Il 2 agosto l'AI Office della Commissione europea è diventato operativo con pieni poteri di enforcement. Nel frattempo il Garante Privacy ha emesso tre provvedimenti in due settimane — incluso un precedente diretto per le strutture sanitarie con API esposte. E per la prima volta il tema rette RSA entra in un'aula di tribunale: il TAR Umbria dovrà decidere chi paga.
Dal 2 agosto l'AI Office esercita pieni poteri di vigilanza sui modelli AI avanzati (GPAI). Sanzioni fino al 3% del fatturato globale per violazioni di trasparenza, fino al 7% per pratiche vietate. I controlli in corso riguardano trasparenza dei contenuti AI, rispetto del copyright nell'addestramento, sicurezza dei sistemi. I sistemi sanitari ad alto rischio sono soggetti agli obblighi del Titolo III — distinti e più stringenti dell'art. 50. Assodigitale · USPI · 2-7 ago
Il Garante ha sanzionato Wind Tre per data breach tardivo e misure di sicurezza API inadeguate ex art. 32 GDPR. Il principio chiave: non basta subire l'attacco, bisogna dimostrare di aver adottato misure preventive adeguate al rischio. Per strutture sanitarie con FSE, prenotazioni online o integrazioni con laboratori via API: questo provvedimento è un precedente diretto. Altalex · 4 ago
Il Garante ha sanzionato Lusha per aver diffuso a pagamento dati personali arricchiti aggregati da fonti pubbliche. Il principio confermato: la pubblicità dei dati non equivale a consenso al trattamento per finalità diverse. Rilevante per chi usa CRM, strumenti di profilazione o database di contatti costruiti da fonti aperte — incluse le strutture che aggregano dati di pazienti/famiglie. La Nuova Sardegna · 31 lug
In due settimane il Garante ha chiarito: (1) gli attestati di formazione sono dati personali — l'ex dipendente ha diritto di accesso entro 30 giorni; (2) il controllo sistematico delle email aziendali è illecito senza informativa preventiva e nel rispetto dell'art. 4 L. 300/1970; (3) la gestione degli account email del personale richiede procedure specifiche. Tre obblighi operativi per HR e DPO di ogni struttura. Edotto · Lavoro e Diritti · 31 lug – 5 ago
Il provvedimento n. 348/2026 su Wind Tre non è rilevante per le strutture sanitarie perché riguarda una telco. È rilevante perché il principio che stabilisce è universale: in caso di data breach, il titolare del trattamento deve dimostrare di aver adottato misure tecniche e organizzative adeguate al rischio — non solo notificare l'incidente. La differenza è sostanziale: non è sufficiente essere vittima, bisogna essere stati diligenti.
Per una struttura sanitaria con API esposte — FSE integrato, sistema di prenotazione online, interfaccia con laboratori o specialisti esterni, app per i familiari degli ospiti — questo significa che ogni punto di integrazione è un potenziale vettore di responsabilità. Il Garante ha guardato alla sicurezza delle API prima dell'incidente, non solo alla notifica dopo. Chi non ha una valutazione aggiornata della sicurezza delle proprie API è esposto allo stesso tipo di contestazione.
Il collegamento con l'art. 50 AI Act è diretto: i sistemi AI che comunicano via API con pazienti, sistemi di refertazione o piattaforme esterne devono essere sicuri prima che trasparenti. Sicurezza e trasparenza non sono due adempimenti separati — sono la stessa catena di responsabilità.
Da questo numero il tema rette RSA entra in una dimensione nuova: quella giudiziaria. Il Comune di Terni e la Regione Umbria sono davanti al TAR per decidere chi, tra Comune, Regione e AUSL, deve pagare le rette delle strutture residenziali. La norma al centro del contenzioso è l'art. 6 della L. 328/2000, che definisce la ripartizione delle responsabilità nelle prestazioni sociosanitarie — una norma di 26 anni fa, mai riscritta, applicata in modo difforme da regione a regione.
Il Radar lo segnala perché è la prima volta che questo tema produce un atto giuridico tracciabile — non una dichiarazione politica o un dato di cronaca, ma un ricorso al TAR con una questione di diritto che potrebbe diventare un precedente. L'esito del ricorso Terni-Umbria è uno dei pochi fatti normativi sull'intera questione rette che potremmo vedere nei prossimi mesi. Lo monitoreremo.
Vuoi smettere di gestire la compliance a mano?
CLAVIS trasforma ogni aggiornamento normativo in un'azione tracciabile per la tua struttura.