FAQ

No, a condizione che il tuo sito internet faccia uso solo cookie tecnici o di analisi. Fai però attenzione che Google Analytics non è considerato uno strumento neutro in questo momento. Infatti a seguito della sentenza della Corte di Giustizia Europea, cosiddetta Schrems II, salvo alcune eccezioni, non si possono esportare dati personali negli Stati Uniti, poiché questo Paese non garantisce lo stesso standard del GDPR. Inoltre lo strumento di Google Anaytics non garantisce mai una completa anonimizzazione dei dati personali, in quanto, proprio grazie alla gran mole di dati detenuta da Google, di fatto risulta sempre possibile l'identificazione dell'interessato. Tieni presente che esistono molti tool alternativi a Google Analytics rispetto ai quali non vi sono problemi con il GDPR.

Il trattamento è partito, e la valutazione d'impatto non è mai stata fatta. È la situazione più frequente che incontro, e la prima cosa da dire è che è recuperabile — a una condizione, su cui torno alla fine.

Perché il ritardo conta

L'art. 35 del GDPR impone la valutazione prima di procedere. Non «entro», non «appena possibile». Il senso della norma è che la DPIA orienti le scelte tecniche mentre sono ancora reversibili: a piattaforma comprata e go-live avvenuto non può più fare il suo mestiere, e diventa un esercizio di giustificazione a posteriori. Questo però non rende inutile farla adesso. La rende urgente.

Primo passo: la valutazione, con la data di oggi

Si redige ora, datata oggi, e dentro si scrive anche la ragione del ritardo. Un ritardo documentato è una condotta trasparente; un ritardo nascosto diventa un secondo problema. La valutazione dev'essere vera, il che significa che può concludersi con la necessità di cambiare il trattamento: ridurre i dati raccolti, accorciare la conservazione, aggiungere misure, in casi estremi sospendere una funzionalità. Se il documento nasce già sapendo che tutto va bene, non serve a niente.

Secondo passo: il bivio del rischio residuo

Terminata l'analisi si aprono due strade, e la differenza fra le due è netta. Se il rischio residuo è accettabile, il trattamento prosegue e la documentazione resta agli atti. Non va inviata a nessuno. Se il rischio residuo resta elevato nonostante le misure, scatta l'art. 36: il titolare deve consultare il Garante prima di procedere. Qui la posizione è delicata, perché il trattamento è già in corso: la scelta ragionevole è consultare e valutare nel frattempo una sospensione o una limitazione delle funzionalità più critiche. Sui tempi della consultazione: il Garante fornisce un parere scritto entro otto settimane dal ricevimento, prorogabili di sei per la complessità del caso, e può esercitare tutti i poteri dell'art. 58, compreso il divieto di trattamento.

Che cosa si rischia

Sul piano sanzionatorio, fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato annuo mondiale, se superiore. Ma il costo che si materializza più spesso è indiretto: l'assenza della valutazione pesa sulla condotta del titolare in caso di data breach. Lo stesso incidente, con o senza DPIA agli atti, produce due conversazioni molto diverse con l'autorità.

La condizione, e l'unica cosa da non fare

Non retrodatare il documento. La data del file è la prima informazione che viene guardata dopo una violazione, e i metadati raccontano quando è stato creato con precisione. Una DPIA tardiva si spiega; una data falsa toglie credibilità a ogni altro documento del sistema. Il quadro completo — quando la valutazione è obbligatoria, che cosa deve contenere e come si svolge — è nella guida alla valutazione d'impatto (DPIA).

È la domanda che mette in difficoltà quasi tutti, perché gran parte degli strumenti in uso non li ha scelti l’azienda: secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano (febbraio 2026) otto lavoratori su dieci utilizzano strumenti di intelligenza artificiale non aziendali. La risposta seria non è tecnologica, è organizzativa, e si costruisce in quattro passaggi prima di scrivere una riga nel questionario.

Primo: censire chiedendo, non ispezionando

Il censimento si fa domandando alle persone quali strumenti usano e per quali attività, spiegando perché lo si chiede e dicendo chiaramente che non ci saranno conseguenze disciplinari per l’uso passato. Ricostruirlo dai log o dalla cronologia di navigazione è la strada peggiore: i controlli sull’attività dei lavoratori hanno regole proprie — l’articolo 4 dello Statuto dei lavoratori e la disciplina sulla protezione dei dati — e una verifica condotta male crea un problema nuovo mentre cerca di risolverne uno.

Secondo: classificare per dato, non per strumento

Quello che conta non è il nome del servizio, è che cosa ci finisce dentro. Un traduttore usato su un testo pubblico e lo stesso traduttore usato su una perizia con i dati di un cliente sono due situazioni diverse. La classificazione utile distingue: dati pubblici, dati aziendali riservati (progetti, listini, clienti), dati personali, dati particolari. È su questa griglia che si decide cosa vietare e cosa consentire.

Terzo: la regola scritta

Una pagina basta, e deve dire quattro cose: quali strumenti sono ammessi, quali categorie di dati non escono mai dal perimetro aziendale, verso quali terze parti e con quali garanzie i dati possono uscire, a chi ci si rivolge nel dubbio. Va accettata individualmente e la data dell’accettazione va conservata: senza quella prova, contestare al dipendente la violazione di una regola è difficile, perché la regola non gli era stata data.

Quarto: la formazione, documentata

La formazione va documentata con l’elenco dei partecipanti, il contenuto e la data. Il video preregistrato di quaranta minuti soddisfa forse un adempimento formale, ma non risponde alla domanda del committente, che chiede la prova di un percorso e non di una visualizzazione.

Che cosa si scrive, allora, nel questionario

Il numero di strumenti censiti e la data del censimento; la data della policy e la modalità di accettazione; la data dell’ultima formazione; e il termine entro cui sarà colmato ciò che ancora manca. È una risposta che regge alla verifica, mentre «non utilizziamo sistemi di intelligenza artificiale» non regge quasi mai.

Perché il rischio non è disciplinare

Quando i dati escono verso un servizio con cui l’impresa non ha alcun rapporto, non c’è contratto ai sensi dell’articolo 28 del GDPR, non ci sono istruzioni documentate, non ci sono garanzie su conservazione, riutilizzo e cancellazione, e non c’è una sede in cui far valere una pretesa. Verso gli interessati e verso il Garante, però, continua a rispondere il titolare del trattamento: l’impresa. Ed è il motivo per cui la sezione sull’intelligenza artificiale, nei questionari di quest’anno, non è un esercizio di stile. Il quadro completo — perché il questionario arriva, che valore giuridico hanno le risposte e come si costruisce il percorso di risposta — è nell’articolo Questionario di conformità dei fornitori: cosa significa, che valore ha e come rispondere.

Tempo di lettura stimato: 11 minuti

Indice dei contenuti

• Perché il committente manda ottanta domande, e perché deve farlo
• Un’architettura voluta, non un vuoto da colmare
• Le risposte sono dichiarazioni: cosa si rischia e cosa si guadagna
• Due traiettorie: perché alcune imprese sanno rispondere e altre no
• Le domande sull’intelligenza artificiale: il punto in cui la distanza si allarga
• Quando il fornitore vede più del committente
• Il percorso: cosa fare quando il questionario arriva
• Le domande che mi fanno più spesso
• Domande frequenti
• Le fonti

Fine luglio. Una piccola impresa manifatturiera, quindici dipendenti, fornitrice di un gruppo industriale del nord Europa, riceve una mail con un allegato: ottanta domande su protezione dei dati, sicurezza informatica e — novità di quest’anno — intelligenza artificiale. Termine per rispondere: sei settimane. In calce, un avvertimento: le risposte saranno verificate a campione presso le sedi del fornitore.

Non è un sondaggio e non è un adempimento formale. È un audit, e dal suo esito dipende la continuazione della fornitura. Chi lo riceve si fa quasi sempre la domanda sbagliata — «chi me lo compila?» — ma la domanda giusta è un’altra: che cosa stiamo dichiarando, a chi, e con quali conseguenze se poi qualcuno viene a verificare.

Perché il committente manda ottanta domande, e perché deve farlo

Non è zelo e non è una peculiarità dei committenti. La sicurezza della catena di fornitura è diventata un obbligo di legge di chi sta a monte, e il questionario è lo strumento con cui quell’obbligo arriva dove il legislatore non ha le forze per farlo.

La direttiva NIS 2 (direttiva UE 2022/2555), all’articolo 21, paragrafo 2, lettera d), elenca fra le misure di gestione del rischio «la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi ai rapporti tra ciascun soggetto e i suoi fornitori diretti o prestatori di servizi». In Italia il recepimento è nell’articolo 24, comma 2, lettera d), del d.lgs. 4 settembre 2024, n. 138, che obbliga i soggetti essenziali e importanti a valutare le vulnerabilità di ciascun fornitore e la qualità delle sue pratiche di sicurezza.

La determinazione dell’Agenzia per la cybersicurezza nazionale n. 127437/2026 del 13 aprile 2026 ha reso operativo questo obbligo, richiedendo ai soggetti NIS 2 di censire e dichiarare sulla piattaforma ACN i propri fornitori rilevanti, con indicazione del livello nella catena, dell’impatto sui processi critici, della sostituibilità e delle garanzie di sicurezza contrattuali.

Il GDPR fa la stessa cosa per altra via. L’articolo 28, paragrafo 3, lettera h), del Regolamento UE 2016/679 impone al responsabile del trattamento di mettere a disposizione del titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi e di consentire attività di revisione, comprese le ispezioni. Se il fornitore tratta dati personali per conto del committente, il questionario è una modalità, non l’unica ovviamente, in cui può svolgersi l’audit previsto nel contratto.

Spostando il ragionamento nel campo dell’intelligenza artificiale, l’AI Act (Regolamento UE 2024/1689), nella versione riscritta dal Digital Omnibus (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026), attenua l’obbligo diretto di formazione sull’intelligenza artificiale trasformandolo in un obbligo di mezzi, non di risultato: la norma ora prescrive all’impresa di adottare misure per sostenere lo sviluppo dell’alfabetizzazione del personale, senza dover garantire un livello specifico di competenza individuale.

Sennonché il testo non tocca la catena contrattuale. Il risultato è che il controllo sulla formazione si sposta dall’autorità al committente: nessun ispettore verrà a misurare la competenza dei dipendenti in materia di intelligenza artificiale, ma il committente chiederà conto — per iscritto e con una data — di chi in azienda usa quali strumenti, con quali regole, e chi se ne accorge se qualcosa va storto.

Tre norme, un unico effetto: la conformità non arriva per legge al fornitore. Scende per contratto dal committente, ed è più veloce della legge, più specifica, e non negoziabile se si vuole conservare la fornitura.

Un’architettura voluta, non un vuoto da colmare

La prima obiezione che sento, e che va affrontata subito, è: ma l’ACN non poteva pensarci? Non poteva mandare una guida anche ai fornitori, invece di lasciarli soli davanti a un questionario che non capiscono?

No, e la ragione non è una mancanza: è una scelta che ha a che vedere con l’architettura della norma, ed è una scelta sensata.

L’ACN ha fatto ciò che le competeva — ha regolato i soggetti NIS 2, ha costruito la piattaforma, ha fissato le misure di sicurezza di base, ha prodotto campagne di sensibilizzazione rivolte alle PMI e orientamenti generali sulla cybersecurity.

Ma il lavoro di personalizzazione — capire cosa transita in uno specifico rapporto di fornitura, quanto pesa sulla continuità operativa, dove sono le vulnerabilità — può farlo solo il committente.

La ragione è evidente: ogni catena di fornitura presenta i suoi rischi specifici, i suoi trattamenti, i suoi punti critici, e solo chi sta a monte ne ha una conoscenza adeguata. Il fornitore di componenti meccaniche per un gruppo farmaceutico ha un profilo di rischio completamente diverso dal fornitore di servizi IT per un operatore energetico. L’unico soggetto che può calibrare la richiesta è, pertanto, il committente.

Il questionario è quindi il meccanismo di trasmissione che la norma ha progettato. Non è uno strumento burocratico calato dall’alto: è la modalità, non l’unica, in cui un obbligo generale si traduce in una richiesta specifica, adattata alla realtà concreta di quella fornitura.

Questo meccanismo ha una radice che va oltre il diritto dell’Unione. L’articolo 41 della Costituzione riconosce la libertà dell’iniziativa economica privata, ma ne vincola l’esercizio all’utilità sociale e alla sicurezza. L’articolo 2 chiede l’adempimento dei doveri inderogabili di solidarietà economica e sociale.

Il committente NIS 2 che manda il questionario al proprio fornitore sta adempiendo al dovere di solidarietà economica, che nello specifico si realizza nella forma concreta di ottanta domande su privacy, cybersecurity e intelligenza artificiale.

Le risposte sono dichiarazioni: cosa si rischia e cosa si guadagna

Le risposte al questionario, nella prospettiva sopra considerata, di norma vengono richiamate nel contratto o nell’allegato tecnico o nei loro «addenda», diventano il parametro rispetto al quale si misura un inadempimento, e una dichiarazione inesatta espone alla contestazione, alla risoluzione e — quando il rapporto ha già un contenuto economico rilevante — al risarcimento. La verifica a campione, quando è annunciata, di norma arriva davvero.

Ma c’è un rovescio che può tornare utile anche al fornitore e che normalmente non viene colto. Il contenuto del questionario vincola anche il committente a non pretendere di più di quanto ha chiesto. Un questionario compilato con precisione, con le date degli impegni assunti, delimita il perimetro delle obbligazioni. E la risposta «questo non ce l’abbiamo, lo avremo entro il 31 marzo, e nel frattempo la misura transitoria è questa» è più forte di una dichiarazione di conformità piena — perché dimostra consapevolezza.

Conseguentemente il fornitore che risponde con onestà non si indebolisce: si qualifica. Il committente non cerca la perfezione, cerca la prova che il fornitore sa dove si trova e ha un piano per arrivare dove deve essere. Dichiarare una conformità che non c’è è il modo più rapido per perdere la fornitura, perché alla verifica crolla tutto.

Due traiettorie: perché alcune imprese sanno rispondere e altre no

La distanza tra chi affronta il questionario con sicurezza e chi lo vive come uno sgomento non è di dimensione o di settore. È di storia relazionale con la propria catena.

L’impresa che ha camminato con il committente per anni — attraverso il GDPR, l’antiriciclaggio, la sicurezza sul lavoro — ha accumulato strati di competenza. Il committente non le ha mandato solo questionari: nel tempo ha inviato segnali, ha chiesto adeguamenti progressivi, motivandone le ragioni, talvolta ha persino indicato i consulenti a cui fare riferimento. Ogni passaggio ha depositato un po’ di cultura organizzativa.

Così quando arrivano le ottanta domande con la sezione sull’intelligenza artificiale, quell’impresa non si trova spaesata: legge il questionario come una mappa, individua le lacune, e in qualche caso riesce persino a individuare incongruenze nel modus operandi del committente stesso. Questo accade perché nel tempo è riuscita a sviluppare senso critico — che è esattamente ciò che il meccanismo dovrebbe produrre.

Per contro, le imprese che ricevono il questionario per la prima volta — e sono la maggior parte — non hanno avuto nulla di tutto questo.

Le associazioni di categoria hanno misurato il problema: il Cyber Index PMI 2025, promosso da Confindustria e Generali con ACN e Politecnico di Milano, fotografa una maturità cyber media di 55 su 100, sotto la soglia di sufficienza fissata a 60, con il 52% delle PMI fermo tra il livello artigianale e lo zero.

La conformità non si compra

Nel frattempo, il vuoto è stato occupato dal mercato del minimo sindacale: il kit documentale a prezzo fisso, il pacchetto privacy per email, il corso online con l’attestato finale. Strumenti che risolvono un problema documentale — l’informativa, il registro, il modello di DPA.

Sennonché il questionario non pone un problema documentale, ma una questione organizzativa. Senza voler estremizzare, la distanza tra i due è la distanza tra avere un’informativa nel cassetto e saper rispondere quando il committente chiede come si gestisce concretamente un data breach alle 17.00 del venerdì.

Lo stesso vale per la formazione preregistrata. Un video di quaranta minuti in cui qualcuno spiega il GDPR a un pubblico generico, che talvolta trova persino il modo di eludere i controlli di attenzione, soddisfa forse un adempimento formale. Non produce competenza, non cambia il comportamento delle persone, e non risponde alla domanda del committente, che è un’altra — chi in azienda usa quali strumenti di intelligenza artificiale, con quali regole, e chi se ne accorge se qualcosa va storto. Il committente che fa questa domanda sta chiedendo la prova di un percorso, non di una visualizzazione.

La conformità non è uno stato che si compra: è un percorso che si fa con i propri consulenti, che coinvolge il committente e i propri fornitori, e che costa impegno e fatica a tutti.

Le domande sull’intelligenza artificiale: il punto in cui la distanza si allarga

Spostiamo ora il ragionamento nel campo dell’intelligenza artificiale.

L’articolo 4 dell’AI Act, riscritto dal Digital Omnibus, impone un obbligo di mezzi, non di risultato: adottare misure per sostenere lo sviluppo dell’alfabetizzazione, senza dover garantire un livello specifico di competenza individuale. L’attenuazione non è un condono e non riguarda il resto dell’AI Act.

Magari nessuna autorità verrà a misurare quanto sanno i dipendenti, ma vi sarà certo un soggetto interessato a fare questa rilevazione, e sarà il committente.

La domanda che mette in difficoltà quasi tutti è «quali sistemi di IA usate?». Quasi nessuno sa rispondere, perché gran parte degli strumenti in uso non li ha scelti l’azienda. Secondo i dati dell’Osservatorio Artificial Intelligence del Politecnico di Milano (febbraio 2026), otto lavoratori su dieci utilizzano strumenti di intelligenza artificiale non aziendali. Il 41% dichiara di svolgere, grazie all’IA, attività che non sarebbe in grado di fare. E fra le grandi imprese, appena il 9% ha una governance strutturata dell’AI.

Vale la pena soffermarsi su quell’otto su dieci, perché viene letto quasi sempre come un problema di disciplina e non lo è. Chi fa rivedere una mail o preparare la bozza di un preventivo con uno strumento non aziendale non sta tentando di danneggiare l’impresa: sta cercando di lavorare in modo più efficiente.

Queste condotte, però, fanno uscire i dati aziendali e personali al di fuori del perimetro aziendale, all’insaputa della stessa azienda, che in tal modo perde il controllo sugli stessi.

La terza parte a cui approdano i dati non ha alcun rapporto con l’azienda: nessun contratto ai sensi dell’articolo 28 del GDPR, nessuna istruzione documentata, nessuna garanzia su conservazione, riutilizzo e cancellazione. Verso gli interessati e verso il Garante, però, continua a rispondere il titolare del trattamento — cioè l’impresa.

La risposta seria a questa sezione del questionario non è tecnologica, è organizzativa: censimento degli strumenti realmente in uso, policy scritta su cosa è ammesso e cosa no, formazione in presenza e non davanti a uno schermo.

Quando il fornitore vede più del committente

C’è un aspetto del meccanismo su cui vale la pena riflettere, partendo da un caso di esperienza diretta.

Un’impresa che ha ricevuto per anni la formazione del proprio committente — questionari, adeguamenti progressivi, audit — ha sviluppato un livello di consapevolezza tale da individuare incongruenze nel modus operandi del proprio committente.

Il committente ha faticato a recepire l’osservazione.

Non è una tesi generale. Si tratta di un’osservazione circostanziata che pone una domanda legittima. Il sistema della NIS 2 sembra costruito per funzionare in una direzione sola: il committente valuta, il fornitore risponde. Nessuna norma prevede un canale di ritorno, nessun questionario ha una sezione per le osservazioni del fornitore, il Third Party Risk Management in tale prospettiva è architetturalmente asimmetrico. Ma il meccanismo che produce competenza nel fornitore non si spegne al momento della risposta. Quella competenza può risalire — e quando lo fa, il sistema non mi è apparso attrezzato per beneficiarne. Per contro il GDPR, all’articolo 28, paragrafo 3, ultimo periodo, prevede l’obbligo per il responsabile esterno di segnalare al titolare le istruzioni che ritiene contrarie alla disciplina sulla protezione dei dati.

Il fornitore che segnala un problema e non viene ascoltato crea, senza volerlo, un problema anche probatorio: la segnalazione esiste, è scritta, e in caso di incidente dimostra che il committente era stato avvertito. La catena di fornitura funziona meglio come sistema di apprendimento se il flusso di competenza è bidirezionale. Il questionario potrebbe essere il punto in cui questo comincia a succedere — se entrambe le parti lo trattano come uno strumento di lavoro, non come un atto di sottomissione.

Il percorso: cosa fare quando il questionario arriva

1. Leggere tutto il questionario prima di compilare una riga, comprese le domande a cui si sa già rispondere. Le domande che mettono in imbarazzo sono, in realtà, il piano di lavoro dei mesi successivi: è l’unica analisi delle lacune gratuita che l’impresa riceverà mai, consegnata da qualcuno che ha interesse a farla bene.
2. Censire gli strumenti realmente in uso, compresi quelli non aziendali. Il censimento si fa chiedendo e spiegandone le ragioni, non con ispezioni terroristiche al limite della violazione dell’articolo 4 dello Statuto dei lavoratori e della disciplina sulla protezione dei dati.
3. Impartire una regola scritta e una formazione documentata: quali strumenti sono ammessi, quali no, quali categorie di dati non devono mai uscire dal perimetro aziendale, con quali garanzie e verso quali individuate terze parti possono uscire, a chi ci si rivolge nel dubbio.
4. Rispondere con la massima serietà, verificando preventivamente di poter dimostrare il contenuto della risposta ed evitando di «barare»: semmai datando gli impegni con formule del tipo «adozione prevista entro il…», e curando ovviamente di rispettare la scadenza. La verifica a campione, quando è annunciata, arriva.
5. Girare le stesse domande ai propri fornitori, soprattutto per quei servizi informatici che sono esternalizzati. È l’unica risposta sostenibile alla domanda «e i vostri subfornitori?» — che nei questionari c’è sempre — ed è il modo in cui la catena funziona. Chi ha ricevuto il questionario diventa, a sua volta, chi lo manda: il dovere di solidarietà economica si propaga esattamente in questo modo.

Le domande che mi fanno più spesso

Alle domande che ricorrono di più quando il questionario è già sul tavolo ho risposto singolarmente, in una scheda a sé, con il dettaglio che qui sarebbe stato fuori misura.

• Il questionario chiede una misura che non abbiamo adottato: cosa scriviamo?
• Il committente ha annunciato una verifica a campione in azienda: come ci si prepara?
• I dipendenti usano ChatGPT con account personali: cosa rispondiamo alla domanda sui sistemi di intelligenza artificiale?

Domande frequenti

Non siamo soggetti alla NIS 2: possiamo lasciare il questionario senza risposta?

No, se si vuole conservare la fornitura. L’obbligo non grava sul fornitore, grava sul committente, che deve valutare e documentare la sicurezza della propria catena di approvvigionamento: la richiesta arriva per contratto, non dall’autorità. Il silenzio non è neutro — viene registrato come un rischio del fornitore e pesa sulla qualificazione e sui rinnovi. Rispondere dichiarando le lacune, con una data per colmarle, è sempre una posizione migliore del non rispondere.

Chi deve compilare il questionario: il consulente esterno o noi?

Il consulente serve a leggere le domande, a capire che cosa chiedono davvero e a impostare le risposte, ma le informazioni le ha soltanto l’azienda: chi usa quali strumenti, chi se ne accorge quando qualcosa va storto, chi decide. Un questionario compilato interamente da un esterno si riconosce alla prima verifica, perché in azienda nessuno sa spiegare ciò che è stato dichiarato. È il motivo per cui «chi me lo compila?» è la domanda sbagliata.

Il committente chiede misure che il contratto non prevede: possiamo rifiutarci?

Dipende da dove nasce la richiesta. Se la misura discende da un obbligo di legge del committente — la NIS 2, l’articolo 28 del GDPR — sottrarsi è difficile, perché quell’obbligo lui lo deve documentare. Se invece è una pretesa ulteriore, con costi non previsti, è materia di trattativa: il momento per dirlo è adesso, per iscritto, indicando costi e tempi di adozione. La scelta peggiore è rispondere «sì» a tutto e non adempiere.

Ci chiedono dei nostri subfornitori e non li abbiamo mai verificati: cosa rispondiamo?

Si dichiara la situazione reale — l’elenco dei subfornitori rilevanti e il fatto che una verifica strutturata non è ancora stata svolta — e si indica entro quando comincerà. Poi si comincia davvero, girando a valle le stesse domande ricevute: è l’unico modo di rispondere in modo sostenibile alla domanda «e i vostri subfornitori?», che nei questionari c’è sempre. Se i subfornitori impiegano sistemi di intelligenza artificiale, il rischio arriva anche da lì: ne ho scritto a proposito del caso in cui un agente autonomo è uscito dal perimetro in cui doveva restare.

Le sei settimane non ci bastano: possiamo chiedere una proroga?

Sì, e conviene chiederla subito, non a ridosso della scadenza. La richiesta è credibile quando dice tre cose: quali sezioni sono già pronte, quali no e perché, entro quando arriverà il resto. Un differimento chiesto in anticipo e motivato viene quasi sempre concesso, perché al committente serve una risposta utilizzabile, non una risposta puntuale. Una scadenza mancata in silenzio, invece, è essa stessa un’informazione sull’organizzazione del fornitore.

Le fonti

• Direttiva (UE) 2022/2555 (NIS 2), art. 21, par. 2, lett. d).
• D.lgs. 4 settembre 2024, n. 138, art. 24, comma 2, lett. d).
• Agenzia per la cybersicurezza nazionale, determinazione n. 127437/2026 del 13 aprile 2026.
• Regolamento (UE) 2016/679 (GDPR), art. 28, in particolare par. 3, lett. h) e ultimo periodo.
• Regolamento (UE) 2024/1689 (AI Act), art. 4, come modificato dal Regolamento (UE) 2026/1744 (Digital Omnibus), in vigore dal 27 luglio 2026.
• Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), art. 4.
• Cyber Index PMI 2025, Confindustria / Generali / Osservatorio Cybersecurity & Data Protection del Politecnico di Milano / ACN.
• Osservatorio Artificial Intelligence del Politecnico di Milano, comunicato stampa di febbraio 2026.
• Costituzione della Repubblica italiana, artt. 2 e 41.

Ogni situazione va valutata nel caso concreto, tenendo conto del settore, dei trattamenti effettivamente svolti e del contenuto del contratto di fornitura. Lo Studio PR&A Legali assiste imprese ed enti nella preparazione e nella revisione di queste risposte: i recapiti sono nella pagina Contatti.

Alessandro Rinaldi, avvocato del Foro di Treviso

Questo articolo ha finalità informative e non costituisce parere legale. Ogni situazione presenta elementi specifici che richiedono una valutazione dedicata. Per il tuo caso, rivolgiti a un professionista.

Ultimo aggiornamento: 19 agosto 2026.

Succede in quasi tutti i questionari, ed è il punto in cui si decide se la risposta vi rafforza o vi espone. La regola è una sola: si scrive la verità, con una data. Il resto è il modo di farlo.

Primo passo: verificare che manchi davvero

Molte misure ci sono ma non sono documentate, e la domanda del committente non chiede l’intenzione: chiede la prova. Un backup che viene fatto ogni notte da sei anni, senza una procedura scritta e senza un test di ripristino registrato, alla verifica vale poco più di zero. Prima di dichiarare una lacuna conviene quindi guardare se il problema è l’assenza della misura o l’assenza della sua traccia: nel secondo caso si rimedia in pochi giorni.

Secondo passo: la risposta in tre parti

Quando la misura manca sul serio, la risposta efficace ha sempre la stessa struttura:

• che cosa non c’è, detto con le parole della domanda e senza giri;
• che cosa c’è nel frattempo, cioè la misura transitoria che riduce il rischio adesso (un controllo manuale, un accesso limitato a due persone, una verifica settimanale);
• entro quando la misura definitiva sarà adottata, con una data precisa e non con formule come «nel breve periodo».

Una risposta così dice al committente ciò che gli serve davvero sapere: che l’azienda sa dove si trova e ha un piano.

Terzo passo: la data la sceglie chi la deve rispettare

La data va concordata con chi materialmente farà il lavoro — il responsabile IT, il consulente, il fornitore del gestionale — e va messa a calendario nello stesso momento in cui si scrive. Il committente la riprenderà: alla verifica a campione, al rinnovo del contratto, o semplicemente al questionario dell’anno prossimo, che di norma parte dalle risposte precedenti. Una scadenza mancata due volte pesa più della lacuna iniziale.

Quarto passo: alla scadenza, comunicare spontaneamente

Quando la misura è adottata, si manda un aggiornamento breve con la prova (la procedura firmata, il verbale della formazione, lo screenshot della configurazione). È un’attività di cinque minuti che produce un effetto sproporzionato: dimostra che gli impegni presi nel questionario vengono seguiti, ed è esattamente il comportamento che distingue un fornitore qualificato da uno che ha compilato un modulo.

Che cosa non fare mai

Non dichiarare il possesso di una misura che non c’è. Le risposte al questionario, di regola, vengono richiamate nel contratto o nell’allegato tecnico e diventano il parametro con cui si misura l’inadempimento: una dichiarazione inesatta espone alla contestazione, alla risoluzione e — se il rapporto ha un contenuto economico rilevante — al risarcimento, oltre all’esclusione dagli affidamenti successivi. E la verifica a campione, quando è annunciata, di norma arriva davvero. C’è anche un vantaggio che quasi nessuno coglie: ciò che si scrive delimita anche l’obbligazione. Un questionario compilato con precisione, con le date degli impegni assunti, vincola pure il committente a non pretendere di più di quanto ha chiesto. Il quadro completo — perché il questionario arriva, che valore giuridico hanno le risposte e come si costruisce il percorso di risposta — è nell’articolo Questionario di conformità dei fornitori: cosa significa, che valore ha e come rispondere.

La valutazione d'impatto è stata svolta, le misure sono state applicate, e il rischio residuo resta elevato. La risposta breve è: non necessariamente devi fermarti, ma non puoi partire senza aver consultato il Garante.

Quando il rischio residuo è «elevato»

Le linee guida fanno esempi concreti di rischio residuo inaccettabile: conseguenze significative o irreversibili che l'interessato non può superare — l'accesso a dati che mettono in pericolo la vita, la perdita del posto di lavoro, un danno finanziario rilevante — oppure vulnerabilità note a cui non si riesce a porre rimedio. Il metro non è il rischio per l'azienda: è il rischio per i diritti e le libertà degli interessati.

La prima alternativa: abbassare il rischio invece di consultare

Prima di aprire la procedura vale la pena chiedersi se il rischio residuo sia davvero irriducibile. Spesso non lo è: ridurre le categorie di dati, accorciare la conservazione, pseudonimizzare, eliminare una funzionalità marginale che concentra gran parte del rischio. Se queste modifiche riportano il residuo a un livello accettabile, il trattamento parte senza consultazione e la documentazione resta agli atti.

La consultazione preventiva, passo per passo

Se il rischio resta elevato, l'art. 36 impone di interpellare l'autorità prima di procedere. Che cosa si trasmette: la valutazione d'impatto, la descrizione delle responsabilità fra titolare, contitolari e responsabili, le finalità e i mezzi del trattamento, le misure e le garanzie adottate, i recapiti del DPO. Quanto dura: il Garante fornisce un parere scritto entro otto settimane dal ricevimento della richiesta. Il termine è prorogabile di sei settimane in ragione della complessità, e la proroga va comunicata entro il primo mese. Nel calcolo del progetto vanno quindi messe in conto fino a quattordici settimane.

I tre esiti possibili

Nessun rilievo: decorso il termine senza obiezioni, il trattamento può iniziare. Parere con indicazioni: il Garante ritiene che il trattamento violerebbe il Regolamento e fornisce indicazioni scritte da recepire. Esercizio dei poteri correttivi: l'autorità può esercitare tutti i poteri dell'art. 58 — avvertimento, limitazione, fino al divieto di trattamento.

Quello che non si può fare

Partire e consultare dopo. La consultazione è preventiva per definizione: avviare il trattamento con un rischio residuo elevato accertato, senza aver interpellato l'autorità, somma alla violazione dell'art. 36 la consapevolezza documentata del rischio — perché è la tua stessa DPIA a dimostrare che lo sapevi. Il quadro completo — quando la valutazione è obbligatoria, che cosa deve contenere e come si svolge — è nella guida alla valutazione d'impatto (DPIA).

Il primo bivio ti dice quasi tutto: l’indirizzo è nominativo (nome.cognome@) o di funzione (amministrazione@)? Se è di funzione, l’accesso è più semplice, perché quella casella non è percepita come sfera personale del lavoratore e la puoi trattare come qualunque altro strumento aziendale. Se è nominativa — il caso più frequente — accedervi diventa un’attività giuridicamente rischiosa. Per entrare nell’account email di un tuo dipendente, ti serve innanzitutto un motivo concreto: un sospetto specifico su quel dipendente, oppure una necessità organizzativa reale — per esempio recuperare comunicazioni di lavoro da un account rimasto attivo dopo le dimissioni. Senza un motivo di questo tipo, nessuna policy può giustificare l’accesso: la policy, infatti, regola come accedi quando hai già un motivo mentre non ti può dare mai la facoltà di guardare quando vuoi. Sia il sospetto che la necessità vanno messi per iscritto prima di accedere — cosa cerchi e perché — non dichiarati solo a voce. È un passaggio che sembra burocrazia in più e invece è la differenza vera: senza quella traccia scritta, ogni tua giustificazione si presta ad essere contestata come vaga e di comodo. Quello che segue vale per la via ordinaria, quella con una policy già in vigore — è la strada da preferire sempre, perché più semplice e più sicura. Esiste anche una via residuale, più stretta, per quando la policy manca: ne parlo alla fine, ma è un’eccezione per un solo tipo di caso, non un’alternativa equivalente. Detto questo, passiamo ora ad esaminare lo strumento che ti serve per procedere, una volta che il sospetto o la necessità esista realmente, mi riferisco ovviamente alla policy aziendale. La policy aziendale sull’uso degli strumenti informatici deve preesistere all’insorgere del sospetto o della necessità e deve essere già stata comunicata ai dipendenti. A cosa serve? A stabilire quando e come l’azienda può intervenire. Senza quella policy, non puoi decidere da un giorno all’altro di entrare nella casella di qualcuno solo perché sei titolare dello strumento: la proprietà dell’email aziendale non equivale al diritto di leggerne il contenuto, salvo il caso eccezionale di cui parlo più avanti. Se la policy esiste, l’accesso va condotto seguendo esattamente le sue modalità — di norma con gradualità, e sempre rispettando il principio di minimizzazione. Cosa significa con gradualità? Per esempio: se sospetti che un tuo dipendente stia usando l’account email aziendale per comunicazioni personali, il primo passo non è l’accesso diretto, ma un richiamo — una circolare a tutti i dipendenti sul corretto utilizzo degli strumenti aziendali, senza indicare nessun lavoratore in particolare. Se l’avvertimento non basta, e sempre che la policy aziendale lo preveda, potrai accedere a quell’account. Dovrai comunque procedere con cautela: cerca solo ciò che ti serve per il fine dichiarato, non leggere l’intera corrispondenza per vedere cos’altro c’è. Trovato quello che serve — per esempio comunicazioni che esulano dalla finalità di lavoro — prendine il minimo necessario, senza esagerare. Chi esegue materialmente l’accesso va scelto con cura quanto il resto. Se decidi di farlo fare al tuo sistemista, dagli un mandato scritto che indichi cosa cercare e perché — non un incarico generico ad «aprire e vedere cosa c’è». Il sistemista non decide da solo cosa cercare: esegue quello che la policy e il motivo concreto hanno già delimitato, e quel mandato scritto è anche ciò che, in un secondo momento, dimostra che l’accesso è stato mirato e non un’esplorazione. Se la policy non esiste, l’accesso diretto e generalizzato rischia di configurare reato (art. 616 del codice penale, sulla corrispondenza) e rende comunque la prova inutilizzabile in un eventuale procedimento disciplinare. Resta una via residuale, ma solo per il ramo del sospetto su un illecito specifico — non per la necessità organizzativa. È il cosiddetto controllo difensivo in senso stretto: la giurisprudenza lo ammette fuori dal perimetro dell’art. 4 dello Statuto dei lavoratori, ma con una soglia più alta, non più bassa — serve un sospetto fondato su un fatto già accaduto, con elementi oggettivi verificabili, non un dubbio generico. La Cassazione (n. 34092/2021 e n. 18168/2023, quest’ultima proprio su un controllo della posta elettronica aziendale) ha invalidato più volte controlli di questo tipo perché il sospetto alla base non era abbastanza solido: non è una scorciatoia comoda, è un terreno che un giudice scruterà da vicino. Per la necessità organizzativa — per esempio l’account del dipendente dimesso — questa via residuale non vale: senza una policy preesistente non c’è scorciatoia equivalente. Serve il consenso del lavoratore, se ancora raggiungibile, oppure un’altra base giuridica specifica da individuare con un legale prima di agire. In ogni caso, sia che tu abbia un sospetto su un illecito sia che tu abbia una necessità organizzativa, senza una policy già in vigore la scelta più sensata è far valutare la situazione a un legale prima di muoverti — non dopo aver già raccolto il materiale.

Questa domanda fa parte della guida App e monitoraggio dei lavoratori: ciò che devi sapere, dove il controllo a distanza è trattato per esteso: art. 4 dello Statuto dei lavoratori, accordo sindacale, autorizzazione dell’Ispettorato e adempimenti GDPR.

Il più grande avvocato di ogni tempo, Cicerone, amava dire ai suoi clienti “Da mihi factum, dabo tibi ius” che tradotto letteralmente dal latino significa “dammi il fatto, ti darò il diritto”. Quando i fatti della vita ci portano a veder violati i nostri diritti oppure a non conoscerli perfettamente questo è il momento di rivolgersi ad un avvocato. Più in generale il momento giusto per rivolgersi a un avvocato è quando diventa necessario tutelarsi per il futuro o per il presente, consapevoli che il legale, una volta conosciuti i fatti, in quanto esperto di legge, ci potrà proporre le soluzioni più lungimiranti.