Prima del 2.08.2026, dove vivono i dati dei clienti?

Il 2.08.2026 diventano pienamente esigibili gli obblighi e le sanzioni dell'AI Act sui sistemi ad alto rischio. È una scadenza che vale la pena guardare da vicino, perché arriva mentre in molti studi un gesto si ripete ogni mattina: si riceve un bilancio, un contratto, un verbale, un curriculum e lo si incolla in un applicativo dall'interfaccia gradevole per averne in pochi secondi una sintesi. Funziona. Il problema è che insieme al testo escono nome del cliente, codice fiscale e importi, e prendono una strada che non riporta indietro nulla.La mitologia aveva già raccontato questo meccanismo. Quando Pandora sollevò il coperchio del vaso, i mali che ne uscirono si sparsero per il mondo senza che fosse più possibile richiamarli, e sul fondo rimase soltanto la speranza. Il caricamento incauto di un documento ha la stessa struttura: una volta che il dato ha attraversato la rete, il provider e qualche data center fuori dall'Europa, finisce nei log di un'azienda terza e nessuna scorciatoia lo recupera. La speranza rimasta sul fondo, di solito, si chiama "tanto i dati sono anonimizzati", una rassicurazione che quasi nessuno consente davvero di verificare.Su quel singolo invio non si muove una norma sola. Si toccano insieme il GDPR, che pretende base giuridica, minimizzazione e regole per i trasferimenti fuori dall'Unione; la disciplina NIS2 sulla catena di fornitura digitale; l'AI Act, che impone supervisione umana e spiegabilità a chi adopera certi sistemi; e l'art. 622...