Sotto-Practice Normativa e
Compliance.

Dipende da ciò che fa la tua azienda, non dalle sue dimensioni. Il DPO è obbligatorio quando le attività principali comportano un monitoraggio sistematico e regolare su larga scala di persone, o il trattamento su larga scala di categorie particolari di dati come dati sanitari o biometrici — anche le autorità pubbliche ne richiedono uno a prescindere dalla scala. Molte aziende che non raggiungono la soglia obbligatoria traggono comunque beneficio dalla nomina di un DPO, o di un equivalente esterno part-time, perché offre all'Autorità Ellenica per la Protezione dei Dati un punto di contatto documentato e segnala un programma di compliance funzionante. Valutiamo il requisito rispetto alle tue effettive attività di trattamento dei dati, non con una lista di controllo generica.

L'AI Act si applica ampiamente a chiunque sviluppi, utilizzi o distribuisca sistemi di IA impiegati nell'UE, con obblighi che aumentano in base alla classificazione del rischio del sistema. Le pratiche vietate sono già bandite. Gli obblighi per i sistemi di IA ad alto rischio e per i modelli di IA per finalità generali si attivano progressivamente secondo un calendario prestabilito che si estende fino al 2026 e oltre. Molte aziende scoprono con sorpresa che uno strumento utilizzato per la selezione del personale, il credit scoring o l'identificazione biometrica è classificato come ad alto rischio. Classifichiamo i tuoi specifici casi d'uso rispetto alle categorie dell'AI Act, anziché presumere una risposta generica.

Il NIS2 amplia notevolmente la rete. La Direttiva NIS originaria era rivolta principalmente alle infrastrutture di base — energia, trasporti, banche e operatori simili. Il NIS2 estende gli obblighi vincolanti di gestione del rischio di cybersicurezza e segnalazione degli incidenti a un elenco molto più ampio di settori, tra cui fornitori digitali, manifattura, servizi postali, gestione dei rifiuti e pubblica amministrazione, classificati come entità "essenziali" o "importanti" a seconda del settore e delle dimensioni. Un'azienda che era comodamente fuori ambito con il vecchio regime potrebbe ora rientrarvi a pieno titolo. Effettuiamo la valutazione settore-dimensione rispetto alle soglie attuali, anziché affidarci a come l'azienda era classificata in precedenza.

Il Digital Services Act impone obblighi differenziati a servizi intermediari, servizi di hosting, piattaforme online e marketplace online che operano nell'UE — gli obblighi specifici applicabili dipendono dalla categoria in cui rientra il tuo servizio e dalla sua base utenti, non solo dal fatto che tu sia una piattaforma "di dimensioni molto grandi". I marketplace comportano ulteriori obblighi di tracciabilità dei venditori e relativi alla sicurezza dei prodotti. Se la tua azienda gestisce qualsiasi tipo di piattaforma online, marketplace o servizio di hosting che raggiunge utenti UE, vale la pena verificare esattamente quali obblighi del DSA si applicano, anziché presumere che le regole riguardino solo le più grandi aziende tecnologiche.

Per la maggior parte dei clienti, rientra naturalmente nell'incarico di General Counsel Esterno. Poiché la nostra competenza in diritto della tecnologia copre già AI Act UE, NIS2, DSA e normativa emergente, la consulenza sulla compliance normativa è integrata nell'incarico continuativo anziché essere trattata come un incarico separato — allo stesso modo in cui vengono gestite le questioni contrattuali o giuslavoristiche man mano che emergono. Progetti più grandi e autonomi — la costruzione completa di un programma di compliance GDPR, o una valutazione del gap NIS2 su più entità — vengono di norma definiti e quotati separatamente vista la mole di lavoro coinvolta, ma la manutenzione continuativa di quel programma rientra poi nell'incarico.