Questionario cyber e IA: cosa rispondere all'assicurazione

Il questionario della polizza cyber ti interroga su procedure, fornitori, formazione e incidenti. Quasi mai sull’intelligenza artificiale. Eppure quello che lo studio fa con ChatGPT o Copilot finisce dentro quelle risposte, e una risposta sbagliata pesa proprio il giorno in cui chiedi l’indennizzo.

Non mi farei ingannare da quel «quasi mai»: il modulo che tace sull’IA ne chiede conto sotto altre voci, e su ognuna regge solo la risposta che puoi provare con un documento datato. Che cosa paga poi la polizza, e che cosa esclude, lo trovi nella guida su cosa copre una polizza cyber.

Il banco di domande sull’intelligenza artificiale, con la prova da allegare

Sono dieci domande, come le scrivono i moduli o come te le pone un cliente, ognuna con una risposta modello e il documento che la regge. È pensato per uno studio da due a quindici persone o per una piccola impresa.

Le parti tra parentesi quadre si sostituiscono, e le domande che nel tuo modulo non ci sono si tagliano. Per riempire le categorie della voce 6 serve sapere quali dati togliere da un documento prima di passarlo a un assistente.

La voce 9 la compilerei per ultima, dopo aver sentito tutti: è l’unica a cui non si risponde da soli, alla scrivania.

BANCO DI DOMANDE SULL'INTELLIGENZA ARTIFICIALE
Per il questionario assicurativo e per il questionario di
sicurezza che manda il cliente
Studio [nome] · versione [n.] del [data]

1. «Utilizzate sistemi di intelligenza artificiale?»
   Risposta: Sì, come strumento di supporto. Lo Studio usa
   [servizio] con account intestato allo Studio, per [bozze,
   sintesi, traduzioni]. Nessun testo esce senza la rilettura
   di un professionista.
   Prova: regolamento interno sull'uso dell'IA, punti [n.].

2. «Avete una procedura scritta per il trattamento, la
    protezione e la riservatezza dei dati?»
   Risposta: Sì, [documento], in vigore dal [data], con una
   sezione dedicata agli strumenti di intelligenza artificiale.
   Prova: il documento, con la pagina della sezione indicata.

3. «Le policy sono state accettate dal personale?»
   Risposta: Sì. Accettate da [n.] persone su [n.] il [data].
   Prova: l'elenco delle accettazioni, con le date.

4. «Effettuate formazione? Con quale frequenza?»
   Risposta: Sì, [frequenza]. L'ultima sessione, del [data],
   ha coperto [argomenti], compreso l'uso dell'IA.
   Prova: registro della formazione con date, durata, presenze.

5. «Esternalizzate l'archiviazione o il trattamento dei dati,
    anche in cloud?»
   Risposta: Sì, per [servizi]. Gli strumenti di intelligenza
   artificiale in uso sono [elenco] e ricevono [che cosa].
   Prova: elenco dei servizi con i rispettivi contratti.

6. «Imponete ai fornitori gli stessi vincoli di sicurezza?»
   Risposta: [Sì / In parte]. Per [servizi] il contratto
   prevede [clausole]. Dove il contratto è standard e non
   negoziabile, lo Studio ha scelto di [non inserire quei dati
   / limitarli a [categorie]].
   Prova: le clausole, e il punto del regolamento che pone
   il limite.

7. «Avete strumenti che impediscono l'invio di dati a servizi
    non autorizzati?»
   Risposta: [No / Sì, [prodotto], che fa [che cosa]].
   Se la risposta è no, si scrive che cosa c'è al suo posto:
   regola scritta, account dello Studio, formazione, riesame.
   Prova: il regolamento e il registro della formazione.

8. «I dispositivi personali sono usati per lavoro? Con quali
    regole?»
   Risposta: [Sì / No]. Se sì: [regole], scritte in [documento].
   Prova: il punto del regolamento sui dispositivi personali.

9. «Si sono verificate circostanze da cui possano derivare
    richieste di risarcimento?»
   Risposta: si risponde dopo aver chiesto alle persone dello
   Studio, non a memoria. Se un dato è uscito, si descrive il
   fatto, la data, che cosa è uscito, che cosa è stato fatto.
   Prova: la registrazione interna dell'episodio.

10. «Informate i clienti dell'uso dell'intelligenza
     artificiale?»
    Risposta: [Sì / In corso]. Modalità: [clausola nel mandato
    / comunicazione separata], dal [data].
    Prova: il testo consegnato al cliente.

Una risposta che non puoi provare con un documento datato
non si scrive: si scrive quello che c'è, con la sua data.

Nove questionari italiani, e la parola che non compare

Abbiamo scaricato nove moduli pubblici, sette per polizze cyber e due di responsabilità civile professionale, e cercato nel testo «intelligenza artificiale», «ChatGPT» e «generativo». Zero risultati. Nessuno usa la parola, eppure quasi tutti chiedono dove finiscono i dati.

Il silenzio non vuol dire che la domanda manchi. A luglio 2026 l’IVASS ha scritto alle compagnie che i modelli più recenti trovano e sfruttano le vulnerabilità in tempi molto ridotti, e ha chiesto a ogni impresa una relazione entro il 31 dicembre 2026.

Per l’autorità, quindi, l’IA è soprattutto un’arma di chi attacca, non un’abitudine di chi compra la polizza. Non mi stupirei se i moduli dei prossimi rinnovi cominciassero a nominarla.

Procedura scritta, fornitori, formazione: le domande dove entra l’IA

Le domande che toccano l’IA sono poche e tornano in quasi tutti i moduli. Il banco in testa alla pagina le mette in fila con risposta modello e prova, e il selettore qui sotto le apre una per una.

Rispondere «no» alla procedura scritta per modestia è l’errore più facile. Una pagina di regole, con una data e accettata da chi lavora con te, è una procedura scritta: il testo da adattare è nel modello di policy per i dipendenti.

Sui fornitori, con documenti di clienti dentro una chat, la casella «non applicabile» è la risposta sbagliata. Audit non ne fai, e va detto; le condizioni del servizio però si leggono, e spesso dicono dove finiscono i dati e per quanto restano.

Dichiarazioni inesatte e reticenze: articoli 1892, 1893 e 1894

Il modulo Blue del 2024 lo scrive in calce: il questionario diventa parte integrante del contratto, e ogni dichiarazione conta ai sensi degli articoli 1892 e 1893 del codice civile. I due articoli si distinguono per come hai agito, non per quanto pesa l’errore.

L’articolo 1894 aggiunge un caso che riguarda gli studi associati: se l’assicurazione è per conto di altri e quegli altri conoscevano l’inesattezza, l’assicuratore può far valere le stesse regole anche verso di loro. Blue fa firmare la dichiarazione «per conto di tutti gli Assicurati».

La parola da leggere due volte è «reticenze»: tacere una circostanza conta quanto scriverla sbagliata. Per chi è tenuto al segreto professionale, la circostanza da non tacere può essere un fascicolo finito dove non doveva.

«Dopo una ricerca accurata»: cosa chiedere in studio prima di firmare

Blue fa dichiarare che le risposte sono vere «dopo una ricerca accurata». Il modulo AIG chiede le circostanze note dopo approfondite verifiche con amministratori e dirigenti. Nessuno dei due dice a chi chiedere, ma entrambi presumono che tu l’abbia fatto.

Vorrei cinque minuti con ogni persona che usa un computer dello studio, prima della firma e non dopo. Le risposte, scritte e datate, sono già la prova che la ricerca c’è stata.

Chiedi anche con quale account lavorano: tra versione gratuita e piani aziendali le regole sui dati cambiano parecchio, come mostra il caso di ChatGPT, e il modulo sui fornitori vuole proprio quello.

Circostanze note e data breach: va dichiarato il documento finito in chat?

Blue chiede se negli ultimi tre anni ci sono stati fatti da cui il proponente ipotizza possano nascere richieste di risarcimento, e fa l’esempio della violazione di dati. AIG vuole anche i nomi degli ipotetici terzi danneggiati.

«Ipotizza» è il verbo che rende rischioso un no barrato a memoria: basta un sospetto ragionevole, non una qualificazione giuridica. Se non sai ancora se quel copia e incolla sia una violazione, la valutazione viene prima, ed è spiegata nella guida al data breach con l’IA.

Rinnovo e aggravamento del rischio: l’IA arrivata dopo la firma

Nelle avvertenze DUAL del 2015 le regole sulle dichiarazioni inesatte valgono anche per ogni estensione, appendice, proroga o rinnovo. Blue fa promettere di comunicare le variazioni avvenute tra la firma del questionario e la decorrenza della polizza.

A contratto in corso c’è l’articolo 1898: va dato subito avviso dei mutamenti che aggravano il rischio, se l’assicuratore, conoscendoli, non avrebbe assicurato o avrebbe chiesto di più. Se un nuovo strumento di IA rientri qui dipende dal caso.

Se l’anno scorso hai scritto che in studio l’IA non la usava nessuno, al rinnovo lo correggerei per iscritto senza aspettare la domanda. Se nel frattempo hai aggiornato l’informativa sull’IA ai clienti, allegala: è un’altra data che racconta il cambiamento.

Il questionario di sicurezza del cliente: NIS2 e modello Clusit

Un altro questionario arriva da un cliente grande, non dal broker. L’articolo 24 del D.Lgs. 138/2024 chiede ai soggetti essenziali e importanti di curare la sicurezza della catena di approvvigionamento, valutando le vulnerabilità di ogni diretto fornitore. L’obbligo è loro; le domande arrivano a te.

Un riferimento pubblico è il questionario del Clusit: 48 temi in tre aree, gestione della sicurezza, sicurezza IT e sicurezza fisica, collegati a ISO/IEC 27001 e al Framework Nazionale di Cyber Security. Nessun tema nomina l’IA, e la risposta ricade di nuovo su policy interna, formazione e fornitori.

Qui un «no» motivato lo preferisco a un «sì» che il cliente non può verificare, perché la tua risposta finisce nei suoi atti e lì resta.

Formazione sull’IA e prove da allegare al questionario

Da luglio 2026 l’articolo 4 dell’AI Act, riscritto dal regolamento (UE) 2026/1744, chiede a fornitori e deployer misure a sostegno dell’alfabetizzazione sull’IA del personale, senza imporre un livello per nessuno. Il resto degli obblighi è nella guida all’AI Act per i deployer.

Il documento CNDCEC su cybersecurity e Modello 231, di maggio 2026, mette l’IA tra gli argomenti di formazione e propone moduli e-learning da 15-30 minuti chiusi da un test. Il test lascia una data e un esito: è la prova che il questionario vuole.

Un registro senza date, per me, vale quanto un foglio bianco. Prima di allegare, togli dalle proprietà dei file autore e percorsi di rete seguendo la guida sui metadati nei file Word e PDF.

Misure tecniche sull’IA nel questionario: le risposte che reggono

Le risposte più pericolose sono quelle che suonano forti e cadono al primo controllo. La peggiore è «nessuno in studio usa l’IA»: un’affermazione sugli altri, firmata da te.

Anche una misura distribuita a tutto lo studio ha un confine. La nostra estensione installata per policy, descritta nella pagina per le organizzazioni, copre i computer su cui è installata: nel modulo va scritto con questo limite.

Una misura tecnica va descritta per quello che fa. Nonimo sostituisce nomi e identificativi nel testo prima dell’invio all’assistente, sul computer dove è installato: nel modulo lo scrivi così, come misura sul testo, non come un blocco.

Fonti

• Codice civile, art. 1892, su Normattiva: annullamento, tre mesi, sinistro anteriore; dalla stessa pagina gli artt. 1893, 1894 e 1898.
• D.Lgs. 4 settembre 2024, n. 138, art. 24, su Normattiva: catena di approvvigionamento e vulnerabilità di ogni diretto fornitore.
• IVASS, comunicazione al mercato su resilienza operativa digitale e modelli avanzati di IA, luglio 2026: destinatari, rischio di sfruttamento rapido delle vulnerabilità, relazione entro il 31 dicembre 2026.
• Regolamento (UE) 2026/1744 su EUR-Lex: nuovo testo dell’articolo 4 del regolamento (UE) 2024/1689 sull’alfabetizzazione in materia di IA.
• Clusit, Questionario per la sicurezza dei fornitori, versione 2.2: 48 temi in tre aree, riferimenti ISO/IEC 27001 e FNCS.
• CNDCEC e FNC, Cybersecurity e Modello 231, maggio 2026: modulo formativo 3.5 sull’IA, e-learning da 15-30 minuti con test finale.
• Blue Underwriting, questionario Cyber PMI e professionisti, v.7 10.2024: domande 8, 9 e 20 e dichiarazioni della sezione D.
• DUAL, proposta Cyber via MGM Broker, marzo 2015, pubblicata da Enpam: dichiarazioni 4 e 7, avvertenze estese a proroga e rinnovo.

Consultate il 10 novembre 2026.