Gli strumenti di conformità AI arrivano prima delle regole che codificano

Quick Heal ha lanciato Seqrite NOVA Data Privacy, uno strumento di conformità basato sull'AI venduto in tre versioni per piccoli uffici, PMI e medie imprese.

La proposta arriva dove la maggior parte degli acquirenti non ha in organico uno specialista della privacy. Il motore di traduzione di NOVA rende le esperienze di consenso, le informative privacy e i menu dei cookie in 22 lingue indiane ufficialmente riconosciute, che Quick Heal collega ai requisiti di notifica del DPDP. I prezzi non sono stati resi noti, quindi gli acquirenti non possono ancora confrontare i pacchetti con i concorrenti né con il non fare nulla.

Quick Heal vende il DPDP a pacchetti

Le versioni sono Lite, Essentials e Professional. Coprono configurazioni SOHO fino alle medie imprese. Secondo l'azienda, il motore AI di NOVA individua e classifica i dati personali su endpoint, applicazioni cloud, database e file non strutturati. Riconosce anche il testo incorporato in documenti scansionati e immagini.

"Orientarsi nella conformità al DPDP indiano non dovrebbe essere un compito complesso e gravoso in termini di risorse per le imprese in crescita", ha detto Harish Kumar GS, amministratore delegato di Quick Heal Technologies.

Quick Heal promette un intervento manuale minimo e una dipendenza limitata da competenze IT specialistiche.

Altri due lanci, altri due manuali di regole

Quick Heal non è l'unico fornitore sul mercato. Sierra ha presentato Compliance Console il 28 ottobre 2026, integrata nella sua piattaforma di agenti Horizon. È un insieme di barriere configurabili per i contatti in uscita degli agenti:

• Informativa per canale, da come si apre una chiamata al link di disiscrizione in un'email
• Finestre di contatto stabilite sull'ora locale del destinatario
• Esclusione dei giorni festivi per paese e regione
• Limiti di frequenza, separati per contatti di marketing e transazionali

I valori predefiniti suggeriscono quanto siano locali le regole. Sierra dichiara che la finestra di contatto accettabile nella maggior parte delle località va dalle 8 alle 21, e che le finestre possono essere impostate diversamente per giorno o divise all'interno di un singolo giorno. Cita il Giorno Nazionale spagnolo, il 14 luglio francese e l'ANZAC Day australiano come giorni in cui i contatti di marketing sono limitati per legge.

Fusemachines ha puntato invece sulle assunzioni. Il 29 ottobre 2026 ha introdotto un modulo per il consenso all'uso dell'AI in HireFoundry.ai, pensato per le diverse regole statali sull'AI nelle assunzioni. Se un candidato rifiuta il consenso, il colloquio prosegue con il selezionatore e Interview Agent non si unisce, non ascolta, non trascrive e non analizza la chiamata, secondo l'azienda.

"La scelta del candidato deve controllare ciò che la tecnologia fa davvero", ha detto Anish Joshi, responsabile della tecnologia di Fusemachines.

I soldi dietro la spinta alla conformità

I fornitori inseguono un mercato che secondo i previsori circa raddoppierà.

Il mercato è stato valutato circa 35.820.000.000 dollari nel 2025. Le previsioni lo danno a 78.850.000.000 dollari entro il 2033, con un tasso di crescita annuo composto del 10,5% dal 2026 al 2033, secondo un rapporto di ResearchAndMarkets. Il rapporto cita GDPR, CSRD e DORA tra i quadri normativi che impongono monitoraggio continuo e segnalazioni tempestive.

Le regole divergono, non convergono

Le regole che il software deve codificare non convergono. L'UE ha approvato il suo AI Act nel 2024 con obblighi basati sul rischio, mentre gli Stati Uniti non hanno una legge federale unificata sull'AI, secondo un contributo di Gloria Grobman per Newsweek Japan riassunto in un articolo di note.com. La California ha varato la SB 53 nel settembre 2025, e a luglio 2026 è stato presentato un disegno di legge federale FRONTIER.

Anche il peso dell'applicazione è diverso. L'AI Risk Management Framework del NIST statunitense è volontario, e i requisiti di sicurezza dell'Office of Management and Budget valgono solo per le agenzie federali. La Corea ha definito sette principi etici sull'AI nell'agosto 2026 come guida volontaria senza sanzioni.

L'orologio dell'India segna un'altra ora. Le DPDP Rules sono state notificate nel novembre 2025, con le disposizioni chiave in vigore per fasi fino a maggio 2027. Un sondaggio EY pubblicato a gennaio ha rilevato che oltre l'83% delle organizzazioni non aveva iniziato ad attuare i requisiti nei processi e nei sistemi interessati.

Quel divario è il mercato in cui questi fornitori vendono. È anche il motivo per cui un acquisto di conformità può restare su una voce di bilancio per un anno senza che nessuno lo faccia rispettare.

Quanto costa la non conformità

Il rovescio non è teorico. Law.asia osserva che immettere informazioni personali sensibili in un modello di AI senza consenso o de-identificazione viola la legge cinese sulla protezione delle informazioni personali e la legge sulla sicurezza dei dati. Una fuga di dati in settori regolamentati come finanza e sanità può anche far scattare l'articolo 253 del codice penale sulla violazione delle informazioni personali dei cittadini, afferma lo stesso articolo.

La Cina fissa anche soglie per l'esportazione. Le aziende che trattano informazioni personali di oltre un milione di individui, o che inviano all'estero dati su più di 100.000 persone, o dati sensibili su più di 10.000, devono superare una valutazione di sicurezza per l'esportazione dei dati, secondo Law.asia. L'articolo dice che molte multinazionali trascurano questo requisito quando sincronizzano i dati degli utenti nazionali sui server AI all'estero.

Il diritto d'autore è l'altro fianco scoperto. Nel caso di testo in immagine del Tribunale Internet di Pechino, il tribunale ha stabilito che una progettazione sostanziale del prompt e la regolazione dei parametri potevano rendere il contenuto generato idoneo alla protezione del diritto d'autore, mentre istruzioni semplici potevano non esserlo.

Niente di tutto questo risolve la questione che gli acquirenti hanno davvero davanti. I prezzi di Seqrite NOVA non sono divulgati, e Quick Heal non ha detto quanti clienti hanno attivato i controlli. Le regole continueranno ad arrivare con orologi separati, e gli strumenti continueranno ad arrivare prima di loro.