La tesi: dalle regole al vantaggio
Con l'applicazione dal 2 agosto 2026 degli obblighi di trasparenza dell'articolo 50 dell'AI Act, il quadro normativo europeo tiene insieme GDPR, NIS2, DORA, Cyber Resilience Act e Cyber Solidarity Act. È su questo intreccio che si sofferma un articolo di Agenda Digitale, che riporta la lettura di Kevin Jiang, co-fondatore e general partner di Mangusta Capital, fondo dedicato agli investimenti in Vertical AI, con un passato in Goldman Sachs, Soros Fund Management, Apollo Global Management e SoftBank Vision Fund.
La sua tesi ribalta un giudizio diffuso: per anni gli investitori americani hanno considerato l'Europa un continente di troppe regole e poca costruzione, leggendo il GDPR come un freno. Con l'era dell'AI la domanda cambia e diventa chi controlla il dato e con quali regole: a quel punto, sostiene Jiang, la disciplina costruita per obbligo si trasforma in vantaggio, perché è la stessa disciplina che oggi serve a tutti.
Dal perimetro al dato
Il ragionamento dell'investitore si accompagna a un cambio tecnico descritto nell'articolo: le soluzioni di Data Loss Prevention nascono dal presupposto che i dati stiano dentro un perimetro e vadano intercettati quando tentano di uscirne. Oggi però un documento nasce in cloud, passa da dispositivi personali, viene condiviso con fornitori e incollato in strumenti di AI. Quando il contenuto supera la barriera e viaggia in chiaro, non resta nulla a proteggerlo.
Da qui l'idea che l'unico controllo duraturo sia quello che viaggia con il dato stesso. L'articolo collega questa esigenza alle norme citate: l'articolo 32 del GDPR indica la cifratura tra le misure adeguate; la NIS2 elenca crittografia e controllo degli accessi tra le misure di gestione del rischio, con finestre di notifica entro 24 ore, 72 ore e un mese; il DORA prescrive cifratura a riposo e in transito, privilegio minimo e controllo sui fornitori ICT.
Sul piano degli attacchi, il testo cita il phishing come vettore d'ingresso più diffuso, intorno al 60% dei casi secondo ENISA, e l'elemento umano in circa sei violazioni su dieci secondo Verizon DBIR 2025, con credenziali rubate presenti nel 30% dei dispositivi gestiti e nel 46% di quelli non gestiti. Se il documento resta cifrato anche quando qualcuno è già dentro, sostiene l'articolo, la porta lasciata aperta pesa meno.
Cosa resta da verificare
L'articolo richiama anche la cosiddetta shadow AI, cioè l'incollare contenuti riservati in assistenti pubblici, e ricorda che l'articolo 34 del GDPR può far venir meno l'obbligo di comunicare la violazione agli interessati se i dati esfiltrati restano cifrati e inintelligibili. Le valutazioni di Jiang restano dichiarazioni di un investitore, non dati di mercato verificati: la portata effettiva del vantaggio europeo e i suoi riflessi sugli investimenti non sono quantificati nel materiale disponibile.
