L’intelligenza artificiale è ormai entrata nei processi produttivi, negli uffici, nella comunicazione, nel marketing, nel customer care e nelle attività quotidiane di milioni di persone. Ma con la diffusione dell’AI cresce anche la necessità di stabilire regole chiare per garantirne un utilizzo sicuro, trasparente e rispettoso dei diritti fondamentali.

È questo l’obiettivo dell’AI Act, il regolamento dell’Unione europea che rappresenta il primo grande quadro normativo organico dedicato all’intelligenza artificiale.

Il regolamento europeo 2024/1689 è entrato in vigore il 1° agosto 2024 e viene applicato progressivamente. Il 2 agosto 2026 è arrivata la piena applicabilità generale, anche se alcune disposizioni seguono calendari specifici. Le pratiche di AI vietate e gli obblighi di alfabetizzazione sull’intelligenza artificiale sono applicabili dal 2 febbraio 2025, mentre le disposizioni sulla governance e sui modelli di AI per finalità generali, i cosiddetti GPAI, sono applicabili dal 2 agosto 2025.

Per aziende, pubbliche amministrazioni, professionisti e fornitori di tecnologie, l’AI Act non è quindi soltanto una norma da conoscere: è un nuovo elemento da integrare nei processi di gestione del rischio, nella compliance, nella formazione delle persone e nelle strategie di innovazione.

Che cos’è l’AI Act

L’AI Act è il regolamento europeo che stabilisce un quadro comune per lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di intelligenza artificiale nell’Unione europea.

Il principio fondamentale è semplice: non tutte le applicazioni dell’intelligenza artificiale presentano gli stessi rischi e, quindi, non devono essere sottoposte alle stesse regole.

La normativa adotta infatti un approccio basato sul rischio. Più un sistema può incidere sulla sicurezza, sulla salute, sui diritti fondamentali o sulla vita delle persone, maggiori sono gli obblighi previsti.

L’AI Act distingue sostanzialmente quattro livelli:

• rischio inaccettabile;
• rischio elevato;
• rischio di trasparenza;
• rischio minimo o nullo.

La maggior parte delle applicazioni di AI utilizzate quotidianamente rientra nella categoria a rischio minimo o nullo e non è soggetta a nuovi obblighi specifici previsti dall’AI Act.

Il principio del rischio

Il modello europeo si differenzia da un approccio che vieterebbe o autorizzerebbe l’intelligenza artificiale nel suo complesso.

L’Unione europea ha scelto invece di chiedersi che cosa fa un sistema di AI, in quale contesto viene utilizzato e quali conseguenze può avere sulle persone.

Una soluzione utilizzata per filtrare lo spam, per esempio, non ha lo stesso impatto di un sistema che contribuisce a decidere se una persona possa ottenere un posto di lavoro, un finanziamento o accedere a determinati servizi.

Da questa differenza deriva la struttura dell’AI Act.

AI vietata: cosa non si può fare

Al livello più alto ci sono le pratiche considerate incompatibili con i valori e i diritti fondamentali dell’Unione europea.

Sono vietati determinati utilizzi dell’intelligenza artificiale considerati inaccettabili, tra cui alcune forme di manipolazione del comportamento, sfruttamento delle vulnerabilità delle persone e sistemi di classificazione sociale.

La normativa interviene inoltre su particolari pratiche biometriche e su altri utilizzi ritenuti particolarmente invasivi.

Per imprese e organizzazioni il primo passo, quindi, non è chiedersi soltanto “quale AI possiamo utilizzare?”, ma anche “quale utilizzo dell’AI non possiamo fare?”.

I sistemi di AI ad alto rischio

Il secondo grande livello è quello dei sistemi ad alto rischio.

Sono applicazioni che possono avere conseguenze rilevanti sulla salute, sulla sicurezza o sui diritti fondamentali delle persone.

Rientrano in questo ambito, a seconda delle caratteristiche e delle finalità del sistema, applicazioni legate a settori come:

• occupazione e selezione del personale;
• istruzione e formazione;
• infrastrutture critiche;
• accesso a servizi essenziali;
• alcuni sistemi biometrici;
• attività di contrasto alla criminalità;
• migrazione, asilo e controllo delle frontiere;
• amministrazione della giustizia.

Per i sistemi ad alto rischio il regolamento impone requisiti molto più stringenti.

Tra questi ci sono la gestione e mitigazione dei rischi, la qualità dei dati, la documentazione tecnica, la registrazione delle attività, la tracciabilità, l’informazione agli utilizzatori, la supervisione umana e requisiti elevati di accuratezza, robustezza e cybersicurezza.

L’obiettivo è evitare che una decisione prodotta o supportata da un algoritmo diventi una sorta di “scatola nera” impossibile da comprendere e controllare.

Il ruolo della supervisione umana

Uno dei principi più importanti dell’AI Act è quello della human oversight, cioè della supervisione umana.

Nei sistemi ad alto rischio le persone devono poter comprendere e controllare adeguatamente il funzionamento del sistema, intervenire quando necessario e, nei casi previsti, ignorare, annullare o modificare il risultato prodotto dall’AI.

Per le organizzazioni questo significa che introdurre un sistema di intelligenza artificiale non equivale automaticamente a delegargli una decisione.

La responsabilità dei processi deve essere chiaramente attribuita e devono essere definiti ruoli, procedure e controlli.

AI generativa: ChatGPT e i sistemi GPAI

Un capitolo particolarmente importante riguarda i modelli di AI per finalità generali, o GPAI, cioè tecnologie capaci di svolgere un’ampia varietà di compiti e utilizzabili all’interno di molte applicazioni.

È il mondo dei grandi modelli generativi utilizzati per produrre testi, immagini, audio, video, codice e altri contenuti.

Le regole per i modelli GPAI sono diventate applicabili dal 2 agosto 2025. Per i fornitori, gli obblighi possono comprendere documentazione tecnica, informazioni destinate ai fornitori che integrano il modello nei propri sistemi e una politica per rispettare la normativa europea sul diritto d’autore. Per i modelli GPAI classificati con rischio sistemico sono previsti requisiti aggiuntivi.

Questo aspetto è particolarmente importante per le aziende che sviluppano, integrano o commercializzano prodotti basati su modelli generativi.

Dal 2 agosto 2026 scattano le nuove regole sulla trasparenza

Uno dei cambiamenti più immediatamente visibili riguarda la trasparenza.

Dal 2 agosto 2026 si applica l’articolo 50 dell’AI Act, che introduce obblighi specifici per determinati sistemi di AI, compresi quelli interattivi e generativi.

La logica è quella di consentire alle persone di capire quando stanno interagendo con una macchina oppure quando sono esposte a contenuti generati o manipolati dall’intelligenza artificiale.

I fornitori devono progettare determinati sistemi in modo da informare esplicitamente gli utenti quando interagiscono direttamente con un sistema di AI.

Per i contenuti generati o manipolati dall’intelligenza artificiale sono inoltre previste tecniche che consentano la loro identificazione, attraverso marcature leggibili dalle macchine.

Deepfake e contenuti generati dall’AI

Il tema della trasparenza diventa particolarmente importante per i deepfake, cioè contenuti audio, immagini o video generati o manipolati dall’intelligenza artificiale che possono rappresentare persone, eventi o situazioni in modo artificiale ma estremamente realistico.

Quando un contenuto costituisce un deepfake, l’AI Act prevede specifici obblighi di informazione.

Regole di trasparenza riguardano inoltre determinati contenuti generati o manipolati dall’AI destinati a informare il pubblico su questioni di interesse pubblico quando non sono stati sottoposti a revisione umana o controllo editoriale.

È un passaggio particolarmente significativo per il mondo dell’informazione, della comunicazione, del marketing e dei social media.

AI e comunicazione: cosa cambia per aziende e agenzie

Per chi lavora nella comunicazione digitale il tema è centrale.

L’intelligenza artificiale può essere utilizzata per scrivere testi, creare immagini, generare video, sintetizzare documenti, produrre campagne pubblicitarie, analizzare dati e supportare attività creative.

Ma l’adozione di questi strumenti rende sempre più importante stabilire chi è responsabile del contenuto finale, quali controlli vengono effettuati e quando sia necessario rendere esplicito l’utilizzo dell’AI.

Non significa che ogni testo scritto con l’aiuto di un chatbot debba automaticamente essere accompagnato da una specifica etichetta. Gli obblighi dell’articolo 50 dipendono dal tipo di sistema, dal contenuto, dal suo utilizzo e dalle condizioni previste dalla normativa.

La regola generale, però, è destinata a diventare sempre più importante: non utilizzare l’AI per creare un rapporto ingannevole con il pubblico.

Riconoscimento delle emozioni e dati biometrici

Un’altra area interessata dalle regole sulla trasparenza riguarda i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica.

Quando le persone vengono esposte a questi strumenti nei casi previsti dall’AI Act, devono essere informate.

La questione è particolarmente delicata perché l’utilizzo dell’AI può riguardare caratteristiche personali, identità, comportamenti e informazioni potenzialmente molto sensibili.

Per le aziende che adottano queste tecnologie è quindi fondamentale valutare non soltanto le prestazioni del sistema, ma anche quali dati vengono utilizzati, per quale finalità e con quali conseguenze.

L’AI Act non riguarda soltanto chi sviluppa AI

Uno degli aspetti più importanti da comprendere è che l’AI Act non interessa esclusivamente le società che sviluppano algoritmi o modelli di intelligenza artificiale.

Il regolamento distingue tra diversi soggetti, tra cui provider, cioè fornitori di sistemi o modelli di AI, e deployer, cioè soggetti che utilizzano sistemi di AI sotto la propria responsabilità.

Di conseguenza, anche un’impresa che non sviluppa direttamente tecnologia può essere interessata dalla normativa se utilizza l’intelligenza artificiale nei propri processi.

Un’azienda che impiega un sistema di AI per la selezione dei candidati, per esempio, deve chiedersi quale sia la classificazione del sistema, quali obblighi si applichino e quali procedure di controllo siano necessarie.

AI literacy: la formazione diventa un requisito

L’AI Act introduce anche il concetto di AI literacy, cioè alfabetizzazione in materia di intelligenza artificiale.

Dal 2 febbraio 2025 sono applicabili gli obblighi relativi all’AI literacy. Le organizzazioni che utilizzano sistemi di AI devono adottare misure per garantire, per quanto necessario, un livello sufficiente di competenze alle persone che utilizzano o gestiscono questi sistemi.

È una novità molto importante per le imprese.

La formazione sull’intelligenza artificiale non dovrebbe essere considerata soltanto come un corso tecnico per specialisti. Serve a comprendere i limiti dei sistemi, riconoscere possibili errori, interpretare correttamente gli output e utilizzare l’AI in modo responsabile.

Per un’organizzazione, quindi, la governance dell’AI passa anche dalle competenze delle persone.

Cosa deve fare un’azienda

Per una piccola o media impresa che utilizza strumenti di AI, un primo percorso di adeguamento può partire da alcuni passaggi fondamentali.

1. Mappare l’utilizzo dell’AI

Bisogna innanzitutto capire quali strumenti di intelligenza artificiale vengono utilizzati all’interno dell’organizzazione.

Non soltanto quelli acquistati centralmente dall’azienda, ma anche quelli utilizzati autonomamente dai dipendenti.

2. Individuare i casi d’uso

Non è sufficiente sapere che un’organizzazione utilizza l’AI. Occorre capire per quale attività.

Scrivere una bozza di comunicato stampa, analizzare un documento, selezionare candidati, valutare il merito creditizio o prendere decisioni che riguardano persone sono attività molto diverse tra loro.

3. Classificare i rischi

Per ogni caso d’uso bisogna verificare quale sia la categoria di rischio prevista dall’AI Act e quali obblighi ne derivino.

4. Definire responsabilità e controlli

È necessario stabilire chi può utilizzare determinati strumenti, con quali finalità, quali dati può inserire e chi deve verificare il risultato.

5. Formare le persone

I dipendenti devono conoscere opportunità e limiti degli strumenti di AI utilizzati nel proprio lavoro.

6. Proteggere dati e informazioni aziendali

Prima di inserire informazioni riservate in un sistema di AI generativa occorre verificare come vengono trattati i dati, quali condizioni contrattuali si applicano e quali garanzie offre il fornitore.

7. Verificare la trasparenza

Quando si producono contenuti con l’intelligenza artificiale, soprattutto immagini, audio, video e contenuti destinati al pubblico, bisogna verificare se si applicano gli obblighi di trasparenza previsti dall’AI Act.

AI Act e privacy non sono la stessa cosa

Un altro punto importante è che l’AI Act non sostituisce il GDPR.

Le due normative operano su piani differenti ma possono riguardare contemporaneamente lo stesso processo.

Il GDPR tutela le persone rispetto al trattamento dei dati personali, mentre l’AI Act disciplina i sistemi di intelligenza artificiale secondo un approccio basato sul rischio.

Un progetto aziendale che utilizza AI e dati personali può quindi richiedere contemporaneamente una valutazione sotto il profilo della normativa sull’intelligenza artificiale e una verifica rispetto alla disciplina sulla protezione dei dati.

Per le imprese questo significa evitare l’errore di considerare la conformità all’AI Act come una sorta di sostituto della compliance privacy.

Le sanzioni

L’AI Act prevede sanzioni significative.

Per alcune violazioni le multe possono arrivare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo dell’esercizio precedente, mentre per altre categorie di infrazioni possono arrivare fino a 15 milioni di euro o al 3% del fatturato mondiale.

Sono previste regole di proporzionalità specifiche per PMI e piccole imprese a media capitalizzazione. Per le violazioni degli obblighi di trasparenza dell’articolo 50, la Commissione indica multe fino a 15 milioni di euro o al 3% del fatturato mondiale totale dell’esercizio precedente.

Il sistema sanzionatorio è quindi un ulteriore elemento che rende la governance dell’intelligenza artificiale una questione strategica per le imprese.

Il calendario dell’AI Act

Il percorso di applicazione del regolamento è progressivo.

1 agosto 2024: entra in vigore l’AI Act.

2 febbraio 2025: diventano applicabili le disposizioni sulle pratiche di AI vietate e gli obblighi di AI literacy.

2 agosto 2025: entrano in applicazione le regole sulla governance e gli obblighi per i modelli GPAI.

2 agosto 2026: arriva la piena applicabilità generale del regolamento e diventano applicabili, tra gli altri, gli obblighi di trasparenza dell’articolo 50.

2 dicembre 2027: secondo l’attuale calendario, diventano applicabili le regole per determinati sistemi ad alto rischio in settori come biometria, infrastrutture critiche, istruzione, occupazione, migrazione, asilo e controllo delle frontiere.

2 agosto 2028: si applicano le regole per i sistemi ad alto rischio integrati in determinati prodotti regolamentati.

Il calendario è particolarmente importante per le aziende perché significa che la conformità non può essere affrontata come un unico adempimento da svolgere in una sola volta.

L’AI Act come occasione per una nuova governance digitale

L’AI Act può essere percepito dalle imprese esclusivamente come un nuovo insieme di obblighi burocratici. Sarebbe però una lettura riduttiva.

La diffusione dell’intelligenza artificiale sta modificando profondamente i processi organizzativi. Per questo la normativa europea può diventare anche l’occasione per costruire una governance dell’AI capace di rendere più consapevole l’innovazione.

Un’organizzazione dovrebbe sapere quali sistemi utilizza, quali dati vengono trattati, quali decisioni vengono supportate dall’intelligenza artificiale, quali rischi esistono e chi è responsabile del controllo.

Questa mappatura può contribuire anche a migliorare la sicurezza informatica, la gestione dei dati, la qualità dei processi e la capacità delle persone di utilizzare correttamente le nuove tecnologie.

Dalla compliance alla fiducia

Il vero obiettivo dell’AI Act va quindi oltre la semplice regolamentazione.

L’Unione europea sta cercando di costruire un modello nel quale l’intelligenza artificiale possa essere utilizzata senza trasformarsi in una tecnologia opaca, incontrollabile o potenzialmente lesiva dei diritti.

Per le imprese la sfida è trasformare questo principio in pratiche concrete: conoscere gli strumenti, classificare i rischi, formare le persone, proteggere i dati, controllare i risultati e garantire trasparenza quando richiesta.

L’intelligenza artificiale continuerà a evolversi rapidamente. L’AI Act prova a costruire intorno a questa trasformazione un quadro di regole capace di tenere insieme innovazione, competitività e tutela delle persone.

Per aziende e professionisti, il momento giusto per occuparsi di AI governance non è quando arriverà una verifica o una sanzione. È adesso: l’intelligenza artificiale è già parte dei processi aziendali e la conformità deve diventare parte della strategia digitale.

Per Novajo.it, questo articolo può essere ulteriormente valorizzato con un box finale “AI Act: checklist per le aziende” e una tabella “obbligo / chi riguarda / da quando / cosa fare”, così da trasformarlo da articolo informativo in una vera guida operativa per imprese e professionisti.

Vuoi utilizzare l’IA in azienda ? Novajo può aiutarti. Contattaci per saperne di più

L’iniziativa nasce per colmare il divario digitale che caratterizza soprattutto le realtà di dimensioni minori. In Italia il 94,7% delle imprese ha meno di 10 addetti, ma solo il 29,4% delle microimprese con 2-9 dipendenti utilizza un software gestionale, rispetto al 51,4% delle aziende con almeno 10 addetti. Il Manifesto propone quindi una misura complementare ai programmi Transizione 4.0 e 5.0, capace di intercettare la domanda diffusa di digitalizzazione proveniente dalle imprese più piccole, dai professionisti e dagli enti del Terzo settore.

Il Buono Digitale finanzierà investimenti in software gestionali, servizi cloud, piattaforme digitali, soluzioni di intelligenza artificiale, cybersecurity, e-commerce, consulenza, formazione e adempimenti legati alla compliance. Il contributo sarà riconosciuto non al momento dell’acquisto, ma in seguito all’effettiva messa in funzione delle soluzioni adottate, così da favorire investimenti realmente operativi.

La misura è rivolta alle imprese con un organico compreso tra 2 e 99 addetti, prevedendo un’intensità di aiuto maggiore per le realtà di dimensioni più ridotte e una premialità per le tecnologie sviluppate nell’Unione europea. Secondo le stime dei promotori, il Buono Digitale potrebbe raggiungere circa 578 mila beneficiari nell’arco di tre anni, attivando investimenti per oltre 7 miliardi di euro a fronte di un impegno pubblico stimato in 3,951 miliardi.

In questo modo  siamo in grado di realizzare e gestire il servizio di autenticazione tramite Carta di Identità Elettronica (CIE) per conto di terzi, supportando aziende ed enti nell’integrazione di sistemi di accesso sicuri, conformi e riconosciuti a livello nazionale.

“Entra con CIE” è il sistema ufficiale di autenticazione basato sulla Carta di Identità Elettronica, sviluppato e riconosciuto dallo Stato Italiano per garantire un accesso sicuro ai servizi digitali che a tendere sostiuirà anche l’utilizzo di SPID. La soluzione è indicata per portali per servizi online, piattaforme con accesso ad area riservata, servizi digitali per i cittadini e sistemi che richiedono identificazione certa dell’utente.

Con questo sistema, l’utente può accedere a un servizio online sia pubblico che privato utilizzando la propria CIE, garantendo la certezza dell’identità digitale verificata e senza dover creare nuove credenziali o compilare moduli di registrazione e generare nuove login e password

Un aggregatore privato CIE è in grado di integrare l’autenticazione CIE all’interno di siti web, piattaforme e app per smartphone, gestire l’infrastruttura tecnica necessaria all’autenticazione, supportare aziende e organizzazioni nell’adozione del sistema per offrire un servizio completo, dalla consulenza iniziale fino all’integrazione operativa.

L’adozione del sistema “Entra con CIE” è un passo verso la digitalizzazione dei servizi e offre numerosi vantaggi: come : autenticazione forte e certificata, riduzione delle frodi e degli accessi non autorizzati, maggiore fiducia da parte degli utenti, riduzione della gestione delle password, esperienza utente più semplice e veloce, adeguamento ai requisiti normativi italiani.

Vuoi sviluppare un servizio o un portale che utilizzi “Entra con CIE” ? Novajo può aiutarti. Contattaci per saperne di più

Il Report è stato realizzato con il contributo di Compagnia di San Paolo e Google con i partner Excellera, Anso, Festival Glocal e con il patrocinio di Ordine dei Giornalisti consiglio nazionale, Ordine dei Giornalisti consiglio regionale del Piemonte, Università degli Studi di Torino.

L’interesse per le notizie raggiunge un nuovo minimo storico: solo il 34% degli italiani si dichiara molto o estremamente interessato, contro il 74% del 2016 — calo di 40 punti, il più marcato tra tutti i Paesi di riferimento. Ancora più basso l’interesse per la politica: solo il 16%, collocando l’Italia all’ultimo posto tra i 48 paesi dell’indagine globale. Fa eccezione significativa la fascia 18-24 anni: il 28% si dichiara molto o estremamente interessato alla politica — segnale di una domanda giovanile di informazione politica non sempre intercettata dall’offerta attuale. La frequenza di consultazione resta però elevata: il 57% consulta le notizie più volte al giorno, secondo dato più alto tra i paesi benchmark dopo la Finlandia.

La fiducia nelle notizie cala ancora, fermandosi al 32% — quattro punti in meno rispetto all’anno scorso, sotto la media internazionale. Particolarmente bassa la fiducia nelle notizie incontrate sui social media (15%) e tramite chatbot di IA (16%). La preoccupazione per la disinformazione cresce: il 59% degli italiani si dichiara fortemente o abbastanza preoccupato (+5 punti rispetto al 2024). La news avoidance torna a salire: il 36% evita spesso o a volte le notizie (+3 punti rispetto all’anno scorso).

Considerando tutte le fonti utilizzate nella settimana precedente, l’online consolida il vantaggio sulla TV: le fonti digitali salgono al 69%, mentre la televisione scende al 62%. Come fonte principale, però, la TV resta al primo posto (48% contro 45% dell’online): solo Italia e Francia mantengono questa prevalenza tra i paesi benchmark. I social media salgono al 45% nell’uso settimanale (+6 punti) e raggiungono il 22% come fonte principale, dopo tre anni fermi al 17%. L’abbandono di una fonte non coincide con l’abbandono delle notizie: chi lascia la TV si sposta verso altre fonti digitali, non verso il silenzio informativo.

La televisione rimane la prima fonte per quasi la metà degli italiani, caratteristica di un Paese con età media elevata. L’edizione 2026 introduce però una novità: la rilevazione del dispositivo Smart TV, usato dal 46% degli italiani per informarsi. Quasi la metà dei suoi utenti vi accede prevalentemente tramite YouTube o altre app video — non attraverso i canali televisivi tradizionali. Il televisore diventa così schermo per contenuti approfonditi e spiegazioni video di formato medio-lungo. All’opposto, i video brevi sui social — dominanti su Instagram, TikTok e Facebook — sul fronte dell’informazione segnano il passo: consumati, ma non percepiti come strumento informativo di primo piano.

Nel contesto digitale, le testate televisive mostrano maggiore tenuta rispetto ai quotidiani, molti dei quali hanno dimezzato la reach dal 2017. I quotidiani locali consolidano la propria penetrazione. In vetta al ranking online si confermano Fanpage (22%), seguita da Tgcom24 online e Ansa online (17%), SkyTg24 online (14%) e la Repubblica online (11%). Il Post e Will Media confermano una marcata caratterizzazione giovanile (rispettivamente 15% e 11% tra gli under 35).

Il 36% degli italiani ha fruito di notizie da creatori di contenuti o singoli giornalisti nell’ultima settimana, con punte del 66% tra i 18-24enni e del 53% tra i 25-34enni. I dati mostrano che il pubblico fatica talvolta a distinguere tra giornalismo ed entertainment, ma esprime un bisogno preciso: spiegazioni chiare, coinvolgenti, capaci di contestualizzare. La brevità non è un valore assoluto: pesano di più la qualità e la capacità di dare senso ai fatti. I creator non sostituiscono il giornalismo professionale — solo il 5% di chi li segue dichiara di non sentire il bisogno di altre fonti — ma indicano aspettative che le testate farebbero bene ad ascoltare.

I chatbot di intelligenza artificiale sono usati per informarsi dal 6% degli italiani — un’avanguardia digitale giovane e istruita. Li usano soprattutto per approfondire notizie già incontrate (41%) e per orientarsi tra le fonti (26%), più che per ricevere gli ultimi aggiornamenti. Un utilizzo che rispecchia la stessa domanda di spiegazione e contesto che emerge dai dati sui creator.

La quota di chi paga per l’informazione online scende all’8% — metà del valore del 2016. Ma tra i paganti, chi ha sottoscritto un abbonamento continuativo almeno mensile passa dal 31% del 2025 al 43% del 2026. I più giovani mostrano maggiore apertura verso formule digitali. Le motivazioni rivelano qualcosa di strutturale: alle ragioni pratiche si affiancano motivazioni ideali indicate dal 38% dei paganti, come sostenere il giornalismo o garantire l’accesso gratuito ad altri. Chi paga non acquista un prodotto o un’utilità: sostiene un progetto in cui ripone fiducia. La sostenibilità del giornalismo passa dalla qualità della relazione con il pubblico, prima ancora che dal numero di abbonati.

Il 55% degli italiani preferisce fonti prive di un particolare punto di vista. Questa domanda di imparzialità convive però con giudizi severi sulla copertura dei grandi temi: su tutti gli argomenti considerati, i giudizi negativi superano ampiamente quelli positivi. Il caso più critico riguarda l’immigrazione (44% di valutazioni negative contro 11% di positive). Il 32% degli italiani considera i politici molto influenti sull’informazione — percentuale che sale al 69% sommando anche chi li ritiene “abbastanza” influenti.

Che cos’è la GEO

La GEO nasce dall’evoluzione della ricerca online: gli utenti non si limitano più a digitare parole chiave, ma fanno domande complete e si aspettano una risposta diretta. Secondo le fonti consultate, la GEO non sostituisce la SEO tradizionale, ma la affianca e la adatta al nuovo modo in cui le informazioni vengono cercate e presentate.

In questo scenario, il contenuto non deve solo essere ben posizionato, ma anche facile da interpretare per un sistema generativo. Per questo contano molto chiarezza, autorevolezza, struttura logica e presenza di informazioni verificabili.

Come funziona

I motori generativi non leggono un testo come farebbe un umano: lo analizzano in modo semantico, cercando di capire il significato delle frasi, il contesto e le relazioni tra i concetti. Quando un sistema AI costruisce una risposta, può recuperare informazioni da fonti esterne, sintetizzarle e riformularle in linguaggio naturale, soprattutto nei modelli che usano il recupero di dati in tempo reale, come nelle architetture RAG.

Per essere più facilmente usato da questi sistemi, un contenuto deve quindi offrire risposte chiare a domande precise, con titoli ben organizzati, paragrafi brevi, dati attendibili e riferimenti riconoscibili. Le AI tendono a preferire testi che presentano una struttura pulita e una forte coerenza tematica.

Differenza con la SEO

La SEO tradizionale punta a migliorare il posizionamento nelle pagine dei risultati dei motori di ricerca, mentre la GEO mira a far emergere il contenuto dentro risposte generate dall’AI. La differenza principale è quindi nel punto di arrivo: nella SEO l’obiettivo è il clic, nella GEO è la citazione o l’inclusione nella risposta sintetica.

Questo non significa abbandonare le pratiche SEO classiche. Al contrario, molte basi restano valide: contenuti di qualità, autorità del sito, chiarezza espositiva e coerenza delle fonti. La GEO si inserisce sopra questo livello, rendendo il contenuto più adatto ai nuovi sistemi di ricerca conversazionale.

Elementi utili

Per rendere un testo più “GEO-friendly”, aiutano alcuni accorgimenti pratici. Tra i più importanti ci sono:

– Rispondere subito alla domanda principale.
– Usare titoli e sottotitoli chiari.
– Scrivere in modo semplice ma preciso.
– Inserire dati, esempi e fonti verificabili.
– Evitare frasi troppo vaghe o dispersive.
– Mantenere una forte coerenza tra titolo, contenuto e intenti di ricerca.

Un esempio concreto: se un utente chiede “cos’è la GEO”, un articolo ben ottimizzato dovrebbe dare subito una definizione, poi spiegare come funziona, in cosa differisce dalla SEO e quali sono le strategie pratiche per applicarla. Questo formato rende il testo più facile da riassumere e da utilizzare per un assistente AI.

Perché conta oggi

La GEO sta diventando importante perché una parte crescente della ricerca online avviene dentro strumenti di intelligenza artificiale, non soltanto nei motori di ricerca tradizionali. Di conseguenza, aziende, editori e professionisti della comunicazione devono pensare non solo a farsi trovare, ma anche a farsi comprendere e selezionare dalle AI.

Per chi produce contenuti, questo significa curare ancora di più la qualità editoriale. Un testo ben scritto, affidabile e ben strutturato ha più probabilità di essere usato sia da Google sia dai sistemi generativi, che oggi stanno cambiando il modo in cui le persone cercano informazioni online.

In sintesi

La GEO è l’ottimizzazione dei contenuti per i motori di ricerca generativi. Funziona rendendo i testi più chiari, strutturati, attendibili e facilmente interpretabili dalle intelligenze artificiali, senza sostituire la SEO ma evolvendola in una direzione più conversazionale e basata sulle risposte.

Posso anche trasformare questo testo in un articolo giornalistico più scorrevole, con taglio divulgativo per un pubblico senior o per un sito di informazione locale.

Vuoi utilizzare nella tua azienda la Generative Engine Optimization o GEO ? Novajo può aiutarti. Contattaci per saperne di più

Durante l’incontro si alterneranno speaker provenienti da ambiti diversi — accademici, manager, formatori e divulgatori — che porteranno esperienze concrete e punti di vista complementari.

Attraverso interventi dal taglio divulgativo, verrà spiegato in modo semplice come l’AI possa diventare uno strumento efficace per il monitoraggio delle minacce, la prevenzione dei rischi e la difesa dai cyber attacchi. Dalla capacità di analizzare grandi quantità di dati in tempo reale fino all’identificazione precoce di anomalie e comportamenti sospetti, i partecipanti scopriranno come queste tecnologie siano già oggi parte integrante delle strategie di sicurezza.

Gli speaker partecipanti

• Simona Alfiero Professore associato Università di Torino
• Mauro Alovisio Avvocato Università di Torino
• Paolo Dal Checco Consulente informatico
• Angelo Saccà Dirigente Università di Torino
• Vittorio Pasteris Giornalista e imprenditore
• Laura Marengo Avvocato Unioni Industriale
• Fabiola Silvestri Formatore
• Giacomo Tassone Confindustria Cuneo
• Fabio Ciravegna Professore Ordinario Università di Torino
• Paola De Vincentiis Professore Ordinario Università di Torino
• Claudio Ruffini Presidente Augeos SPA
• Sergio Bianchi Direttore Confservizi Nord Ovest

Applicare correttamente la NIS2 non significa soltanto evitare sanzioni, ma costruire un sistema aziendale più resiliente, affidabile e sicuro. La direttiva introduce infatti un approccio strutturato alla gestione del rischio cyber, coinvolgendo governance, processi, tecnologie e persone.

Che cos’è la NIS2

La NIS2 (Network and Information Security Directive 2) è la nuova direttiva europea sulla sicurezza delle reti e dei sistemi informativi che sostituisce la precedente direttiva NIS del 2016.

L’obiettivo principale è aumentare il livello comune di cybersicurezza nei Paesi membri dell’Unione Europea, proteggendo infrastrutture critiche, servizi digitali e filiere strategiche.

La direttiva amplia notevolmente il numero di organizzazioni coinvolte e introduce obblighi più rigorosi in materia di:

• gestione del rischio informatico;
• continuità operativa;
• sicurezza della supply chain;
• gestione degli incidenti;
• formazione del management;
• responsabilità degli organi direttivi;
• segnalazione degli attacchi cyber.

Quali aziende devono adeguarsi

La NIS2 riguarda principalmente due categorie di soggetti:

Soggetti essenziali

Comprendono organizzazioni operanti in settori critici come:

• energia;
• trasporti;
• sanità;
• servizi finanziari;
• infrastrutture digitali;
• pubblica amministrazione;
• acqua potabile;
• telecomunicazioni.

Soggetti importanti

Coinvolgono aziende di settori strategici come:

• produzione industriale;
• alimentare;
• gestione rifiuti;
• servizi postali;
• ricerca;
• fornitori digitali;
• cloud computing;
• data center;
• marketplace online.

In molti casi rientrano nella normativa imprese con:

• almeno 50 dipendenti;
• oppure fatturato superiore a 10 milioni di euro.

Tuttavia alcuni soggetti possono essere inclusi indipendentemente dalle dimensioni se considerati strategici per il sistema nazionale.

Perché la NIS2 cambia la governance aziendale

Una delle principali novità della direttiva riguarda il coinvolgimento diretto del management. La cybersicurezza non è più solo una questione tecnica delegata all’IT, ma diventa una responsabilità aziendale trasversale.

Gli organi amministrativi devono:

• approvare le misure di gestione del rischio;
• supervisionare la sicurezza informatica;
• ricevere formazione specifica;
• essere consapevoli delle responsabilità legali.

Questo cambia profondamente il modello organizzativo delle imprese.

Come applicare la NIS2 in azienda

1. Verificare l’applicabilità della normativa

Il primo passo consiste nel capire se l’azienda rientra tra i soggetti obbligati.

È necessario analizzare:

• settore di appartenenza;
• dimensioni aziendali;
• servizi erogati;
• ruolo nella supply chain;
• criticità dei sistemi digitali.

Molte organizzazioni stanno effettuando assessment preliminari con consulenti specializzati per identificare il proprio livello di esposizione normativa.

2. Effettuare una gap analysis

Una volta verificata l’applicabilità della direttiva, bisogna confrontare lo stato attuale della sicurezza aziendale con i requisiti richiesti dalla NIS2.

La gap analysis serve a identificare:

• vulnerabilità organizzative;
• carenze tecnologiche;
• processi mancanti;
• assenza di procedure;
• criticità documentali;
• rischi non gestiti.

Questo passaggio rappresenta la base per costruire il piano di adeguamento.

3. Costruire una governance cybersecurity

La NIS2 richiede una governance chiara e formalizzata.

L’azienda dovrebbe definire:

• ruoli e responsabilità;
• comitati di sicurezza;
• policy aziendali;
• procedure operative;
• flussi decisionali;
• gestione delle escalation.

Spesso viene nominato un responsabile cybersecurity o un CISO (Chief Information Security Officer) incaricato di coordinare tutte le attività di sicurezza.

4. Implementare la gestione del rischio cyber

La direttiva impone un approccio basato sul risk management.

L’azienda deve:

• identificare gli asset critici;
• valutare le minacce;
• analizzare gli impatti;
• classificare i rischi;
• definire contromisure adeguate.

Le misure devono essere proporzionate al livello di rischio e aggiornate periodicamente.

5. Rafforzare la sicurezza tecnica

La compliance NIS2 richiede l’adozione di strumenti tecnologici adeguati.

Tra le principali misure:

Protezione delle reti

• firewall avanzati;
• segmentazione della rete;
• VPN sicure;
• monitoraggio del traffico.

Sicurezza degli endpoint

• antivirus evoluti;
• EDR/XDR;
• gestione centralizzata dei dispositivi;
• patch management.

Gestione degli accessi

• autenticazione multifattore (MFA);
• principio del minimo privilegio;
• controllo degli accessi privilegiati;
• identity management.

Backup e disaster recovery

• backup cifrati;
• copie offline;
• test di ripristino;
• piani di continuità operativa.

Monitoraggio e logging

• SIEM;
• raccolta log centralizzata;
• detection automatica;
• alerting in tempo reale.

6. Gestire la supply chain

Uno degli aspetti più innovativi della NIS2 riguarda la sicurezza dei fornitori.

Le aziende devono valutare il rischio cyber della propria filiera attraverso:

• audit fornitori;
• clausole contrattuali di sicurezza;
• assessment periodici;
• monitoraggio delle terze parti;
• requisiti minimi di cybersecurity.

Molti attacchi informatici moderni colpiscono infatti le aziende attraverso partner o fornitori vulnerabili.

7. Preparare la gestione degli incidenti

La direttiva introduce obblighi stringenti di incident response.

Le organizzazioni devono predisporre:

• procedure di rilevazione;
• team di gestione incidenti;
• piani di escalation;
• comunicazione interna;
• gestione delle crisi;
• processi di notifica alle autorità.

In caso di incidente significativo, la segnalazione deve avvenire entro tempi molto rapidi.

8. Formare il personale

La sicurezza informatica non dipende solo dalla tecnologia. L’errore umano rappresenta ancora una delle principali cause di violazione.

La formazione deve coinvolgere:

• management;
• dipendenti;
• amministratori di sistema;
• fornitori;
• collaboratori esterni.

I programmi di awareness dovrebbero includere:

• phishing;
• password security;
• uso sicuro delle email;
• gestione dati;
• social engineering;
• incident reporting.

9. Documentare tutto

La compliance NIS2 richiede evidenze documentali solide.

L’azienda deve mantenere:

• policy aggiornate;
• registri dei rischi;
• inventario asset;
• report di audit;
• piani di continuità;
• log di sicurezza;
• verbali di formazione;
• procedure operative.

La documentazione è fondamentale in caso di verifiche da parte delle autorità competenti.

10. Eseguire audit e miglioramento continuo

La cybersicurezza non è un progetto una tantum, ma un processo continuo.

L’azienda dovrebbe prevedere:

• vulnerability assessment;
• penetration test;
• audit periodici;
• simulazioni di attacco;
• verifica delle procedure;
• aggiornamento continuo dei controlli.

La NIS2 promuove infatti una logica di resilienza dinamica.

Le sanzioni previste

La direttiva introduce sanzioni molto severe per le organizzazioni non conformi.

Le autorità nazionali possono applicare:

• multe milionarie;
• ordini correttivi;
• sospensioni operative;
• responsabilità diretta del management;
• obblighi di adeguamento immediato.

Oltre agli aspetti economici, i danni reputazionali possono essere estremamente rilevanti.

I vantaggi della compliance NIS2

Sebbene l’adeguamento richieda investimenti importanti, la conformità porta numerosi benefici:

• maggiore resilienza operativa;
• riduzione del rischio cyber;
• protezione dei dati aziendali;
• aumento della fiducia dei clienti;
• miglioramento della reputazione;
• maggiore affidabilità verso partner e investitori;
• continuità dei servizi;
• migliore gestione delle crisi.

La cybersicurezza diventa quindi un fattore competitivo oltre che normativo.

NIS2 e standard internazionali

Molte aziende stanno integrando la NIS2 con framework già esistenti come:

• ISO 27001;
• framework NIST;
• COBIT;
• CIS Controls.

Questi standard aiutano a costruire sistemi di sicurezza strutturati e facilmente auditabili.

Il futuro della cybersecurity aziendale

La NIS2 rappresenta soltanto una parte di un cambiamento più ampio. Nei prossimi anni la regolamentazione europea sulla cybersicurezza diventerà sempre più stringente, soprattutto con l’aumento delle minacce digitali e dell’intelligenza artificiale.

Le aziende dovranno evolvere da una logica puramente tecnica a una cultura diffusa della sicurezza, integrando cybersecurity, governance, compliance e resilienza operativa.

Devi applicare la NIS2 in azienda ? Novajo può aiutarti. Contattaci per saperne di più

Cassinera dedica al tema anche  una puntata del podcast Next Legal.