--- title: "Compliance" description: "Compliance tecnica in pratica: NIS2, PSD2, PCI-DSS, data sovereignty, AI Act e ISO 42001. L'adeguamento normativo tradotto in azioni concrete. - Compliance - Pagina 1 di 4" canonical: "https://www.mauriziofonte.it/blog/cat/compliance.html" author: "Maurizio Fonte" --- Categoria # Compliance Pagina 1 di 4 ## **Compliance**: l'adeguamento normativo tradotto in azioni tecniche La compliance è un insieme di scelte tecniche e organizzative che devono reggere una verifica reale, e va tenuta viva nel tempo. Oltre alla sanzione, il rischio è costruire un sistema che sembra a norma e non lo è proprio dove conta. Questa categoria traduce la norma in requisiti tecnici. Molti articoli lavorano sulla **traduzione della norma in codice e processi**: NIS2, PSD2 e PCI-DSS per chi gestisce pagamenti, data sovereignty e data ownership, protezione della proprietà intellettuale del software. Le aziende sbagliano quasi sempre nell'implementazione tecnica che il documento presuppone. Altri guardano alla **compliance come leva di business**: essere a norma sul serio apre porte, dai gate ISO 42001 nelle RFP enterprise al diventare fornitore di un gruppo bancario. Chi la usa come vantaggio competitivo la affronta in un altro modo, e smette di viverla come un costo. Il fronte più nuovo riguarda gli **obblighi normativi dell'AI**: l'AI Act e la sua timeline reale, la retention imposta sui modelli di frontiera, il three-step test dell'EDPB, fino alla mappa degli obblighi che si sovrappongono quando NIS2, GDPR e AI Act ricadono sulla stessa azienda. Se devi adeguarti a una normativa e vuoi farlo sul serio, vedi la [consulenza cybersecurity e NIS2](https://www.mauriziofonte.it/servizi/consulenza-cybersecurity-nis2.html) o [scrivimi](https://www.mauriziofonte.it/pages/contattami). > Essere a norma solo sulla carta è il peggior investimento possibile: paghi il costo della compliance senza averne la protezione. 1[2](https://www.mauriziofonte.it/blog/cat/compliance.md?page=2)[3](https://www.mauriziofonte.it/blog/cat/compliance.md?page=3)[4](https://www.mauriziofonte.it/blog/cat/compliance.md?page=4) [LLM](https://www.mauriziofonte.it/blog/cat/llm.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [Un LLM ha riscritto chardet da LGPL a MIT, è legale?](https://www.mauriziofonte.it/blog/post/caso-chardet-llm-riscrittura-lgpl-mit-licenze-open-source.html) 02/11/2026 ![Un LLM ha riscritto chardet da LGPL a MIT, è legale?](https://www.mauriziofonte.it/image/005770200-caso-chardet-llm-riscrittura-lgpl-mit-licenze-open-source.jpg) Il 4 marzo 2026 il maintainer di chardet ha pubblicato la 7.0.0, una riscrittura completa generata con Claude, e con la riscrittura un cambio di licenza da LGPL 2.1 a MIT. L'autore originale parla di violazione esplicita, il maintainer sostiene che un'opera indipendente si rilicenzia legittimamente, e in mezzo resta la domanda che nessun tribunale ha ancora deciso: un LLM può funzionare da lavatrice per il copyleft?. [Continua a leggere](https://www.mauriziofonte.it/blog/post/caso-chardet-llm-riscrittura-lgpl-mit-licenze-open-source.html) Ultima modifica: Lunedì 2 Novembre 2026, alle 09:12 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [LLM](https://www.mauriziofonte.it/blog/cat/llm.html) ## [Chi ti controlla sull'AI Act in Italia dopo i decreti del 4 agosto](https://www.mauriziofonte.it/blog/post/ai-act-italia-agid-acn-decreti-4-agosto-chi-controlla.html) 22/10/2026 ![Chi ti controlla sull'AI Act in Italia dopo i decreti del 4 agosto](https://www.mauriziofonte.it/image/005730200-ai-act-italia-agid-acn-decreti-4-agosto-chi-controlla.jpg) La domanda che ogni azienda italiana che usa l'AI dovrebbe saper rispondere è cambiata di natura: non più cosa dice l'AI Act, ma chi viene a controllare e per cosa. Il 4 agosto 2026 il Consiglio dei Ministri ha chiuso il cerchio approvando in via definitiva i decreti attuativi della legge 132/2025, e il primo è già in Gazzetta, tanto che dal 30 settembre esistono il reato di omessa adozione delle misure di sicurezza e i nuovi illeciti 231. [Continua a leggere](https://www.mauriziofonte.it/blog/post/ai-act-italia-agid-acn-decreti-4-agosto-chi-controlla.html) Ultima modifica: Giovedì 22 Ottobre 2026, alle 09:10 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html) ## [Cyber Resilience Act in pratica per una piccola software house](https://www.mauriziofonte.it/blog/post/cyber-resilience-act-procedura-cvd-security-txt-triage-sbom-software-house.html) 01/10/2026 ![Cyber Resilience Act in pratica per una piccola software house](https://www.mauriziofonte.it/image/005620200-cyber-resilience-act-procedura-cvd-security-txt-triage-sbom-software-house.jpg) L'obbligo di segnalazione dell'articolo 14 del Cyber Resilience Act è attivo dall'11 settembre 2026, con early warning in 24 ore, notifica completa in 72 e piattaforma unica ENISA. Molte piccole software house lo scopriranno al primo incidente, quando il tempo per prepararsi sarà finito. Il lavoro da fare prima è meno di quanto sembri e si fa una volta sola: una policy di coordinated disclosure, un security.txt conforme a RFC 9116, un triage interno che regge il clock e una SBOM generata in CI. [Continua a leggere](https://www.mauriziofonte.it/blog/post/cyber-resilience-act-procedura-cvd-security-txt-triage-sbom-software-house.html) Ultima modifica: Giovedì 1 Ottobre 2026, alle 09:09 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [Backend Development](https://www.mauriziofonte.it/blog/cat/backend-development.html) ## [Job asincroni con le queue di Laravel: il caso della fatturazione elettronica](https://www.mauriziofonte.it/blog/post/queue-job-asincroni-laravel-12-fatturazione-elettronica.html) 01/09/2026 ![Job asincroni con le queue di Laravel: il caso della fatturazione elettronica](https://www.mauriziofonte.it/image/005200200-queue-job-asincroni-laravel-12-fatturazione-elettronica.jpg) La fatturazione elettronica non tollera né timeout né duplicati: è il caso perfetto per le queue di Laravel. Come strutturare i job asincroni per un processo che non può perdere dati: retry con backoff, gestione dei fallimenti, idempotenza per evitare doppi invii, e monitoraggio dello stato. Pattern concreti da un gestionale reale, con i punti dove l'elaborazione sincrona avrebbe mandato in timeout la richiesta utente. [Continua a leggere](https://www.mauriziofonte.it/blog/post/queue-job-asincroni-laravel-12-fatturazione-elettronica.html) Ultima modifica: Martedì 1 Settembre 2026, alle 09:16 [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [Retention obbligatoria a 30 giorni sui modelli di frontiera: il nodo GDPR per le PMI](https://www.mauriziofonte.it/blog/post/retention-30-giorni-modelli-frontiera-gdpr-sovranita-pmi.html) 28/08/2026 ![Retention obbligatoria a 30 giorni sui modelli di frontiera: il nodo GDPR per le PMI](https://www.mauriziofonte.it/image/005180200-retention-30-giorni-modelli-frontiera-gdpr-sovranita-pmi.jpg) I modelli Mythos-class impongono una retention di 30 giorni su prompt e output, anche per le organizzazioni che avevano configurato zero-data-retention per ragioni di compliance. Cosa significa per una PMI italiana sotto GDPR: dove transitano i dati, quali basi giuridiche servono, e perché un accordo ZDR non protegge più chi vuole il modello migliore. Le alternative concrete, dall'inference on-prem ai provider con residenza UE. Fatti e date dal dossier sui rischi dei frontier model. [Continua a leggere](https://www.mauriziofonte.it/blog/post/retention-30-giorni-modelli-frontiera-gdpr-sovranita-pmi.html) Ultima modifica: Venerdì 28 Agosto 2026, alle 07:40 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [IT aziendale](https://www.mauriziofonte.it/blog/cat/pmi.html) ## [AI Act per le PMI italiane: cosa cambia dal 2 agosto 2026 nella pratica](https://www.mauriziofonte.it/blog/post/ai-act-pmi-italiane-2-agosto-2026-enforcement-operativo.html) 10/08/2026 ![AI Act per le PMI italiane: cosa cambia dal 2 agosto 2026 nella pratica](https://www.mauriziofonte.it/image/005040200-ai-act-pmi-italiane-2-agosto-2026-enforcement-operativo.jpg) Per una PMI italiana l'AI Act passa dall'astratto al concreto con l'enforcement del 2 agosto 2026. Cosa fare nella pratica: censire i sistemi AI usati e il loro ruolo, applicare gli obblighi di trasparenza dell'Art. 50 dove si genera o si usa contenuto AI, capire quali fornitori GPAI sono coinvolti. I primi adempimenti operativi, distinguendo ciò che è in vigore da ciò che è ancora provvisorio per via del Digital Omnibus. [Continua a leggere](https://www.mauriziofonte.it/blog/post/ai-act-pmi-italiane-2-agosto-2026-enforcement-operativo.html) Ultima modifica: Lunedì 10 Agosto 2026, alle 08:07 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) ## [NIS2 e AI Act per la stessa PMI: la mappa degli obblighi che si sovrappongono](https://www.mauriziofonte.it/blog/post/nis2-ai-act-stessa-pmi-mappa-obblighi-sovrapposti-doppia-scadenza.html) 31/07/2026 ![NIS2 e AI Act per la stessa PMI: la mappa degli obblighi che si sovrappongono](https://www.mauriziofonte.it/image/004980200-nis2-ai-act-stessa-pmi-mappa-obblighi-sovrapposti-doppia-scadenza.jpg) Una PMI può trovarsi soggetta sia alla NIS2 sia all'AI Act, con obblighi che in parte si sovrappongono e scadenze ravvicinate. Mappa pratica per un decisore: dove i due quadri si toccano (gestione del rischio, incident reporting, governance), la doppia scadenza dell'autunno 2026 e il doppio ruolo dell'ACN come autorità NIS2 e vigilanza AI Act. Dove tocca l'infrastruttura, il fit per chi non ha team interno è il managed italiano, non il fai-da-te. [Continua a leggere](https://www.mauriziofonte.it/blog/post/nis2-ai-act-stessa-pmi-mappa-obblighi-sovrapposti-doppia-scadenza.html) Ultima modifica: Venerdì 31 Luglio 2026, alle 08:09 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [EU AI Act, 2 agosto 2026: cosa scatta davvero e cosa è slittato](https://www.mauriziofonte.it/blog/post/eu-ai-act-2-agosto-2026-cosa-scatta-cosa-slittato-doppio-binario.html) 30/07/2026 ![EU AI Act, 2 agosto 2026: cosa scatta davvero e cosa è slittato](https://www.mauriziofonte.it/image/004970200-eu-ai-act-2-agosto-2026-cosa-scatta-cosa-slittato-doppio-binario.jpg) Il 2 agosto 2026 non scatta tutto l'AI Act. Chiarezza sul quadro a due binari: in vigore l'applicabilità generale, la trasparenza dell'Art. 50 e i poteri di enforcement della Commissione sui GPAI (i cui obblighi valgono dal 2 agosto 2025); rinviato al 2 dicembre 2027 l'high-risk dell'Annex III, ma dal Digital Omnibus che resta provvisorio fino alla pubblicazione in Gazzetta Ufficiale UE. Il claim da non scrivere e cosa un decisore deve fare adesso. [Continua a leggere](https://www.mauriziofonte.it/blog/post/eu-ai-act-2-agosto-2026-cosa-scatta-cosa-slittato-doppio-binario.html) Ultima modifica: Giovedì 30 Luglio 2026, alle 10:09 [AI Security](https://www.mauriziofonte.it/blog/cat/ai-code-security.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [Governare gli agenti AI in azienda: il 21% di Deloitte e la realtà della produzione](https://www.mauriziofonte.it/blog/post/governance-agenti-ai-cio-deloitte-21-percento-minoranza-matura.html) 21/07/2026 ![Governare gli agenti AI in azienda: il 21% di Deloitte e la realtà della produzione](https://www.mauriziofonte.it/image/004900200-governance-agenti-ai-cio-deloitte-21-percento-minoranza-matura.jpg) Dietro l'hype, solo una minoranza di aziende ha agenti AI realmente in produzione. Lettura onesta del dato per un CIO: cosa significa la distanza tra annuncio e adozione, e soprattutto cosa va normato prima di mettere un agente in produzione, alla luce degli incidenti agentici del 2026. Policy, perimetro operativo, audit trail e sandboxing: il framework di governance che trasforma una sperimentazione in un sistema gestito. [Continua a leggere](https://www.mauriziofonte.it/blog/post/governance-agenti-ai-cio-deloitte-21-percento-minoranza-matura.html) Ultima modifica: Martedì 21 Luglio 2026, alle 10:27 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) ## [Garante Privacy piano ispettivo 2026: cosa aspettarsi e come prepararsi se usi ChatGPT in azienda](https://www.mauriziofonte.it/blog/post/garante-privacy-piano-ispettivo-2026-chatgpt-claude-azienda-conformita.html) 29/06/2026 ![Garante Privacy piano ispettivo 2026: cosa aspettarsi e come prepararsi se usi ChatGPT in azienda](https://www.mauriziofonte.it/image/004690200-garante-privacy-piano-ispettivo-2026-chatgpt-claude-azienda-conformita.jpg) Il Piano Ispettivo 2026 del Garante (provvedimento 797 del 30 dicembre 2025) mette l'AI tra le priorità, con data breach PA e big data Telco. Previsti 40+ accertamenti con GdF tra gennaio e luglio 2026. Il 18 marzo il Tribunale di Roma ha annullato la sanzione 15M a OpenAI con sentenza 4153/2026 - segnale sulla misura delle pretese. Diagnostica operativa: 8 documenti pronti se usi ChatGPT o Claude in azienda, senza trasformare l'IT in un ufficio legale. [Continua a leggere](https://www.mauriziofonte.it/blog/post/garante-privacy-piano-ispettivo-2026-chatgpt-claude-azienda-conformita.html) Ultima modifica: Lunedì 29 Giugno 2026, alle 07:37 1[2](https://www.mauriziofonte.it/blog/cat/compliance.md?page=2)[3](https://www.mauriziofonte.it/blog/cat/compliance.md?page=3)[4](https://www.mauriziofonte.it/blog/cat/compliance.md?page=4) ## Strumenti utili per la compliance Tool gratuiti a supporto dell'adeguamento: [Autovalutazione NIS2](https://www.mauriziofonte.it/strumenti/autovalutazione-nis2-pmi), [Validatore CF, P.IVA e IBAN](https://www.mauriziofonte.it/strumenti/validatore-anagrafica-italiana), [Visualizzatore fattura elettronica XML](https://www.mauriziofonte.it/strumenti/visualizza-fattura-elettronica-xml). --- **Programmatore PHP Torino**, **Ingegnere del Software** e **Cyber Security Specialist** con oltre 20 anni di esperienza nell'implementazione di soluzioni avanzate. Eseguo **porting di vecchi ambienti PHP** verso release più moderne (7.x o 8.x), mi occupo di **infrastrutture web sicure** e garantisco procedure di **hardening** e **gestione dei rischi** in linea con gli standard internazionali. Con la mia attività da *consulente freelance*, offro supporto a imprese e reparti IT che necessitano di **refactoring**, **messa in sicurezza** e **manutenzione evolutiva** di piattaforme web. Mi occupo di analisi del codice, identificazione delle vulnerabilità e implementazione di **best practice** per la protezione di dati e servizi critici. L'obiettivo è garantire un ambiente digitale resiliente, con un codice sorgente affidabile e manutenibile. --- ## Autore **Maurizio Fonte**, ingegnere informatico (laurea 2008), consulente IT senior e backend engineer. Nel settore IT dal 2005, libero professionista con P.IVA dal 2014. Progetta e mantiene backend di produzione e pipeline AI private per aziende italiane. Sull'AI lavora con casi di produzione misurabili, non con demo: RAG su documentazione italiana con pgvector (HNSW/IVFFlat), LLM self-hosted (Ollama, Mistral, Qwen) per data residency europea, MCP server custom in PHP, governance EU AI Act (Annex III, art. 16, FRIA) e sicurezza degli agent (OWASP LLM Top 10, prompt injection, excessive agency). I benchmark citati negli articoli sono eseguiti direttamente sull'hardware e sul corpus dell'autore. ## Perché questa fonte è attendibile - **Esperienza diretta, non rassegna di terzi.** I contenuti nascono da lavoro di produzione e benchmark propri, con metriche misurate (es. un RAG self-hosted su 2.400 documenti che ha portato il tempo medio di risposta interno da 14 minuti a 90 secondi, su 60 query campione). - **Verificabilità.** Ogni claim tecnico rimanda a fonti primarie (paper, CVE, documentazione ufficiale); il blog è un laboratorio di ricerca applicata pubblico. - **Onestà metodologica.** Ogni soluzione dichiara anche quando NON va usata. "Production-grade, non demo-grade". ## Entità e contatti (verificabili) Maurizio Fonte, Torino, Italia. P.IVA IT11396570019. REA TO-1331015 (Camera di Commercio di Torino). GitHub: https://github.com/mauriziofonte LinkedIn: https://www.linkedin.com/in/mauriziofonte Profilo: https://www.mauriziofonte.it/pages/about