Emanate le linee guida IA per il lavoro
Con il Decreto ministeriale n. 180 del 17 dicembre 2025, il Ministero del Lavoro e delle Politiche Sociali ha adottato ufficialmente le Linee guida per l’implementazione dell’Intelligenza Artificiale nel mondo del lavoro, dando attuazione all’art. 12 della legge 23 settembre 2025, n. 132 e nel quadro del Regolamento (UE) 2024/1689 (AI Act). Il provvedimento si inserisce nel più ampio processo di costruzione di una governance nazionale dell’IA e ha l’obiettivo di fornire indirizzi operativi per un’adozione consapevole, sicura e responsabile delle tecnologie di intelligenza artificiale nei contesti lavorativi, tenendo conto dei profili giuslavoristici, organizzativi, etici e di tutela dei diritti fondamentali.
Le Linee guida sono state elaborate anche alla luce di una consultazione pubblica svolta tra aprile e maggio 2025 e sono destinate a costituire uno strumento dinamico, soggetto a costante aggiornamento da parte dell’Osservatorio sull’adozione dei sistemi di IA nel mondo del lavoro.
Dal punto di vista dei contenuti, il documento affronta in modo sistematico i principali profili legati all’utilizzo dell’IA nel lavoro. In primo luogo, viene delineato lo scenario complessivo di implementazione dell’IA nelle imprese, con particolare attenzione alle PMI, evidenziando benefici in termini di produttività e competitività, ma anche le criticità connesse alla gestione del cambiamento tecnologico
Per quanto concerne l’implementazione dell’IA nelle aziende, il Ministero orienta le sue azioni su 3 linee fondamentali:
- promuovendo la formazione e lo sviluppo delle competenze.
Un ulteriore asse di intervento riguarda la formazione e lo sviluppo delle competenze, considerati elementi essenziali per accompagnare la transizione digitale e prevenire fenomeni di esclusione o di “stress da automazione”. In questa prospettiva, l’IA è letta non solo come fattore tecnologico, ma come leva di trasformazione organizzativa e culturale.
- tutelando i lavoratori, prevenendo le discriminazioni, proteggendo la privacy e assicurando che l’IA non venga utilizzata in modo improprio nei processi aziendali.
Le Linee guida affrontano inoltre i profili di tutela dei lavoratori, richiamando espressamente i principi di non discriminazione, protezione dei dati personali e diritto a non essere sottoposti a decisioni esclusivamente automatizzate, in coerenza con il GDPR, lo Statuto dei Lavoratori e la normativa antidiscriminatoria nazionale ed europea.
- riducendo il divario digitale, rendendo l’innovazione accessibile a tutti, contrastando le disuguaglianze territoriali, generazionali e sociali. N
Nel provvedimento ministeriale si evidenzia come l’adozione dell’IA presenti anche nel lavoro autonomo alcune criticità, tra cui la riduzione delle opportunità lavorative in determinati settori e la difficoltà di accesso alle tecnologie avanzate.
Vengono inoltre fornite indicazioni operative affinché i lavoratori autonomi possano integrare l’IA nel loro lavoro in modo vantaggioso, senza subire penalizzazioni o perdita di tutele.
Di particolare interesse risulta la sezione delle Linee guida dedicata ai finanziamenti e agli incentivi per l’adozione dell’IA, laddove vengono illustrate le principali agevolazioni economiche disponibili, suddivise tra finanziamenti erogati direttamente dal Ministero del Lavoro, incentivi di altri Ministeri e misure specifiche per ridurre il divario Nord-Sud, favorendo una digitalizzazione più equa a livello territoriale.
Ampio spazio è dedicato alle linee guida operative per le aziende, che sono chiamate a mappare i sistemi di IA utilizzati, classificarli in base ai livelli di rischio previsti dall’AI Act e adottare misure adeguate di trasparenza, supervisione umana, tracciabilità e gestione dei dati. Particolare attenzione è riservata ai sistemi di IA ad alto rischio, come quelli utilizzati in ambito HR per la selezione, la valutazione o il monitoraggio dei lavoratori.
Il documento dedica infine specifica attenzione all’uso dell’IA generativa, fornendo un vero e proprio vademecum operativo per PMI e professionisti, volto a prevenire rischi di violazione della privacy, perdita di controllo dei dati e non conformità normativa, ribadendo il principio della supervisione umana e della minimizzazione dei dati trattati.
Nel complesso, le Linee guida adottate con il decreto n. 180/2025 rappresentano un passaggio chiave nel percorso di integrazione tra innovazione tecnologica e tutela del lavoro, offrendo a imprese, professionisti e lavoratori un quadro di riferimento concreto per affrontare l’impatto dell’intelligenza artificiale in modo conforme, sostenibile e responsabile.
Cybersicurezza: pubblicato il documento di indirizzo ACN sulla gestione degli incidenti NIS 2.
Con nota del 31 dicembre 2025, l’Agenzia per la Cybersicurezza Nazionale ha reso disponibile il tanto atteso documento di indirizzo recante le Linee guida NIS – Specifiche di base – Definizione del processo di gestione degli incidenti di sicurezza informatica. Il documento fornisce una descrizione del processo di gestione degli incidenti richiesto ai soggetti NIS essenziali e importanti con le fasi, sotto-fasi, presupposti organizzativi, ruoli e strumenti di governo, nonché la nozione di “incidenti di base” rilevanti ai fini della disciplina NIS. Le nuove prescrizioni si inseriscono in un contesto in cui il quadro delle competenze è radicalmente cambiato: tutte le funzioni in materia di cybersicurezza sono state sottratte ad AgID e attribuite in via esclusiva ad ACN: com’è noto il il D.L. 82/2021 (conv. L. 109/2021), istitutivo dell’ACN, all’art. 7, comma 1 lett. m), dispone che l’Agenzia per la Cybersicurezza “assume tutte le funzioni in materia di cybersicurezza già attribuite all’Agenzia per l’Italia digitale dalle disposizioni vigenti e, in particolare, quelle di cui all’articolo 51 del decreto legislativo 7 marzo 2005, n. 82, nonché quelle in materia di adozione di linee guida contenenti regole tecniche di cybersicurezza ai sensi dell’articolo 71 del medesimo decreto legislativo. L’Agenzia assume, altresì, i compiti di cui all’articolo 33-septies, comma 4, del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, già attribuiti all’Agenzia per l’Italia digitale”.
Ambito di applicazione.
Coerentemente con il Modello unitario e centralizzato di governance della cybersicurezza adottato da ACN nel 2024, le Linee Guida CAD si applicano all’intera platea dei soggetti indicati dall’art. 2, comma 2 del D.Lgs. 82/2005 (Codice dell’Amministrazione Digitale o CAD), vale a dire (semplificando) tutte le pubbliche amministrazioni di cui all’art. 1, comma 2, del d.lgs. 165/2001, i gestori di servizi pubblici e le società a controllo pubblico. L’impostazione perseguita è quella di assicurare un livello omogeneo di sicurezza in tutto il settore pubblico, senza differenze legate alla dimensione dell’ente o al suo grado di maturità digital.
Coerentemente con il Modello unitario e centralizzato di governance della cybersicurezza adottato da ACN nel 2024, le Linee Guida CAD si applicano all’intera platea dei soggetti indicati dall’art. 2, comma 2 del D.Lgs. 82/2005 (Codice dell’Amministrazione Digitale o CAD), vale a dire (semplificando) tutte le pubbliche amministrazioni di cui all’art. 1, comma 2, del d.lgs. 165/2001, i gestori di servizi pubblici e le società a controllo pubblico.
Le fasi del processo di gestione degli incidenti
Il documento di indirizzo di ACN articola la gestione degli incidenti di sicurezza informatica su più fasi funzionalmente connesse tra loro. La suddivisione consente di ricondurre la gestione dell’incidente a una sequenza di attività, ciascuna delle quali risponde a specifiche esigenze organizzative e operative. La composizione del processo in fasi consente di chiarire il perimetro delle attività richieste ai soggetti NIS e di individuare, per ciascun momento della gestione, gli elementi organizzativi, procedurali e di responsabilità rilevanti ai fini dell’attuazione delle misure previste dalla disciplina NIS.
La preparazione si suddivide in tre ambiti distinti, indicati come governo, identificazione e protezione, ciascuno dei quali risponde a esigenze organizzative distinte:
a) Governo
La sotto-fase di governo attiene alla definizione dell’assetto decisionale e organizzativo della gestione degli incidenti. In tale ambito il documento colloca le politiche di sicurezza, l’attribuzione delle responsabilità e la predisposizione del piano di gestione degli incidenti.
Il piano di gestione degli incidenti costituisce lo strumento attraverso il quale il processo viene formalizzato. Lo stesso deve individuare le fasi operative, assegnare i ruoli, disciplinare i flussi informativi e regolare le modalità di comunicazione interna ed esterna. Il documento di indirizzo deve essere approvato da parte degli organi di amministrazione e direttivi e che venga sottoposto a revisione periodica, in funzione dell’evoluzione del contesto di rischio e dell’esperienza maturata nella gestione degli incidenti.
b) Identificazione
La sotto-fase di identificazione riguarda la conoscenza del contesto tecnico e organizzativo nel quale il processo di gestione degli incidenti opera. La stessa comprende le attività di inventariazione dei sistemi informativi e di rete, la classificazione degli asset e l’analisi delle minacce e delle vulnerabilità rilevanti. L’ambito consente al soggetto NIS di disporre di un quadro informativo coerente, necessario per valutare l’impatto degli incidenti e per orientare le decisioni assunte nelle fasi successive del processo.
c) Protezione
La sotto-fase di protezione riguarda l’adozione delle misure destinate a incidere sulla probabilità di accadimento degli incidenti e sull’entità dei loro effetti. In questa sede il documento colloca le misure tecniche e organizzative che concorrono a ridurre l’impatto degli eventi di sicurezza informatica. Le misure di protezione assumono rilievo anche in funzione della gestione dell’incidente, poiché incidono sulle modalità di contenimento e sulle tempistiche di ripristino dei sistemi e dei servizi coinvolti.
Il documento attribuisce rilievo alla chiarezza delle responsabilità lungo il processo di gestione degli incidenti. L’esigenza trova una sede naturale nel piano di gestione degli incidenti richiesto dalla misura RS.MA-01, poiché il piano, per sua funzione, organizza fasi, procedure e flussi decisionali, con indicazione delle strutture coinvolte e della reportistica prevista.
In tale quadro, le Linee guida richiamano la matrice RACI che costituisce un metodo di attribuzione delle responsabilità nella governance NIS. La matrice associa a ciascuna attività del processo quattro posizioni: Responsible, quale soggetto deputato all’esecuzione; Accountable, quale soggetto titolare della responsabilità del risultato; Consulted, quale soggetto chiamato a rendere contributi istruttori; Informed, quale soggetto destinatario di informativa. L’utilità operativa della matrice consiste nel collegamento stabile tra attività e responsabilità, con effetti diretti sulla qualità delle decisioni e sulla tracciabilità delle azioni. La matrice RACI assume rilievo anche sul piano organizzativo, poiché consente di distinguere le responsabilità operative dalle responsabilità di indirizzo e controllo, con particolare riguardo alle decisioni che richiedono il coinvolgimento degli organi di amministrazione e direttivi.
Procedure per la gestione degli incidenti
Nel documento di indirizzo, le procedure vengono intese quale il processo di gestione degli incidenti viene reso operativo, le stesse sono impostate secondo il formato standard, riconducibile alle SOP (Standard Operating Procedure). Tra questi rientrano l’indicazione dell’oggetto e della versione, la definizione dell’ambito di applicazione, la descrizione delle attività operative, l’individuazione degli strumenti necessari e l’assegnazione dei ruoli e delle responsabilità. La rilevanza delle procedure risulta connessa al loro aggiornamento e alla loro verifica nel tempo. Il documento richiede attività periodiche di revisione e di test, in funzione dell’evoluzione del contesto tecnico e normativo e dell’esperienza maturata nella gestione degli incidenti. Le procedure assumono, inoltre, rilievo ai fini della formazione del personale, poiché costituiscono il riferimento operativo per le condotte richieste nelle situazioni di sicurezza rilevanti. Invero, la disciplina delle procedure si raccorda alle misure in materia di formazione. Il documento richiama la misura PR.AT-01, che impone la predisposizione di un piano di formazione in materia di sicurezza informatica rivolto al personale e agli organi di amministrazione e direttivi, con indicazione delle attività e dei contenuti formativi. Per i soggetti essenziali, la misura PR.AT-02 richiede una formazione specifica per il personale che riveste ruoli strategici in materia di sicurezza informatica.
Rilevamento
La fase di rilevamento riguarda l’individuazione e l’analisi degli eventi rilevanti per la sicurezza informatica; la stessa è finalizzata all’accertamento tempestivo del verificarsi di un incidente e alla valutazione della sua possibile estensione.
Il documento qualifica come eventi rilevanti quelli idonei a incidere sulla sicurezza dei sistemi informativi e di rete e che richiedono una valutazione preliminare per stabilirne la riconducibilità a un incidente. A titolo esemplificativo, sono richiamati eventi riconducibili ad anomalie nei processi di autenticazione, variazioni dei privilegi, utilizzo di indicatori di compromissione, traffico di rete sospetto o saturazione delle risorse.
Il monitoraggio presenta due aspetti: un approccio proattivo e su un approccio reattivo. Il primo attiene all’analisi preventiva di indizi di attività malevole e delle informazioni condivise dal CSIRT Italia; il secondo si basa sugli allarmi degli strumenti di sicurezza e sulle segnalazioni interne o esterne. Il documento richiama, inoltre, metodologie di rilevamento IOC-based, anomaly-based e TTP-based, ciascuna con proprie caratteristiche operative.
L’elevato numero di eventi richiede l’impiego di strumenti automatizzati, quali SIEM, SOAR ed EDR, la cui configurazione incide sulla qualità del rilevamento e sulla riduzione dei falsi positivi. Il documento collega tali attività alle misure DE.CM-01 e DE.CM-09 e, per i soggetti essenziali, a obblighi rafforzati in materia di monitoraggio del traffico, degli accessi e degli eventi amministrativi.
L’esito dell’analisi conduce alla dichiarazione dell’incidente e all’attivazione della fase di risposta.
Risposta
La fase di risposta ha inizio con la dichiarazione dell’incidente e costituisce il nucleo operativo del processo, si articola nelle sotto-fasi di segnalazione, investigazione, contenimento ed eradicazione, che possono svilupparsi in modo parallelo in relazione alle caratteristiche dell’evento.
a. Segnalazione
La sotto-fase di segnalazione riguarda la notifica dell’incidente alle autorità competenti e la comunicazione alle parti interessate. Il documento indica le tipologie di incidente soggette a notifica al CSIRT Italia e attribuisce rilievo alla nozione di evidenza dell’incidente, intesa come disponibilità di elementi oggettivi attestanti il verificarsi di una delle fattispecie previste.
L’acquisizione dell’evidenza individua il momento dal quale decorrono i termini per la pre-notifica e per la notifica. La qualificazione dell’incidente si basa sugli effetti prodotti, indipendentemente dalla causa tecnica o dalla natura intenzionale o accidentale dell’evento. Il flusso informativo verso il CSIRT Italia comprende pre-notifica, notifica, relazioni intermedie e relazione finale. Il Referente CSIRT rappresenta il soggetto deputato a curare le interlocuzioni, secondo quanto previsto dal piano di gestione degli incidenti, ferma restando la competenza degli organi di amministrazione e direttivi nei casi di maggiore rilievo.
b. Investigazione
La sotto-fase di investigazione riguarda l’analisi approfondita dell’incidente, con finalità di ricostruzione della dinamica, individuazione della causa e valutazione dell’estensione della compromissione. Il documento descrive tale attività come suscettibile di iterazioni, in relazione all’emersione di nuovi elementi informativi, e richiama, in via esemplificativa, attività di analisi forense, correlazione degli eventi, caratterizzazione dell’incidente e individuazione degli indicatori di compromissione.
c. Contenimento
La sotto-fase di contenimento riguarda le attività dirette a circoscrivere l’incidente e a limitarne l’impatto. Il documento colloca in questa fase la definizione della strategia di contenimento, l’isolamento dei sistemi coinvolti e il monitoraggio delle attività successive anche in riferimento alla tracciabilità delle azioni intraprese e alla valutazione della loro efficacia.
d. Eradicazione
La sotto-fase di eradicazione concerne la rimozione delle cause tecniche dell’incidente e dei meccanismi di persistenza. Il documento richiama attività di bonifica dei sistemi e delle credenziali, mitigazione delle vulnerabilità e installazione degli aggiornamenti di sicurezza, con documentazione delle azioni e verifica degli esiti.
e. Ripristino
La fase di ripristino riguarda il ritorno dei sistemi informativi alle condizioni operative antecedenti all’incidente. Il documento richiama attività di reinstallazione a partire da immagini affidabili, ricollegamento in rete e monitoraggio, collegando tali attività alle misure RC.RP-01 e, per i soggetti essenziali, RC.CO-03, in materia di procedure di ripristino e comunicazione interna.
f. Miglioramento
La fase di miglioramento si estende all’intero ciclo di vita del processo e riguarda l’analisi post-incidente e l’adeguamento delle misure adottate. Il documento richiama le attività di lesson learned, la valutazione dell’efficacia delle procedure e l’aggiornamento delle politiche e dei piani di sicurezza. Tali attività si raccordano alle misure ID.IM-01 e ID.IM-04, nonché alla valutazione periodica delle prestazioni attraverso indicatori e metriche, in una logica di rafforzamento progressivo della capacità di gestione degli incidenti.
Il documento si completa con due Appendici che specificano le tipologie di eventi e di incidenti rilevanti ai fini dell’applicazione del processo di gestione degli incidenti di sicurezza informatica. L’Appendice A riguarda la qualificazione delle tipologie di incidente rilevanti ai fini degli obblighi di notifica, mentre l’Appendice B opera sul piano delle misure di sicurezza, raccordando il processo di gestione degli incidenti al sistema delle misure previste dalla disciplina NIS. Quest’ultima offre un valido supporto ai soggetti NIS nell’applicazione delle misure di sicurezza per la fase di gestione degli incidenti.
