Dopo l’adozione del Pacchetto Servizi Digitali in prima lettura da parte del Parlamento europeo nel luglio 2022, sia la Legge sui Servizi Digitali che la Legge sui Mercati Digitali sono state adottate dal Consiglio dell’Unione Europea, firmate dai Presidenti di entrambe le istituzioni e pubblicate nella Gazzetta Ufficiale. 

Cosa contengono questi due atti che formano il nuovo pacchetto per i servizi digitali? Perché si è resa necessaria la loro adozione? Quali sono i termini già scaduti di questi due provvedimenti e quali saranno le prossima?

In questo breve articolo forniremo una prima risposta a queste domande, riservando la trattazione dei singoli atti a successive pubblicazioni sul blog di Aiternalex.

Perché si è resa necessaria l’adozione del DSA del DMA?

I servizi digitali hanno un impatto significativo e sono finalizzati alla semplificazione della nostra vita. Li usiamo in molti aspetti della nostra quotidianità e sarebbe difficile farne a meno sia nella vita personale che nel lavoro per comunicare, fare acquisti, ordinare cibo, trovare informazioni, vedere film e ascoltare musica. I servizi digitali hanno anche reso più snelle le pratiche commerciali e hanno espanso enormemente il mercato di riferimento anche per microimprese, PMI e imprese artigiane.  

I vantaggi della trasformazione digitale sono evidenti e numerosi ma portatori di nuovi paradigmi che recano con loro nuove problematiche. Uno dei problemi principali è il commercio e lo scambio di beni, servizi e contenuti illegali online. I servizi online vengono inoltre utilizzati oggigiorno in modo improprio da sistemi algoritmici per manipolare l’opinione dei cittadini dell’U.E. attraverso la diffusione di elementi di disinformazione o attraverso altre pratiche illegali. Il modo in cui le piattaforme online affrontano queste sfide impatta enormemente sulla vita dei singoli cittadini dell’Unione.

Nonostante una serie di interventi di rango europeo mirati al contrasto di pratiche illegali o scorrette nel settore digitale, all’inizio della seconda decade del nuovo millennio abbiamo ancora notevoli lacune da affrontare. Senza dubbio uno di questi è l’oligopolio di alcune grandi piattaforme che controllano importanti ecosistemi dell’economia digitale. Queste ultime si sono affermate come veri e propri regolatori dei mercati digitali e le loro regole a volte si traducono in condizioni inique per le imprese che utilizzano le loro piattaforme e in una minore possibilità di scelta per i Consumatori.

Per questo motivo l’Unione ha adottato un quadro giuridico moderno che garantisca la sicurezza dei cittadini dell’Unione stessa (nella qualità di utenti dei servizi digitali).

DSA & DMA

La legge sui servizi digitali o Digital Service Act (di seguito anche solo “DSA”) e la legge sui mercati digitali Digital Market Act (di seguito anche solo “DMA”) costituiscono un unico insieme di norme applicabili in tutta l’U.E. le quali mirano a 

1. creare uno spazio digitale sicuro per i cittadini dell’Unione, in cui siano tutelati i diritti fondamentali degli utenti fruitori dei servizi digitali, oltre che
2. stabilire condizioni di parità nell’ambito della concorrenza fra imprese che operano nel settore del digitale per promuovere l’innovazione, la crescita e la competitività, sia nel mercato unico europeo che a livello globale.

Cosa s’intende per Servizi Digitali? A chi sono rivolte il DSA & DMA? Qual è il contenuto dei due Atti?

I servizi digitali comprendono un’ampia categoria dei servizi fruibili online, dai semplici siti web ai servizi infrastrutturali legati al web e alle piattaforme online.

Il DSA è un insieme completo di nuove norme che regolano le responsabilità dei servizi digitali che agiscono come intermediari all’interno dell’UE per connettere digitalmente i Consumatori con beni, servizi e contenuti. In questo contesto, per “servizi digitali” si intendono le piattaforme online, come i marketplace e i social media.

Il DSA stabilisce chiari obblighi di due diligence per le piattaforme online e altri intermediari online. La legge prevede anche misure per dissuadere i professionisti disonesti dal raggiungere i Consumatori. Il DSA offre anche maggiori requisiti di trasparenza per le piattaforme online in merito alle decisioni sulla rimozione e la moderazione dei contenuti e sulla pubblicità.

Il DMA, invece, comprende norme che regolano le piattaforme online definite “gatekeeper”; mira a rendere i mercati del settore digitale più equi e concorrenziali. A tal fine, il Digital Markets Act stabilisce una serie di criteri oggettivi chiaramente definiti per identificare i gatekeeper.

I gatekeeper sono grandi piattaforme digitali che forniscono i cosiddetti servizi di base, come motori di ricerca online, app store e servizi di messaggistica. Le piattaforme gatekeeper sono piattaforme digitali con un ruolo rilevante nel mercato interno, sistemico, che fungono da filtro tra imprese e Consumatori per importanti servizi digitali. I gatekeepers saranno chiamati a rispettare i do’s (cioè gli obblighi) e i don’t (cioè i divieti) elencati nella DMA. 

Il DMA è uno dei primi strumenti normativi che regolamenta in modo completo il potere di gatekeeper delle più grandi aziende digitali. Il DMA integra, ma non modifica, le regole di concorrenza dell’UE, che continuano ad essere pienamente applicate.

La Roadmap

La DSA è stata pubblicata nella Gazzetta Ufficiale il 27 ottobre 2022 ed è entrata in vigore il 16 novembre 2022. La DSA sarà direttamente applicabile in tutta l’UE e si applicherà dal 17 febbraio 2024.

Le piattaforme online sono state obbligate a pubblicare il numero di utenti attivi entro il 17 febbraio 2023. La piattaforma o il motore di ricerca con più di 45 milioni di utenti (il 10% della popolazione europea), sono stati designati come piattaforma online molto grande o motore di ricerca online molto grande il 25 aprile 2023 dalla Commissione: 

Very Large Online Platforms:

• Alibaba AliExpress
• Amazon Store
• Apple AppStore
• Booking.com
• Facebook
• Google Play
• Google Maps
• Google Shopping
• Instagram
• LinkedIn
• Pinterest
• Snapchat
• TikTok
• Twitter
• Wikipedia
• YouTube
• Zalando

Very Large Online Search Engines:

• Bing
• Google Search. 

Questi soggetti hanno avuto 4 mesi di tempo per conformarsi agli obblighi della DSA, che comprendono l’espletamento e la trasmissione alla Commissione della loro prima valutazione annuale dei rischi.

Il 12 ottobre 2022 la DMA è stata pubblicata sulla Gazzetta Ufficiale ed è entrata in vigore il 1° novembre 2022. Entro il 3 luglio 2023, le aziende hanno dovuto fornire alla Commissione informazioni sul loro numero di utenti, in tal modo la Commissione, il 6 settembre u.s., ha designato 6 società come gatekeeper ai sensi dell’art. 3 della menzionata normativa. Si tratta di 

• Alphabet
• Amazon
• Apple
• ByteDance
• Meta 
• Microsoft. 

I gatekeeper avranno tempo fino a marzo 2024 per garantire il rispetto degli obblighi della DMA.

La metodologia Agile è un approccio al processo di sviluppo del software che si concentra sulla flessibilità, la collaborazione e la consegna incrementale di prodotti funzionanti. È stato introdotto per affrontare le limitazioni delle metodologie di sviluppo software tradizionali, come il modello Waterfall, che spesso tendono ad essere rigide e poco adattabili ai cambiamenti.

Ecco alcuni concetti chiave della metodologia Agile:

• Iterazione e Incremento: Invece di sviluppare il software in un’unica grande iterazione, l’approccio Agile prevede di suddividere il lavoro in piccole iterazioni, chiamate “sprint”. Ogni sprint di solito dura da una a quattro settimane e produce un incremento di funzionalità utilizzabile.
• Priorità delle esigenze del cliente: L’Agile mette un forte accento sul coinvolgimento del cliente durante tutto il processo di sviluppo. Le esigenze e i requisiti del cliente sono presi in considerazione in modo continuo e possono essere adattati durante il progetto.
• Collaborazione e comunicazione: L’Agile promuove la comunicazione e la collaborazione regolari tra i membri del team di sviluppo, così come con il cliente. Ciò significa che i membri del team lavorano insieme per affrontare le sfide e prendere decisioni.
• Team auto-organizzati: Le squadre Agile sono incoraggiate a essere auto-organizzate, il che significa che sono responsabili della pianificazione, dell’esecuzione e del controllo del proprio lavoro. Questo favorisce un ambiente in cui i membri del team si sentono responsabilizzati e motivati.
• Adattabilità al cambiamento: L’Agile riconosce che i requisiti e le priorità possono cambiare nel corso del progetto. Quindi, è progettato per essere flessibile e in grado di adattarsi a nuove informazioni e requisiti.

Ci sono diverse metodologie specifiche all’interno dell’approccio Agile, tra cui Scrum, Kanban, e XP (Extreme Programming), ognuna con le proprie pratiche e strumenti. In questo approfondimento andremo ad analizzare una delle metodologie più popolari: lo Scrum. 

Metodologia agile: lo SCRUM

La metodologia SCRUM è un framework che viene utilizzato da un team per gestire progetti complessi affinché si possa estrarre maggior valore possibile attraverso soluzioni iterative.

I pilastri di SCRUM

Scrum è inquadrato all’interno dell’ambito delle metodologie agili e si basa sulla flessibilità nell’adottare cambiamenti e sulla cooperazione di un gruppo di persone che condividono le loro competenze. Il punto di forza di tale metodologia è l’approccio empirico: la conoscenza deriva dall’esperienza, pertanto le decisioni vengono prese partendo da ciò che si è osservato.

I pilastri e le caratteristiche più importanti di questa metodologia  sono :

• Trasparenza: tutto il team coinvolto ha conoscenza delle varie fasi del progetto e di cosa accade.
• Ispezione: per rendere trasparenti questi elementi, deve essere ispezionato e valutato l’avanzamento verso gli obiettivi concordati al fine di rilevare problemi indesiderati.
• Adattamento: se e quando c’è qualcosa da cambiare, i materiali prodotti devono essere adattati e tutto il team di adegua per raggiungere l’obiettivo dello Sprint.

Prima di andare a definire cosa sia lo Sprint, è necessario fornire una spiegazione riguardo le tre figure più importanti del metodo SCRUM:

1. Il Product Owner è responsabile di massimizzare il valore del prodotto, definendo e prioritizzando le funzionalità da sviluppare, e lavora a stretto contatto con il team Scrum e gli stakeholder per garantire che il prodotto soddisfi le esigenze degli utenti.
2. Il Scrum Master si occupa di far comprendere a tutti la teoria e le pratiche SCRUM.
3. Lo SCRUM Team è composto da un Scrum Master, un Product Owner e dai Devoloper ( coloro che hanno il compito di creare qualsiasi aspetto di un increment usabile ad ogni Sprint). È un’unità coesa di professionisti che valuta le attività del Product backlog senza alcuna influenza esterna. Il loro filo conduttore è la responsabilità condivisa.

Le fasi del processo SCRUM.

Torniamo a parlare di Sprint (Iterazione). Esso è il cuore pulsante dello SCRUM perché tutto ciò che accade per dare valore, avviene all’interno di uno Sprint. La durata massima è di un mese poiché avere Sprint più lunghi può causare la perdita di feedback preziosi da parte del cliente.

La fase successiva è Lo Sprint planning che dà il via allo Sprint, stabilendo il lavoro da svolgere. Tutto il team deve avere un obiettivo (lo Sprint Goal) e deve collaborare per definire il suo valore e/o aumentarlo attraverso una discussione.

Il Daily SCRUM, invece, ha lo scopo di ispezionare l’avanzamento verso lo Sprint Goal e di adattare lo Sprint backlog secondo le esigenze. È una riunione che dura massimo 15 minuti a cui devono necessariamente partecipare i Developer dello Scrum team. Il fine è quello di migliorare le comunicazioni e promuovere un rapido processo decisionale, eliminando la necessità di ulteriori meeting.

La Sprint Review è il penultimo degli eventi dello Sprint, ha una durata massima di quattro ore per uno Sprint di un mese. Il suo scopo è ispezionare cosa sia stato portato a termine o modificato nel contesto dello Sprint.

La Sprint Retrospective è l’ultima fase della metodologia SCRUM e si prefigge di pianificare modi per incrementare la qualità e l’efficacia. È una grande opportunità di autovalutazione per lo SCRUM team il quale si confronta su quali siano stati i miglioramenti o i problemi emersi e di come siano o non siano stati risolti.

Gli Artefatti SCRUM

Nel contesto di Scrum, gli artefatti sono documenti o oggetti che vengono utilizzati per facilitare la pianificazione, la comunicazione e il monitoraggio del progresso del lavoro nel corso di un progetto. Ci sono tre artefatti principali in Scrum:

Product Backlog:

• Descrizione: Il Product Backlog è una lista prioritizzata di tutte le funzionalità, le caratteristiche, gli aggiornamenti e le correzioni di bug che potrebbero essere necessari per un prodotto. È una sorta di “coda” delle cose da fare.
• Proprietario: Il Product Owner è responsabile del Product Backlog. È il suo compito prioritizzare gli elementi in base al valore che portano al cliente.
• Criteri di priorità: Gli elementi più in alto nella lista hanno una priorità maggiore e devono essere dettagliati meglio. Gli elementi più in basso nella lista possono essere meno definiti.
• Aggiornamento e raffinamento: Il Product Backlog viene continuamente aggiornato e raffinato in risposta ai feedback del cliente e ai cambiamenti nelle esigenze del prodotto.

Sprint Backlog:

• Descrizione: Lo Sprint Backlog è una selezione di elementi dal Product Backlog che il team si impegna a completare durante uno specifico sprint. Contiene solo gli elementi che il team ritiene possano essere completati entro la durata dello sprint.
• Responsabile: Il team è responsabile del proprio Sprint Backlog. Il Product Owner può fornire orientamenti, ma il team è libero di organizzare il lavoro come ritiene più appropriato.
• Pianificazione dello sprint: Lo Sprint Backlog viene creato durante la pianificazione dello sprint, che è un incontro iniziale in cui il team seleziona gli elementi dal Product Backlog e stabilisce come li realizzeranno.
• Aggiornamento quotidiano: Durante lo sprint, il team tiene incontri giornalieri di Scrum per aggiornarsi sullo stato del lavoro e per adattare il piano in base alle nuove informazioni.

Increment:

• Descrizione: L’incremento di prodotto è il risultato del lavoro dello sprint. È un’evoluzione del prodotto che include tutte le funzionalità completate e pronte per la consegna.
• Requisito: Ogni incremento deve soddisfare i criteri di definizione di completamento (Definition of Done) definiti dal team e accettati dal Product Owner.
• Presentazione e revisione: Alla fine di ogni sprint, il team presenta l’incremento di prodotto al Product Owner e, se del caso, al cliente, per ottenere feedback e accettazione.

Questi artefatti sono fondamentali per il funzionamento di Scrum, in quanto aiutano a definire, organizzare e tracciare il lavoro durante il ciclo di sviluppo. Ogni artefatto ha un ruolo specifico nel processo di Scrum e contribuisce a mantenere la trasparenza e la chiarezza nel lavoro del team.

Concludendo è necessario sottolineare quanto sia essenziale definire chiaramente la metodologia Scrum o Agile in un contratto poiché fornisce una base solida per il successo del progetto. Un contratto dettagliato stabilisce le aspettative, i ruoli, le responsabilità e i criteri di consegna, riducendo ambiguità e conflitti. Inoltre, favorisce la collaborazione e la trasparenza tra le parti coinvolte, promuovendo una cultura di adattamento continuo e miglioramento. Questo approccio contrattuale crea un ambiente di fiducia e chiarezza, fondamentale per ottenere appieno i vantaggi delle metodologie agili, dove la flessibilità e la comunicazione sono centrali per il successo.

Elementi di base

Cosa significa fare startup oggi è sicuramente una domanda semplice che però necessita di una risposta molto articolata. 

Sicuramente non vuol dire avere molto tempo libero e dormire sonni tranquilli ed altrettanto certamente non vuol dire essere rilegati a fare un lavoro sgradevole e sottopagato.

Fare startup oggi è diventato indubbiamente più facile di ieri, se per startup intendiamo quella cerchia di attività imprenditoriali nella loro fase iniziale, il cui oggetto sociale sia legato alla sfera dell’innovazione; e, oggi, fare innovazione è più facile grazie alla proliferazione di Fondi pubblici, VC e business angels. Purtroppo, in Italia, siamo ancora lontani dalla risoluzione del problema dell’accesso al credito per questo tipo di imprenditorialità, anche in virtù del malcostume di alcuni investitori a chiedere poco e pretendere molto (troppo) dai founders.

Oltre ad essere migliorato sensibilmente l’accesso al credito, si deve registrare un piccolo miglioramento anche nell’offerta di servizi per le startup. Questo evento si deve all’azione congiunta svolta dalla nascita di diversi incubatori e di società private i cui servizi sono stati migliorati e calibrati sulle necessità specifiche dell’imprenditorialità innovativa nei suoi primi anni di vita.

Al di là dell’ecosistema che solo in parte qualifica cosa significhi fare startup oggi, queste poche righe nascono per dare una risposta a quali siano gli elementi di base necessari per creare l’alchimia di una startup, rinviando ad altri interventi su questo blog gli approfondimenti in relazione a materie specifiche legate a questo tema.

L’idea

Sicuramente per poter pensare anche solo lontanamente a una startup è necessario avere un’idea. Avere un’idea non vuole dire avere un’intuizione. Un’intuizione è “un atto conoscitivo semplice, istantaneo, sinottico; designa perciò una forma di conoscenza immediata, in contrapposto a ogni conoscenza di carattere discorsivo”; mentre un’idea è un termine molto più complesso che va declinato all’interno del settore dove si cala e, nel significato più ampio e generico, costituisce la rappresentazione di un oggetto nella mente: la nozione che la mente riceve di una cosa reale o immaginaria, frutto della propria coscienza.

Un’idea è qualcosa di più complesso dell’intuizione, si sviluppa da essa ma ne costituisce uno stato più evoluto dove l’intuizione viene filtrata ed elaborata sulla base delle proprie conoscenze e competenze uscendone modificata e, per questo, migliorata rispetto allo stato iniziale.

A volte è necessario attendere mesi prima che un’intuizione si tramuti in un’idea, poiché il processo di elaborazione viene ripetuto ciclicamente, talvolta arricchendolo con il contributo dei primi embrionali elementi del “team” che vedremo in seguito.

Le competenze

Inutile girarci intorno, affinchè il processo di trasformazione di un’intuizione in un’idea dia degli ottimi frutti, è necessario avere le competenze necessarie per il settore che si vuole approcciare. Quasi certamente sarà necessario approfondire tecnicamente le tematiche del settore scelto, in virtù di eventuali protocolli specifici del tema che si vuole trattare, per evitare che le stesse costituiscano un ostacolo allo sviluppo del business model.

Studiare e lavorare sulla materia sono certamente elementi preliminari alla costituzione di una startup, tuttavia, è praticamente impossibile coprire tutte le competenze specifiche necessarie per ogni singolo elemento legato al business model ed è qui che emerge la necessità del prossimo elemento fondamentale, il “team”.

Il team

Il team vede il suo valore manifestarsi già nelle primissime fasi di sviluppo di una startup ma, in realtà ha solo iniziato il suo rapporto con la startup perché sarà fondamentale in ogni singola fase del suo sviluppo.

Scegliere i membri del team è molto difficile e ci sono diverse scuole che in maniera più o meno condivisibile si esprimono sul tema; per questo eviteremo di dilungarci troppo soffermandoci solo un momento per citare un elemento senza il quale, al di là delle scuole, non è certamente possibile formare un team: la fiducia.

Fra i membri del team è necessario che si vada al di là del semplice rispetto, è necessario che ci sia fiducia affinché tutti siano in grado di esprimere al massimo il proprio valore, individuale e come membro del team.

I team è il volano dell’idea, amplifica la portata delle conoscenze e competenze dalle quali viene filtrata l’idea, la quale emerge da questo processo enormemente arricchita e pronta ad essere calendarizzata nelle sue diverse fasi di progettazione e sviluppo, la roadmap.

La roadmap

Fondamentale fin dai primi momenti successivi alla definizione di un’idea è la creazione di una checklist di azioni necessarie per la progressione nella progettazione e nello sviluppo dell’idea e la calendarizzazione di ciascuna azione. 

La roadmap ha un ruolo cardine in relazione alla distribuzione delle diverse azioni poiché costituisce anche un elemento di raccordo nel caso un’azione necessiti dell’intervento di soggetti diversi rispetto a quelli originariamente previsti o, nel caso che più azioni convergano per una fase successiva congiunta. Inutile dire quanto sia necessario il rispetto dei tempi fissati nella roadmap e la loro eventuale ri-calendarizzazione nel caso di eventi imprevisti e/o sopraggiunti.

È facilmente intuibile come la roadmap non sia un documento rigido ma, un documento estremamente fluido che deve potersi adattare agli imprevisti, ai rallentamenti e ai pivot, fino alle varie diramazioni che l’idea potrebbe prendere e che potrebbero non convergere su un unico business model.

Gli Advisors

Ultimo elemento di base per la creazione di una startup sono gli Advisors. Gli advisors hanno la funzione di guidare l’azione dei founders e quella del team in generale; si differenziano da quest’ultimo poiché le loro competenze sono fondamentali ma, ai margini dello sviluppo del core business; ne costituiscono una conditio sine qua non per il suo setup ma sono estranee al processo di erogazione del servizio o di vendita del bene.

La motivazione della necessità della loro presenza è lampante, come immediati sono i benefici che ne colgono le startup quando riescono ad inserire nel loro network degli advisor professionisti per ciascuna necessità elementare per una startup: legale, fiscale, finanziaria, di progetto, tecnica.

Fare startup oggi

Per poter fare startup oggi sono estremamente fondamentali questi elementi: L’idea, Le competenze, Il team, La roadmap e Gli advisors. Senza questi elementi essenziali è difficile se non impossibile in condizioni normali di mercato riuscire a superare le fasi iniziali che contraddistinguono la vita di una startup.

Una volta aggregati questi elementi, dopo aver mosso i primi passi nello sviluppo del core business, sarà possibile procedere ad un round di finanziamento della startup, ovvero il suo pre-seed. Tale eventualità è esclusa nel caso la startup pianifichi di portare avanti le fasi iniziali di progettazione e sviluppo del core business con propri mezzi economici o mediante eventuali finanziatori che abbiano fatto ingresso nell’unico momento precedente, ovvero quelli di validazione dell’idea.

Le problematiche etiche derivanti dall’uso della data augmentation, o generazione di dati sintetici, nel campo della medicina sono sempre più evidenti. Questa tecnica, che viene anche chiamata synthetic data generation, è un processo in cui vengono creati dati artificiali al fine di arricchire un set di dati di partenza o di superare alcune limitazioni. Questo tipo di tecnologia viene particolarmente usata nel caso in cui debbano essere allenati modelli di AI per il riconoscimento di malattie rare, su cui i dati a disposizione per il training sono scarsi. Tramite la data augmentation, altri dati possono essere artificialmente, rimanendo comunque rappresentativi del campione di partenza.  

Dal punto di vista tecnico, la data augmentation viene effettuata utilizzando algoritmi che modificano i dati esistenti o generano nuovi dati basati su quelli esistenti. Ad esempio, nel contesto dell’elaborazione delle immagini, le immagini originali possono essere modificate ruotandole, sfocandole, aggiungendo rumore o cambiando il contrasto. In questo modo, si ottengono diverse varianti di un’immagine originale che possono essere utilizzate per addestrare modelli di intelligenza artificiale. L’utilizzo di questa tecnologia rende sempre più efficace l’utilizzo di AI per il riconoscimento di patologie, come ad esempio alcuni tipi di tumori rari.

Tuttavia, ci sono diverse problematiche etiche che sorgono dall’uso della data augmentation nella medicina. Una delle principali preoccupazioni riguarda la qualità dei dati generati. Se i dati di partenza non sono rappresentativi della popolazione o se contengono errori o bias, l’applicazione della data augmentation potrebbe amplificare tali problematiche. Ad esempio, se il set di dati originali riguarda solo maschi bianchi caucasici, c’è il rischio che il risultato della data augmentation abbia un bias verso tali soggetti, trasferendo le disuguaglianze presenti nei dati originali ai dati generati.

La replicazione dei bias è certamente la questione più critica a riguardo della data augmentation. Se il modello di intelligenza artificiale viene addestrato su dati generati in modo non rappresentativo o con bias intrinseci, il modello stesso potrebbe perpetuare tali bias durante il processo decisionale. Per questo motivo, nella synthetic data generation, la qualità del dataset di partenza è una problematica ancor più critica di quanto non sia in generale per l’artificial intelligence.

La privacy dei dati è un’altra problematica da considerare. L’utilizzo della data augmentation richiede l’accesso ai dati sensibili dei pazienti, che potrebbero includere informazioni personali o riservate. È fondamentale garantire che questi dati vengano adeguatamente protetti e utilizzati solo per scopi specifici. Per affrontare queste preoccupazioni, sono state proposte soluzioni come il federated learning e la multiparty computation. Questi approcci consentono di addestrare modelli di intelligenza artificiale senza dover trasferire i dati sensibili in un unico luogo, proteggendo così la privacy dei pazienti.

Il federated learning è un approccio innovativo all’addestramento dei modelli di intelligenza artificiale che affronta le problematiche legate alla privacy dei dati. Invece di trasferire i dati sensibili dei singoli utenti o dei dispositivi a un server centrale, il federated learning consente di addestrare i modelli direttamente sui dispositivi degli utenti.

Il processo di federated learning funziona nel seguente modo: inizialmente, viene creato un modello globale che viene distribuito a tutti i dispositivi degli utenti partecipanti. Successivamente, questi dispositivi addestrano il modello utilizzando i propri dati locali senza condividerli con il server centrale. Durante l’addestramento locale, i modelli sui dispositivi vengono costantemente aggiornati e migliorati.

Successivamente, invece di inviare i dati grezzi al server centrale, solo i parametri aggiornati del modello vengono inviati e aggregati in un nuovo modello globale. Questa aggregazione avviene in modo sicuro e privato, garantendo che i dati personali non vengano esposti o compromessi.

Infine, è importante sottolineare che ci sono molte altre problematiche etiche correlate all’uso della data augmentation nella medicina. Ad esempio, c’è il rischio che la generazione di dati sintetici possa portare a una semplificazione eccessiva dei problemi medici complessi, ignorando la complessità delle situazioni reali. Nel contesto della futuro AI Act, e delle “Ethics Guidelines for Trustworthy AI” della Commissione Europea, si configura come sempre più fondamentale l’analisi di tecnologie così complesse, e dall’impatto così vasto, come i sistemi di AI al supporto delle decisioni in campo medico. 

La vulnerabilità di Log4j e il suo impatto su Minecraft

Minecraft, il popolarissimo videogioco sandbox creato da Mojang Studios, ha affascinato milioni di giocatori in tutto il mondo con la sua creatività senza limiti e i suoi ampi mondi virtuali. Tuttavia, alla fine del 2021, una vulnerabilità in una libreria di log ampiamente utilizzata, chiamata Log4j, ha minacciato la stabilità del gioco e, cosa più allarmante, la sicurezza dell’intero Internet. In questo post ci addentreremo nei dettagli della vulnerabilità Log4j, esploreremo il modo in cui ha colpito Minecraft e discuteremo le lezioni apprese da questa crisi di cybersicurezza.

La vulnerabilità Log4j: Una breve panoramica

Log4j è un’utilità di registrazione open-source basata su Java e sviluppata dalla Apache Software Foundation. È ampiamente utilizzata dagli sviluppatori per registrare gli eventi di sistema e monitorare le applicazioni software. Nel dicembre 2021 è stata scoperta in Log4j una vulnerabilità critica nota come Log4Shell (CVE-2021-44228). 

Questa vulnerabilità consentiva agli aggressori di eseguire da remoto un codice arbitrario sui sistemi interessati semplicemente inviando una stringa appositamente creata all’applicazione vulnerabile.

La gravità della vulnerabilità di Log4j derivava dal suo uso diffuso e dalla facilità con cui poteva essere sfruttata. Nel giro di pochi giorni dalla sua scoperta, la vulnerabilità è stata sfruttata da attori malintenzionati, portando a diffusi attacchi a varie organizzazioni, tra cui agenzie governative e aziende private.

Minecraft e la vulnerabilità Log4j

Minecraft, che gira su Java e utilizza Log4j per le registrazioni, è stato uno dei bersagli più importanti della vulnerabilità Log4Shell. Non appena la vulnerabilità è stata resa pubblica, gli hacker hanno iniziato a prendere di mira i server Minecraft, sfruttando la falla Log4j per eseguire codice dannoso, rubare dati sensibili e interrompere le operazioni dei server.

La situazione si è ulteriormente complicata a causa dell’enorme base di giocatori di Minecraft e dell’enorme numero di server ospitati dalla comunità, molti dei quali gestiti da hobbisti con conoscenze limitate in materia di sicurezza informatica. Questo ha reso difficile per Mojang Studios e per la più ampia comunità di Minecraft rispondere in modo rapido ed efficace alla minaccia.

Come Minecraft ha reagito alla minaccia

Mojang Studios, lo sviluppatore del gioco, e Microsoft, la sua società madre, sono intervenuti immediatamente per risolvere la vulnerabilità di Log4j. Hanno rilasciato una serie di patch sia per i server ufficiali del gioco sia per il software lato client per ridurre il rischio di sfruttamento. Inoltre, hanno fornito indicazioni chiare alla comunità su come aggiornare i server e proteggere gli utenti.

Tuttavia, la risposta non è stata priva di difficoltà. A causa della natura decentralizzata dei server Minecraft, molti server ospitati dalla comunità sono stati lenti nell’applicare le patch, lasciandoli esposti ad attacchi continui. In alcuni casi, gli aggressori hanno approfittato di questo ritardo creando patch false contenenti malware, aggravando ulteriormente il problema.

Le conseguenze e le lezioni apprese

La vulnerabilità di Log4j in Minecraft ci ricorda le potenziali conseguenze di una singola vulnerabilità software nel nostro mondo digitale interconnesso. Sebbene non siano state segnalate distruzioni diffuse a causa dell’exploit Log4j in Minecraft, l’incidente ha evidenziato l’importanza di solide pratiche di cybersicurezza nei giochi e non solo.

Ecco alcune lezioni chiave che possiamo trarre dalla crisi di Minecraft Log4j:

1. Aggiornare regolarmente il software e applicare le patch di sicurezza: Assicurarsi che il software sia aggiornato con le ultime patch di sicurezza è fondamentale per prevenire lo sfruttamento delle vulnerabilità. Nel caso di Minecraft, l’applicazione delle patch ufficiali rilasciate da Mojang Studios avrebbe evitato molti dei problemi incontrati dai server ospitati dalla comunità.
2. Aumentare la consapevolezza delle migliori pratiche di cybersecurity: Molti amministratori di server e utenti potrebbero non essere consapevoli dell’importanza di applicare le patch o dei potenziali pericoli derivanti dal download di patch non ufficiali. La sensibilizzazione alle migliori pratiche di sicurezza informatica può contribuire a ridurre i rischi associati a incidenti come la vulnerabilità di Log4j.
3. Rafforzare la collaborazione tra gli sviluppatori e la comunità: L’incidente di Minecraft Log4j ha sottolineato la necessità di una migliore comunicazione e collaborazione tra gli sviluppatori di software, come Mojang Studios, e la più ampia comunità di utenti. Promuovendo un forte rapporto con gli utenti e incoraggiando il feedback, gli sviluppatori possono affrontare più efficacemente i problemi di sicurezza e fornire un supporto tempestivo durante le crisi.
4. Sottolineare l’importanza della sicurezza a più livelli: Sebbene la risoluzione della vulnerabilità di Log4j in Minecraft sia stata fondamentale, è essenziale ricordare che nessuna singola misura di sicurezza è infallibile. L’adozione di un approccio alla sicurezza a più livelli, che combina diverse misure difensive, può aiutare a proteggere le risorse e i sistemi digitali da potenziali attacchi.
5. Incoraggiare le gli audit sui software open-source: La vulnerabilità di Log4j è rimasta inosservata per anni, nonostante l’uso diffuso della libreria. Incoraggiare e finanziare verifiche regolari del software open-source può aiutare a identificare e correggere le vulnerabilità prima che possano essere sfruttate da soggetti malintenzionati.
6. Promuovere una cultura della divulgazione responsabile delle vulnerabilità: la tempestiva divulgazione pubblica della vulnerabilità di Log4j da parte dei suoi scopritori ha permesso agli sviluppatori e alle organizzazioni di agire rapidamente per risolvere il problema. Incoraggiare una cultura di divulgazione responsabile delle vulnerabilità, in cui i ricercatori di sicurezza e le organizzazioni collaborano per rimediare alle vulnerabilità prima di renderle pubbliche, può aiutare a prevenire l’armamento di tali falle.

Conclusione

La vulnerabilità di Log4j in Minecraft ha dimostrato il profondo impatto che una singola falla del software può avere sul mondo digitale. Sebbene l’incidente non abbia portato alla distruzione di Internet come lo conosciamo, ha evidenziato l’importanza di solide pratiche di sicurezza informatica e la necessità di collaborazione tra sviluppatori, utenti e comunità di sicurezza informatica. Imparando da questa esperienza e adottando misure proattive per proteggere le nostre risorse digitali, possiamo sperare di ridurre i rischi associati alle future minacce alla sicurezza informatica.