vulnerability Assessment](https://www.quanture.com/it-consultancy-services/vulnerability-assessment/) - [Penetration Test](https://www.quanture.com/it-consultancy-services/penetration-test/) - [Web Application Penetration Test](https://www.quanture.com/it-consultancy-services/wapt/) - [Mobile Application Penetration Test](https://www.quanture.com/it-consultancy-services/mobile-application-penetration-test/) - [Wireless Penetration Test](https://www.quanture.com/it-consultancy-services/wireless-penetration-test/) - [Phising Attack Test](https://www.quanture.com/it-consultancy-services/phishing-attack-test/) [Cyber Security Managed Services](https://quanture.com/cyber-security/managed-services/) - [Vulnerability Monitoring](https://www.quanture.com/managed-service/vulnerability-monitoring/) - [Vulnerability Management](https://www.quanture.com/managed-service/vulnerability-management/) - [Intacto – Backup e Disaster Recovery as a Service](https://www.quanture.com/managed-service/disaster-recovery-as-a-service/) - [EPQ – Endpoint Protection Quanture](https://www.quanture.com/managed-service/endpoint-protection/) - [E-mail Security Complete](https://www.quanture.com/managed-service/vulnerability-monitoring/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/cyber-security/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) ### [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) Tutto il potenziale del Cloud e della suite M365 al servizio del tuo business. [Scopri di più](https://www.quanture.com/microsoft-advisory-services/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Active Directory & Domain Services](https://www.quanture.com/microsoft-advisory-services/active-directory-domain-services/) - [Microsoft Active Directory](https://www.quanture.com/it-solutions/microsoft-active-directory/) - [Microsoft ENTRA](https://www.quanture.com/it-solutions/microsoft-entra/) - [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/) - [Integrazione e separazione di foreste e domini](https://www.quanture.com/it-solutions/active-directory-integration/) [Remotizzazione delle postazioni o delle applicazioni](https://quanture.com/microsoft-advisory-services/remotizzazione-desktop/) - Azure Virtual Desktop [Microsoft Cloud: Infrastructure & Productivity](https://www.quanture.com/microsoft-advisory-services/microsoft-cloud-infrastructure-productivity/) - [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/) - [Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/) - [Data Governance & AI: Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/) [SQL Server](https://www.quanture.com/microsoft-advisory-services/server-sql/) [Microsoft Dev Platform](https://www.quanture.com/development/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/microsoft-advisory-services/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - [Dev & Apps](https://www.quanture.com/development/) # Il fattore umano della conformità 08/10/2026 Tag: [Cyber Security](https://blog.quanture.com/tag/cyber-security) [Intelligenza Artificiale](https://blog.quanture.com/tag/intelligenza-artificiale) [Imagine a NEW PLAN](https://blog.quanture.com/tag/imagine-a-new-plan) Un'azienda che ha approvato le policy, installato i controlli e completato l'adeguamento alle norme può dirsi pronta quando il rischio cambia, oppure quando in un processo entra per la prima volta un agente di intelligenza artificiale?   Ottobre, **mese europeo della cybersecurity,** ci dà l'occasione per guardare da vicino il legame tra NIS2, AI Act e competenze e per capire perché le regole digitali, con calendari che nell'ultimo anno si sono spostati più di una volta, lasciano all'organizzazione la parte più impegnativa, cioè saper governare ciò che adotta.   Le nuove regole digitali stanno spostando la domanda che un'azienda deve porsi, dal "siamo conformi?" al "siamo capaci?", e ottobre ci permette di verificarlo sia sul fronte cyber sia su quello dell'AI.   In questo articolo ricostruiamo il percorso in tre passaggi: - **NIS2:** la formazione degli organi di amministrazione e la scadenza del 31 ottobre 2026 portano la cybersecurity dentro la governance; - **AI Act:** dopo il Digital Omnibus l'articolo 4 chiede misure proporzionate a sostegno dell'alfabetizzazione, e stabilire quali misure adottare resta compito dell'organizzazione; - **Sada Cavi:** un agente AI classifica le richieste e prepara le offerte, mentre le persone validano e decidono. Chiudiamo con le dimensioni S e G dei principi ESG, dove competenze e responsabilità diventano un'unica questione.   Buona lettura!   --- ## Perché il Cybersecurity Month parla anche di competenze? Ogni ottobre, il mese europeo della cybersecurity, riporta l'attenzione su phishing, identità compromesse e social engineering e, a un primo sguardo, sembra un elenco di minacce tecniche da affidare a chi gestisce firewall e sistemi di accesso. Se però osserviamo il punto in cui questi attacchi trovano spazio, ci accorgiamo che quasi sempre passano da un gesto quotidiano: un messaggio che sembra credibile, una richiesta di credenziali che arriva nel momento giusto, un'approvazione data in fretta perché la giornata è piena.   Possiamo immaginare una serratura di ottima qualità montata su una porta i cui abitanti non conoscono la procedura per chiuderla bene, e la qualità della serratura, da sola, non cambia l'esito. **Per un manager di un'azienda tecnologica questo significa che la capacità delle persone di riconoscere e gestire il rischio fa parte a pieno titolo del perimetro di difesa**, al pari degli strumenti che acquistiamo e dei controlli che configuriamo. La domanda che ne discende riguarda la resilienza:   > *quanto è davvero resiliente un'azienda le cui persone non sono preparate a governare la tecnologia che utilizzano ogni giorno?*   Da qui partiamo, perché è la stessa domanda che le norme europee si sono poste, con strumenti diversi, prima sulla cybersecurity e poi sull'intelligenza artificiale.   --- ## Che cosa cambia con la NIS2 per chi governa l'azienda? In Italia la direttiva è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, con l'ACN come autorità nazionale competente, e con il 2026 il testo è entrato nella sua fase più concreta. L'**articolo 23** **colloca la cybersecurity nella responsabilità di chi amministra: il board approva le misure di gestione del rischio, ne sorveglia l'attuazione e i suoi componenti devono seguire una formazione specifica, mentre l'esecuzione operativa può essere delegata.**   A rendere il quadro più vicino di quanto sembri c'è una data: **entro il 31 ottobre 2026 i soggetti già in elenco devono avere operative le misure di sicurezza di base, con evidenze documentali dimostrabili.** Le richieste di evidenze che ci si attende dall'autorità, come ricostruito da chi segue gli audit, comprendono registri degli incidenti, prove dei backup e anche verbali di formazione. Possiamo leggere il verbale come una fotografia della presenza a un corso, e la fotografia dice poco sulla qualità delle decisioni che quel corso dovrebbe aver migliorato.   La norma, imponendo formazione, responsabilità e gestione del rischio nello stesso perimetro, rende visibile che **la resilienza di un'organizzazione dipende dalla sua capacità di prendere decisioni consapevoli quando qualcosa va storto, e questa capacità nessun documento può sostituirla.**   --- ## Che cosa chiede oggi l'AI Act sulla competenza? Lo stesso paradigma arriva sull'intelligenza artificiale e conviene guardare con precisione il testo in vigore, perché nell'ultimo anno è cambiato. L'articolo 4 è operativo dal 2 febbraio 2025 e imponeva a fornitori e deployer di garantire un livello sufficiente di alfabetizzazione per chi utilizza i sistemi.   Con il **Digital Omnibus**, il Regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026, la formula è diventata più leggera:   > **le aziende devono adottare misure che sostengano lo sviluppo dell'alfabetizzazione, senza dover garantire un livello specifico a ogni singola persona, e la misura concreta va proporzionata alle dimensioni dell'organizzazione, al ruolo dell'utilizzatore, al contesto e ai rischi del sistema.**   Anche il calendario è mosso: gli obblighi di trasparenza sono scattati il 2 agosto 2026, mentre i sistemi ad alto rischio dell'allegato III slittano al 2 dicembre 2027 e quelli incorporati in prodotti regolamentati al 2 agosto 2028.   Sul piano nazionale, la legge 132 del 2025 è in vigore dal 10 ottobre 2025 e affianca il regolamento europeo. Un testo meno prescrittivo sposta il peso sull'organizzazione: **nessuno ci dice più quale livello raggiungere, e dobbiamo saperlo stabilire noi, sapendo chi utilizza quali sistemi, con quali competenze, sotto quale supervisione e con quali responsabilità.** È un po' come passare da un limite di velocità scritto sul cartello all'obbligo di guidare con prudenza, dove la prudenza si misura soltanto se conosciamo la strada.   --- ## Come si governa un agente AI? L'esempio di Sada Cavi Nel progetto realizzato con [Sada Cavi](https://quanture.com/case-studies/ai-agentica-sada-cavi/), distributore di cavi elettrici in cui una parte considerevole delle richieste di offerta va gestita entro la giornata e un ritardo di un giorno coincide spesso con la perdita dell'opportunità, la gestione dei preventivi era un processo interamente manuale, con tempi di elaborazione tra 20 e 45 minuti per richiesta e una casella di posta condivisa dove le offerte si mescolavano a ordini, comunicazioni generiche e spam.   L'agente che abbiamo sviluppato monitora la casella e classifica ogni messaggio in richieste di offerta, ordini e comunicazioni generiche, con un tasso di riconoscimento tra l'85 e il 90%, meno del 5% di falsi positivi e un 10-15% di richieste non identificate, che vengono comunque inoltrate a un operatore, così che nessuna opportunità vada persa.   A valle l'agente restituisce una short list di 3-5 alternative, ordinate per rilevanza, insieme a un documento di tracciamento che mostra il percorso logico seguito. A quel punto entrano le persone, che verificano l'interpretazione, scelgono l'alternativa migliore o modificano l'offerta, approvano il documento finale e registrano il feedback per il miglioramento del sistema, il tutto integrato con l'ERP esistente.   Qui la competenza di dominio degli operatori entra nel disegno stesso dell'automazione, perché è grazie a loro che ciò che l'agente prepara può essere letto, corretto e assunto come decisione dell'azienda, e la tracciabilità è lo strumento che rende possibile questo esercizio.   --- ## Che cosa significa tutto questo per la S e la G dell'ESG? A questo punto le dimensioni Social e Governance dell'ESG ci arrivano in modo naturale, senza bisogno di forzare l'accostamento, perché **una trasformazione digitale responsabile richiede in pari misura persone capaci e strutture che rispondano delle decisioni.** - **Social:** sviluppo delle competenze, AI literacy, consapevolezza sui rischi cyber e valorizzazione della conoscenza di dominio delle persone, come nel caso degli operatori di Sada Cavi. - **Governance:** responsabilità definite, gestione del rischio, controllo degli accessi, supervisione umana e tracciabilità delle decisioni. Rispettare una regola significa dimostrare di aver fatto ciò che il testo richiede, mentre essere resilienti significa avere persone, competenze e governance capaci di applicarla anche quando la tecnologia cambia e il testo viene riscritto, come è appena accaduto all'articolo 4.   La compliance stabilisce che cosa l'organizzazione deve fare, e sono le competenze a determinare se sarà davvero in grado di farlo. La tecnologia evolve e le norme la inseguono con i loro calendari, ma la vera capacità competitiva si costruisce all'interno delle organizzazioni che sanno evolvere insieme a entrambe.   ---   Condividilo su: [![Share on facebook](https://blog.quanture.com/hubfs/socials/facebook-social.svg)](http://www.facebook.com/share.php?u=https%3A%2F%2Fblog.quanture.com%2Fil-fattore-umano-della-conformit%C3%A0%3Futm_medium%3Dsocial%26utm_source%3Dfacebook) [![Share on twitter](https://blog.quanture.com/hubfs/socials/twitter-social.svg)](https://twitter.com/intent/tweet?original_referer=https%3A%2F%2Fblog.quanture.com%2Fil-fattore-umano-della-conformit%C3%A0%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&url=https%3A%2F%2Fblog.quanture.com%2Fil-fattore-umano-della-conformit%C3%A0%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&source=tweetbutton&text=) [![Share on linkedin](https://blog.quanture.com/hubfs/socials/linkedin-social.svg)](http://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fblog.quanture.com%2Fil-fattore-umano-della-conformit%C3%A0%3Futm_medium%3Dsocial%26utm_source%3Dlinkedin) [![Share on email](https://blog.quanture.com/hubfs/socials/email-social.svg)](mailto:?subject=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fil-fattore-umano-della-conformit%C3%A0%3Futm_medium%3Dsocial%26utm_source%3Demail%20&body=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fil-fattore-umano-della-conformit%C3%A0%3Futm_medium%3Dsocial%26utm_source%3Demail) Topic: [Cyber Security](https://blog.quanture.com/tag/cyber-security), [Intelligenza Artificiale](https://blog.quanture.com/tag/intelligenza-artificiale), [Imagine a NEW PLAN](https://blog.quanture.com/tag/imagine-a-new-plan) ## Post Correlati [Security awareness: trasformare le persone nella prima linea di difesa](https://blog.quanture.com/cybersecurity-awareness) 21 ottobre 2026 [Passwordless authentication: benefici, prerequisiti e rischi da valutare prima dell’adozione](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi) 19 ottobre 2026 [Direttiva NIS2: obblighi, scadenze e come adeguare la tua azienda](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede) 14 ottobre 2026 ## Iscriviti alla Newsletter ## Post più letti ##### [Crisi della RAM: perché i prezzi stanno esplodendo](https://blog.quanture.com/crisi-della-ram) [News](https://blog.quanture.com/tag/news) - 17/02/2026 ##### [Copilot use case: 7 esempi per aumentare la produttività aziendale](https://blog.quanture.com/copilot-use-case-per-aumentare-la-produttivit%C3%A0) [Microsoft,](https://blog.quanture.com/tag/microsoft) [Intelligenza Artificiale,](https://blog.quanture.com/tag/intelligenza-artificiale) [Quanture.AI](https://blog.quanture.com/tag/quanture-ai) - 09/09/2026 ##### [Patch Management, da anello debole a leva per sicurezza e compliance](https://blog.quanture.com/patch-management-da-anello-debole-a-leva-per-sicurezza-e-compliance) [Cyber Security,](https://blog.quanture.com/tag/cyber-security) [Compliance](https://blog.quanture.com/tag/compliance) - 05/11/2025 ## TOPIC [Cyber Security (65)](https://blog.quanture.com/tag/cyber-security) [Quanture (43)](https://blog.quanture.com/tag/quanture) [Servizi Informatici (36)](https://blog.quanture.com/tag/servizi-informatici) [Cloud (33)](https://blog.quanture.com/tag/cloud) [Microsoft (31)](https://blog.quanture.com/tag/microsoft) [HPE (30)](https://blog.quanture.com/tag/hpe) [Data Storage (29)](https://blog.quanture.com/tag/data-storage) [Business Continuity (28)](https://blog.quanture.com/tag/business-continuity) [Collaboration (24)](https://blog.quanture.com/tag/collaboration) [Microsoft365 (23)](https://blog.quanture.com/tag/microsoft365) [Disaster Recovery (20)](https://blog.quanture.com/tag/disaster-recovery) [Imagine a NEW PLAN (20)](https://blog.quanture.com/tag/imagine-a-new-plan) [Intelligenza Artificiale (17)](https://blog.quanture.com/tag/intelligenza-artificiale) [Virtualizzazione (17)](https://blog.quanture.com/tag/virtualizzazione) [Sustainability (14)](https://blog.quanture.com/tag/sustainability) [Consulting Service (12)](https://blog.quanture.com/tag/consulting-service) [Iperconvergenza (12)](https://blog.quanture.com/tag/iperconvergenza) [Managed Service (10)](https://blog.quanture.com/tag/managed-service) [Compliance (9)](https://blog.quanture.com/tag/compliance) [Quanture.AI (9)](https://blog.quanture.com/tag/quanture-ai) [Ransomware (9)](https://blog.quanture.com/tag/ransomware) [Smart Working aziendale (9)](https://blog.quanture.com/tag/smart-working-aziendale) [Backup aziendale (8)](https://blog.quanture.com/tag/backup-aziendale) [Data Governance (8)](https://blog.quanture.com/tag/data-governance) [Citrix (7)](https://blog.quanture.com/tag/citrix) [Communication (5)](https://blog.quanture.com/tag/communication) [Ethical hacking (5)](https://blog.quanture.com/tag/ethical-hacking) [GDPR (4)](https://blog.quanture.com/tag/gdpr) [HP (4)](https://blog.quanture.com/tag/hp) [Azure Virtual Desktop (3)](https://blog.quanture.com/tag/azure-virtual-desktop) [News (3)](https://blog.quanture.com/tag/news) [Windows 365 (3)](https://blog.quanture.com/tag/windows-365) [Digital Identity (2)](https://blog.quanture.com/tag/digital-identity) [Windows Virtual Desktop (2)](https://blog.quanture.com/tag/windows-virtual-desktop) [CSP (1)](https://blog.quanture.com/tag/csp) [Infrastruttura IT (1)](https://blog.quanture.com/tag/infrastruttura-it) [OpenLicense (1)](https://blog.quanture.com/tag/openlicense) [RPO (1)](https://blog.quanture.com/tag/rpo) [VMware (1)](https://blog.quanture.com/tag/vmware) [Windows11 (1)](https://blog.quanture.com/tag/windows11) ![quanture-pictogram](https://blog.quanture.com/hs-fs/hubfs/quanture-pictogram.png?width=50&height=50&name=quanture-pictogram.png) **QUANTURE HQ**   Via delle Radici, 309-315 41043 Formigine (Modena) Ph. +39 059 557530 **[info@quanture.com](mailto:info@quanture.com)** Contacts Newsletter / AREAS [IT Design & Engineering](https://www.quanture.com/it-infrastructure/) [Smart Productivity](https://www.quanture.com/smart-productivity/) [Cyber security](https://www.quanture.com/cyber-security/) [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) [Dev & Apps](https://www.quanture.com/development/) / ABOUT [We are](https://www.quanture.com/we-are/) [We care](https://www.quanture.com/we-care/) [Join us](https://www.quanture.com/join-us/) [Success stories](https://www.quanture.com/case-studies/) [DOT](https://blog.quanture.com/) [My.Quanture](https://www.quanture.com/myquanture/) / TOPIC ![dot-footer](https://blog.quanture.com/hs-fs/hubfs/dot-footer.png?width=56&height=18&name=dot-footer.png) [Cyber security](https://blog.quanture.com/tag/cyber-security), [Microsoft](https://blog.quanture.com/tag/microsoft), [Cloud](https://blog.quanture.com/tag/cloud), [Data Storage](https://blog.quanture.com/tag/data-storage), [Business Continuity](https://blog.quanture.com/tag/business-continuity), [HPE](https://blog.quanture.com/tag/hpe), [Servizi Informatici](https://blog.quanture.com/tag/servizi-informatici), [Collaboration](https://blog.quanture.com/tag/collaboration), [Disaster Recovery](https://blog.quanture.com/tag/disaster-recovery), [Virtualizzazione](https://blog.quanture.com/tag/virtualizzazione), [Quanture](https://blog.quanture.com/tag/quanture), [Iperconvergenza](https://blog.quanture.com/tag/iperconvergenza), [Ransomware](https://blog.quanture.com/tag/ransomware), [Smart Working aziendale](https://blog.quanture.com/tag/smart-working-aziendale), [Citrix](https://blog.quanture.com/tag/citrix), [Backup aziendale](https://blog.quanture.com/tag/backup-aziendale), [Ethical hacking](https://blog.quanture.com/tag/ethical-hacking), [HP](https://blog.quanture.com/tag/hp), [GDPR](https://blog.quanture.com/tag/gdpr), [Microsoft365](https://blog.quanture.com/tag/microsoft365), [Windows 365](https://blog.quanture.com/tag/windows-365), [Azure Virtual Desktop,](https://blog.quanture.com/tag/azure-virtual-desktop) [Sustainability](https://blog.quanture.com/tag/sustainability), [Windows Virtual Desktop](https://blog.quanture.com/tag/windows-virtual-desktop), [CSP](https://blog.quanture.com/tag/csp), [OpenLicense](https://blog.quanture.com/tag/openlicense), [VMware](https://blog.quanture.com/tag/vmware), [Windows11](https://blog.quanture.com/tag/windows11) ![TUV](https://blog.quanture.com/hs-fs/hubfs/TUV.png?width=32&height=32&name=TUV.png) Quanture è azienda certificata UNI EN ISO 9001:2015 n° 50 100 13264 Rev.005 © QUANTURE P. IVA 03317290363 | [PRIVACY POLICY](https://quanture.com/privacy-policy-quanture/) – [COOKIE POLICY](https://www.iubenda.com/privacy-policy/84662247/cookie-policy) - [WHISTLEBLOWING](https://quanture.com/whistleblowing-quanture/) ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "quanture_social", "url" : "https://blog.quanture.com/author/quanture" }, "dateModified" : "2026-10-08T14:16:38.401Z", "datePublished" : "2026-10-08T14:10:08.000Z", "headline" : "Il fattore umano della conformità", "image" : [ "https://blog.quanture.com/hubfs/Imagine%20a%20NEW%20PLAN/Imagine%20a%20NEW%20PLAN%20(22).jpg" ], "mainEntityOfPage" : { "@id" : "https://blog.quanture.com/il-fattore-umano-della-conformità", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png" }, "name" : "Quanture S.p.A." } } ``` ```json { "@context" : "https://schema.org", "@type" : "Article", "about" : { "@type" : "Thing", "name" : "Cyber Security" }, "articleBody" : "Un'azienda che ha approvato le policy, installato i controlli e completato l'adeguamento alle norme può dirsi pronta quando il rischio cambia, oppure quando in un processo entra per la prima volta un agente di intelligenza artificiale? Ottobre, mese europeo della cybersecurity, ci dà l'occasione per guardare da vicino il legame tra NIS2, AI Act e competenze e per capire perché le regole digitali, con calendari che nell'ultimo anno si sono spostati più di una volta, lasciano all'organizzazione la parte più impegnativa, cioè saper governare ciò che adotta. Le nuove regole digitali stanno spostando la domanda che un'azienda deve porsi, dal \"siamo conformi?\" al \"siamo capaci?\", e ottobre ci permette di verificarlo sia sul fronte cyber sia su quello dell'AI. In questo articolo ricostruiamo il percorso in tre passaggi: NIS2: la formazione degli organi di amministrazione e la scadenza del 31 ottobre 2026 portano la cybersecurity dentro la governance; AI Act: dopo il Digital Omnibus l'articolo 4 chiede misure proporzionate a sostegno dell'alfabetizzazione, e stabilire quali misure adottare resta compito dell'organizzazione; Sada Cavi: un agente AI classifica le richieste e prepara le offerte, mentre le persone validano e decidono. Chiudiamo con le dimensioni S e G dei principi ESG, dove competenze e responsabilità diventano un'unica questione. Buona lettura! Perché il Cybersecurity Month parla anche di competenze? Ogni ottobre, il mese europeo della cybersecurity, riporta l'attenzione su phishing, identità compromesse e social engineering e, a un primo sguardo, sembra un elenco di minacce tecniche da affidare a chi gestisce firewall e sistemi di accesso. Se però osserviamo il punto in cui questi attacchi trovano spazio, ci accorgiamo che quasi sempre passano da un gesto quotidiano: un messaggio che sembra credibile, una richiesta di credenziali che arriva nel momento giusto, un'approvazione data in fretta perché la giornata è piena. Possiamo immaginare una serratura di ottima qualità montata su una porta i cui abitanti non conoscono la procedura per chiuderla bene, e la qualità della serratura, da sola, non cambia l'esito. Per un manager di un'azienda tecnologica questo significa che la capacità delle persone di riconoscere e gestire il rischio fa parte a pieno titolo del perimetro di difesa, al pari degli strumenti che acquistiamo e dei controlli che configuriamo. La domanda che ne discende riguarda la resilienza: quanto è davvero resiliente un'azienda le cui persone non sono preparate a governare la tecnologia che utilizzano ogni giorno? Da qui partiamo, perché è la stessa domanda che le norme europee si sono poste, con strumenti diversi, prima sulla cybersecurity e poi sull'intelligenza artificiale. Che cosa cambia con la NIS2 per chi governa l'azienda? In Italia la direttiva è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, con l'ACN come autorità nazionale competente, e con il 2026 il testo è entrato nella sua fase più concreta. L'articolo 23 colloca la cybersecurity nella responsabilità di chi amministra: il board approva le misure di gestione del rischio, ne sorveglia l'attuazione e i suoi componenti devono seguire una formazione specifica, mentre l'esecuzione operativa può essere delegata. A rendere il quadro più vicino di quanto sembri c'è una data: entro il 31 ottobre 2026 i soggetti già in elenco devono avere operative le misure di sicurezza di base, con evidenze documentali dimostrabili. Le richieste di evidenze che ci si attende dall'autorità, come ricostruito da chi segue gli audit, comprendono registri degli incidenti, prove dei backup e anche verbali di formazione. Possiamo leggere il verbale come una fotografia della presenza a un corso, e la fotografia dice poco sulla qualità delle decisioni che quel corso dovrebbe aver migliorato. La norma, imponendo formazione, responsabilità e gestione del rischio nello stesso perimetro, rende visibile che la resilienza di un'organizzazione dipende dalla sua capacità di prendere decisioni consapevoli quando qualcosa va storto, e questa capacità nessun documento può sostituirla. Che cosa chiede oggi l'AI Act sulla competenza? Lo stesso paradigma arriva sull'intelligenza artificiale e conviene guardare con precisione il testo in vigore, perché nell'ultimo anno è cambiato. L'articolo 4 è operativo dal 2 febbraio 2025 e imponeva a fornitori e deployer di garantire un livello sufficiente di alfabetizzazione per chi utilizza i sistemi. Con il Digital Omnibus, il Regolamento (UE) 2026/1744 in vigore dal 27 luglio 2026, la formula è diventata più leggera: le aziende devono adottare misure che sostengano lo sviluppo dell'alfabetizzazione, senza dover garantire un livello specifico a ogni singola persona, e la misura concreta va proporzionata alle dimensioni dell'organizzazione, al ruolo dell'utilizzatore, al contesto e ai rischi del sistema. Anche il calendario è mosso: gli obblighi di trasparenza sono scattati il 2 agosto 2026, mentre i sistemi ad alto rischio dell'allegato III slittano al 2 dicembre 2027 e quelli incorporati in prodotti regolamentati al 2 agosto 2028. Sul piano nazionale, la legge 132 del 2025 è in vigore dal 10 ottobre 2025 e affianca il regolamento europeo. Un testo meno prescrittivo sposta il peso sull'organizzazione: nessuno ci dice più quale livello raggiungere, e dobbiamo saperlo stabilire noi, sapendo chi utilizza quali sistemi, con quali competenze, sotto quale supervisione e con quali responsabilità. È un po' come passare da un limite di velocità scritto sul cartello all'obbligo di guidare con prudenza, dove la prudenza si misura soltanto se conosciamo la strada. Come si governa un agente AI? L'esempio di Sada Cavi Nel progetto realizzato con Sada Cavi, distributore di cavi elettrici in cui una parte considerevole delle richieste di offerta va gestita entro la giornata e un ritardo di un giorno coincide spesso con la perdita dell'opportunità, la gestione dei preventivi era un processo interamente manuale, con tempi di elaborazione tra 20 e 45 minuti per richiesta e una casella di posta condivisa dove le offerte si mescolavano a ordini, comunicazioni generiche e spam. L'agente che abbiamo sviluppato monitora la casella e classifica ogni messaggio in richieste di offerta, ordini e comunicazioni generiche, con un tasso di riconoscimento tra l'85 e il 90%, meno del 5% di falsi positivi e un 10-15% di richieste non identificate, che vengono comunque inoltrate a un operatore, così che nessuna opportunità vada persa. A valle l'agente restituisce una short list di 3-5 alternative, ordinate per rilevanza, insieme a un documento di tracciamento che mostra il percorso logico seguito. A quel punto entrano le persone, che verificano l'interpretazione, scelgono l'alternativa migliore o modificano l'offerta, approvano il documento finale e registrano il feedback per il miglioramento del sistema, il tutto integrato con l'ERP esistente. Qui la competenza di dominio degli operatori entra nel disegno stesso dell'automazione, perché è grazie a loro che ciò che l'agente prepara può essere letto, corretto e assunto come decisione dell'azienda, e la tracciabilità è lo strumento che rende possibile questo esercizio. Che cosa significa tutto questo per la S e la G dell'ESG? A questo punto le dimensioni Social e Governance dell'ESG ci arrivano in modo naturale, senza bisogno di forzare l'accostamento, perché una trasformazione digitale responsabile richiede in pari misura persone capaci e strutture che rispondano delle decisioni. Social: sviluppo delle competenze, AI literacy, consapevolezza sui rischi cyber e valorizzazione della conoscenza di dominio delle persone, come nel caso degli operatori di Sada Cavi. Governance: responsabilità definite, gestione del rischio, controllo degli accessi, supervisione umana e tracciabilità delle decisioni. Rispettare una regola significa dimostrare di aver fatto ciò che il testo richiede, mentre essere resilienti significa avere persone, competenze e governance capaci di applicarla anche quando la tecnologia cambia e il testo viene riscritto, come è appena accaduto all'articolo 4. La compliance stabilisce che cosa l'organizzazione deve fare, e sono le competenze a determinare se sarà davvero in grado di farlo. La tecnologia evolve e le norme la inseguono con i loro calendari, ma la vera capacità competitiva si costruisce all'interno delle organizzazioni che sanno evolvere insieme a entrambe.", "author" : { "@type" : "Person", "name" : "quanture_social", "sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ], "url" : "https://blog.quanture.com/author/quanture" }, "dateModified" : "1791468998406", "datePublished" : "2026-10-08 14:10:08", "description" : "Il gap di competenze AI è un rischio operativo. Dopo il 2 agosto e l'art. 50 dell'AI Act, ecco perché serve un presidio interno strutturato.", "editor" : { "@type" : "Person", "name" : "quanture_social" }, "headline" : "Il fattore umano della conformità", "image" : { "@type" : "ImageObject", "height" : 675, "url" : "https://6986587.fs1.hubspotusercontent-eu1.net/hubfs/6986587/Imagine%20a%20NEW%20PLAN/Imagine%20a%20NEW%20PLAN%20%2822%29.jpg", "width" : 1200 }, "inLanguage" : "it-IT", "isAccessibleForFree" : true, "mainEntityOfPage" : { "@id" : "https://blog.quanture.com/il-fattore-umano-della-conformità", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://content.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png" }, "name" : "Il Blog", "sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ] }, "url" : "https://blog.quanture.com/il-fattore-umano-della-conformità", "wordCount" : 1339 } ```