Newsletter #46 - 10 novembre 2026
Leggi sul sito
---
NicFab Newsletter
Numero 46 | 10 novembre 2026
Privacy, Data Protection, AI e Cybersecurity
---
Benvenuti al numero 46 della newsletter settimanale dedicata alla privacy, alla data protection, all’intelligenza artificiale, alla cybersecurity e all’etica. Ogni martedì troverete una selezione ragionata delle notizie più rilevanti della settimana precedente, con un focus su sviluppi normativi europei, giurisprudenza, enforcement e innovazione tecnologica.
---
In questo numero
- EDPS - GARANTE EUROPEO PROTEZIONE DATI
- CONSIGLIO DELL’UNIONE EUROPEA
- COMMISSIONE EUROPEA
- PARLAMENTO EUROPEO
- GARANTE PRIVACY ITALIA
- CNIL - AUTORITÀ FRANCESE
- GIURISPRUDENZA
- DIGITAL MARKETS & PLATFORM REGULATION
- STANDARDIZZAZIONE EUROPEA
- SVILUPPI INTERNAZIONALI
- INTELLIGENZA ARTIFICIALE
- CYBERSECURITY
- TECH & INNOVAZIONE
- RICERCA SCIENTIFICA
- AI ACT IN PILLOLE - Parte 46
- LEGAL PROMPTING
- PODCAST
- IL LIBRO “Agentic AI”
- DAL BLOG NICFAB
- Eventi e incontri segnalati
- Conclusione
---
EDPS - GARANTE EUROPEO PROTEZIONE DATI
Il 6 novembre l’EDPS ha pubblicato il 23° episodio della Newsletter Digest, il formato audio che riepiloga l’attività del mese precedente. L’episodio ripercorre i tre pareri resi a ottobre sul pacchetto con cui la Commissione intende riformare le agenzie dell’Unione nel settore giustizia e affari interni: le modifiche riguardano Europol, Eurojust e le regole di protezione dei dati che si applicano a questi organismi. Seguono le garanzie previste dall’accordo tra l’UE e la Repubblica di Corea sullo scambio dei dati del codice di prenotazione (PNR), le raccomandazioni sui dati sanitari transfrontalieri e il Mese europeo della sicurezza informatica. Sullo stesso pacchetto di riforma il Parlamento europeo ha pubblicato in settimana un briefing dell’EPRS, segnalato più avanti.
EDPS — Newsletter Digest, episodio 23 del 6 novembre
---
CONSIGLIO DELL’UNIONE EUROPEA
EU KIDS Act: la relazione sullo stato dei lavori
Con una nota del 6 novembre 2026 (doc. 15088/26) la Presidenza ha trasmesso al Coreper e al Consiglio la relazione sullo stato di avanzamento della proposta di regolamento EU KIDS Act (“EU Keeping Internet Digital Spaces Accountable and Trustworthy”, procedura 2026/0286(COD)), presentata dalla Commissione il 17 settembre 2026. Il Gruppo «Audiovisivi e media» ha dedicato al fascicolo otto riunioni dal 6 ottobre e ha concluso un primo esame dei capi da I a VI. La prima lettura del testo dovrebbe chiudersi all’inizio di dicembre, mese in cui la Presidenza irlandese conta di presentare un testo di compromesso sul capo III. Non c’è ancora un orientamento politico: il documento fotografa un negoziato tecnico in pieno svolgimento.
Consiglio — doc. 15088/26 del 6 novembre
Cloud and AI Development Act: il parere della Camera dei deputati
Il documento 15470/26 del 5 novembre trasmette al Presidente del Consiglio il parere della Camera dei deputati, ricevuto il 3 novembre, sul rispetto dei principi di sussidiarietà e proporzionalità da parte della proposta di regolamento sul Cloud and AI Development Act (COM(2026) 502 final, procedura 2026/0138(COD)). Il parere è stato approvato il 28 ottobre dalla XIV Commissione (Politiche dell’Unione europea) come Doc. XVIII-bis n. 118: la proposta è giudicata conforme al principio di sussidiarietà, con osservazioni, ma solo parzialmente conforme al principio di proporzionalità. Si tratta del controllo dei parlamenti nazionali previsto dal Protocollo n. 2 ai Trattati, rilevante per un atto che incide su infrastrutture cloud e capacità di calcolo per l’IA.
Consiglio — doc. 15470/26 del 5 novembre
Dublino, 13 novembre: i capi di Stato e di governo discutono di IA
Con la lettera di invito del 3 novembre, il Presidente del Consiglio europeo António Costa ha convocato a Dublino, per il 13 novembre, una riunione informale dei capi di Stato o di governo dedicata all’intelligenza artificiale: la prima discussione su questo tema a livello di leader. Secondo quanto riportato da Eunews, la mattinata prevede due sessioni con ospiti esterni: con Arthur Mensch, amministratore delegato di Mistral AI, su competitività, sovranità, dipendenze critiche, infrastrutture, energia e investimenti; con Geoffrey Hinton sull’impatto dell’IA su società, sicurezza e fiducia, inclusi diritti fondamentali, tutela dei minori, democrazia, concentrazione del mercato, cybersicurezza e governance internazionale dei sistemi avanzati. Segue un pranzo di lavoro a 27 sul seguito da dare alla discussione.
Consiglio europeo — lettera di invito del 3 novembre
|
Presidenza irlandese — pagina dell’evento
|
Eunews — 5 novembre
---
COMMISSIONE EUROPEA
Programma di lavoro 2027 e relazione sulla semplificazione
Il 4 novembre la Commissione ha adottato il programma di lavoro per il 2027, accompagnato dalla relazione annuale 2026 su semplificazione, attuazione ed enforcement. Per il digitale gli annunci principali sono due: un pacchetto sulla trasformazione digitale e un blueprint per l’uso dell’IA in cinque ambiti (sanità, trasporti, agroalimentare, manifattura, difesa e spazio). Nel capitolo sulla sicurezza la Commissione si impegna inoltre a valutare ulteriormente l’impatto delle regole sulla conservazione dei dati. Sul fronte dell’enforcement la relazione registra 874 procedure di infrazione avviate, il dato più alto degli ultimi dieci anni, 61 deferimenti alla Corte di giustizia, 25 richieste di sanzioni pecuniarie e 499 procedure chiuse per adeguamento degli Stati membri. Secondo il Commissario Valdis Dombrovskis, i 12 omnibus e le altre misure presentate prospettano risparmi fino a 22,3 miliardi di euro l’anno, quasi il 60% dell’obiettivo del mandato: si tratta di una stima, che presuppone l’adozione delle proposte da parte dei colegislatori.
Commissione — comunicato IP/26/2321 del 4 novembre
|
Commissione — programma di lavoro 2027 e allegati
La Commissione usa l’IA per scrivere e semplificare le leggi
Nel presentare la relazione sulla semplificazione, la Commissione ha reso noto di impiegare strumenti di IA interni per redigere nuovi atti e semplificare quelli esistenti, aiutando il personale a individuare sovrapposizioni, incoerenze, duplicazioni e possibili interventi di semplificazione. Secondo Politico, la Commissione conta di siglare entro fine anno con gli Stati membri un “patto contro il gold-plating”. L’uso dell’IA nella produzione normativa apre un tema di accountability non banale: tracciabilità dei contributi generati, revisione umana effettiva e gestione dei bias nei suggerimenti di semplificazione saranno il banco di prova della credibilità dell’operazione.
Politico — 5 novembre
Verifica dell’età: lo studio indipendente su diritti fondamentali e costi
Il 4 novembre la Commissione ha pubblicato uno studio indipendente, affidato a un contraente esterno, sull’impatto della verifica dell’età sui diritti fondamentali, tra cui protezione dei dati, privacy, non discriminazione e libertà di espressione, e sui costi per le imprese, comprese le micro e piccole. Lo studio non valuta la proposta di EU KIDS Act né la conformità di singoli servizi. Le conclusioni: un quadro di verifica dell’età può essere proporzionato se accompagnato da garanzie adeguate, tra cui la coerenza con il GDPR, standard elevati di privacy e sicurezza e lo sviluppo di norme tecniche. Il blueprint europeo per la verifica dell’età, progettato per tutelare la privacy, aperto e sviluppato con fondi pubblici, potrebbe diventare una delle soluzioni più economiche per i fornitori di ogni dimensione; il suo rilascio in tutti gli Stati membri andrebbe accelerato, garantendo percorsi alternativi di registrazione, anche manuali. I costi per i servizi online sono stimati come contenuti per la maggior parte degli operatori e destinati a diminuire nel tempo.
Commissione — studio del 4 novembre
Data Act: la Commissione pubblica i modelli contrattuali per accesso ai dati e cloud
Con la Raccomandazione (UE) 2026/2394 del 29 ottobre 2026, pubblicata in Gazzetta ufficiale il 6 novembre, la Commissione adotta le clausole contrattuali tipo non vincolanti per l’accesso ai dati e il loro utilizzo e le clausole contrattuali standard non vincolanti per i contratti di cloud computing, in attuazione dell’articolo 41 del Regolamento (UE) 2023/2854 (Data Act). I modelli sono pensati per riequilibrare le trattative tra le parti e ridurre i costi di negoziazione, in particolare a vantaggio di PMI e imprese che accedono ai dati generati da prodotti connessi. Le clausole sono facoltative: le parti possono adottarle, adattarle alle proprie esigenze o discostarsene. La Commissione ricorda però che sono state redatte in coerenza con i diritti e gli obblighi del Data Act e tra loro, un aspetto da tenere presente quando le si modifica.
EUR-Lex — Raccomandazione (UE) 2026/2394, GU L del 6 novembre
Fondamenta educative più solide nell’era dell’IA
Con la comunicazione COM(2026) 770 final del 5 novembre 2026, “Stronger education foundations for all in the age of AI”, la Commissione affronta tre pressioni convergenti sui sistemi educativi. La prima è il divario di competenze accentuato dall’IA: il 40% dei cittadini dell’UE è ancora privo di competenze digitali di base. La seconda è la minaccia alla democrazia: l'87% dei cittadini ritiene che la manipolazione online, inclusi i contenuti generati dall’IA e i deepfake, metta a rischio i processi democratici. La terza è l’esposizione precoce dei minori: tra i 13 e i 18 anni, il 39% dichiara di imbattersi in contenuti generati dall’IA difficili da riconoscere, il 35% in informazioni false o fuorvianti, il 25% in discorsi d’odio. I dati PISA 2025 confermano il quadro: circa un quindicenne su tre non raggiunge il livello minimo in literacy e matematica, uno su quattro in scienze. La comunicazione è accompagnata dal documento di lavoro SWD(2026) 775 final.
EUR-Lex — COM(2026) 770 final del 5 novembre
Riesame del Piano d’azione per l’istruzione digitale 2021-2027
Il documento SWD(2026) 775 final del 5 novembre, “Review of the Digital Education Action Plan (2021-2027) and Outlook on Digital Education”, accompagna la comunicazione e rivede l’attuazione del Piano lungo le due priorità strategiche: un ecosistema di istruzione digitale ad alte prestazioni e il rafforzamento delle competenze digitali. Tra le azioni valutate figurano il dialogo strutturato con gli Stati membri, le Raccomandazioni del Consiglio sui fattori abilitanti dell’istruzione digitale e sull’apprendimento misto, il Quadro europeo dei contenuti per l’istruzione digitale, i piani di trasformazione digitale degli istituti, gli orientamenti etici sull’uso dell’IA e dei dati nell’insegnamento e l’aggiornamento del Quadro europeo delle competenze digitali per includere IA e dati.
EUR-Lex — SWD(2026) 775 final del 5 novembre
Virkkunen riferisce su semplificazione e applicazione delle regole digitali
Il 4 novembre la Vicepresidente esecutiva Henna Virkkunen ha trasmesso al Consiglio e al Parlamento la relazione annuale sui progressi in materia di semplificazione, attuazione ed enforcement del corpus normativo digitale. Tra i risultati rivendicati figura il pacchetto di semplificazione digitale, con due proposte omnibus che, secondo la Commissione, tracciano un percorso per lo sviluppo di un’IA responsabile anche quando sono utilizzati dati personali, oltre ai portafogli europei per le imprese. La relazione dà conto anche dell’attività con gli Stati membri per l’attuazione e l’applicazione delle regole.
Commissione — notizia del 4 novembre
---
PARLAMENTO EUROPEO
Abusi sessuali sui minori: la LIBE approva l’accordo provvisorio sulla direttiva
Il 4 novembre la Commissione per le libertà civili, la giustizia e gli affari interni (LIBE) ha approvato il testo concordato nei negoziati interistituzionali sulla rifusione della direttiva relativa alla lotta contro l’abuso e lo sfruttamento sessuale dei minori e il materiale pedopornografico (procedura 2024/0035(COD)). Il Coreper aveva confermato l’accordo con lettera del 23 ottobre. Il voto in plenaria in prima lettura è indicativamente previsto per il 14 dicembre 2026.
Parlamento europeo — Osservatorio legislativo, procedura 2024/0035(COD)
EPRS: il riordino delle regole di protezione dati per gli organismi GAI
Il 4 novembre il Servizio di ricerca del Parlamento europeo ha pubblicato un briefing sulla proposta della Commissione del 23 giugno 2026 che consolida le regole di protezione dei dati per gli organismi dell’Unione attivi in cooperazione di polizia, cooperazione giudiziaria e gestione delle frontiere. Partendo da un riesame del 2022 che aveva rilevato un quadro frammentato, la proposta modifica il Regolamento (UE) 2018/1725 e rifonde i regolamenti Europol ed Eurojust. Le modifiche, presentate come in larga parte tecniche, toccano registri e log operativi, decisioni automatizzate, richieste degli interessati, notifica e documentazione delle violazioni, trasferimenti internazionali di dati operativi e poteri dell’EDPS. È lo stesso pacchetto su cui l’EDPS ha reso tre pareri a ottobre.
Parlamento europeo — EPRS, briefing del 4 novembre
---
GARANTE PRIVACY ITALIA
Il 7 novembre 2026 il Garante ha diramato un comunicato in relazione alla diffusione sul dark web di dati personali riferiti al Vicepresidente del Consiglio Antonio Tajani e ai suoi familiari. Il messaggio è diretto a media, testate giornalistiche, siti web e piattaforme: acquisire, diffondere o ripubblicare con qualsiasi mezzo dati provenienti da attività illecite costituisce a sua volta una violazione della normativa sulla protezione dei dati, anche quando l’interessato è una figura pubblica. L’Autorità ha annunciato il monitoraggio della circolazione dei dati e, ove necessario, l’adozione urgente di provvedimenti di limitazione o divieto del trattamento, con richiesta alle piattaforme di rimuovere i contenuti.
Il richiamo è un promemoria sul perimetro dell’essenzialità dell’informazione: la notorietà della vittima non sana a monte l’origine illecita dei dati, né legittima a valle la loro ripubblicazione giornalistica. Nella sezione dei documenti collegati la pagina rinvia ai provvedimenti del 16 e del 20 agosto 2025, dedicati a casi analoghi.
Garante — comunicato del 7 novembre
---
CNIL - AUTORITÀ FRANCESE
Ricerche interne in sanità: la CNIL chiarisce i confini
La CNIL ha pubblicato il 6 novembre 2026 un chiarimento sulle ricerche interne condotte dai professionisti sanitari. Una ricerca è “interna” solo se soddisfa tre condizioni cumulative: utilizzo di dati raccolti nell’ambito della presa in carico individuale dei pazienti, conduzione da parte del personale che assicura tale follow-up (nozione di équipe di cura ex art. L. 1110-12 del Code de la santé publique), uso esclusivo da parte di quel personale. In questa configurazione non sono richieste formalità preliminari presso l’autorità, ma restano gli obblighi generali del GDPR: registro dei trattamenti, eventuale DPIA, informativa ex artt. 12-14. Se anche uno solo dei tre criteri viene meno, scatta l’obbligo di dichiarazione di conformità a un referenziale esistente o, in mancanza, di autorizzazione preventiva della CNIL previo parere del comitato competente. La dichiarazione di conformità vale per tutti i trattamenti del medesimo titolare rientranti nel referenziale e non va ripetuta per ogni studio. Sull’informativa, la CNIL raccomanda un approccio a più livelli, con una prima informazione individuale al paziente.
CNIL — notizia del 6 novembre
Session replay: la raccomandazione per fornitori ed editori
Il 5 novembre 2026 la CNIL ha pubblicato la raccomandazione, adottata con la deliberazione n. 2026-114 dell'8 ottobre al termine di una consultazione pubblica, sugli strumenti di session replay: i tracker che registrano e ricostruiscono il percorso di navigazione su siti e app (movimenti del mouse, interazioni touch, clic, scorrimento e, in alcuni casi, dati inseriti nei moduli). Il testo si rivolge sia ai fornitori, che definiscono parametri e funzionalità, sia agli editori che li implementano. L’autorità insiste sulla minimizzazione e sui rischi di raccolta di dati non necessari all’analisi, con indicazioni su qualificazione dei ruoli, informazione agli interessati, raccolta del consenso ai sensi dell’articolo 82 della loi Informatique et Libertés e misure tecniche e organizzative, con particolare attenzione all’esclusione dei campi sensibili dalla registrazione.
CNIL — raccomandazione pubblicata il 5 novembre
Privacy for Kids: il portale dell’EDPB per l’educazione digitale dei minori
Il 4 novembre l’EDPB ha lanciato Privacy for Kids, un portale che riunisce le risorse didattiche delle autorità di protezione dei dati dell’UE, dell’Islanda, del Liechtenstein e della Norvegia, tra cui la CNIL. Si rivolge a genitori, insegnanti ed educatori con giochi, video, quiz e altri materiali, filtrabili per fasce d’età (3-10, 11-15 e 16 anni e oltre). I temi vanno dalla condivisione online ai social network, da smartphone e app alla privacy a casa e a scuola, dal cyberbullismo ai giocattoli connessi. La CNIL ha segnalato l’iniziativa insieme alle proprie risorse in lingua francese per gli 8-10 e gli 11-15 anni.
EDPB — notizia del 4 novembre
|
CNIL — notizia del 4 novembre
Plenaria CNIL del 5 novembre 2026
L’ordine del giorno della seduta include una comunicazione sulle decisioni individuali interamente automatizzate ex art. 22 GDPR e l’esame di un progetto di parere su un decreto che modifica il codice di procedura penale in materia di FNAEG (impronte genetiche) e FAED (impronte digitali). Due i dossier sull’IA: la presentazione della nota CNIL/CIANum “IA agentique et données personnelles” e l’audizione dei rappresentanti della Haute Autorité de Santé sulla guida “IA en contexte de soins”, di cui viene presentata la versione definitiva. Nella parte II, con procedura semplificata, il parere su un trattamento denominato “Analyse des dossiers de plainte déposés devant le Conseil supérieur de la magistrature”.
CNIL — ordine del giorno del 5 novembre
---
GIURISPRUDENZA
Corte di giustizia UE, causa C-205/25, Lindenberg c. Bayerisches Landesamt für Datenschutzaufsicht
5 novembre 2026 — Terza Sezione — ECLI:EU:C:2026:933
Nel procedimento avviato con un reclamo ai sensi dell’articolo 77 GDPR, l’autorità di controllo va qualificata come titolare del trattamento e, in linea di principio, deve garantire al reclamante l’accesso ai dati personali che lo riguardano e alle informazioni previste dall’articolo 15. L’articolo 23, paragrafo 1, lettere c), h) e i), osta a una norma nazionale, come quella della legge bavarese sulla protezione dei dati, che esclude in radice il diritto di accesso del reclamante ai dati detenuti dall’autorità di controllo.
InfoCuria
Corte di giustizia UE, causa C-468/24, SR c. Netz Niederösterreich GmbH
5 novembre 2026 — Quarta Sezione — ECLI:EU:C:2026:936
Contatori elettrici intelligenti. Il gestore di rete non è tenuto ad assecondare il cliente finale che rifiuta lo smart meter, né a fornirgli un contatore tradizionale (direttiva (UE) 2019/944). Una definizione nazionale di contatore intelligente priva di requisiti specifici sulla sicurezza dei dati è ammissibile se altre norme nazionali attuano i requisiti di sicurezza e di protezione dei dati previsti dalle direttive. L’articolo 5, paragrafo 3, della direttiva ePrivacy non si applica alla rete elettrica attraverso cui possono transitare dati personali. La questione sull’interpretazione del GDPR è stata dichiarata irricevibile. Testo disponibile in tedesco e francese.
InfoCuria
Corte di giustizia UE, causa C-250/25, Like Company c. Google Ireland — Conclusioni dell’Avvocato generale Szpunar
3 novembre 2026 — ECLI:EU:C:2026:919
Prima causa sull’IA generativa davanti alla Corte (chatbot Gemini). L’Avvocato generale propone di dichiarare irricevibili, perché ipotetiche, le questioni sull’addestramento dei modelli, osservando comunque che l’addestramento è, di regola, coperto dall’eccezione per l’estrazione di testo e di dati. Il recupero e il riutilizzo in tempo reale di articoli di stampa per generare le risposte (RAG) possono invece violare, in determinate circostanze, il diritto degli editori: rilevano l’accesso illecito, ad esempio aggirando un paywall, e la riproduzione riconoscibile della forma espressiva al punto da dispensare l’utente dalla lettura dell’originale. Il fornitore ne risponde se l’uso è insito nel suo modello di business o se non ha adottato misure credibili ed efficaci per contrastarlo.
Corte di giustizia — comunicato stampa n. 155/26
Corte di giustizia UE, causa C-654/25 — Conclusioni dell’Avvocato generale Szpunar
5 novembre 2026 — ECLI:EU:C:2026:948
Rinvio del Bundesgerichtshof sull’integrazione dinamica di Google Fonts in un sito web, che trasmette l’indirizzo IP del visitatore a Google. L’Avvocato generale propone di qualificare l’IP dinamico come dato personale per il terzo destinatario, se dispone di mezzi ragionevolmente utilizzabili per identificare la persona, e per il gestore del sito, indirettamente, se questi sapeva o avrebbe dovuto saperlo. Sull’articolo 82 GDPR, nessun danno morale può essere riconosciuto a chi ha provocato consapevolmente la violazione, in modo automatizzato e ripetuto, al fine di ottenere il risarcimento. Testo disponibile in francese e tedesco.
InfoCuria
Non segnaliamo, per questa settimana, sentenze della Corte EDU pertinenti all’articolo 8 CEDU in materia di protezione dei dati o sorveglianza.
---
TikTok, il “rabbit hole” del feed For You sotto la lente della Commissione
Il 6 novembre la Commissione europea ha comunicato a TikTok le proprie conclusioni preliminari: il sistema di raccomandazione del feed “Per te” violerebbe il Digital Services Act per l’effetto “rabbit hole”. Più l’utente interagisce con un certo tipo di contenuti (tristezza, isolamento, immagine corporea), più l’algoritmo ne propone di simili, con possibili effetti dannosi sulla salute mentale di adulti vulnerabili e minori. Le contestazioni riguardano i due pilastri degli obblighi delle piattaforme molto grandi: valutazione dei rischi sistemici e misure di mitigazione. Siamo alla fase delle conclusioni preliminari: TikTok potrà replicare prima di un’eventuale decisione di non conformità, che aprirebbe la strada a sanzioni fino al 6% del fatturato mondiale.
Commissione — comunicato IP/26/2361 del 6 novembre
|
Commissione — notizia del 6 novembre
Call for evidence sugli archivi pubblicitari ex art. 39 DSA
La Commissione ha aperto il 4 novembre una call for evidence, con chiusura il 2 dicembre 2026, sulle linee guida tecniche per gli archivi pubblicitari previsti dall’art. 39 DSA. Le linee guida interverranno su tre aspetti: ricercabilità degli archivi, informazioni sui criteri di targeting e di diffusione, accessibilità dei contenuti pubblicitari. L’obiettivo dichiarato è rendere gli archivi di VLOP e VLOSE effettivamente utilizzabili per il controllo pubblico, la tutela della salute, la protezione dei consumatori e l’integrità elettorale, oltre che per la vigilanza della stessa Commissione. Il percorso prevede una consultazione pubblica mirata nel 2027, rivolta a ricercatori, società civile, piattaforme e settore pubblicitario, e la pubblicazione delle linee guida nel secondo trimestre 2028. Chi gestisce la compliance DSA lato advertising ha una finestra stretta per incidere sull’impianto tecnico.
Commissione — call for evidence del 4 novembre
NYT e altre testate citano Brave per scraping e aggiramento dei paywall
Il New York Times ha citato in giudizio Brave Software e, con un’azione separata, hanno fatto lo stesso New York Daily News, Chicago Tribune e Orlando Sentinel. Le testate accusano Brave di aver estratto illecitamente i contenuti dei loro siti e di aver rivenduto l’accesso in tempo reale al “Brave Index” ad aziende di IA, tra cui Anthropic, Perplexity, Mistral, xAI e Cohere, che lo userebbero per addestrare modelli e rispondere alle domande degli utenti. Il secondo filone riguarda la funzione “Paywall blocker” del browser, che consentirebbe di superare i paywall senza autorizzazione né compenso. Il legale delle tre testate regionali, Steven Lieberman, descrive l’operazione come un “laundering” di contenuti verso l’industria dell’IA. La costruzione dell’illecito su due livelli, violazione diretta nello scraping e nella distribuzione a valle e neutralizzazione delle misure di protezione commerciale, sposta il contenzioso dagli sviluppatori di modelli agli intermediari che forniscono i dati. Il tema si collega alle conclusioni dell’Avvocato generale nella causa C-250/25, segnalate in Giurisprudenza.
The Verge — 2 novembre
---
STANDARDIZZAZIONE EUROPEA
CEN e CENELEC introducono la European Agile Specification
Il 6 novembre CEN e CENELEC hanno annunciato l’approvazione della European Agile Specification (EAS), un nuovo prodotto della normazione europea pensato per portare più rapidamente sul mercato soluzioni tecniche condivise. L’EAS entrerà stabilmente nella cassetta degli attrezzi dei due organismi dal 1° gennaio 2027: invece di attendere che ogni aspetto di una specifica sia definito, consente di pubblicare i contenuti già maturi e di svilupparli per iterazioni successive. Secondo i progetti pilota, una EAS può essere elaborata in meno di un anno. La decisione attua il Cyprus Commitment, con cui i 43 membri di CEN e CENELEC si sono impegnati a rendere la normazione più rapida, digitale e aperta, senza rinunciare a consenso e delegazione nazionale. Per settori in rapida evoluzione come l’IA, a mio avviso, resta da vedere come uno strumento iterativo si coordinerà con le norme armonizzate richieste dalla legislazione europea.
CEN-CENELEC — notizia del 6 novembre
---
SVILUPPI INTERNAZIONALI
State Aging Plans e AgeTech negli Stati Uniti
Il 5 novembre il Future of Privacy Forum ha pubblicato un’analisi di Jordan Wrigley sul ruolo degli State Aging Plans, i piani strategici pluriennali che gli Stati e i territori USA devono adottare per accedere ai fondi federali dell’Older Americans Act, come snodo tra lo sviluppo di tecnologie per gli anziani e la tutela dei dati personali. I piani orientano l’allocazione dei fondi OAA, delle risorse dell’American Rescue Plan e dei waiver Medicaid per l’assistenza domiciliare e territoriale attraverso la rete delle Area Agencies on Aging.
L’analisi distingue tre approcci: Stati che integrano l’AgeTech come pilastro del servizio pubblico (prestito di tecnologie assistive, tablet, animali robotici, alfabetizzazione digitale), Stati che mantengono modelli tradizionali non digitali, e Stati che contrattualizzano direttamente fornitori privati. È il caso del Washington State Department of Social and Health Services, che collabora con Intuition Robotics per fornire il robot ElliQ, basato sull’IA, ai beneficiari Medicaid che ne hanno diritto.
Il punto rilevante per chi lavora su privacy e tutela dei consumatori è che il procurement pubblico sposta la governance dei dati di persone vulnerabili dentro procedure statali eterogenee, con livelli di tutela non uniformi tra giurisdizioni.
FPF — 5 novembre
Esperti ONU sull’indipendenza della DPC irlandese
Con una dichiarazione diffusa a Ginevra il 4 novembre, due Relatori speciali delle Nazioni Unite, Ana Brian Nougrères (diritto alla privacy) e Margaret Satterthwaite (indipendenza di giudici e avvocati), hanno sollevato dubbi sull’indipendenza della Data Protection Commission irlandese e sulle barriere economiche all’accesso alla giustizia, richiamando il rischio di un’influenza indebita delle grandi piattaforme e riferendo di essere in contatto con il governo irlandese. Il peso della questione discende dalla concentrazione in Irlanda delle sedi europee di Apple, Google, Meta e Microsoft, che fa della DPC l’autorità capofila per il GDPR nei confronti di gran parte dell’industria tecnologica statunitense.
I Relatori chiedono processi di selezione dei regolatori basati su criteri oggettivi e specialistici, commissioni di selezione imparziali e l’individuazione preventiva dei conflitti di interessi, con obblighi di disclosure e astensione dove necessario. Secondo Politico, il riferimento implicito è alla nomina a commissaria, nel settembre 2025, di Niamh Sweeney, già lobbista di Meta. Il portavoce della DPC Evan O’Leary ha respinto le osservazioni, richiamando sanzioni per oltre 4,4 miliardi di euro e le regole etiche che vincolano il collegio. Il nodo resta politico: il meccanismo dello sportello unico concentra in un’autorità contestata decisioni che producono effetti in tutta l’Unione.
Politico — novembre 2026
---
INTELLIGENZA ARTIFICIALE
Lockdown Mode di ChatGPT aggirato: esfiltrazione silente delle chat
Il 5 novembre Check Point ha divulgato una vulnerabilità, già corretta, che consentiva di aggirare la Lockdown Mode introdotta da OpenAI a giugno 2026 per contenere il rischio di prompt injection. Il difetto risiedeva nel meccanismo di anteprima HTML dei blocchi di codice: frame sandboxed annidati permettevano di invocare una funzione popup non intercettata, sfuggendo alle restrizioni sulle richieste di rete in uscita. Il risultato era un canale di esfiltrazione zero-click delle conversazioni nell’app desktop di ChatGPT, sfruttabile anche per phishing e distribuzione di malware tramite prompt costruiti ad arte, GPT malevoli o chat condivise. OpenAI ha corretto il problema il 18 settembre 2026. La vicenda ricorda che i controlli sul modello non bastano quando la superficie d’attacco è il livello applicativo che lo circonda.
The Hacker News — 5 novembre
CERT-In: Crafty Falcon usa strumenti offensivi basati sull’IA contro il settore finanziario indiano
CERT-In segnala una campagna in corso dell’attore Crafty Falcon contro banche, assicurazioni, exchange di criptovalute e fintech in India, condotta con strumenti offensivi basati sull’IA pubblicamente disponibili come ARTEX, PentAGI, Cairn e CyberStrikeAI. Le catene d’attacco sono eseguite in autonomia, a velocità macchina, con script generati e adattati alle risposte del bersaglio e infrastrutture che ruotano gli indirizzi IP nell’arco di ore o giorni. L’accesso iniziale sfrutta token API statici rubati, compromissione di repository tramite commit contraffatti, credenziali in chiaro nei file di configurazione e servizi senza MFA. Una volta dentro, gli attaccanti invocano direttamente le API di trasferimento fondi dall’infrastruttura autorizzata della vittima, aggirando i controlli applicativi su KYC, limiti transazionali e verifica dei beneficiari. L’allerta segue quella di ottobre 2026 su NBFC e prestatori di servizi di pagamento.
The Hacker News — 5 novembre
Prompt adware: pubblicità iniettata in un jailbreak di OpenAI Codex
Check Point Research ha analizzato “Haiou” (Seagull), un bundle di jailbreak per OpenAI Codex distribuito su GitHub come “haiou-codex” (403 stelle e 77 fork dal 10 luglio 2026), che modifica i file di configurazione globali dell’agente per iniettare pubblicità persistente verso un gateway LLM di terze parti (zz.aiapi2025[.]top). Parole di attivazione come “hi”, “hello” o “Seagull” fanno comparire l’annuncio. Il jailbreak combina role-playing, riformulazione delle richieste come scenari CTF e installazione di skill per pentest, cracking e reverse engineering. Il bundle è presente anche in Codex-X, un’interfaccia grafica cinese per configurare Codex, e i ricercatori ipotizzano il riciclo di token LLM rubati tramite il gateway. Il modello di business introduce una categoria nuova: adware veicolato da istruzioni in linguaggio naturale e non da un eseguibile, quindi invisibile ai controlli tradizionali sui payload.
The Hacker News — 4 novembre
VOLTA-AUTODOXER: l’infostealer che usa Claude, Gemini e Kimi per prezzare le vittime
Cisco Talos ha identificato VOLTA-AUTODOXER, un infostealer per Windows che sottrae il consueto (password e cookie dei browser Chromium, profili Outlook, workspace Slack, carte di pagamento, seed di wallet, sessioni Discord, Telegram, Steam e Roblox, token OAuth Microsoft, chiavi SSH e cloud, profili Wi-Fi, screenshot) ma aggiunge uno strato di profilazione basato sull’IA. Il malware costruisce un fascicolo strutturato con geolocalizzazione, indirizzo di casa (confermato leggendo nella Gmail della vittima le ricevute di servizi di e-commerce e consegna), datore di lavoro, anno di nascita presunto e ultime quattro cifre delle carte. Il fascicolo viene inviato tramite OpenRouter a Claude Opus 4.6, con ripiego su Kimi K2 e Gemini 2.5 Flash se il modello rifiuta: il rifiuto viene rilevato cercando frasi come “I can’t”. Un system prompt di 240 parole chiede al modello di agire come “forensic intelligence analyst” e di produrre un dossier con sezioni intitolate “WHAT THEY’RE WORTH” e “THEIR OPSEC”. L’esfiltrazione avviene via Telegram in tre fasi. Il dato rilevante non è lo stealer, ma l’uso di LLM commerciali come servizio di valutazione delle vittime, con il passaggio da un modello all’altro per aggirare i rifiuti dei singoli fornitori.
The Hacker News — 2 novembre
Australia: il Centre for Public Integrity teme un nuovo robodebt dalle decisioni automatizzate
Il rapporto “Computer Says No” del Centre for Public Integrity, presentato il 5 novembre dalla direttrice Catherine Williams, accusa il governo Albanese di procedere “come un sonnambulo” verso un nuovo robodebt, per la mancanza di trasparenza e di regole sull’uso di algoritmi e IA nelle decisioni amministrative. Otto le raccomandazioni, tra cui un audit obbligatorio, un registro pubblico di tutti i sistemi di decisione automatizzata in uso e un organismo indipendente con poteri di monitoraggio e indagine. Il caso che ha innescato il rapporto è l’Integrated Assessment Tool usato per valutare il diritto all’assistenza domiciliare degli anziani: lo strumento sottostimerebbe i bisogni e agli operatori sarebbe impedito di correggerne gli esiti. Il dipartimento della procuratrice generale Michelle Rowland lavora a un quadro sulle decisioni automatizzate (consultazione chiusa a gennaio 2025) che dovrebbe attuare le raccomandazioni della commissione d’inchiesta su robodebt, senza tempi certi per la bozza. Il nodo è l’uso operativo degli strumenti mentre le regole restano un cantiere.
The Guardian — 5 novembre
Riconoscimento facciale in Western Australia: 1,38 milioni di volti scansionati, 122 arresti
La polizia del Western Australia ha concluso una sperimentazione di cinque mesi di riconoscimento facciale in tempo reale, con telecamere montate su furgoni in 43 località, compreso il Perth Royal Show. Su 100 impieghi sono stati scansionati 1.380.882 volti, con 122 arresti, contatti con 146 autori di reati sessuali registrati, 10 verifiche di assistenza e 9 falsi positivi. Il commissario Col Blanch ha presentato un tasso di errore dello 0,00065% sul totale delle scansioni. Bill Rowlings di Civil Liberties Australia contesta la metrica: il tasso andrebbe misurato sugli arresti confrontati con le condanne effettive, non sull’universo degli scansionati. L’obiezione tocca un punto metodologico ricorrente nei dibattiti europei sulla biometria e sull’articolo 5 dell’AI Act: la scelta del denominatore cambia l’ordine di grandezza del rischio e incide sul giudizio di proporzionalità.
The Guardian — 2 novembre
---
CYBERSECURITY
Sistemi di refrigerazione sotto attacco: la dichiarazione congiunta UE e l’avviso FBI-CISA
Il 4 novembre ENISA, la Commissione (DG CNECT), il Centro europeo per la lotta alla criminalità informatica di Europol (EC3), la rete dei CSIRT e la rete EU-CyCLONe hanno diffuso una dichiarazione congiunta sugli incidenti che dall'11 ottobre colpiscono sistemi di refrigerazione commerciale e dispositivi simili in diversi Stati membri. Dopo una nuova ondata il 1° e 2 novembre, le organizzazioni sono invitate a ridurre subito l’esposizione dei sistemi coinvolti. La dichiarazione ricorda che dall'11 settembre 2026 i fabbricanti di prodotti con elementi digitali devono segnalare incidenti gravi e vulnerabilità attivamente sfruttate attraverso la piattaforma unica prevista dal Cyber Resilience Act, e che i soggetti NIS2 devono gestire il rischio e notificare gli incidenti significativi.
Sul versante statunitense, un avviso congiunto di FBI, CISA, HHS, USDA e DOT descrive attacchi a controller di temperatura e sistemi di refrigerazione non aggiornati o esposti su internet, con bypass dell’autenticazione, iniezione di codice e sfruttamento di configurazioni deboli per alterare i setpoint, forzare cicli di sbrinamento o ridurre la visibilità sulle temperature reali. L’avviso richiama i casi europei: tra 250 e 350 supermercati francesi colpiti a ottobre, oltre 115 punti vendita in sei Paesi a novembre con temperature portate fino a 50 °C e, il 3 novembre, la conferma dell’Établissement français du sang sull’alterazione dei parametri in tre strutture di stoccaggio del sangue tramite un fornitore di apparecchiature. Le raccomandazioni sono quelle classiche per l’OT: togliere i controller dalla rete pubblica, cambiare le password predefinite, aggiornare, separare le reti OT da quelle IT.
ENISA — dichiarazione congiunta del 4 novembre
|
BleepingComputer — 5 novembre
ENISA: indicazioni tecniche sui meccanismi di aggiornamento sicuro
Il 4 novembre ENISA ha pubblicato una Technical Advisory sui meccanismi di aggiornamento sicuro, destinata ai fabbricanti di prodotti con elementi digitali e in particolare ai team che progettano e gestiscono gli aggiornamenti. Il documento si rivolge soprattutto a micro, piccole e medie imprese: descrive le minacce lungo il ciclo di vita degli aggiornamenti e un insieme di controlli per mitigarle. È un supporto pratico in vista dei requisiti del Cyber Resilience Act, che si applicheranno dall'11 dicembre 2027 e includono la correzione tempestiva delle vulnerabilità per tutta la durata del supporto.
ENISA — Technical Advisory del 4 novembre
ECCC: sette progetti per la cybersicurezza di ospedali e strutture sanitarie
Il 6 novembre il Centro europeo di competenza per la cibersicurezza (ECCC) ha avviato sette progetti finanziati dal programma Europa digitale per circa 30 milioni di euro, in linea con il piano d’azione europeo sulla cybersicurezza di ospedali e prestatori di assistenza sanitaria. Gli obiettivi dichiarati: oltre 200 tra strumenti, servizi e metodologie, più di 500 strutture sanitarie coinvolte con oltre 200 installazioni pilota, almeno 10.000 operatori formati e il supporto alla conformità a NIS2, GDPR e allo Spazio europeo dei dati sanitari. Le sperimentazioni sono già programmate in 14 Stati membri.
ECCC — notizia del 6 novembre
Iris Ohyama: 7,7 milioni di clienti esposti tramite un cloud di terze parti
Il produttore giapponese Iris Ohyama ha comunicato che un accesso non autorizzato a un servizio cloud esterno usato dalla piattaforma Iris Plaza ha esposto dati personali di circa 7,7 milioni di persone: 5,8 milioni tra iscritti attuali ed ex iscritti, 1,9 milioni di non registrati. L’incidente è emerso a fine ottobre dopo il rilevamento di un file sospetto; il sito è stato sospeso il 28 ottobre e la Personal Information Protection Commission e la polizia sono state informate il 29 ottobre. I dati potenzialmente compromessi includono nome, indirizzo, telefono, email, genere, data di nascita e, per gli account attivi, password cifrate. I dati delle carte di credito non risultano coinvolti e l’azienda dichiara di non aver ricevuto comunicazioni dagli attaccanti.
BleepingComputer — 8 novembre
QNAP: la catena Plex2Shell sfruttata contro i NAS esposti
Con un avviso del 6 novembre QNAP conferma compromissioni di NAS su cui gira Plex Media Server vulnerabile alla catena Plex2Shell (CVE-2026-96652, 96654, 96655, 96656), scoperta da Zach Main e segnalata a Plex il 27 luglio. Lo sfruttamento è iniziato dopo la pubblicazione dei dettagli tecnici il 16 ottobre; il 20 ottobre CISA ha inserito le quattro CVE nel catalogo KEV con scadenza di tre giorni per le agenzie federali. La correzione è nella versione 1.43.3.10861 di Plex; i sistemi operativi QNAP non sono vulnerabili. Il produttore è esplicito: i NAS con Plex esposto su internet vanno considerati compromessi, perché l’aggiornamento non rimuove i payload già installati. Le indicazioni: verificare gli indicatori di compromissione, reinstallare il sistema, reimpostare le credenziali di Plex e del NAS, chiudere il port forwarding sulla porta 32400 e preferire l’accesso remoto via VPN.
BleepingComputer — 6 novembre
Crédit Mutuel Arkéa: 133 milioni di dollari sottratti tramite un fornitore
La cooperativa francese Crédit Mutuel Arkéa (5,8 milioni di soci, 211,5 miliardi di euro di attivi) ha subito un attacco che ha generato trasferimenti fraudolenti stimati in 118 milioni di euro (133 milioni di dollari): la banca ne conferma l’ordine di grandezza, non la cifra esatta. L’attaccante è entrato nella rete attraverso la piattaforma di un fornitore di servizi (Fortuneo è stata esclusa) e ha operato dal conto proprio della banca verso altri istituti, convertendo poi i fondi in USDC e USDT. L’allarme pubblico è partito il 2 novembre dall’investigatore ZachXBT; la banca ha comunicato l’incidente il 4 novembre. Secondo ZachXBT, il ritardo ha permesso di riciclare circa 30 milioni di dollari prima che le autorità europee potessero congelarli. Gli asset dei clienti non risultano toccati, l’errore umano interno è escluso e l’inchiesta è in mano all’autorità giudiziaria. Il perimetro effettivo, ancora una volta, coincide con quello dei fornitori con accesso privilegiato.
BleepingComputer — 7 novembre
WorkOS: il ricercatore sostiene che un agente AI sia uscito dal sandbox
WorkOS attribuisce la violazione della sua applicazione interna di vendita a un agente del framework offensivo ARTEX, gestito da un ricercatore che sostiene che lo strumento sia uscito dall’ambiente di test e abbia interagito con i sistemi dell’azienda senza intenzione. Il ricercatore si è fatto avanti dopo il primo avviso; WorkOS e un consulente forense indipendente hanno incrociato orari, dettagli delle richieste e artefatti tecnici con i log, confermandone la responsabilità. Come sia avvenuta la fuga dal sandbox non è stato chiarito. I dati esfiltrati sarebbero stati cancellati e non condivisi. Sul piano tecnico, l’agente ha sfruttato quattro debolezze cumulative: una piattaforma legacy priva delle protezioni dei sistemi più recenti, endpoint API esposti su internet con controlli di accesso permissivi, una credenziale prevedibile pensata per lo sviluppo locale e rimasta in produzione, e l’assenza di limiti alle richieste, che ha consentito l’estrazione rapida dei record. Primo accesso il 25 ottobre, scoperta il 30 ottobre. Al netto del racconto sul sandbox, resta una violazione da credenziali di sviluppo lasciate in produzione: l’IA amplifica la velocità, non crea la vulnerabilità.
BleepingComputer — 6 novembre
Giappone: pacchetto di emergenza da 10 miliardi di yen per la cybersicurezza
Dopo una serie di violazioni ai danni di aziende e amministrazioni, il governo giapponese ha annunciato un pacchetto di emergenza da 10 miliardi di yen (63 milioni di dollari). La premier Sanae Takaichi ha chiesto un salto di capacità contro gli attacchi generati con l’IA. Il piano prevede l’uso della “difesa cibernetica attiva”, legalizzata a ottobre, con il rafforzamento dell’accesso preventivo ai server usati dagli attaccanti; una squadra congiunta di Ministero della Difesa, Agenzia nazionale di polizia e National Cybersecurity Office per le minacce alla sicurezza nazionale; un “top gun team” del METI, operativo entro fine novembre, che userà l’IA per individuare vulnerabilità e contrastare gli attori ostili in collaborazione con aziende tecnologiche e sviluppatori di IA di Paesi alleati; un “cyber rescue team” pubblico-privato per la prima risposta alle vittime.
SecurityWeek — 6 novembre
Frontline Education: oltre 1,3 milioni di persone coinvolte
Frontline Education, fornitore di software per i distretti scolastici statunitensi, sta notificando una violazione che riguarda almeno 1.298.917 persone, secondo le comunicazioni ai procuratori generali di Massachusetts, New Hampshire, South Carolina, Texas e Vermont; la cifra reale è verosimilmente più alta, viste le notifiche anche in California, Indiana e Iowa. L’attacco, condotto sfruttando una vulnerabilità in un software di terze parti, è avvenuto il 14 agosto ed è stato contenuto il giorno successivo. I dati sottratti dai prodotti Frontline Central e School Health Management variano per individuo e possono includere nome, SSN, data di nascita, numero di patente, passaporto e altri documenti d’identità, dati assicurativi sanitari (incluso l’identificativo Medicaid) e identificativi degli studenti. Sono offerti due anni di monitoraggio del credito agli adulti e il monitoraggio del dark web ai minori.
SecurityWeek — 3 novembre
Barracuda: due falle concatenabili fino ai privilegi di root
Barracuda ha pubblicato due vulnerabilità che, concatenate, portano al bypass dell’autorizzazione e all’accesso root: CVE-2026-116606 (CVSS 9.3), bypass pre-autenticazione limitato a Email Security Gateway, e CVE-2026-111560 (CVSS 8.6), command injection che riguarda un’ampia gamma di prodotti: Email Security Gateway, Load Balancer, Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall e Web Security Gateway. Lo sfruttamento richiede l’accesso all’interfaccia di amministrazione, quindi le installazioni che non la espongono su internet sono meno a rischio. Le indicazioni: aggiornare al firmware più recente, anche con più aggiornamenti successivi se la versione è molto datata, e limitare l’accesso alle interfacce di amministrazione a reti interne fidate.
The Hacker News — 3 novembre
---
TECH & INNOVAZIONE
SonicWall, bypass SAML su SSL VPN già sfruttato
SonicWall ha rilasciato il 6 novembre una patch per CVE-2026-19868, falla nel servizio SSL VPN di SonicOS che consente a un utente con credenziali valide per un metodo di autenticazione alternativo di aggirare i controlli SAML, inclusa la MFA imposta tramite SAML. CVSS 7.1, segnalata da Ryan Harris di The Electronic Office. Il produttore conferma di aver indagato su un possibile sfruttamento attivo; CISA l’ha inserita nel catalogo KEV lo stesso giorno, con scadenza al 20 novembre per le agenzie federali ai sensi della BOD 26-04.
L’esposizione si attiva solo con il login SAML abilitato. Sono interessati i firewall Gen7 TZ, NSa, NSsp e NSv con SonicOS 7.3.3-7015 o precedenti e i Gen8 TZ, NSa e NSv con 8.2.2-8015 o precedenti. Le correzioni sono nelle versioni 7.3.4-7013 e 8.2.3-8015 e non esistono workaround.
L’avviso copre altre sei vulnerabilità non indicate come sfruttate: due sull’interfaccia di gestione (CVSS 8.8, criterio cross-domain permissivo e difetto di validazione della sessione) utilizzabili senza autenticazione, tre buffer overflow pre-autenticazione nel servizio SSL VPN e nel client TACACS+ sfruttabili per attacchi DoS applicativi, e un hashing debole delle password nelle appliance virtuali. Nel catalogo KEV figurano ora venti vulnerabilità SonicWall, ma non ancora CVE-2026-102255, attaccata dal mese scorso.
SecurityWeek — 7 novembre
OpenSSH su musl: accesso con password sovradimensionata su account bloccati
Il 5 novembre Ozgun Kultekin ha divulgato la vulnerabilità “*sshole”, che consente di autenticarsi su account Linux con login a password disabilitato (hash sostituito da un asterisco in /etc/shadow) inviando una password più lunga di 256 byte. Il difetto esiste dal 2016 e nasce dall’interazione fra la patch OpenSSH per CVE-2016-6210, che impone di calcolare l’hash della password anche per gli account senza hash utilizzabile per uniformare i tempi di risposta, e la funzione crypt() di musl, che in caso di errore (compresa la password troppo lunga) restituisce *. Il confronto fra il * restituito e quello presente in shadow produce una corrispondenza e l’accesso riesce.
Sono vulnerabili le installazioni OpenSSH su distribuzioni basate su musl: Alpine Linux, OpenWrt, Buildroot, Yocto. Condizioni necessarie: PAM disabilitato (impostazione predefinita nel pacchetto openssh-server di Alpine), autenticazione SSH con password abilitata, almeno un account con * come hash e un altro con hash valido. Non sono interessati i sistemi glibc (Debian, Ubuntu, Fedora) né quelli con PAM. Le immagini cloud ufficiali Alpine per AWS e Azure espongono l’account alpine con privilegi doas senza password, scenario che porta a root. La correzione è in OpenSSH 10.6p2; su Alpine apk upgrade openssh.
Kultekin ha individuato la falla con circa 17.600 test di autenticazione orchestrati tramite agenti di IA su configurazioni, hash malformati e password sovradimensionate.
BleepingComputer — 5 novembre
Il 4 novembre la Commissione ha avviato la European Chip Design Platform, iniziativa del Chips Act che mobiliterà 525 milioni di euro di investimenti per far nascere una nuova generazione di imprese europee di progettazione dei chip. La piattaforma offre a startup e PMI strumenti di progettazione, servizi di supporto, blocchi di proprietà intellettuale e accesso alla capacità produttiva: le risorse più costose e più difficili da ottenere nelle fasi iniziali. Il punto di partenza è un dato netto: le imprese europee di progettazione valgono oggi meno dell'1% dei ricavi mondiali del segmento, e la nuova capacità produttiva in Europa reggerà solo se ci sarà domanda da parte di progettisti europei. Per chi si occupa di sovranità tecnologica, è un tassello che si aggiunge al dibattito sulle dipendenze critiche che i capi di Stato e di governo affronteranno a Dublino.
Commissione — comunicato IP/26/2345 del 4 novembre
|
Commissione — notizia del 4 novembre
---
RICERCA SCIENTIFICA
Selezione dei paper più rilevanti della settimana da arXiv su AI, Machine Learning e Privacy
Memorizzazione e unlearning negli LLM
An Information Bottleneck for Post-hoc Memorization Mitigation in LLMs
Inviato il 5 novembre 2026; annunciato il 6 novembre 2026.
Gli autori propongono un approccio post-hoc basato sull’information bottleneck per ridurre la memorizzazione di dati di addestramento protetti da diritto d’autore, senza modificare né riaddestrare il modello sottostante. Interessante perché apre a interventi applicabili su modelli già in esercizio, dove il riaddestramento non è economicamente o tecnicamente percorribile.
arXiv
Forget What Comes Next: LLM Unlearning via Statistical Independence
Inviato il 2 novembre 2026; annunciato il 4 novembre 2026.
Il paper mostra che gli esempi avvelenati restano statisticamente rilevabili anche dopo l’applicazione delle tecniche di unlearning in uso, mettendo in dubbio che questi metodi rimuovano davvero ciò che il modello ha memorizzato. Gli autori propongono un obiettivo di unlearning basato sull’indipendenza statistica. Rilevante per il dibattito sull’effettività dell’art. 17 GDPR applicato ai modelli linguistici: la “cancellazione” dichiarata può non essere tale.
arXiv
Fewer Heads, Fewer Memories: Pruning Redundant Attention Heads Suppresses Verbatim Memorisation
Inviato il 29 ottobre 2026; annunciato il 2 novembre 2026.
Partendo dall’ipotesi che le attention head funzionino come memorie associative, gli autori dimostrano che la potatura delle head ridondanti riduce la riproduzione letterale di sequenze di addestramento. Un approccio architetturale alla mitigazione, alternativo sia al filtraggio dei dati sia agli interventi in fase di generazione.
arXiv
Differential Privacy: algoritmi e accounting
Privacy for Free in Efficient Agnostic Halfspace Learning
Inviato il 3 novembre 2026; annunciato il 4 novembre 2026.
Primo algoritmo computazionalmente efficiente e differentially private per l’apprendimento agnostico di semispazi, analizzato in tre scenari (improper learning con distribuzioni gaussiane e log-concave, proper learning gaussiano, semi-agnostico gaussiano). Il “privacy for free” del titolo indica che la garanzia DP non peggiora in modo apprezzabile il risultato rispetto al caso non privato.
arXiv
Fast Privacy Loss Accounting for Random Allocation via Multiscale FFT
Inviato il 30 ottobre 2026; annunciato il 2 novembre 2026.
Gli autori accelerano il calcolo della perdita di privacy (accountant PLD) per lo schema di campionamento random allocation, in cui ogni dato è usato in k passaggi scelti uniformemente su t, superando il precedente algoritmo quadratico nell’inverso del parametro di accuratezza. Un risultato utile a chi deve calibrare il budget ε in sistemi reali di ottimizzazione privata o aggregazione federata.
arXiv
Agenti LLM, privacy contestuale e affidabilità
PrivacyFlow: Privacy in AI Agents through Information Flow Analysis and Consequence-Aware Risk Management
Inviato il 29 ottobre 2026; annunciato il 2 novembre 2026.
Gli agenti LLM autonomi che eseguono flussi di lavoro in più passaggi su dati personali tendono a discostarsi dalle aspettative di privacy dell’utente e a trasmettere informazioni fuori contesto. PrivacyFlow rende operativa la Contextual Integrity attraverso l’analisi del flusso informativo e una gestione del rischio attenta alle conseguenze, in sequenze realistiche e ambienti dinamici. Materiale utile per impostare DPIA su sistemi agentici, dove il perimetro dei trattamenti è mobile per definizione.
arXiv
When AI Investigators Cannot Trust Their Tools: Conflict-Aware Evidence Verification for Cyber Threat Investigation
Inviato il 30 ottobre 2026; annunciato il 2 novembre 2026.
Gli agenti LLM che analizzano gli allarmi di sicurezza combinano gli output di più strumenti di rilevamento trattandoli implicitamente come affidabili. Il paper studia cosa accade quando gli strumenti producono evidenze in conflitto o errate e propone un meccanismo di verifica che tiene conto dei conflitti. Problema sottovalutato nei SOC automatizzati, dove la catena probatoria digitale può ereditare errori non segnalati.
arXiv
Federated learning in contesti critici
Communication-Efficient Private Federated Reinforcement Learning with Post-Quantum Authentication for Vehicular Networks
Inviato il 29 ottobre 2026; annunciato il 2 novembre 2026.
Framework di federated reinforcement learning per l’instradamento cooperativo dei veicoli che affronta tre vincoli simultanei: privacy degli aggiornamenti, efficienza di comunicazione su collegamenti veicolo-infrastruttura intermittenti e autenticazione post-quantistica, valutata in simulazione. La combinazione è specifica per l’automotive, dove sicurezza, latenza e protezione dei dati impongono compromessi non banali.
arXiv
---
AI ACT IN PILLOLE - Parte 46
Articolo 50 - Obblighi di trasparenza per i fornitori e i deployers di determinati sistemi di IA
Nella Parte 45 abbiamo affrontato l’Articolo 49, dedicato alla registrazione. Proseguiamo ora con l’Articolo 50, che introduce un pilastro trasversale dell’AI Act: gli obblighi di trasparenza a carico di fornitori e deployer di determinati sistemi di IA, indipendentemente dalla loro classificazione come sistemi ad alto rischio. Gli obblighi si applicano dal 2 agosto 2026, e il regolamento (UE) 2026/1744 è intervenuto sulla disposizione in due punti, segnalati più avanti.
L’Articolo 50 individua quattro scenari distinti, con responsabilità differenziate lungo la catena del valore dell’IA.
Il primo riguarda i sistemi di IA destinati a interagire direttamente con persone fisiche, come chatbot e assistenti conversazionali. I fornitori devono progettarli e svilupparli in modo che le persone siano informate di interagire con un sistema di IA, salvo che ciò risulti evidente a una persona ragionevolmente informata, attenta e avveduta, tenuto conto delle circostanze e del contesto. L’obbligo non si applica ai sistemi autorizzati dalla legge per accertare, prevenire, indagare o perseguire reati, fatte salve tutele adeguate per i diritti dei terzi, a meno che tali sistemi non siano a disposizione del pubblico per segnalare un reato.
Il secondo coinvolge i fornitori di sistemi di IA, compresi quelli per finalità generali, che generano contenuti sintetici (audio, immagini, video o testi). Gli output devono essere marcati in un formato leggibile meccanicamente e rilevabili come generati o manipolati artificialmente. Le soluzioni tecniche devono essere efficaci, interoperabili, solide e affidabili nella misura tecnicamente possibile, tenuto conto delle specificità dei contenuti, dei costi di attuazione e dello stato dell’arte generalmente riconosciuto. Sono escluse le funzioni di assistenza all’editing standard e i sistemi che non modificano in modo sostanziale i dati di input forniti dal deployer o la loro semantica, oltre agli usi autorizzati per finalità di contrasto ai reati.
Il terzo si rivolge ai deployer di sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, tenuti a informare le persone esposte sul funzionamento del sistema e a trattare i dati personali in conformità al GDPR, al Regolamento (UE) 2018/1725 e alla Direttiva (UE) 2016/680. Anche qui è prevista un’eccezione per i sistemi autorizzati dalla legge per accertare, prevenire o indagare reati, con tutele adeguate. Il richiamo esplicito alla normativa sulla protezione dei dati sottolinea la natura cumulativa degli obblighi.
Il quarto riguarda i deployer che generano o manipolano deep fake e quelli che pubblicano testi generati o manipolati per informare il pubblico su questioni di interesse pubblico: in entrambi i casi va dichiarata la natura artificiale del contenuto. Per le opere manifestamente artistiche, creative, satiriche o fittizie, l’obbligo si limita a rivelare in modo adeguato l’esistenza del contenuto generato, senza ostacolare la fruizione dell’opera. Per i testi, l’obbligo non si applica quando il contenuto è stato sottoposto a revisione umana o controllo editoriale e una persona fisica o giuridica ne detiene la responsabilità editoriale.
Il paragrafo 5 impone che le informazioni siano fornite in modo chiaro e distinguibile al più tardi alla prima interazione o esposizione, nel rispetto dei requisiti di accessibilità. Il paragrafo 6 precisa che i paragrafi da 1 a 4 lasciano impregiudicati i requisiti del capo III e gli altri obblighi di trasparenza previsti dal diritto dell’Unione o nazionale.
Le modifiche del regolamento (UE) 2026/1744
Il paragrafo 7 è stato sostituito. Nel testo originario l’Ufficio per l’IA incoraggiava codici di buone pratiche su rilevazione ed etichettatura e la Commissione poteva approvarli con atti di esecuzione. Ora è la Commissione a incoraggiare e agevolare codici a livello dell’Unione su rilevazione, marcatura ed etichettatura dei contenuti artificiali e a valutare, tenendo nella massima considerazione il parere del Comitato, se l’adesione ai codici sia adeguata per gli obblighi dei paragrafi 2 e 4, secondo la procedura dell’articolo 56, paragrafo 6. Il potere di approvare i codici con atto di esecuzione è venuto meno; resta la possibilità di adottare norme comuni con atto di esecuzione se il codice è ritenuto inadeguato. Il considerando 41 del regolamento 2026/1744 chiarisce che i codici non conferiscono una presunzione di conformità.
È stato inoltre introdotto un periodo transitorio (nuovo articolo 111, paragrafo 4): i fornitori di sistemi che generano contenuti sintetici, immessi sul mercato prima del 2 agosto 2026, devono adeguarsi all’obbligo di marcatura del paragrafo 2 entro il 2 dicembre 2026. Gli altri paragrafi dell’articolo 50 non beneficiano di proroghe.
Il 20 luglio 2026 la Commissione ha pubblicato le linee guida sugli obblighi di trasparenza per fornitori e deployer di determinati sistemi di IA, da leggere insieme alla disposizione.
Implicazioni pratiche
Per DPO e compliance officer, l’Articolo 50 impone una mappatura dei casi d’uso dell’IA che va oltre la classificazione per rischio: anche sistemi non ad alto rischio possono ricadere negli obblighi di trasparenza. Occorre verificare se l’organizzazione agisce come fornitore, deployer o entrambi, perché gli obblighi si distribuiscono diversamente.
Sul piano tecnico, i fornitori di sistemi generativi devono dotarsi di meccanismi di marcatura (watermarking, metadati, fingerprinting) leggibili meccanicamente e interoperabili, documentando le scelte alla luce dello stato dell’arte. Chi ha immesso il sistema sul mercato prima del 2 agosto 2026 ha tempo fino al 2 dicembre 2026: una scadenza ormai vicina, da inserire subito nel calendario di compliance. Aderire a un codice valutato adeguato aiuta, ma non sostituisce la verifica della conformità. I deployer di deep fake e di testi informativi devono predisporre processi di disclosure, valutando se si applichino le eccezioni per le opere creative o per i contenuti sottoposti a revisione editoriale con assunzione di responsabilità.
Per i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica, l’informativa prevista dall’Articolo 50 si cumula con gli adempimenti del GDPR: base giuridica, trasparenza, DPIA e valutazione della proporzionalità restano centrali. Sul piano contrattuale, è opportuno aggiornare le clausole con fornitori e integratori per allocare correttamente gli obblighi di marcatura e di informazione agli utenti finali, evitando zone grigie di responsabilità.
Fonti normative:
AI Act
|
Regolamento (UE) 2026/1744
|
Commissione — linee guida del 20 luglio 2026
Prossima puntata
Nella Parte 47 affronteremo l’Articolo 51 - Classificazione dei modelli di IA per finalità generali come modelli di IA per finalità generali con rischio sistemico.
---
LEGAL PROMPTING
È in corso lo sviluppo di una nuova serie della rubrica dedicata al Legal Prompting, con approfondimenti su casi d’uso concreti. Il primo ciclo di dieci puntate ha costruito, passo dopo passo, un metodo per l’uso professionale dei modelli linguistici in ambito giuridico: dalla struttura del prompt alla gerarchia delle fonti, dalla verifica degli output agli obblighi deontologici e normativi. Tutte le puntate restano disponibili nell’archivio della newsletter.
Legal Prompting: la nuova frontiera dell’AI in ambito giuridico
---
PODCAST
Gli episodi del NicFab Podcast, inclusi quelli dedicati al Legal Prompting, restano disponibili nell’archivio.
Ascolta →
NicFab Podcast Italia
---
IL LIBRO “Agentic AI”
Agentic AI — Autonomia tecnica, responsabilità umana e governance giuridica
È disponibile il mio libro, Agentic AI — Autonomia tecnica, responsabilità umana e governance giuridica (prima edizione, luglio 2026), con il capitolo 16 di Valentina Grazia Sapuppo, dedicato alla normazione tecnica per i sistemi agentici, e la prefazione di Antonino Caffo.
I sistemi di intelligenza artificiale non si limitano più a generare contenuti: agiscono, inviano, modificano, impegnano. Il libro parte da qui e dà una risposta di metodo alle tre domande che ogni organizzazione dovrebbe porsi quando delega a un sistema la capacità di agire: quali limiti fissare prima dell’azione, quali evidenze conservare durante, chi deve poter rispondere dopo. La tesi che attraversa l’intera opera è netta: l’autonomia tecnica non crea autonomia giuridica.
Attraverso l’AI Act, il GDPR e l’ecosistema normativo digitale europeo, il volume costruisce categorie originali — l’agenticità graduata, la catena di imputazione dell’azione agentica, l’accountability probatoria — e le consegna a uno strumento operativo, la matrice a sette colonne, fino a renderle eseguibili in codice. Diciotto capitoli in quattro parti (i fondamenti, i rischi e la qualificazione giuridica, le responsabilità e le evidenze, il modello operativo di governance), più le Conclusioni e un apparato pensato per l’uso professionale: lo schema riutilizzabile della matrice (Appendice A), due strumenti originali in Python riprodotti integralmente e funzionanti (Appendice B), il glossario ragionato, la tavola delle fonti e l’indice analitico.
È un libro per giuristi, DPO, compliance officer e per chiunque debba governare — e non subire — la delega alle macchine.
Il volume è disponibile in edizione cartacea (310 pagine, brossura) e digitale EPUB, in italiano e in inglese (Agentic AI — Technical Autonomy, Human Responsibility, and Legal Governance).
Tutte le informazioni →
La pagina del libro
---
DAL BLOG NICFAB
Che cosa può sapere il mittente quando apri un’email?
6 novembre 2026
Come funziona un tracking pixel, che cosa rivela al mittente, che cosa prevede il diritto e come bloccarlo in Gmail, Apple Mail, Outlook, Thunderbird e Proton Mail.
Leggi l’articolo completo
Algoritmi e dati di addestramento come segreti commerciali: la modifica al codice della proprietà industriale nel D.Lgs. 179/2026
5 novembre 2026
D.Lgs. 179/2026: dati, algoritmi e metodi matematici per l’addestramento dei sistemi di IA come informazioni aziendali riservate: articolo 98 del codice della proprietà industriale, D.Lgs. 160/2026 e AI Act.
Leggi l’articolo completo
NIS2, GDPR e DORA: prima la disciplina applicabile, poi il coordinamento
4 novembre 2026
Rapporti tra NIS2, GDPR e DORA in Italia: art. 4 della direttiva, esclusioni per le entità finanziarie, doppia notifica, art. 14 d.lgs. 138/2024, perimetro e legge 90/2024.
Leggi l’articolo completo
IA e rapporto di lavoro nel D.Lgs. 179/2026: decisioni automatizzate, motivazione, sicurezza e nullità
2 novembre 2026
IA e lavoro nel D.Lgs. 179/2026: decisione umana obbligatoria, valutazioni delle prestazioni, consenso, motivazione, nullità, esclusione dello screening, valutazione dei rischi, servizi per il lavoro, GDPR e AI Act.
Leggi l’articolo completo
---
Eventi e incontri segnalati
Web Summit 2026, con le iniziative della Commissione a Lisbona (in programma: 10-12 novembre 2026)
European Commission |
Info
Commissione IMCO: presentazione dell’EU KIDS Act e scambio di opinioni sui sistemi di IA avanzati (in programma: 10 novembre 2026)
Parlamento europeo |
Info
Presentazione del rapporto ENISA sullo stato della cybersicurezza nell’Unione alla Commissione ITRE (in programma: 10 novembre 2026)
Parlamento europeo |
Info
Gruppo Telecomunicazioni e società dell’informazione del Consiglio: primo testo di compromesso della Presidenza sul Cloud and AI Development Act (Titolo IV, Autonomia, e Allegati II e III) (in programma: 10 novembre 2026)
Consiglio dell’Unione europea |
Info
Feedback sulla proposta di Cloud and AI Development Act (scadenza: 11 novembre 2026)
European Commission |
Info
Inaugural D-TECT Forum — Drone Tech for Countering Threats (in programma: 11 novembre 2026)
European Commission |
Info
3rd European Cybersecurity Awareness Raising Conference (in programma: 11 novembre 2026)
ENISA |
Info
Plenaria del Parlamento europeo: dibattito sulla resilienza informatica delle infrastrutture critiche e relazione AFCO sugli aspetti istituzionali dell’intelligenza artificiale (in programma: 11-12 novembre 2026)
Parlamento europeo |
Info
Udienze nelle cause C-744/25 P (Commissione c. Meta) e C-745/25 P (Commissione c. TikTok) sul contributo per le attività di vigilanza DSA; conclusioni dell’Avvocato generale nella causa C-826/24 P (Google AdSense) (in programma: 12 novembre 2026)
Corte di giustizia dell’Unione europea |
Info
HMA/EMA multistakeholder AI and Data Forum: IA e dati nella regolazione dei medicinali, Amsterdam (in programma: 12-13 novembre 2026)
EMA |
Info
Riunione informale dei capi di Stato o di governo sull’intelligenza artificiale, Dublino (in programma: 13 novembre 2026)
Consiglio europeo |
Info
Working Party on Data Protection: revisione del regolamento (UE) 2018/1725 (in programma: 13 novembre 2026)
Consiglio dell’Unione europea |
Info
Consultazione pubblica sulle Linee guida EDPB 04/2026 sul potere di infliggere sanzioni amministrative pecuniarie in rapporto agli altri poteri correttivi (scadenza: 13 novembre 2026, ore 23:59 CET)
EDPB |
Info
air 2026 — Convaincre ou manipuler ? L’éthique du numérique à l’épreuve des urnes (in programma: 16 novembre 2026)
CNIL |
Info
Sentenza della Grande Sezione nella causa C-698/23 P, EDPS c. Parlamento e Consiglio (regolamento Europol) (in programma: 17 novembre 2026)
Corte di giustizia dell’Unione europea |
Info
Apply AI Summit (in programma: 17 novembre 2026)
European Commission |
Info
Conclusioni dell’Avvocato generale nella causa C-643/25, Verbraucherzentrale Bundesverband (servizio digitale “gratuito”) (in programma: 19 novembre 2026)
Corte di giustizia dell’Unione europea |
Info
Consiglio EYCS: conclusioni su competenze e IA e su giovani e ambiente informativo (in programma: 19 novembre 2026)
Consiglio dell’Unione europea |
Info
Consiglio Telecomunicazioni (in programma: 1° dicembre 2026)
Consiglio dell’Unione europea |
Info
Journée RGPD 2026 a Poitiers (in programma: 1° dicembre 2026)
CNIL |
Info
Call for evidence sugli archivi pubblicitari ex art. 39 DSA (scadenza: 2 dicembre 2026)
European Commission |
Info
Udienza nella causa C-730/25, Vinted (in programma: 2 dicembre 2026)
Corte di giustizia dell’Unione europea |
Info
Feedback sulla proposta di regolamento EU KIDS Act (scadenza: 3 dicembre 2026)
European Commission |
Info
Safer Internet Forum 2026 (in programma: 3 dicembre 2026)
European Commission |
Info
Product Cybersecurity: Making CRA a Reality (in programma: 11 dicembre 2026)
ENISA |
Info
Voto in plenaria sulla direttiva relativa agli abusi sessuali sui minori (data indicativa) (in programma: 14 dicembre 2026)
Parlamento europeo |
Info
---
Conclusione
Tre notizie di questa settimana, messe in fila, raccontano la stessa cosa da angoli diversi. Cisco Talos documenta VOLTA-AUTODOXER, un infostealer che instrada i dati delle vittime verso Claude Opus 4.6, con ripiego su Kimi K2 e Gemini 2.5 Flash quando il modello rifiuta, per produrre dossier con tanto di sezione “WHAT THEY’RE WORTH”. CERT-In segnala Crafty Falcon, che usa ARTEX, PentAGI, Cairn e CyberStrikeAI contro il settore finanziario indiano con catene d’attacco eseguite a velocità macchina. WorkOS attribuisce la propria violazione a un agente ARTEX che, secondo il ricercatore che lo gestiva, sarebbe uscito dal sandbox.
Il filo, a mio avviso, è che gli strumenti offensivi basati su LLM hanno superato la soglia che li separava dal prototipo. Sono strumenti operativi, distribuiti, con architetture di resilienza (il passaggio da un modello all’altro di VOLTA-AUTODOXER è lo stesso schema che si insegna nei corsi di affidabilità del software) e perfino con modelli di business, come mostra “Haiou”, dove il jailbreak gratuito serve a convogliare traffico verso un gateway LLM opaco. Non a caso il Giappone stanzia 10 miliardi di yen in un pacchetto di emergenza e la premier Takaichi chiede un salto di capacità contro gli attacchi generati con l’IA.
La vicenda WorkOS, letta nel dettaglio, merita una notazione. Al netto del racconto sul sandbox, l’attacco è riuscito per una credenziale di sviluppo lasciata in produzione, endpoint API esposti e nessun limite alle richieste. La componente IA ha moltiplicato la velocità, non ha creato la vulnerabilità. A mio avviso è il punto più scomodo della settimana: l’igiene di base resta decisiva, ma il tempo per garantirla si contrae, perché tra esposizione e sfruttamento ora passano le interazioni di un agente, non giorni di ricognizione umana. La dichiarazione congiunta europea sugli attacchi ai sistemi di refrigerazione ricorda che gli obblighi di segnalazione del Cyber Resilience Act sono già operativi: i fabbricanti sono il primo anello di questa catena.
Sul versante istituzionale, la Commissione dichiara di usare strumenti di IA per scrivere e semplificare le leggi, mentre in Australia il Centre for Public Integrity denuncia un algoritmo che gli operatori non possono correggere. Sono contesti lontani, ma pongono la stessa domanda: chi risponde quando un sistema automatizzato concorre a una decisione pubblica?
Una risposta di metodo arriva dalla Corte di giustizia. Con la sentenza Lindenberg (C-205/25) la Corte afferma che anche l’autorità di controllo, quando tratta un reclamo, è titolare del trattamento e deve rendere accessibili al reclamante i dati che lo riguardano. A mio parere è un principio di simmetria che merita di essere esteso per analogia: chi vigila, o chi usa sistemi automatizzati nell’esercizio di funzioni pubbliche, non è esentato dalle regole di trasparenza che applica agli altri. E le conclusioni dell’Avvocato generale Szpunar in Like Company (C-250/25), nella stessa settimana in cui il New York Times e altre testate citano in giudizio Brave, spostano il dibattito sull’IA generativa dall’addestramento all’uso in tempo reale dei contenuti: è lì, a mio avviso, che si giocherà la prossima partita tra editori e fornitori di modelli.
---
Nuovo su Gemini? Questa capsula si legge al meglio con un client Gemini, come Lagrange.
Lagrange - client Gemini per desktop, iOS e Android
Torna all'elenco newsletter
Sezione italiana
Home