Audit NIS2 e DORA: come trasformare la governance degli accessi in evidenza
Joiner-Mover-Leaver: come automatizzare il ciclo di vita degli accessi (e perché il de-provisioning è il punto debole)
AI Act: la scadenza è slittata, il rischio no. Perché la governance degli accessi AI è già un tema da CdA
Per quasi due anni il 2 agosto 2026 è stato la data. Il giorno in cui gli obblighi dell’AI Act per i sistemi ad alto rischio sarebbero diventati pienamente applicabili. Budget, roadmap e attenzione dei board si sono organizzati intorno a quel numero.
Quella data è stata spostata. Con il Digital Omnibus sull’AI — Regolamento (UE) 2026/1744, pubblicato in Gazzetta Ufficiale UE il 24 luglio 2026 e in vigore dal 27 luglio — gli obblighi per i sistemi ad alto rischio standalone dell’Allegato III (recruiting, credit scoring, istruzione, infrastrutture critiche, law enforcement) slittano al 2 dicembre 2027; quelli per l’AI integrata nei prodotti regolati dell’Allegato I al 2 agosto 2028.
La tentazione, per molti, è leggerlo come una tregua e rallentare. È un errore, sui fatti e sulla strategia.
Cosa NON è cambiato
L’architettura dell’AI Act (Regolamento UE 2024/1689) resta intatta: approccio basato sul rischio, quattro livelli, pratiche vietate, regole sui modelli GPAI, ruolo di supervisione dell’AI Office. Ed è già operativa una parte consistente della norma:
- il divieto delle pratiche a rischio inaccettabile è applicabile da febbraio 2025;
- gli obblighi per i modelli GPAI da agosto 2025;
- i requisiti di AI literacy e gli obblighi di trasparenza (Art. 50) sono già vigenti;
- il Digital Omnibus ha inoltre introdotto una nuova proibizione (imagery intima non consensuale generata da AI) da rispettare entro il 2 dicembre 2026.
In altre parole: la piena compliance per l’alto rischio ha più tempo, ma l’AI Act non è un capitolo futuro. È già aperto.
Il rischio che non aspetta il 2027: la Shadow AI
C’è un dato che dovrebbe entrare in ogni riunione di comitato direzione: il 91% delle organizzazioni usa già agenti AI, ma solo il 10% ha una strategia strutturata per gestire le identità non umane (le non-human identities).
Quel divario è il rischio reale, e non ha una data di scadenza: è già in azienda oggi.
Gli agenti AI non sono più software deterministico che fa ciò che gli viene detto. Sono identità che agiscono: accedono a dati, invocano API, si connettono ad applicazioni, eseguono workflow — spesso senza supervisione umana diretta. E molti nascono dal basso: creati dai singoli team o dipendenti per essere più produttivi, al di fuori di qualsiasi controllo IT. Sono gli shadow agents: nessuno sa quanti sono, a cosa hanno accesso, cosa possono fare, e cosa succede il giorno in cui un dipendente lascia l’azienda mentre il “suo” agente continua ad avere le chiavi dei sistemi.
Per un C-level questo si traduce in tre domande scomode:
- Dove sono i nostri agenti AI? (inclusi quelli non sanzionati)
- A cosa possono accedere?
- Cosa sono autorizzati a fare — e chi ne risponde?
Se oggi non abbiamo una risposta certa, non è un problema di compliance del 2027: è un’esposizione operativa e di sicurezza del 2026.
Dalla compliance al vantaggio competitivo
Ed è qui che il ragionamento si ribalta. Governare le identità AI non è un costo difensivo da rimandare fino alla scadenza: è ciò che permette di adottare l’AI più velocemente e in sicurezza.
Chi tratta ogni agente come un’identità di prima classe — con un proprietario, un ciclo di vita, policy di accesso e tracciabilità — può dire “sì” all’innovazione senza aprire falle. Chi invece arriverà di corsa a fine 2027, con centinaia di agenti non censiti da regolarizzare in fretta, pagherà il ritardo in rischio, rilavorazioni e opportunità perse. La governance dell’identità è il prerequisito che separa chi scala l’AI da chi la subisce.
Il ruolo dell’identità: Okta for AI Agents
È esattamente il terreno su cui interviene Okta for AI Agents (generalmente disponibile dal 29 aprile 2026). L’approccio risponde alle tre domande di cui sopra:
- Scoprire gli agenti presenti nell’ambiente, inclusi gli shadow agents non sanzionati;
- Registrare ogni agente come identità governata, con proprietario umano e gestione del ciclo di vita (dalla creazione alla dismissione);
- Controllare gli accessi con policy centralizzate: cosa può toccare ogni agente, con audit e logging delle attività e delle decisioni di autorizzazione, fino a un meccanismo di “kill switch” centralizzato in caso di anomalia.
Il tutto all’interno di un’unica identity security fabric che governa insieme identità umane e non umane.
Il punto di vista di Factor-Y
Non serve un AI Act pienamente applicabile per capire che l’AI senza governo degli accessi è un rischio che si sta già accumulando. La finestra aperta dal rinvio non è un tempo per rallentare: è il tempo per mettere ordine adesso, mentre la posta in gioco è ancora gestibile.
In Factor-Y — primo partner Okta in Italia dal 2016 — accompagniamo le organizzazioni a portare gli agenti AI dentro una strategia di identity security coerente, integrata con la roadmap di compliance (AI Act, NIS2, DORA) e con l’infrastruttura di identità esistente.
Se in azienda l’AI sta crescendo più in fretta del controllo sugli accessi, è il momento giusto per una conversazione. Contattateci per un confronto.
