Sistemi di IA ad alto rischio: la prima norma armonizzata a sostegno dell’AI Act per il sistema qualità
Artificial Intelligence
Il 14 ottobre 2026 la Commissione europea, con la Decisione di esecuzione (UE) 2026/2274, ha inserito in Gazzetta Ufficiale dell’Unione Europea (“GUUE”) il riferimento alla norma EN 18286:2026 “Intelligenza artificiale – Sistema di gestione della qualità ai fini dei requisiti normativi del regolamento dell’UE sull’IA”, recepita in Italia come UNI CEI EN 18286:2026. È la prima norma armonizzata a sostegno del Regolamento (UE) 2024/1689 (“AI Act”).
In base all’art. 40 AI Act, la conformità a norme armonizzate pubblicate in GUUE comporta una presunzione di conformità ai requisiti coperti dalle stesse. La EN 18286:2026 è dedicata in particolare all’art. 17, par. 1, traducendo l’obbligo di istituire un sistema di gestione della qualità documentato in un modello organizzativo che governa strategia di conformità, progettazione e sviluppo, gestione di dati e rischi, monitoraggio post‑commercializzazione, incidenti e non conformità.
L’art. 43 collega questo sistema di gestione della qualità (“SGQ”) alle procedure di valutazione della conformità dei sistemi ad alto rischio (controllo interno ai sensi dell’Allegato VI o procedura con organismo notificato ai sensi dell’Allegato VII). Un SGQ conforme alla EN 18286:2026 consente quindi di beneficiare della presunzione di conformità ai requisiti dell’art. 17, par. 1, coperti dalla norma e offre un riferimento sia nel dialogo con l’organismo notificato, ove previsto, sia nel mantenimento nel tempo della conformità dei sistemi di IA ad alto rischio.
Xandr, sanzione da 8,6 milioni di euro: gli intermediari pubblicitari devono verificare la validità del consenso
Data Protection
L’Autorità norvegese per la protezione dei dati (Datatilsynet) ha inflitto una sanzione di 92 milioni di corone norvegesi (circa 8,6 milioni di euro) a Xandr, società AdTech del gruppo Microsoft, per il trattamento illecito di dati personali degli utenti di un’app di dating.
La decisione, adottata il 2 ottobre 2026 e divenuta definitiva il 3 novembre 2026, riguarda il sistema di real-time bidding, che condivideva dati personali con operatori pubblicitari per l’assegnazione automatizzata degli annunci.
Tra i dati trattati figuravano indirizzi IP, identificativi pubblicitari e informazioni d’uso dell’app, idonee a rivelare l’orientamento sessuale e quindi rientranti nelle categorie particolari ex art. 9 GDPR; in questo contesto era necessario il consenso esplicito dell’interessato.
Il profilo più rilevante della decisione riguarda la responsabilità degli intermediari pubblicitari. Xandr, qualificata come contitolare del trattamento insieme all’app di dating, aveva fatto affidamento sui consensi raccolti dall’app, senza verificarne autonomamente la validità e l’idoneità a coprire le proprie attività.
Gli obblighi di accountability non si trasferiscono contrattualmente: ciascun contitolare deve poter dimostrare la liceità dei trattamenti. Non servono consensi duplicati, ma va verificata la validità del consenso, il suo ambito e la tracciabilità.
Le implicazioni si estendono all’ecosistema AdTech e MarTech: garanzie contrattuali e segnali tecnici di consenso non bastano. Le imprese devono mappare i flussi, qualificare i ruoli privacy, verificare le informazioni agli utenti e attuare controlli documentabili su tecnologie e partner, con particolare attenzione alla verifica dei partner pubblicitari.
IA generativa: l’AGCM indaga sulle clausole contrattuali di Suno e sulle licenze dei contenuti
Intelligenza artificiale e diritto d’autore
Con comunicato stampa del 6 ottobre 2026, l’Autorità Garante della Concorrenza e del Mercato (AGCM) ha reso noto l’avvio del procedimento CV278 nei confronti di Suno Inc., società statunitense che offre un servizio di IA generativa per la creazione di musica, avente ad oggetto clausole dei Terms of Service potenzialmente vessatorie ai sensi dell’art. 33 del Codice del Consumo.
Le contestazioni, ancora preliminari, riguardano tre profili: (i) modifiche unilaterali e sospensione/cancellazione del servizio; (ii) limitazioni di responsabilità e compressione degli strumenti di tutela del consumatore; (iii) licenze sui contenuti.
Con riferimento al diritto d’autore, i Terms of Service prevedono una licenza molto ampia che si estende non solo agli output generati ma anche alle opere caricate dagli utenti (“Submissions”), anche se create autonomamente prima dell’uso del servizio; l’AGCM ne contesta l’oggetto eccessivamente indeterminato.
È richiamata inoltre la rinuncia ai diritti morali d’autore, in potenziale contrasto con gli artt. 20 e ss. della legge n. 633/1941, che attribuiscono natura personale e inalienabile a tali diritti.
Il procedimento richiama l’attenzione sulla necessità, per i fornitori di servizi di IA generativa, di definire condizioni d’uso trasparenti e proporzionate, con particolare riguardo all’estensione delle licenze sui contenuti caricati dagli utenti e alla tutela dei diritti d’autore.
Gaming e valute virtuali: nuove azioni europee a tutela dei consumatori
La rete europea di cooperazione per la tutela dei consumatori (CPC), coordinata dalla Commissione europea, ha avviato nuove azioni nei confronti di nove società del settore dei videogiochi per verificare il rispetto della normativa europea nell’utilizzo delle valute virtuali. Le iniziative si affiancano al procedimento già avviato nei confronti di Microsoft e Activision Blizzard, nel quale l’AGCM italiana svolge il ruolo di capofila insieme alle autorità norvegese e danese.
Il fulcro per le autorità è la trasparenza dei prezzi espressi in valuta virtuale, l’eliminazione dei dark pattern (interfacce progettate per condizionare le scelte degli utenti) e la protezione dei minori. I Key Principles della Rete CPC richiedono prezzi e informazioni chiare, assenza di costi occulti e acquisti forzati di valuta, termini equi, rispetto del diritto di recesso e tutele rafforzate per i consumatori vulnerabili.
La Rete CPC invita tutte le società del settore a verificare le proprie pratiche e annuncia possibili ulteriori azioni congiunte, con priorità alla trasparenza dei prezzi in valuta virtuale, all’assenza di dark pattern nelle interfacce di acquisto e alla protezione dei minori. L’avvio delle azioni non implica accertamenti di violazioni, ma rende opportuna una revisione di prezzi e pacchetti di valuta, del design delle interfacce e delle tutele dedicate ai minori.
Nella contestuale dichiarazione congiunta, la Rete CPC invita tutte le società del settore a verificare le proprie pratiche e preannuncia ulteriori azioni congiunte ove opportuno, riservando particolare attenzione ai sistemi di ricompensa variabile (c.d. loot box), specie se rivolti a minori, e a tecniche ingannevoli quali i countdown fuorvianti e le affermazioni infondate di scarsità. L’avvio delle azioni precede l’eventuale accertamento di violazioni, ma rende opportuna, per gli operatori, la verifica della trasparenza di prezzi e pacchetti di valuta, delle interfacce di acquisto e delle tutele per i minori.
Nullo il marchio UE “MYKONOS” per profumi e cosmetici: la Commissione dei ricorsi EUIPO si esprime sui toponimi evocativi
Con decisione dell’11 giugno 2026, la Prima Commissione dei ricorsi dell’Ufficio dell’Unione europea per la proprietà intellettuale (“EUIPO”) ha dichiarato nullo il marchio dell’Unione europea denominativo “MYKONOS” per prodotti di profumeria, fragranze e cura della persona in classe 3, ritenendo il segno descrittivo e privo della capacità distintiva necessaria a indicare l’origine imprenditoriale dei prodotti.
Il fulcro del ragionamento è la percezione del pubblico rilevante: alla data di deposito, una parte significativa dei consumatori dell’Unione riconosceva “Mykonos” come il nome di una nota isola greca, associata a turismo, ambiente mediterraneo, patrimonio culturale e caratteristiche naturali. Il fatto che Mykonos non sia un luogo tipico di produzione di profumi non esclude la descrittività, poiché in questo settore il richiamo a luoghi, atmosfere, ingredienti naturali e storytelling territoriale costituisce una caratteristica commerciale dei prodotti.
La Commissione richiama l’articolo 7, paragrafo 1, lettera c), del Regolamento (UE) 2017/1001 (“RMUE”), che osta alla registrazione di segni atti a designare, tra l’altro, la provenienza geografica o altre caratteristiche dei prodotti, vizio che può fondare la nullità ai sensi dell’articolo 59 RMUE. Un’impostazione coerente con il diritto italiano, dove l’articolo 13 del Codice della proprietà industriale esclude i segni descrittivi o privi di carattere distintivo e l’articolo 25 ne prevede la nullità.
La pronuncia conferma un approccio rigoroso ai toponimi: un nome geografico noto è registrabile come marchio solo se, rispetto ai prodotti rivendicati, non è percepito come indicazione descrittiva oppure ha acquisito autonoma capacità distintiva.
Whistleblowing: l’ANAC sanziona i gestori delle segnalazioni per violazione della riservatezza
Con la Delibera n. 344 del 9 settembre 2026, ANAC chiarisce i confini dell’obbligo di riservatezza in capo ai gestori delle segnalazioni e i doveri di diligenza previsti dal D.Lgs. 24/2023.
ANAC archivia il profilo di “mancata gestione” e sanziona i componenti dell’organo di gestione con 15.000 euro ciascuno per violazione della riservatezza; ai sensi dell’art. 12 D.Lgs. 24/2023, la violazione può sussistere anche senza prova di effettiva identificazione quando le informazioni diffuse sono idonee a consentirla.
La tutela non dipende solo dal canale di segnalazione, ma anche da come si svolge l’istruttoria: servono procedure che limitino la circolazione delle informazioni, riducano il rischio di identificazione indiretta e prevedano cautele specifiche nelle audizioni e nelle verifiche.
La decisione evidenzia che la tutela della riservatezza nel whistleblowing non dipende soltanto dalla sicurezza del canale di segnalazione, ma anche dalle concrete modalità di svolgimento dell’istruttoria. Le imprese devono pertanto adottare procedure che limitino la circolazione delle informazioni e riducano il rischio di identificazione indiretta del segnalante, prevedendo specifiche cautele nelle audizioni e nelle attività di verifica.
Approfondimenti
D.Lgs. 179/2026: le nuove regole italiane sulla governance dell’intelligenza artificiale
Dal 23 ottobre 2026 è in vigore il D.Lgs. 179/2026, che introduce ulteriori disposizioni nazionali di adeguamento all’AI Act. Il decreto disciplina, tra l’altro, le competenze delle autorità di vigilanza, gli spazi di sperimentazione e la formazione in materia di IA, con importanti implicazioni per imprese, pubbliche amministrazioni e professionisti.
Informativa privacy nei rapporti bancari: le indicazioni del Garante
I recenti provvedimenti del Garante Privacy nei casi Isybank e BBVA richiamano l’attenzione sugli obblighi di trasparenza nel settore bancario. Le decisioni evidenziano come la conformità al GDPR richieda non soltanto informative complete, ma anche modalità di comunicazione e procedure operative che consentano ai clienti di comprendere i trattamenti e di esercitare effettivamente i propri diritti.
La voce come marchio: quali tutele contro i deepfake?
La domanda di registrazione della voce di Giorgia Meloni come marchio sonoro riapre il dibattito sulla tutela dell’identità personale nell’era dell’intelligenza artificiale. La protezione del marchio può contrastare determinati utilizzi commerciali non autorizzati, ma non impedisce automaticamente la clonazione vocale. Restano centrali il contesto, le finalità e le modalità di diffusione dei contenuti generati artificialmente.
Intelligenza artificiale negli studi legali: dalla scelta degli strumenti alla governance
L’utilizzo dell’intelligenza artificiale negli studi legali pone nuove sfide organizzative e professionali, dalla selezione degli strumenti alla protezione delle informazioni dei clienti. In un contributo pubblicato su ItaliaOggi, Aurora Agostini approfondisce il modello adottato da LEXIA, basato su una policy interna, un Comitato AI e procedure di approvazione degli strumenti e dei casi d’uso, per coniugare innovazione, sicurezza e controllo.
