AI, Nis2, whistleblowing e trasparenza: verso un unico sistema di compliance
Intelligenza artificiale, cybersecurity, whistleblowing e trasparenza: quattro ambiti normativi che, se gestiti separatamente, rischierebbero di frammentare le risorse e disperdere le competenze delle organizzazioni. È il tema centrale dell'intervento di Alice Stendardo al convegno UNEBA Lombardia "Norme di compliance", che ha offerto alle realtà del territorio una mappa aggiornata degli adempimenti previsti dalla normativa italiana ed europea.
Un approccio unitario alla compliance
La tesi di fondo dell'intervento è chiara: i quattro pilastri — AI, cybersecurity, segnalazioni e trasparenza — non vanno affrontati come isole normative autonome, ma come componenti di un unico sistema di compliance organizzata. Il Decreto Legislativo 231/2001, che da vent'anni definisce i modelli organizzativi delle imprese e degli enti, fornisce il paradigma: un modello di compliance efficace integra prescrizioni diverse in un disegno unitario, con ruoli definiti, procedure documentate e controlli periodici.
Per il mondo cooperativo sociale e del nonprofit, in prima linea nell'adozione di modelli 231 dal 2017, questo approccio integrato è particolarmente naturale. Gli enti che già dispongono di un Organismo di Vigilanza e di un sistema di procedure interne hanno una base solida su cui innestare i nuovi obblighi, evitando duplicazioni e riducendo i costi di adeguamento.
Intelligenza artificiale: l'AI Act entra nel vivo
Il Regolamento europeo sull'intelligenza artificiale (AI Act, Regolamento UE 2024/1689) prevede un'applicazione scaglionata: dal 2 febbraio 2025 sono vietate le pratiche di AI a rischio inaccettabile e sono attivi gli obblighi di alfabetizzazione dell'AI per il personale; dal 2 agosto 2025 si applicano le regole sui modelli di uso generale (GPAI); dal 2 agosto 2026 partirà l'applicazione della gran parte del regolamento, inclusi gli obblighi per i sistemi ad alto rischio.
Per le organizzazioni nonprofit e sociali il primo passo operativo è la mappatura: individuare ogni sistema di AI utilizzato, anche quando è fornito da terzi (chatbot, software di selezione del personale, strumenti di valutazione degli utenti dei servizi). Occorre poi classificare il livello di rischio secondo le categorie del regolamento, verificare trasparenza verso gli utenti quando interagiscono con sistemi automatici, e garantire supervisione umana sui processi delicati, come la gestione dei beneficiari o l'accesso ai servizi.
Cybersecurity: NIS2 e i nuovi adempimenti
Il recepimento italiano della direttiva NIS2, avvenuto con il Decreto Legislativo 138/2024, ha esteso in modo significativo il perimetro dei soggetti obbligati, includendo molti enti del settore sanitario e sociale. Le organizzazioniEssenziali e Importanti devono registrarsi sulla piattaforma ACN, adottare misure di gestione del rischio cibernetico, segnalare gli incidenti gravi entro finestre temporali strette (prime 24 ore per l'allerta preliminare) e prevedere la formazione periodica in materia di cybersecurity.
Anche gli enti non direttamente obbligati fanno bene a considerare seriamente la sicurezza informatica: la protezione dei dati degli utenti vulnerabili — persone con disabilità, minori, anziani — è un dovere etico oltre che giuridico, e un incidente informatico può compromettere irreparabilmente la reputazione di un ente. Misure essenziali come l'autenticazione a due fattori, i backup regolari, la gestione degli accessi e la formazione del personale sono alla portata di qualsiasi organizzazione.
Whistleblowing: il canale digitale è obbligatorio
Il Decreto Legislativo 24/2023, che recepisce la direttiva UE 2019/1937, impone alle organizzazioni con almeno 50 dipendenti di istituire canali di segnalazione interni, garantendo riservatezza al segnalante, divieto di ritorsioni e termini precisi di riscontro (riscontro della ricezione entro sette giorni, esito entro tre mesi). Dal 2023 è obbligatorio l'utilizzo di piattaforme di segnalazione informatiche che garantiscano la riservatezza attraverso meccanismi di cifratura.
Le cooperative sociali e gli enti con oltre 50 addetti devono quindi verificare l'adeguatezza dei propri canali digitali, aggiornare le procedure interne e prevedere azioni informative specifiche per i lavoratori non dipendenti — volontari, collaboratori, stagisti — che oggi rientrano anch'essi nel perimetro dei possibili segnalanti.
Trasparenza: il 5% come strumento di legittimazione
Il Decreto Legislativo 117/2017 (Codice del Terzo Settore) impone agli enti che superano il 5% di entrate pubbliche sul totale dei ricavi l'adozione di modelli di trasparenza: pubblicazione online di informazioni su assetto organizzativo, fonti di finanziamento e rendicontazione. Un obbligo che non va vissuto come onere burocratico, ma come opportunità di legittimazione verso donatori, istituzioni e comunità.
Conclusioni: un modello integrato conviene
La raccomandazione finale del convegno è di non trasformare ogni nuova norma in un progetto separato. Un unico sistema di compliance, con un mappatura dei rischi aggiornata, procedure interconnesse e una governance chiara — dal Organismo di Vigilanza al Responsabile della Protezione dei Dati, dal funzionario antiriciclaggio al gestore delle segnalazioni — consente di assorbire i nuovi adempimenti (AI Act, NIS2) senza stravolgere l'organizzazione, con risparmi significativi in termini di tempo, costi e riduzione del rischio di responsabilità.