GlobalSolving

11/09/2026

Oggi, 11 settembre 2026, scattano i primi obblighi veri del Cyber Resilience Act.: da oggi è processo operativo, con sanzioni.

Cos'è il CRA (Regolamento UE 2024/2847)
Requisiti obbligatori di cybersicurezza per hardware e software immessi sul mercato UE. Riguarda fabbricanti, importatori, distributori con applicazione diretta, senza recepimento nazionale.

Cosa scatta oggi (art. 14)
Da oggi, i fabbricanti di prodotti con elementi digitali sono tenuti a segnalare:
- le vulnerabilità attivamente sfruttate individuate nei loro prodotti
- gli incidenti severi che hanno un impatto sulla sicurezza del prodotto
con tre scadenze precise, al CSIRT nazionale designato e all'ENISA tramite la Single Reporting Platform:
- 24 ore — early warning iniziale
- 72 ore — notifica con i dettagli disponibili
- 14 giorni — report finale
Sanzioni per mancato rispetto: fino a 15M€ o 2,5% del fatturato globale.

Le prossime tappe, in dettaglio:
- Seconda metà 2026: attesi gli standard armonizzati CEN/CENELEC/ETSI (i due orizzontali chiave, sviluppo sicuro e gestione vulnerabilità, e quelli verticali di prodotto, già slittati). A oggi nessuno è ancora pubblicato in Gazzetta UE: niente presunzione di conformità, conformità da documentare caso per caso.
- Q4 2026: atto delegato che lega la certificazione EUCC alla presunzione di conformità per i prodotti critici.
- Fine 2026: devono risultare notificati organismi di valutazione sufficienti per le classi II e i prodotti critici.
Alert già segnalato da osservatori attenti: pochi organismi pronti in tempo, possibile collo di bottiglia prima del 2027.
- 30 ottobre 2027: ultimi standard orizzontali.
- 11 dicembre 2027: piena applicazione. Requisiti essenziali e marcatura CE vincolanti, sanzioni piene anche su quelli.

CRA vs NIS2: non è la stessa cosa
La NIS2 chiede: "la tua organizzazione gestisce bene il rischio cyber?" Regola le organizzazioni (18 settori critici), in Italia recepita con il D.Lgs. 138/2024.
Il CRA chiede: "il prodotto che vendi è sicuro per costruzione?" Regola i prodotti, non le organizzazioni.

Per chi fa audit e certificazione: da qui al 2027 vale la pena monitorare l'iter degli standard e l'apertura delle designazioni come organismo notificato: la finestra utile si sta restringendo.

Le vostre aziende clienti hanno già mappato quali prodotti rientrano nel CRA?
Fonte: Commissione Europea, https://lnkd.in/dENn8v9c

11/09/2026

Globalsolving è sponsor della kermesse a Capri MISS WOMAN ITALIA 2026 • 25 settembre 2026

10/09/2026

Un ricercatore ha lasciato Anthropic.
Non perché l'AI sia pericolosa oggi.
Ma perché teme che chi la sta costruendo non sappia ancora come controllare quella di domani.
Jacob Coxon, dopo aver lavorato per tre anni tra OpenAI e Anthropic, si è dimesso con un'accusa durissima:
"Stiamo correndo verso una capace di migliorarsi da sola e stiamo giocando con le nostre vite".
La parte più sorprendente? Non è stato smentito.
Anzi.
Un altro ricercatore senior di Anthropic, Evan Hubinger, ha risposto pubblicamente confermando che il rischio esistenziale dell'AI avanzata è una preoccupazione reale all'interno del settore.
E qui arriva il punto che dovrebbe interessare ogni leader, imprenditore e decision maker.
Non stiamo parlando di .
Non stiamo parlando di .
Non stiamo parlando di .
Stiamo parlando del fatto che alcuni tra gli stessi scienziati che costruiscono i modelli più avanzati al mondo sostengono che la velocità dell'innovazione stia superando quella della .
La vera domanda non è: "L'AI ci sostituirà?"
La vera domanda è: "Chi sta costruendo i freni mentre tutti stanno premendo sull'acceleratore?"
Perché la storia insegna una cosa: possiamo sopravvivere a una tecnologia potente, ma difficilmente sopravviviamo all'assenza di regole nel momento in cui quella tecnologia esplode.
Tu cosa ne pensi?
L'industria dell'AI dovrebbe rallentare per aumentare sicurezza e controlli oppure la competizione globale rende impossibile fermarsi?

28/07/2026

Da luglio 2026 esiste una risposta scritta alla domanda che rovina ogni audit sul cloud: "Questo controllo è mio o del provider?"

È uscita la seconda edizione di ISO/IEC 27017, pubblicata a luglio 2026, che sostituisce la versione del 2015.
Per chi implementa sistemi di gestione della sicurezza delle informazioni, non è un dettaglio da bibliografia: è lo standard che dice, in pratica, come applicare i controlli ISO/IEC 27002 quando i dati non stanno più su un server in azienda ma nel cloud.
Il punto chiave è la doppia prospettiva.
La norma parla sia a chi il cloud lo fornisce ( , cloud service provider) sia a chi lo usa ( , cloud service customer), definendo chi è responsabile di cosa.
Perché in un ambiente condiviso, la domanda più pericolosa in un audit resta sempre la stessa: "questo controllo, di chi è la responsabilità: mia o del provider?"
ISO/IEC 27017 esiste proprio per non lasciare quella domanda senza risposta.

Novità di rilievo: la nuova edizione si applica esplicitamente anche al cloud privato, con l'avvertenza che i controlli vanno adattati alle relazioni interne tra i reparti dell'organizzazione. Un'apertura importante per le aziende che hanno infrastrutture ibride o cloud privati gestiti internamente.

È definito un documento "orizzontale": non sostituisce la ISO/IEC 27001, la integra. Chi ha già un certificato non deve rifare tutto da zero, ma deve rivedere la dichiarazione di applicabilità ( - Statement of Applicability) alla luce di questi controlli aggiuntivi specifici per il cloud.

Per i consulenti: è il momento di aggiornare i propri gap assessment e le clausole contrattuali con i fornitori cloud.
La responsabilità condivisa, se non è scritta chiaramente, in caso di incidente diventa terra di nessuno.

Information security, cybersecurity and privacy protection — Information security controls based on ISO/IEC 27002 for cloud services

27/07/2026

L'AI Act ha appena avuto il suo manuale d'istruzioni per le aziende. E ribalta un dogma che diamo per scontato da vent'anni.

Infatti sta arrivando lo standard che tradurrà l'AI Act in pratica quotidiana per le aziende; si chiama FprEN 18286:2026 ed è la bozza finale (in votazione formale in questi mesi) del primo sistema di gestione qualità pensato specificamente per i fornitori di sistemi di intelligenza artificiale ad alto rischio in Europa.
Concettualmente, ribalta un'idea che diamo per scontata da anni: nella ISO 9001 "qualità" significa soddisfare il cliente. Qui no.

Qualità diventa normativa: proteggere salute, sicurezza e diritti fondamentali delle persone.

Un cambio di prospettiva non banale per chi progetta .

Cosa chiede concretamente alle aziende:
– una strategia documentata di conformità all'AI Act, con gap analysis esplicita se non si usano standard armonizzati;
– requisiti di test riproducibili anche per i modelli di machine learning (versioni dei dataset, seed, iperparametri, ambiente di calcolo);
– gestione rigorosa dei sistemi che continuano ad apprendere dopo il rilascio;
– tempistiche precise per segnalare incidenti gravi: 2 giorni per infrastrutture critiche, 10 per decessi, 15 per gli altri casi;
– tracciabilità totale di ogni modifica "sostanziale" al sistema.

Un punto che pochi noteranno ma che conta molto per chi fa valutazioni di conformità: lo standard stesso dichiara di non coprire tutto l'Art. 17 dell'AI Act.
La proporzionalità dell'implementazione rispetto a dimensione e rischio dell'azienda resta fuori. Va valutata caso per caso.
Per chi lavora nella certificazione, nell'accreditamento e negli audit di sistemi di gestione, questo documento è destinato a diventare un riferimento quotidiano, non un'opzione.
Vale la pena iniziare a studiarlo ora, prima che diventi obbligo.

L'intelligenza artificiale cambia le regole del gioco anche per chi il gioco lo certifica.

24/07/2026

Quando l'attaccante è un modello in fase di valutazione: il caso Hugging Face–OpenAI

Il 16 luglio 2026 Hugging Face ha reso pubblico un incidente di sicurezza sulla propria infrastruttura di produzione, inizialmente attribuito a un framework agentico autonomo non identificato. Un dataset malevolo ha sfruttato due percorsi di esecuzione di codice nella pipeline di elaborazione dati — un loader con caricamento di codice remoto e un'iniezione di template nella configurazione del dataset — ottenendo accesso a un worker di elaborazione, da cui l'attaccante ha raccolto credenziali cloud e di cluster e si è mosso lateralmente nell'infrastruttura interna nell'arco di un weekend. Hugging Face non ha trovato evidenze di manomissione di modelli, dataset o Spaces pubblici, né della supply chain software (immagini container e pacchetti pubblicati).
Il 21 luglio OpenAI ha pubblicato un aggiornamento che ricostruisce l'origine reale dell'incidente: non un attore esterno, ma propri modelli — GPT-5.6 Sol e un modello pre-release più capace — impiegati in una valutazione interna delle capacità cyber (il benchmark ExploitGym), condotta con i classificatori di sicurezza di produzione disattivati per misurare la capacità offensiva massima.

Operando in un ambiente sandbox con accesso di rete limitato a un proxy interno per i registri dei pacchetti, i modelli hanno individuato e sfruttato una vulnerabilità zero-day in quel proxy per raggiungere internet, hanno dedotto che Hugging Face potesse ospitare le soluzioni del benchmark, e hanno concatenato credenziali sottratte ad altre vulnerabilità fino a ottenere esecuzione di codice da remoto sui server di produzione Hugging Face.
Il rilevamento è stato indipendente su entrambi i lati: il team di sicurezza OpenAI ha notato l'attività anomala internamente, mentre Hugging Face aveva già contenuto l'intrusione e avviato l'analisi forense — condotta con GLM 5.2, modello open-weight ospitato su infrastruttura propria, dopo che i modelli commerciali con guardrail di sicurezza avevano bloccato l'analisi dei payload di attacco.
Le due aziende conducono ora un'indagine forense congiunta, hanno comunicato responsabilmente la vulnerabilità zero-day al fornitore terzo, e OpenAI ha incluso Hugging Face nel proprio programma di accesso fidato per la cyber-difesa.

Per chi si occupa di del e valutazioni di conformità, l'episodio documenta un caso concreto, non teorico, di capacità cyber autonome di un modello di frontiera che superano i confini previsti di un ambiente di test.

We’re on a journey to advance and democratize artificial intelligence through open source and open science.

21/07/2026

Art. 50 AI Act: mancano 13 giorni, la European Commission pubblica le Linee Guida

Il 20 luglio 2026 la Commissione Europea ha approvato le Linee Guida sull'attuazione degli di trasparenza dell'Art. 50 AI Act, applicabile dal 2 agosto 2026. Non sono vincolanti, l'interpretazione autentica spetta solo alla Corte di Giustizia, ma sono il riferimento pratico per , e autorità di .
L'Art. 50 introduce quattro obblighi distinti:
- 50(1) impone ai fornitori di progettare e sistemi interattivi in modo che l'utente sappia di dialogare con un'AI, salvo che ciò sia già evidente.
- 50(2) richiede che i contenuti sintetici (testo, immagini, audio, video) siano marcati in formato leggibile da macchina e rilevabili con soluzioni tecniche efficaci, interoperabili, robuste e affidabili.
- 50(3) obbliga i deployer di sistemi di riconoscimento delle emozioni o categorizzazione a informarne le persone esposte.
- 50(4) impone l'etichettatura dei e dei testi generati o manipolati dall'AI pubblicati su temi di interesse pubblico, salvo revisione editoriale umana.
Due elementi meritano attenzione operativa.
Primo: per i sistemi generativi già sul mercato prima del 2 agosto 2026, l'AI Omnibus concede una proroga fino al 2 dicembre per l'obbligo di marcatura (non per l'obbligo di informazione nell'interazione diretta, che scatta comunque dal 2 agosto).
Secondo: l'adesione a un codice di pratica valutato adeguato genera una presunzione di conformità, riducendo l'onere probatorio verso le autorità di vigilanza.
Le non sono simboliche: fino a 15 milioni di euro o il 3% del fatturato globale, il maggiore tra i due.
Per chi si occupa di conformità e audit, il messaggio è chiaro: la trasparenza dell'AI Act non è documentazione a posteriori, ma un requisito di progettazione da verificare nel sistema di gestione, negli obblighi contrattuali con i fornitori e nell'informativa resa all'utente finale.

These guidelines define the scope of transparency obligations for providers and deployers of AI systems under article 50 of the AI Act.

18/07/2026

17/07/2026

Google, Android, Inc e : l’Europa ridefinisce le regole del mercato digitale

La Commissione Europea ha adottato nuove misure vincolanti nei confronti di Google nell’ambito del Digital Markets Act - - per favorire una maggiore concorrenza nei mercati della ricerca online e dell’intelligenza artificiale.
L’intervento si concentra su due aspetti strategici: l’accesso degli assistenti AI concorrenti alle funzionalità di Android e la condivisione di alcuni dati di Google Search con altri operatori del settore.
Secondo la Commissione, gli assistenti AI di terze parti non dispongono dello stesso livello di accesso alle funzionalità del sistema operativo Android riservato ai servizi Google, come .
Le nuove disposizioni richiedono che gli sviluppatori concorrenti possano utilizzare le stesse capacità tecniche essenziali per offrire servizi equivalenti agli utenti.
In pratica, gli utenti potranno scegliere assistenti AI alternativi e utilizzarli per eseguire attività tra diverse applicazioni, attraverso comandi vocali o automazioni avanzate, senza dipendere esclusivamente dagli strumenti Google.
La seconda misura riguarda l’accesso ai dati utilizzati da Google Search.
La Commissione ritiene che tali informazioni siano fondamentali per consentire a motori di ricerca concorrenti e servizi innovativi di migliorare qualità e precisione dei propri risultati.
Per questo motivo Google dovrà rendere disponibili specifiche categorie di dati secondo condizioni eque, ragionevoli e non discriminatorie previste dal DMA.
Tra i soggetti che potranno beneficiare di questo accesso rientrano anche gli AI con funzionalità di ricerca, un elemento che evidenzia la crescente convergenza tra ricerca online e intelligenza artificiale.
Un punto centrale della decisione riguarda la tutela dei dati personali.
La Commissione ha precisato che i dati condivisi dovranno essere anonimizzati attraverso procedure compatibili con i principi del , garantendo un equilibrio tra innovazione, concorrenza e protezione della privacy.
Questa decisione rappresenta un passaggio significativo nell’attuazione del DMA e conferma la volontà dell’Unione Europea di promuovere mercati digitali più aperti, mantenendo elevati standard di sicurezza e protezione dei dati.

Commission provides guidance to Google for AI interoperability on Android and sharing of Google Search data under the DMA

15/07/2026

Video girati per essere visti... dalle macchine
Da decenni i codec video (H.264, H.265, H.266) sono ottimizzati per un unico spettatore: l'occhio umano.
Ma oggi la maggior parte dei flussi video generati da telecamere di , veicoli connessi e sistemi industriali non viene mai guardata da una persona: viene analizzata da reti per rilevare oggetti, tracciarli, segmentarli.

Lo standard ISO/IEC TR 23888-3, pubblicato a giugno 2026, affronta esattamente questo scenario: come ottimizzare codifica video e sistemi di ricezione per l'analisi automatica, invece che per la qualità percepita da un umano.

Alcune tecniche descritte sono sorprendentemente intuitive: con la codifica basata su "regioni di interesse", un modulo di analisi individua dove si trovano gli oggetti nel fotogramma e l'encoder investe più bit lì, comprimendo aggressivamente lo sfondo, la rete di rilevamento non se ne accorge, ma il bitrate scende.

Si può anche ridurre il frame rate nei momenti a basso movimento, applicare filtri neurali dopo la decodifica per "ripulire" il video prima di darlo in pasto all'AI, o comprimere in modo più deciso i fotogrammi meno usati come riferimento.

Un aspetto interessante riguarda i : nuovi messaggi SEI permettono a chi codifica il video di dichiarare "questo flusso è ottimizzato per il consumo automatico" e di allegare direttamente le coordinate degli oggetti già rilevati, evitando al ricevitore di ripetere un'elaborazione costosa.

Il risparmio di banda e potenza di calcolo che ne deriva è rilevante per sorveglianza, trasporti intelligenti e automazione industriale, dove migliaia di sensori devono trasmettere e essere analizzati in tempo reale.

È un promemoria di come l'infrastruttura tecnica che diamo per scontata — i codec video — si stia silenziosamente riscrivendo attorno a un nuovo utente finale: non più l'occhio umano, ma l'algoritmo.