Vai al contenuto principale
Seguici su
NEWSLETTER

News

IT, AI & Data Protection · Novità Legislative

IT, AI & Data Protection

Area

Area Civile
Tutte le areeLavoroAgenziaPrevidenza SocialeArea CivileInternazionale

Tipo

Novità Legislative
Tutti i tipi Focus Prassi Contrattazione collettiva Novità Legislative Pubblicazioni Sentenze
Azzera i filtri

9 risultati

Tema

TuttiIT, AI & Data ProtectionImmobiliareFamiglia e SuccessioniResponsabilità civile, danni e assicurazioniSocietà e contratti d'impresaDiritto fallimentare e crisi d'impresaContratti e tutela del creditoDiritto amministrativoDiritto civileTutela del consumatoreDiritto sportivo Tutti i temi
Intelligenza ArtificialeNovità Legislative

Intelligenza Artificiale: approvate il 10.06.2026 due bozze di decreti legislativi attuativi del AI ACT

Come da Comunicato stampa del Consiglio dei Ministri del 10 giugno 2026 n. 177 , il Consiglio dei Ministri ha approvato, in esame preliminare, le bozze dei due Decreti Legislativi che, in forza della delega ricevuta dal Parlamento con la Legge n. 132/2025, delineano l’impianto normativo con cui l’Italia adegua il proprio ordinamento al Regolamento UE 2024/1689 ( c.d. “AI Act” ). In particolare: il primo Decreto Legislativo definisce il sistema nazionale di governance, di vigilanza, le sanzioni e sandbox regolatorie (vale a dire ambienti controllati, fisici o virtuali, in cui le aziende possono sperimentare nuovi prodotti o servizi tecnologici innovativi per un periodo di tempo limitato, beneficiando di un regime normativo semplificato e sotto la diretta supervisione delle autorità di settore); il primo Decreto assegna un ruolo centrale ad ACN (Agenzia per la Cybersicurezza Nazionale), ad AgID (Agenzia per l'Italia Digitale) ed alle autorità di settore. Il primo Decreto disciplina l’Intelligenza Artificiale nell’ambito della formazione e del lavoro; in particolare: 1.nei processi decisionali legati al rapporto di lavoro (assunzioni, sanzioni, licenziamenti), le decisioni non potranno essere basate unicamente su sistemi automatizzati, essendo sempre richiesta la supervisione di una persona fisica ed il licenziamento intimato in violazione di questo principio è considerato nullo; 2.l’utilizzo di sistemi di Intelligenza Artificiale potrà incidere sulla modulazione dell’equo compenso per i liberi professionisti, basandosi sul livello di rischio del sistema utilizzato, essendo espressamente previsto che, entro 12 mesi dalla data di entrata in vigore del Decreto, i rispettivi decreti che definiscono i parametri ministeriali ufficiali usati per calcolare i compensi minimi ed equi dei diversi tipi di professionisti in Italia, siano aggiornati con la determinazione dei parametri utili alla modulazione in caso di uso di sistemi di Intelligenza Artificiale; 3.vengono previsti percorsi formativi sull’Intelligenza Artificiale per studenti, docenti e personale della pubblica amministrazione e della giustizia, nonché l’inserimento obbligatorio dell’alfabetizzazione all’Intelligenza Artificiale nella formazione continua di professionisti e del personale sanitario; il secondo Decreto Legislativo disciplina l’utilizzo dei sistemi di Intelligenza Artificiale nelle attività di polizia ed in ambito penale, con previsioni anche in relazione alla responsabilità civile e alle responsabilità dei fornitori di sistemi di Intelligenza Artificiale. Ad esempio, secondo il Decreto: 1.l’uso di sistemi di identificazione biometrica remota in tempo reale negli spazi pubblici è fortemente limitato; 2.è espressamente vietato creare banche dati di riconoscimento facciale estraendo immagini in modo indiscriminato da internet o dalle telecamere di sicurezza (c.d. “scraping non mirato”); 3.le tecnologie di riconoscimento facciale integrate nella videosorveglianza potranno essere usate solo dopo la commissione di un reato, esclusivamente per identificare persone già indiziate sulla base di elementi oggettivi; viene introdotto il reato di “ Omessa adozione di misure di sicurezza nei sistemi di intelligenza artificiale e alterazione illecita dei sistemi “, per sviluppatori o utilizzatori professionali.

PrivacyNovità Legislative

"Digital Omnibus": l’UE ridisegna il quadro dei dati personali

La Commissione Europea ha presentato il Digital Omnibus , il pacchetto normativo che promette di rivoluzionare il quadro digitale dell’Unione, il più importante dal GDPR del 2018. La proposta, ufficializzata il 19 novembre 2025, non riguarda solo la protezione dei dati personali, ma include anche l’intelligenza artificiale, i cookie, la sicurezza informatica (NIS2), il Data Act e l’identità digitale europea. L’obiettivo è semplificare le regole , ridurre il carico amministrativo e facilitare l’innovazione, in particolare per le PMI digitali . La Commissione stima una riduzione del 25% dei costi di compliance per tutte le imprese e del 35% per le piccole e medie aziende. Le principali novità Tra le modifiche più significative spicca la ridefinizione del concetto di “dato personale” , che potrebbe escludere molte informazioni pseudonimizzate, come ID utente o cookie, dalla tutela del GDPR. Ciò aprirebbe scenari più flessibili per l’uso dei dati online, ma ridurrebbe alcune garanzie per la privacy individuale. Viene inoltre introdotta una nuova categoria di imprese, le Small-Mid Caps (SMC) , che potrebbero godere di alcune deroghe GDPR, come l’esonero dal registro delle attività di trattamento per i dati “a basso rischio”. Per quanto riguarda l’intelligenza artificiale , la proposta equipara lo sviluppo e l’uso di sistemi IA a un “legittimo interesse” dei titolari del trattamento, semplificando l’uso di dati personali per addestrare algoritmi. Anche i dati sensibili “inferiti” potrebbero essere trattati con regole più leggere rispetto a oggi, pur mantenendo alcuni principi di trasparenza e correttezza. Sul fronte dei cookie e del tracciamento , l’Omnibus introduce modalità di consenso più “machine-readable” e centralizzate, riducendo il fastidio dei continui banner. Tuttavia, il nuovo modello si avvicinerebbe a un opt-out più che a un opt-in, spostando responsabilità sugli utenti. Altre novità riguardano la decisione automatizzata , il “report once” per gli incidenti di sicurezza, e l’integrazione dei dati nell’ EU Digital Identity Wallet , strumento potenzialmente potente ma con rischi significativi se non gestito con adeguate garanzie. Opinioni e riflessioni Le reazioni degli esperti italiani e delle associazioni per la privacy sono contrastanti. Da un lato, operatori e aziende vedono nell’Omnibus una grande occasione per snellire i processi e sfruttare i dati a fini di innovazione, anche nel campo dell’IA. Dall’altro lato, associazioni come Federprivacy, NOYB ed EDRi evidenziano i rischi: la ridefinizione di “dato personale” e le deroghe per le PMI potrebbero indebolire le protezioni fondamentali. Il trattamento di dati inferiti e l’ampliamento delle decisioni automatizzate sollevano dubbi sul bilanciamento tra innovazione e diritti dei cittadini. Secondo molti esperti, la proposta rischia di favorire le Big Tech straniere, in particolare statunitensi, e di ridurre la trasparenza dei sistemi IA ad alto rischio. Al contempo, la semplificazione dei processi di segnalazione e l’allineamento dei regolamenti digitali promettono vantaggi concreti, soprattutto in termini di competitività europea. Il pacchetto entrerà ora nel processo legislativo europeo, dove Parlamento e Consiglio potranno introdurre emendamenti . Il dibattito sarà decisivo per determinare quanto l’Omnibus riuscirà a conciliare efficienza, innovazione e tutela della privacy.

IT & digitaleNovità Legislative

In vigore dal 12 settembre le disposizioni del Data Act, il regolamento europeo sull’accesso equo ai dati e sul loro utilizzo

Il Regolamento (UE) 2023/2854, meglio noto come Data Act, entrato in vigore l’11 gennaio 2024 e pienamente applicabile dallo scorso 12 settembre 2025, consegna ai consumatori e alle imprese un potere che in precedenza era solo teorico: l’accesso, diretto e strutturato, ai dati generati dai propri dispositivi IoT, sancendo l’obbligo di informativa, da fornire prima della conclusione del contratto di fornitura del prodotto o del servizio correlato, a proposito dei dati generati durante l’uso e delle modalità di accesso degli stessi, compresi i casi in cui l’utente non possa accedere direttamente ai dati. Dal 12 settembre 2025 è altrettanto operativa la norma sui diritti degli utenti a condividere i dati con i terzi (utili anche per interventi manutentivi). Con ciò viene invertito quanto accadeva fino ad oggi, vale a dire la conservazione e l’utilizzo dei dati degli utenti e delle imprese, generati dai dispositivi IoT, che restavano di appannaggio del produttore di questi ultimi.

Gestione del personalePrivacyNovità Legislative

Legge 18 luglio 2025, N. 106 - Rafforzati i diritti per i lavoratori affetti da malattie oncologiche, invalidanti e croniche

Nella Gazzetta Ufficiale, n. 171 del 25.07.2025 è stata pubblicata la  Legge 18 luglio 2025 n. 106  recante “ Disposizioni concernenti la conservazione del posto di lavoro e i permessi retribuiti per esami e cure mediche in favore dei lavoratori affetti da malattie oncologiche, invalidanti e croniche”. Entrata in vigore : 9 agosto 2025 A chi si applica : Lavoratori dipendenti, pubblici e privati, affetti da malattie oncologiche  “in fase attiva o in follow-up precoce” , oppure affetti da malattie invalidanti o croniche, anche rare, che comportino un grado di invalidità pari o superiore al 74% o dipendente con figli minorenni affetti dalle medesime malattie e condizioni di invalidità. Chi c ertifica le patologie invalidanti : Medici operanti in strutture pubbliche o private, a partire dal Medico di base. Cosa prevede : Congedo di 24 mesi , continuativo o frazionato, decorrenti dall’esaurimento di altri periodi di assenza giustificata, con o senza retribuzione, spettanti a qualsiasi titolo. Durante il congedo il dipendente conserva il posto di lavoro senza diritto alla retribuzione e non può svolgere un’altra attività lavorativa. Il periodo di congedo non è computato nell’anzianità di servizio né ai fini previdenziali, ma è riconosciuta la facoltà all’interessato di riscattare i periodi di congedo non coperti da contribuzione la normativa vigente. Sono fatte salve le previsioni più favorevoli della contrattazione collettiva o della disciplina applicabile al rapporto di lavoro. (Art. 1, comma 1). Permessi visite mediche dipendenti e figli . A decorrere dal 1° gennaio 2026, vengono riconosciute 10 ore annue di permesso, coperti da indennità economica e copertura previdenziale figurativa, per lo svolgimento di visite, esami strumentali analisi chimico-cliniche e microbiologiche o di cure mediche frequenti, a condizione che sussista una prescrizione del medico di medicina generale o di un medico specialista operante in una struttura sanitaria, pubblica o privata, accreditata. (Art. 2) Priorità per il lavoro agile . Decorso il periodo di congedo biennale, al lavoratore dipendente viene riconosciuto, ove la prestazione lo consenta, il diritto ad accedere prioritariamente al lavoro agile. (Art. 1, comma 4). Sospensione dell’attività per il lavoratore autonomo . I lavoratori autonomi, professionisti e occasionali, potranno sospendere l’esecuzione della prestazione per un periodo non superiore a 300 giorni per anno solare. (Art. 1, comma 3).

Gestione del personalePrivacyNovità Legislative

Violazione della privacy sui metadati: provvedimento 243 del 29 aprile 2025

Con provvedimento del 29 aprile 2025 il Garante della Privacy ha sanzionato ai sensi del GDPR per violazione della privacy sui metadati delle e-mail dei dipendenti e delle attività di navigazione web, sulla base delle sue linee guida del 2024 in materia di uso dei metadati nei sistemi di posta elettronica sul luogo di lavoro. Violazioni Durante l’ispezione d’ufficio, il Garante ha scoperto che il datore di lavoro (in questo caso pubblico) conservava: metadati delle e-mail per un massimo di 90 giorni; registri di navigazione web per 12 mesi; dati dei registri dell’helpdesk (contenenti gli identificativi dei dipendenti e la cronologia dei ticket) per quasi 10 anni. Questi periodi di conservazione superavano di gran lunga quelli ritenuti proporzionati dalle Linee guida, soprattutto in assenza di un accordo sindacale o di un’autorizzazione dell’autorità del lavoro. Sanzione Oltre alla sanzione pecuniaria, il Garante ha ordinato al datore di lavoro di: limitare la conservazione dei registri di navigazione a 90 giorni e successivamente procedere all’anonimizzazione; ridurre al minimo e crittografare i metadati delle e-mail; limitare l’accesso ai metadati al solo personale autorizzato; aggiornare le politiche interne e la documentazione sulla privacy; rivedere i contratti con i fornitori IT terzi per riflettere gli obblighi dell’articolo 28 del GDPR; condurre una DPIA per valutare e mitigare i rischi per la privacy; garantire la futura conformità agli obblighi di legge in materia di lavoro per qualsiasi trattamento che possa comportare il monitoraggio dei dipendenti. Cosa sono i metadati e perché costituiscono un dato personale soggetto alla normativa privacy I metadati generati attraverso l’uso aziendale della posta elettronica e di Internet includono informazioni quali gli indirizzi del mittente e del destinatario, l’oggetto, la data e l’ora di trasmissione, la presenza e la dimensione degli allegati e gli indirizzi IP. Non includono il contenuto effettivo dei messaggi, ma possono portare a rivelare modelli di comportamento e, indirettamente, i livelli di rendimento o produttività e in ambito lavorativo la loro analisi diventa un tema delicato. Il loro trattamento deve essere conforme non solo ai principi del GDPR, ma anche alla normativa in materia di controlli a distanza (articolo 4 della legge n. 300/1970 (Statuto dei Lavoratori) in quanto costituiscono dati personali. I datori di lavoro non devono più trattare i metadati come un dato tecnico ma, attraverso una valutazione di impatto sulla protezione dei dati, devono: classificarlo; valutarlo in base al rischio proteggerlo e regolamentarlo in quanto dato personale soggetto alla normativa privacy e di diritto del lavoro in quanto controllo a distanza (come la videosorveglianza). Conseguenze sul datore di lavoro E’ quindi importante rivedere le proprie politiche al fine di: verificare i sistemi di conservazione dei metadati relative alle comunicazioni dei dipendenti e alle finalità del trattamento dei loro dati; aggiornare le relative autorizzazioni con gli ispettorati o gli accordi sindacali, se necessario, per coprire nuovi tipi di trattamento dei dati limitare il periodo di conservazione a 21 giorni o ottenere le autorizzazioni sindacali appropriate; valutare i sistemi dei fornitori; adottare informative dettagliate sulla privacy e politiche interne sull’uso dei metadati.

IT & digitaleNovità Legislative

Decreto NIS 2 – ambito di applicazione e relativi adempimenti

“Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell'Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148” ), pubblicato nella Gazzetta Ufficiale del 01.10.2024 n. 230” Oggetto Con il decreto legislativo 4 settembre 2024, n. 138, l’Italia ha recepito nell’ordinamento nazionale la direttiva (UE) 2022/2555 (“ NIS 2 ”) relativa a misure per un livello comune elevato di cybersicurezza nell'Unione. Le disposizioni normative prevedono specifici obblighi  applicabili a tutti i soggetti che si riconoscono in uno dei settori  previsti dalla nuova normativa e presentino i requisiti dimensionali previsti  (>50 dipendenti e >10.000.000,00 € di fatturato annuo riferito al gruppo). Entro il 28 febbraio 2025  i soggetti privati a cui si applica la NIS2 avevano l’obbligo di registrarsi sulla piattaforma digitale dell’Autorità per la Cybersicurezza Nazionale ( ACN ). La registrazione si compone di tre fasi: il censimento del Punto di Contatto  (soggetto destinatario delle comunicazioni con l’ACN), la sua associazione al soggetto NIS 2 e la compilazione della dichiarazione. La mancata registrazione è una violazione assistita da una sanzione amministrativa pecuniaria con un importo fino al 0.1% del fatturato annuo  del soggetto obbligato. Ambito di applicazione Il decreto NIS2 si applica ai soggetti dei c.d. “settori ad alta criticità” e “altri settori critici” che superano i massimali per le piccole imprese ai sensi dell’articolo 2, paragrafo 2, dell’allegato alla Raccomandazione 2003/361/CE. L’art. 3, comma 2, del decreto NIS, testualmente riporta che “ il presente decreto si applica ai soggetti di cui all’allegato I e II, che superano i massimali per le piccole imprese ai sensi dell’articolo 2, paragrafo 2, dell’allegato alla raccomandazione 2003/361/CE ”. L’articolo 2, paragrafo 2, dell’allegato alla Raccomandazione 2003/361/CE stabilisce che “ nella categoria delle PMI si definisce piccola impresa un’impresa che occupa meno di 50 persone e   realizza un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di EUR ”. Dunque, si rinvengono criteri di calcolo dei dati delle imprese per l’assoggettamento alla normativa, ma nessuna disposizione sulla rilevanza – cumulativa o alternativa – degli effettivi e/o delle soglie finanziarie di un’impresa che si aggiunga a quanto previsto dall’articolo 2, paragrafo 2, della Raccomandazione 2003/361/CE A ciò si aggiunga che l’Agenzia per la Cybersicurezza Nazionale ha pubblicato la FAQ 2.3 - Sezione “ Ambito di applicazione ” -, fornendo un indirizzo interpretativo che integra il dettato normativo del Decreto NIS, rinviando anche alla Raccomandazione 2003/361/CE, ma discostandosi dai commi 2 e 4 del medesimo decreto, in quanto ritiene che gli elementi afferenti agli effettivi e alle soglie finanziarie di un’impresa non debbano intendersi come cumulativi (come visto sopra, da un’interpretazione del Decreto NIS in combinazione con la Raccomandazione 2003/361/CE), ma come criteri potenzialmente alternativi. La FAQ 2.3 infatti indica che: “(…) Se i valori dei parametri contabili sono superati entrambi, oppure se si supera anche solo il criterio del numero di effettivi, si ricade nella categoria di PMI superiore ”, chiarendo, a titolo esemplificativo, che “ un’organizzazione con meno di 10 occupati, un fatturato di almeno 50 milioni e un bilancio di almeno 43 milioni, ricade nella categoria delle grandi imprese ”. Ciò apparentemente genera contrasto interpretativo, che occorre superare di volta in volta, vagliando il caso concreto, tenendo a mente che le FAQ non sono fonti del diritto, né possono essere assimilate a strumenti di interpretazione autentica. Obblighi per le aziende Le aziende soggette alla Direttiva NIS2 devono adottare misure tecniche, organizzative e operative per ridurre il rischio di incidenti informatici garantendo la conformità alla normativa Le aziende devono implementare le misure tecniche e organizzative già in essere tenuto conto delle disposizioni in materia di privacy e sicurezza già vigenti, al fine di migliorarle e adeguarle al nuovo contesto di mercato

Intelligenza ArtificialeNovità Legislative

Approvato dal Consiglio dei Ministri il disegno di legge sull’intelligenza artificiale

Il 23 aprile 2024 è stato approvato dal Consiglio dei ministri il disegno di legge proposto dal Governo in tema di intelligenza artificiale. Il disegno di legge, composto da 26 articoli, mira a regolare e garantire un uso adeguato, etico e responsabile dell’IA, che ponga sempre al centro i diritti umani e tale da garantire un uso della nuova tecnologia che sia sicuro, trasparente, tracciabile, non discriminatorio e anche rispettoso dell’ambiente. In particolare, il disegno di legge, si concentra sulle seguenti macroaree: sviluppo e promozione dei nuovi sistemi di intelligenza artificiale; adozione di un piano nazionale per regolare l’uso dell’intelligenza artificiale e definire in modo chiaro i doveri delle autorità nazionali coinvolte; tutela del diritto d’autore; cyber security. Lo scopo della nuova normativa è per cui quello di assicurare che i sistemi e i modelli di intelligenza artificiale siano sviluppati e applicati nel rispetto dell’autonomia e del potere decisionale dell’uomo e in modo tale da non pregiudicare lo svolgimento con metodo democratico della vita istituzionale e politica. Viene altresì specificato che l’uso dell’intelligenza artificiale non dovrà andare a discapito di un’obbiettiva informazione, del pluralismo dei mezzi di comunicazione e del più ampio diritto di espressione. L’accesso all’IA dovrà inoltre essere sottoposto alla supervisione e autorizzazione dei genitori o di un tutore per quanto riguarda i minori di anni quattordici. Dal punto di vista economico, posti questi importanti paletti, l’Italia si impegna a promuovere e supportare lo sviluppo di imprese operanti nei settori dell'intelligenza artificiale, della cyber security, del calcolo quantistico, delle telecomunicazioni e delle tecnologie per questa abilitanti, anche tramite la creazione di poli di trasferimento tecnologico e programmi di accelerazione operanti nei medesimi settori.

Gestione del personalePrivacyNovità Legislative

Regolamento europeo in materia di protezione dei dati personali (GDPR) pubblicato GUUE 4.5.2017: nuovi adempimenti a carico delle imprese

In data 24.5.2018 entrerà in vigore il nuovo Regolamento europeo in materia di protezione dei dati personali (GDPR). Da tale data le imprese dovranno garantire il perfetto allineamento fra la normativa nazionale in materia di protezione dati e le disposizioni del Regolamento. Il Regolamento contiene numerose novità rispetto alla normativa di cui al nostro Testo Unico Privacy (d.lgs. 196/2003): Necessaria una mappatura aggiornata dei trattamenti e delle modalità di trattamento; Aggiornamento della valutazione dei rischi; Ridefinizione delle procedure di trattamento e di compliance aziendale; Revisione dei contenuti delle informative; Nuove incombenze e responsabilità per il Responsabile Privacy e revisione delle lettere di nomina; Necessità di designazione di un Responsabile della protezione dei dati (Data Protection Office DPO); Istituzione del Registri delle attività di trattamento L’adeguamento alla nuova regolamentazione è di rilevante importanza per inevitabili riflessi sul Modelli 231 e per le sanzioni in caso di inadempimento. E’ bene quindi non farsi trovare impreparati ed intervenire per tempo.

  • SLDM

    Studio Legale Dehò Masserelli

Gestione del personalePrivacyNovità Legislative

Responsabilità amministrativa

Il Codice della Privacy prevede che alcuni illeciti in merito al trattamento dei dati personali costituiscano reato ed in particolare trattasi di: trattamento illecito di dati; falsità nelle dichiarazioni al Garante ed inosservanza di provvedimenti del Garante. Tali reati sono stati richiamati nella modifica alla normativa alla responsabilità amministrativa D:Lgs 231. L’ente sarà pertanto responsabile per i reati commessi nel suo interesse o nel suo vantaggio da persone che rivestono una posizione apicale o loro sottoposti. Tale modifica è stata inserito nel D.L. 93/2013 entrato in vigore il 17.8.2013 e in corso di conversione. L’ente non risponderà se proverà di avere adottato ed efficacemente attuato, prima della commissione del fatto, modelli di organizzazione e di gestione idonei a prevenire il reato. Sarà pertanto necessario adeguare il modello di organizzazione e di gestione anche alla luce di tale provvedimento, anche al fine di verificare la regolarità degli stessi all’intero codice della privacy, al fine di garantire alle informazioni personali che circolano all’interno dell’ente una protezione adeguata e sicura, indipendentemente dagli attuali obblighi normativi.

  • SLDM

    Studio Legale Dehò Masserelli