Dorsale n. 144 · 20 Ottobre 2026

🌍

Scenario internazionale

L'AI Act ha la sua prima norma armonizzata, in vigore dal 14 ottobre

La Commissione europea ha adottato il 12 ottobre 2026 la decisione di esecuzione (UE) 2026/2274, pubblicata nella Gazzetta ufficiale dell'Unione, serie L, il 14 ottobre, con entrata in vigore lo stesso giorno della pubblicazione. Il riferimento interno è C/2026/7073. La decisione porta nell'allegato una sola voce: la norma EN 18286:2026, sui sistemi di gestione della qualità per i fornitori di sistemi di intelligenza artificiale ai fini del regolamento europeo.

Il meccanismo è quello dell'articolo 40 dell'AI Act: un sistema conforme a una norma armonizzata il cui riferimento è pubblicato in Gazzetta europea beneficia della presunzione di conformità ai requisiti corrispondenti. La norma nasce dalla richiesta di normazione rivolta a CEN e CENELEC con la decisione di esecuzione C(2025) 3871 del 23 giugno 2025, e risponde al punto 9 dell'allegato I di quella richiesta, cioè i sistemi di gestione della qualità dei fornitori, monitoraggio post-commercializzazione compreso. La decisione è firmata da Ursula von der Leyen.

Per chi sviluppa o rivende sistemi classificati ad alto rischio, il dato operativo è la data: dal 14 ottobre esiste il primo appiglio tecnico per dimostrare la conformità su quel requisito, e non più solo il testo del regolamento. La decisione non fissa scadenze proprie.

FonteGazzetta ufficiale dell'Unione europea, serie L, 2026/2274 del 14 ottobre 2026, su EUR-Lex · pagina della Commissione europea, DG GROW, sezione sulle norme armonizzate per l'intelligenza artificiale

📡

Telco & IT

Juniper pubblica diciassette bollettini in una settimana, oltre 150 difetti su Junos OS

Nella settimana appena chiusa Juniper Networks ha pubblicato diciassette bollettini di sicurezza che coprono oltre 150 difetti su Junos OS e Junos OS Evolved, più quattro bug sul Juniper Cloud-Native Router. Circa due dozzine sono classificati come critici. Non è un incidente: è il ciclo di manutenzione trimestrale di un fornitore di apparati di rete, e arriva tutto insieme.

È la parte del lavoro che non si vede nei piani annuali. Un parco di apparati perimetrali va aggiornato su finestre che vanno concordate, perché un riavvio del firewall ferma le sedi, e un ciclo come questo costringe a decidere cosa si chiude subito e cosa si rinvia. Il criterio pratico è la precondizione: una falla critica che richiede una configurazione specifica non vale quanto una che si attiva su qualunque installazione.

La più pesante del lotto, quella sul processo srxpfe della serie SRX, sta nella sezione Cyber Security di questa edizione con i numeri di versione.

FonteBollettini Juniper Networks sul support portal · quadro d'insieme su SecurityWeek, 16 ottobre 2026

Le imprese programmano 539mila assunzioni per ottobre, il 3,7% in più dell'anno scorso

Il Sistema informativo Excelsior di Unioncamere e Ministero del Lavoro ha pubblicato il 19 ottobre il dato sulle entrate programmate dalle imprese per il mese: 539mila, con una crescita del 3,7% sullo stesso mese del 2025.

Va letto per quello che è. Sono assunzioni che le imprese dichiarano di voler fare, non contratti firmati: è una previsione di domanda, e come tutte le previsioni di domanda si scontra con chi si trova sul mercato. Il punto di contatto con il resto di questa edizione è lì: la ricerca Nomisma dice che metà delle PMI indica le competenze interne come primo ostacolo all'AI, e una domanda di lavoro che cresce del 3,7% non chiude da sola un divario di competenze.

Il dettaglio per settore e per profilo professionale sta nel bollettino mensile, che è il documento da aprire se serve capire quali figure le imprese stanno cercando davvero.

FonteUnioncamere, Sistema informativo Excelsior, comunicato del 19 ottobre 2026

☁️

Cloud & Digital

Un milione per i progetti italiani sui dati e la conformità, domanda entro il 30 ottobre

Con il decreto direttoriale del 22 settembre 2026, protocollo R_0002694, il MIMIT ha aperto il cofinanziamento nazionale dei progetti italiani selezionati su una call del programma Digital Europe: la DIGITAL-2026-AI-DATA-10-COMPLIANCE, su soluzioni digitali per la conformità normativa attraverso i dati. La dotazione nazionale è di un milione di euro, l'intensità dell'aiuto arriva fino al 50% dei costi ammissibili.

Le date non lasciano margine. La proposta alla DG CONNECT andava presentata sul portale europeo entro le 17 del 1 ottobre, quindi quella finestra è chiusa. La domanda di agevolazione nazionale va presentata entro le 17 del 30 ottobre 2026, cioè fra dieci giorni. Il massimale per progetto non è indicato nella sintesi pubblicata dal Ministero.

La platea è ristretta a chi ha già presentato in Europa, e questo è il punto da capire anche per chi stavolta resta fuori: il cofinanziamento nazionale su una call Digital Europe si prepara prima della call, non dopo. Chi guarda al prossimo bando europeo su dati e AI dovrebbe verificare adesso se esiste la misura nazionale corrispondente, perché la scadenza italiana arriva poche settimane dopo quella di Bruxelles.

FonteMIMIT, pagina dell'incentivo e decreto direttoriale del 22 settembre 2026 · dotazione e percentuale di contributo riprese da Fisco e Tasse, 28 settembre 2026, e da Europa Innovazione, 23 settembre 2026

In Italia ChatGPT e Gemini sono a 251mila utenti di distanza, e sul mobile il sorpasso è già avvenuto

L'Osservatorio sull'intelligenza artificiale generativa in Italia curato da Vincenzo Cosenza, su dati Audicom, misura luglio 2026: ChatGPT a 9,625 milioni di utenti unici mensili, Gemini a 9,374. Il distacco è di 251mila persone, contro oltre quattro milioni a dicembre 2025. Sul mobile il sorpasso è avvenuto a giugno, e a luglio Gemini sta a 7,578 milioni contro 7,125; su desktop resta avanti ChatGPT, 3,189 contro 2,399.

Il resto della classifica di luglio: Copilot 2,367 milioni, Claude 1,802, Meta AI 1,614, Perplexity 1,016, Grok 528mila. Claude è il movimento più rapido, da 283mila utenti a dicembre 2025. Sul tempo speso il quadro si ribalta: ChatGPT tiene un'ora e cinquanta al mese per utilizzatore, Gemini un'ora e venti, Claude un'ora e un quarto. Rispetto a luglio 2025 Gemini e Claude hanno triplicato il tempo medio per persona, ChatGPT è calato del 6%.

La nota metodologica dichiara audience da browser e da app, su computer e dispositivi mobili, popolazione italiana fra 18 e 74 anni, e avverte che le audience delle singole piattaforme non sono mutuamente esclusive: non si sommano. Per chi pubblica contenuti il dato utile è il canale, non la classifica: il mobile è dove si decide, ed è dove il preinstallato pesa.

FonteOsservatorio sull'intelligenza artificiale generativa in Italia, Vincenzo Cosenza su dati Audicom, pubblicato il 16 ottobre 2026 · periodo di osservazione luglio 2026

◇

Soluzione TIM del giorno

Si compra un pacchetto di risorse, non delle macchine

Un'azienda che deve far girare macchine virtuali ha due problemi che non riguardano la potenza. Il primo è che non sa quante risorse le serviranno fra sei mesi. Il secondo è che se compra per eccesso paga capacità ferma, e se compra per difetto rifà il lavoro. La pagina di prodotto di TIM Cloud Open mette il controllo dei costi fra i vantaggi proprio in questi termini: le risorse si riconfigurano nel tempo per migliorare l'efficienza e tenere la spesa sotto controllo.

Il meccanismo è semplice e si legge sulla fonte. Il servizio, scrive TIM Enterprise, consiste nella “fornitura di un Pool (pacchetto) di risorse: vcore, RAM e storage”, disponibile in tagli che vanno da XS a XL. Dopo l'acquisto arrivano le credenziali della cloud console, e dentro la console il cliente configura da sé le proprie macchine virtuali a partire dal pool. Se le risorse non bastano più, si chiede l'ampliamento del pool o il passaggio a un taglio superiore. Il punto tecnico è tutto qui: si compra un pool, non delle macchine, e il pool si allarga senza rifare il disegno. Fra le caratteristiche la pagina elenca la sovranità, con servizi erogati da data center italiani, il self ordering, con disponibilità delle risorse in tempo reale, e l'open source riferito alla gestione delle VM.

Cosa serve avere in casa. Primo, qualcuno che sappia dimensionare e configurare macchine virtuali: self service vuol dire che il lavoro di progettazione resta dentro. Secondo, una stima iniziale del taglio di pool, sapendo che si cambia in corsa. Terzo, la gestione delle funzionalità da abbinare, perché backup, indirizzi IP e sistema operativo sono voci separate. Quarto, un presidio del consumo nel tempo: la leva di costo esiste solo se qualcuno la guarda. Chi non ha nessuna di queste quattro cose sta comprando un prodotto self service senza avere il self.

Fonte TIM Enterprise · pagina di prodotto TIM Cloud Open · pagina senza data. Nessuna cifra numerica pubblicata: l'unica scala indicata sono i tagli da XS a XL

GPA è partner TIM dal 1997. Contenuto divulgativo, nessuna condizione commerciale.

🔒

Cyber Security

Root su Junos OS con un pacchetto costruito, ma serve un tunnel GRE configurato

CVE-2026-33792 è un buffer overflow sullo stack nel processo srxpfe di Junos OS, sulla serie SRX. Un attaccante di rete non autenticato esegue codice come root, o manda il sistema in denial of service, con un pacchetto costruito ricevuto su un tunnel GRE. La precondizione è quella: serve un tunnel GRE configurato. Senza, la falla non si raggiunge.

Il punteggio è 9,3 su CVSS 4.0, assegnato da Juniper Networks come CNA. Va scritto con l'attribuzione, perché NVD non ha ancora fatto la propria valutazione e in giro circola un 9,8 che non corrisponde al punteggio del fornitore. Sfruttamento in rete: nessuno segnalato, la falla non è nel catalogo CISA delle vulnerabilità sfruttate e l'EPSS è allo 0,61%. Le versioni corrette sono 23.2R2-S7.7, 23.4R2-S8.13, 24.2R2-S5.5, 24.4R2-S5 e 25.2R2-S2: tutto quello che sta sotto, su quei rami, è affetto.

Tre cose da fare questa settimana, e nessuna richiede un progetto. Chiedi al fornitore che gestisce il firewall se gli apparati sono della serie SRX e quale versione di Junos hanno installata, confrontandola con l'elenco qui sopra. Fatti dire se esiste un tunnel GRE configurato e a cosa serve: se non serve a niente, va spento, e quella è la mitigazione più veloce. Chiedi quando è prevista la finestra di aggiornamento e mettila per iscritto in una mail, perché una data concordata vale più di una promessa al telefono. La sicurezza noiosa è quella che funziona.

FonteBollettino Juniper Networks JSA112186 · record NVD di CVE-2026-33792, pubblicato il 14 ottobre 2026 e aggiornato il 15

F5 fuori ciclo: undici falle NGINX, tre critiche e due prodotti senza correzione

Il 14 ottobre F5 ha pubblicato una notifica di sicurezza fuori ciclo con undici vulnerabilità NGINX. Tre sono le critiche: CVE-2026-15176 e CVE-2026-97205 su ngx_http_core_module, CVE-2026-93479 sulla direttiva map e il regex matching. Tutte e tre hanno lo stesso punteggio assegnato da F5, 8,1 su CVSS 3.1 e 9,2 su CVSS 4.0, e riguardano solo il data plane. F5 non segnala sfruttamento in rete per nessuna delle undici.

Le prime due si attivano senza autenticazione con richieste HTTP costruite. Il risultato normale è un buffer overflow con riavvio del processo; l'esecuzione di codice arriva solo se ASLR è disattivato o aggirabile. È una distinzione che conta quando si decide la priorità: il rischio garantito è l'interruzione del servizio, l'esecuzione di codice è condizionata. Le versioni che correggono sono 1.31.7 e 1.30.6 per NGINX Open Source, 37.0.5.1 e 37.1.0.1 per NGINX Plus. Per NGINX App Protect WAF, rami 4.x e 5.x, e per App Protect DoS 4.x non c'è ancora correzione per due delle tre.

Le mitigazioni pubblicate sono di configurazione, quindi applicabili subito: evitare la direttiva alias dentro un blocco location e la variabile request_filename per la prima falla, usare solo named captures nelle espressioni regolari per la seconda, disattivare AIO oppure SSI per la terza. Su quest'ultima F5 suggerisce di verificare con il dump completo della configurazione che nessun file incluso riattivi la direttiva: è il controllo che salta più spesso, perché il file che riaccende SSI non è quello che si guarda.

FonteF5, Out-of-band Security Notification del 14 ottobre 2026, articolo K000163408, e i tre articoli di dettaglio K000162416, K000162607 e K000162608

📣

Marketing & Comunicazione

I grandi brand spendono in pubblicità una quota sempre più piccola dei loro ricavi

Warc Media ha analizzato i venticinque maggiori inserzionisti al mondo nel rapporto “Global Ad Trends: The Cost of Being Seen”. Il rapporto fra spesa pubblicitaria e ricavi di quei venticinque è sceso dal 6,1% del 2019 al 5,5% del 2025: la spesa è cresciuta del 56%, i ricavi del 73%.

Lo scarto è quasi tutto sui quattro grandi della tecnologia. Alphabet, Meta, Microsoft e Netflix insieme passano da un rapporto del 13,0% al 7,4% fra 2019 e 2025, mentre i loro ricavi vanno da 379 a 931 miliardi di dollari, più 146%. Se avessero tenuto il rapporto del 2019 avrebbero speso 121 miliardi nel 2025, cioè 52 in più di quanto hanno investito. I beni di consumo vanno nella direzione opposta: Coca-Cola, Estée Lauder, L'Oréal, Nike, PepsiCo e Procter & Gamble salgono dall'11,6% del 2023 al 12,5% del 2025, con adv più 36% contro ricavi più 29% dal 2019. Cinque su sei hanno alzato il rapporto, PepsiCo è stabile.

Per chi vende comunicazione la lettura è che il budget dei grandi non è più il traino. Alex Brownsell, Head of Content di Warc Media, descrive un mercato a due velocità, con la spesa di piccole imprese ed e-commerce transfrontaliero che cresce più di quella dei grandi marchi. Chi vive di clienti grandi dovrebbe guardare dove si è spostata la domanda.

FonteWarc Media, Global Ad Trends: The Cost of Being Seen · ripreso da Engage, 19 ottobre 2026, firma Caterina Varpi

Verticali editoriali in crescita del 10% malgrado le risposte generate da Google

Italiaonline dichiara una crescita del 10% delle sessioni medie sui verticali SiViaggia, QuiFinanza e DiLei nel primo semestre 2026 sul primo semestre 2025, con picchi del 28,5% a gennaio e maggio. Il dato va attribuito alla società, perché è diffuso da lei e non da un misuratore terzo.

Il contesto che lo rende interessante è il calo generale delle visite dai motori di ricerca legato alle risposte generate direttamente nelle pagine dei risultati. La società indica come tenuta il traffico diretto sulle homepage di Libero e Virgilio e oltre dieci milioni di account email attivi, che sono una base di dati di prima parte della concessionaria iOL Advertising.

Sui nuovi pubblici la società cita tre progetti verticali: DiLei Girlz sulla Generazione Z, QuiFinanza Green, Virgilio Scuola. Il meccanismo dichiarato è quello che vale per chiunque pubblichi contenuti: quando l'intermediario trattiene la risposta, il valore si sposta su quello che l'intermediario non ha, cioè l'accesso diretto e il dato di prima parte.

FonteEngage, 19 ottobre 2026, firma Andrea Di Domenico · dati dichiarati da Italiaonline

💼

Dal Network LinkedIn

Gli agenti e il foglio bianco: la domanda che il cliente fa in riunione è “tipo cosa?”

In un post su LinkedIn Benedict Evans costruisce un parallelismo fra due promesse. La prima era che un sistema può rispondere a qualsiasi cosa, e la domanda che segue è: tipo cosa? La seconda è che un sistema può fare qualsiasi cosa, e la domanda che segue è la stessa. La differenza che indica è che la prima promessa sta accanto a un gesto che le persone conoscono già, la ricerca, e quindi ha un modello mentale su cui appoggiarsi; la seconda non ne ha nessuno.

Da qui la sua tesi, ed è una sua posizione, non un fatto accertato: gli agenti non attenuano i problemi che limitano l'adozione dell'intelligenza artificiale, li aggravano. Il “blank screen problem”, il foglio bianco davanti a un utente che non sa cosa chiedere, è un concetto che Evans porta avanti da tempo. Il termine “jaggedness”, che compare nello stesso ragionamento, non è invece suo: nasce in Navigating the Jagged Technological Frontier, working paper della Harvard Business School con BCG di settembre 2023, fra i cui autori c'è Ethan Mollick, che era l'ospite di questa card ieri. Due giorni di Dorsale stanno sullo stesso filo visto da due punti diversi.

La questione non è se gli agenti funzionino, è l'onboarding. Chi compra e vende tecnologia riconosce quella domanda, perché è letteralmente quella che un cliente fa in riunione quando gli si descrive una capacità invece di un compito. Il contrappunto misurato sta nella notizia di apertura di oggi: nelle PMI italiane l'AI è già dentro nel 45% dei casi per iniziativa dei singoli, cioè è arrivata senza che nessuno abbia definito a cosa serve. Il foglio bianco, in azienda, si presenta così.

FontePost LinkedIn di Benedict Evans, consegnato dall'utente, data del post non verificata e link abbreviato non raggiungibile. Nessuna citazione testuale: solo parafrasi. Il termine “jagged frontier” viene da Dell'Acqua et al., Navigating the Jagged Technological Frontier, Harvard Business School working paper con BCG, settembre 2023

🍎

Focus Apple

Apple convoca per il 28 ottobre, e non sarà un evento in streaming

Il 19 ottobre Greg Joswiak, senior vice president marketing di Apple, ha pubblicato sui social un messaggio con il logo “Pro and Tell” e l'annuncio che si parlerà la settimana prossima. È il fatto verificabile: un teaser ufficiale firmato da un dirigente dell'azienda.

Le novità sono attese per mercoledì 28 ottobre. Alla stampa è stata inviata la convocazione per una launch experience in presenza a Los Angeles, dalle 10 del mattino ora del Pacifico. Non è un keynote in streaming: come già per gli ultimi lanci, i giornalisti avranno prove sul posto e i comunicati sui prodotti usciranno a quell'ora. È un formato che Apple sta usando con continuità, e cambia il lavoro di chi copre il lancio: niente video da commentare in diretta, materiale che arriva tutto insieme.

Sui prodotti non c'è nulla di confermato. Le indiscrezioni parlano di MacBook Pro con display OLED touchscreen, di un MacBook Pro M6 di ingresso, di un iMac M6 e di un iPad mini OLED, e una data di uscita del 6 novembre per l'OLED è attribuita a Mark Gurman di Bloomberg. Apple non ha confermato nessuno di questi prodotti, e fino al 28 restano indiscrezioni.

FonteMacRumors, 19 ottobre 2026, firma Juli Clover · il teaser è di Greg Joswiak, i prodotti sono indiscrezioni non confermate da Apple

🚗

Automotive & Fleet

Le batterie tengono meglio di come il mercato dell'usato le valuta

Motus-E ha pubblicato il 14 ottobre uno studio realizzato con Quattroruote Professional su migliaia di casi reali. I numeri: le batterie mantengono quasi il 90% della capacità oltre gli 80mila chilometri, restano sopra l'87% dopo circa sette anni di utilizzo e intorno all'80% dopo 200mila chilometri. La degradazione è lenta e prevedibile, e non è quella che il mercato dell'usato prezza.

Il dato che spiega il problema è un altro: oggi meno del 3% degli annunci di auto elettriche usate riporta informazioni sullo stato di salute della batteria. Senza quel numero la quotazione si costruisce su chilometri ed età, cioè sui parametri di un motore a combustione. Francesco Naso, segretario generale di Motus-E, dice che l'usato elettrico è ancora valutato con modelli plasmati per i veicoli a combustione.

Quattroruote Professional ha messo mano all'algoritmo: la quotazione viene corretta quando lo stato di salute rilevato si discosta di oltre il 3% dal livello atteso per quel chilometraggio e quell'età. Per chi gestisce una flotta a noleggio la ricaduta è sul valore residuo, che è la voce che determina il canone: se il valore residuo di un elettrico è stimato con la curva di un diesel, il canone è sbagliato in partenza. Motus-E chiede che lo stato di salute entri nei modelli di valore residuo e in tutti gli annunci, in formato standardizzato e verificabile.

FonteMotus-E con Quattroruote Professional, comunicato del 14 ottobre 2026

Numero della settimana

45%

È la quota di PMI manifatturiere italiane che usa l'intelligenza artificiale in modo informale, per iniziativa dei singoli dipendenti. Insieme al 21% che non la usa, fa circa due imprese su tre senza un utilizzo strutturato. Fonte: Nomisma, ricerca AI.DEA con il sostegno di UniCredit, presentata il 16 e 17 ottobre 2026. Campione di oltre 200 imprese fra 10 e 250 addetti su tre filiere

Citazione

Una nuova opportunità per la ricerca e le imprese italiane.

Alessio Butti, Sottosegretario di Stato alla Presidenza del Consiglio con delega all'innovazione tecnologica e alla transizione digitale, all'inaugurazione a Como del computer quantistico Volta B1, oltre 4.400 qubit. CorCom, 16 ottobre 2026. Carica verificata su governo.it

🌱

La buona notizia

Il filtro anti-spoofing ha fermato 191 milioni di chiamate illecite in otto mesi

Nei primi otto mesi del 2026 i filtri previsti dalla delibera AGCOM 106/25/CONS hanno bloccato circa 191 milioni di chiamate provenienti dall'estero con numero chiamante italiano contraffatto o non conforme alle specifiche internazionali. Sono il 7,2% del totale, in media circa 790mila al giorno. Scomposte: 38 milioni con un numero fisso italiano, 148 milioni con un numero mobile italiano, 4,6 milioni con un numero non conforme.

Il confronto che misura il risultato è nel comunicato stesso, contro il periodo dal 1 al 18 novembre 2025, prima che il blocco venisse esteso alle numerazioni mobili italiane. Le chiamate dall'estero con numero mobile italiano sono scese del 95%, da 26,8 a 1,2 milioni al giorno. Il traffico internazionale complessivo si è ridotto di circa due terzi, da 34 a 11 milioni di chiamate al giorno.

C'è anche un pezzo che racconta come è andata la partita: dopo l'introduzione del filtro il traffico fraudolento si era spostato sui numeri chiamanti esteri per aggirarlo, e oggi il volume delle chiamate con numero estero è tornato ai valori precedenti all'introduzione del filtro. Nello stesso comunicato l'Autorità rende note due ordinanze-ingiunzione del 23 settembre per quasi 830mila euro complessivi.

FonteAGCOM, comunicato stampa del 12 ottobre 2026, paragrafo sui dati del filtro anti-spoofing. ⚠️ Il comunicato è del 12 ottobre, quindi un giorno fuori dalla finestra dei sette giorni di questa rassegna

Nelle PMI italiane l'AI c'è già, ma nel 45% dei casi la portano i dipendenti