La dismissione di un sistema di intelligenza artificiale non coincide automaticamente con la fine del trattamento dei dati e può lasciare aperti rischi giuridici, organizzativi e di sicurezza.
Dati di addestramento, log, pipeline MLOps, API key e altre credenziali possono infatti sopravvivere al sistema, mentre GDPR, AI Act e NIS2 offrono principi e obblighi applicabili ma non un processo unitario di offboarding.
Il problema riguarda soprattutto i sistemi sperimentali o abbandonati, che rischiano di diventare infrastrutture non più presidiate pur conservando dati e accessi. ISO 42001 rappresenta un riferimento utile perché considera l’intero ciclo di vita dell’AI, compresa la dismissione.
Per ridurre il vuoto di governance, le organizzazioni dovrebbero formalizzare procedure che includano revoca degli accessi, gestione della retention o cancellazione dei dati, conservazione della documentazione necessaria e aggiornamento del registro dei trattamenti.
Link alla fonte:
https://www.altalex.com/documents/news/2026/08/09/ai-che-hai-spento-non-e-sparita