I termini dietro l’IA, il software e la regolamentazione digitale europea.

Un software che usa un modello linguistico per pianificare ed eseguire passi verso un obiettivo, come consultare una pratica, compilare un modulo o chiamare un’API. Un agente opera entro i permessi e gli strumenti che gli vengono assegnati, e ogni passo può essere registrato.

Un risultato dell’IA che suona sicuro ma non è sostenuto né dalle fonti né dai fatti. Si riduce, senza eliminarla, ancorando le risposte a fonti recuperate, richiedendo citazioni, permettendo al sistema di dire che non sa e misurandone la frequenza nella valutazione.

Una piattaforma dati che conserva i dati in formati aperti di file e tabelle su storage a oggetti a basso costo, come un data lake, e vi aggiunge le funzioni di un data warehouse: transazioni, schemi, controllo degli accessi e SQL. Formati di tabella aperti come Apache Iceberg e Delta Lake lo rendono possibile.

Un insieme di dati gestito come un prodotto: con un responsabile nominato, uno schema documentato, indicatori di qualità pubblicati, regole di accesso chiare e frequenze di aggiornamento concordate, così che altri team possano usarlo senza chiedere come è stato costruito.

Leggere, classificare ed estrarre dati da documenti come moduli, fatture, certificati e lettere scansionate, combinando riconoscimento del testo, analisi del layout e modelli linguistici. Ogni valore estratto ha un punteggio di affidabilità; i valori sotto soglia passano a una persona per la verifica.

Uno schema in cui il sistema recupera prima i passaggi pertinenti da fonti approvate, come procedure, policy o fascicoli, e poi chiede al modello linguistico di rispondere solo sulla base di quei passaggi. La risposta può citare documento e sezione, e i diritti di accesso dell’utente valgono già al momento del recupero.

Controlli attorno a un modello linguistico che ne mantengono l’uso entro limiti concordati: verifiche su input e output, restrizioni sugli argomenti, mascheramento dei dati personali, controllo dei permessi prima di chiamare uno strumento e passaggi di approvazione per le azioni con conseguenze.

Un’impostazione in cui una persona verifica, corregge o approva un risultato dell’IA prima che produca effetti. Per i sistemi di IA ad alto rischio, l’AI Act richiede una sorveglianza umana efficace, affidata a persone con la competenza e l’autorità per intervenire.

Le pratiche che mantengono affidabili in produzione i sistemi di machine learning e di modelli linguistici: versionamento di modelli, prompt e dati, valutazione automatizzata, pipeline di rilascio e monitoraggio di qualità, costi e tempi di risposta.

Una rete neurale addestrata su quantità molto grandi di testo per prevedere la parola successiva. Sa redigere, riassumere, classificare ed estrarre informazioni in molte lingue, ma non è una banca dati di fatti: senza ancoraggio alle Sue fonti può dare risposte scorrevoli e tuttavia sbagliate.

Una ricerca per significato anziché per parole esatte. Il testo viene convertito in vettori numerici (embedding) e il sistema trova i passaggi il cui vettore è vicino alla domanda. In pratica si combina di solito con la ricerca per parole chiave, perché codici, nomi e numeri di articolo richiedono una corrispondenza esatta.

Il collaudo sistematico di un sistema di IA su un insieme di riferimento di domande o documenti, con criteri concordati come correttezza, ancoraggio alle fonti, completezza e rinuncia quando la risposta non è nota. La valutazione si svolge prima della messa in esercizio e di nuovo dopo ogni modifica a modello, prompt o dati.

Un approccio in cui l’interfaccia di un sistema viene progettata e concordata per prima, di solito come specifica OpenAPI o AsyncAPI, e solo dopo implementata. Altri sistemi, partner e interfacce utente si integrano poi tramite API documentate e versionate, non accedendo direttamente al database.

Un’architettura in cui i sistemi pubblicano eventi, fatti come «domanda ricevuta» o «lettura del contatore convalidata», su un broker di messaggi, e altri sistemi reagiscono con i propri tempi. I sistemi restano così disaccoppiati: uno può cambiare o fermarsi senza bloccare gli altri.

Servizi cloud in cui la localizzazione dei dati, la gestione del servizio e la giurisdizione applicabile restano sotto controllo europeo o nazionale. Le definizioni variano: schemi nazionali come SecNumCloud in Francia aggiungono requisiti espliciti di protezione dalle leggi extra UE.

La famiglia di norme IEC (IEC 61970, IEC 61968 e IEC 62325) che descrive reti elettriche, asset e comunicazioni di mercato in un modello di dati comune. I gestori di rete la usano perché pianificazione, esercizio e sistemi di mercato descrivano la rete allo stesso modo.

Un elenco leggibile da macchina dei componenti e delle dipendenze di un software, di solito in formato SPDX o CycloneDX. Mostra rapidamente se una vulnerabilità appena pubblicata La riguarda. Il regolamento sulla ciberresilienza obbliga i fabbricanti a redigerne una per i loro prodotti.

Una rappresentazione digitale di un bene, di un processo o di una rete fisica, mantenuta allineata con i dati dell’oggetto reale. Serve a monitorarne lo stato, a provare le modifiche prima di farle e a pianificare la manutenzione. Un modello 3D senza dati aggiornati non è un gemello.

Lo standard aperto di dati per il Building Information Modelling (BIM), pubblicato da buildingSMART e come ISO 16739-1. La versione IFC 4.3 copre anche le infrastrutture: ferrovie, strade, porti, vie navigabili e ponti, così che i dati degli asset passino dalla progettazione alla costruzione e all’esercizio senza essere reinseriti.

Un ambiente cloud predisposto in cui struttura di account o sottoscrizioni, identità, rete, policy, logging e base di sicurezza sono già pronti prima dell’arrivo della prima applicazione. Ogni progetto successivo procede più rapidamente e i controlli restano uniformi.

Un modo per sostituire un sistema legacy un passo alla volta. Davanti al vecchio sistema si pone una facciata, le funzioni si spostano una per una verso nuovi servizi dietro di essa e il vecchio sistema viene dismesso quando non riceve più richieste. Si evita così un unico passaggio ad alto rischio.

Una piattaforma in cloud per creare ed eseguire integrazioni, con connettori pronti, trasformazione dei dati, orchestrazione e monitoraggio in un unico punto. SAP Integration Suite e MuleSoft ne sono esempi.

Un pattern di architettura industriale in cui un broker di eventi centrale mantiene lo stato corrente dello stabilimento, organizzato per sito, area, linea e macchina. I sistemi vi pubblicano e vi si abbonano, invece di essere collegati tra loro uno a uno.

Un modello di sicurezza in cui nessun utente, dispositivo o servizio è considerato affidabile per la sua posizione nella rete. Ogni richiesta viene autenticata, autorizzata e valutata in base a identità, stato del dispositivo e contesto, e l’accesso resta limitato a ciò che il compito richiede.

Il regolamento europeo sull’intelligenza artificiale. Classifica i sistemi di IA in base al rischio: alcune pratiche sono vietate, i sistemi ad alto rischio devono rispettare requisiti su dati, documentazione, sorveglianza umana e accuratezza, e alcuni sistemi hanno obblighi di trasparenza. I divieti si applicano dal 2 febbraio 2025, gli obblighi di trasparenza dal 2 agosto 2026 e gli obblighi ad alto rischio dell’allegato III dal 2 dicembre 2027, dopo la modifica del 2026.

La direttiva europea che richiede che determinati prodotti e servizi siano accessibili alle persone con disabilità, tra cui commercio elettronico, servizi bancari ai consumatori, libri elettronici e siti, app e biglietti elettronici dei servizi di trasporto passeggeri. Si applica tramite leggi nazionali dal 28 giugno 2025.

Il decreto legislativo 82/2005 che regola la digitalizzazione della pubblica amministrazione italiana: identità digitale con SPID e CIE, domicilio digitale, documento informatico, firme elettroniche e interoperabilità secondo le linee guida dell’AgID.

Il regolamento europeo sull’accesso equo ai dati e sul loro utilizzo, applicabile dal 12 settembre 2025. Dà agli utenti di prodotti connessi l’accesso ai dati che questi generano, facilita il passaggio tra servizi cloud e di trattamento dei dati e limita le clausole contrattuali abusive sulla condivisione dei dati.

Il decreto legislativo 138/2024 che recepisce la direttiva NIS2, in vigore dal 16 ottobre 2024, con l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità. I soggetti essenziali e importanti si registrano sulla piattaforma dell’ACN, adottano misure di gestione del rischio e notificano gli incidenti significativi.

Il regolamento europeo sulla resilienza operativa digitale del settore finanziario, applicabile dal 17 gennaio 2025. Disciplina la gestione dei rischi informatici, la segnalazione degli incidenti, i test di resilienza e la gestione dei fornitori terzi di servizi TIC, con requisiti contrattuali e un registro delle informazioni.

La direttiva europea sulla resilienza fisica e organizzativa dei soggetti critici in undici settori, tra cui energia, trasporti, sanità, acqua potabile e infrastrutture digitali. Gli Stati membri individuano i propri soggetti critici entro il 17 luglio 2026; questi valutano poi i rischi e adottano misure di resilienza.

La serie di norme internazionali sulla sicurezza dei sistemi di automazione e controllo industriale. Suddivide un impianto in zone collegate da condotti, definisce livelli di sicurezza e ripartisce le responsabilità tra proprietario, integratore di sistemi e fornitore di prodotti.

La norma internazionale per i sistemi di gestione della sicurezza delle informazioni. Un’organizzazione certificata dispone di un sistema sottoposto ad audit per individuare i rischi di sicurezza, scegliere i controlli e migliorarli nel tempo. FromNine è certificata ISO/IEC 27001.

La direttiva europea sulla cibersicurezza dei soggetti essenziali e importanti in settori come energia, trasporti, sanità, infrastrutture digitali e pubblica amministrazione. Richiede misure di gestione del rischio, sicurezza della catena di approvvigionamento e notifica degli incidenti: un preallarme entro 24 ore e una notifica entro 72 ore. Si applica tramite leggi nazionali, che differiscono da un Paese all’altro.

Il regolamento europeo sull’interoperabilità transfrontaliera dei servizi pubblici. Gli enti pubblici devono valutare l’impatto sull’interoperabilità dei servizi pubblici digitali transeuropei nuovi o modificati, e possono condividere e riutilizzare soluzioni di interoperabilità tramite un portale comune.

Una rete internazionale e un insieme di specifiche per scambiare documenti commerciali strutturati, come fatture e ordini, tramite access point certificati. Il Belgio impone dal 1° gennaio 2026 la fattura elettronica strutturata tra imprese, con Peppol come canale predefinito.

Un’app portafoglio, prevista dal regolamento eIDAS rivisto, in cui ognuno conserva i propri dati di identità e attestati come titoli di studio o licenze, condivide solo ciò che serve a un servizio e firma documenti. Ogni Stato membro deve offrire almeno un portafoglio, e molti servizi pubblici e privati dovranno accettarlo.

Il sistema con cui l’ACN qualifica le infrastrutture e i servizi cloud destinati alla pubblica amministrazione, su livelli da QC1 a QC4 in funzione della classificazione di dati e servizi come ordinari, critici o strategici.

Il regolamento europeo sul trattamento dei dati personali, applicabile dal 25 maggio 2018. Fissa principi come la limitazione della finalità e la minimizzazione dei dati, diritti per gli interessati e obblighi per titolari e responsabili del trattamento, inclusa la valutazione d’impatto per i trattamenti a rischio elevato.

Il regolamento europeo che fissa requisiti di cibersicurezza per i prodotti con elementi digitali, hardware e software, immessi sul mercato dell’UE. I fabbricanti devono gestire le vulnerabilità per tutto il periodo di assistenza e notificare quelle attivamente sfruttate dall’11 settembre 2026; gli obblighi principali si applicano dall’11 dicembre 2027.

Il sistema europeo, istituito dal regolamento sullo sportello digitale unico, con cui le autorità pubbliche si scambiano prove ufficiali tra Paesi su richiesta esplicita di un cittadino o di un’impresa, perché nessuno debba fornire documenti che l’amministrazione possiede già. I suoi obblighi si applicano dal 12 dicembre 2023.

Le linee guida del W3C per l’accessibilità dei contenuti web, organizzate in criteri di successo di livello A, AA e AAA. Il livello AA è l’obiettivo abituale negli appalti e nella legge; la versione attuale è WCAG 2.2, e la norma europea EN 301 549 si basa su queste linee guida.