AI Act per aziende: cosa fare concretamente per prepararsi tra registro IA, formazione, privacy e governance

AI Act per aziende: cosa fare concretamente per prepararsi tra registro IA, formazione, privacy e governance

L’AI Act non riguarda solo le grandi aziende tecnologiche o chi sviluppa algoritmi. Riguarda anche molte imprese che utilizzano strumenti di intelligenza artificiale già integrati nei software aziendali: CRM, piattaforme HR, chatbot, strumenti di marketing, sistemi di analisi documentale, cybersecurity, manutenzione predittiva, automazioni commerciali o applicazioni di intelligenza artificiale generativa.

Il punto, per le aziende, non è più chiedersi se l’intelligenza artificiale sia utile. Il punto è capire dove viene utilizzata, per quali finalità, con quali rischi e con quali evidenze documentali è possibile dimostrare che viene governata correttamente.

Con il Regolamento UE 2024/1689, noto come AI Act, l’Unione europea introduce un quadro regolatorio basato sul rischio. Alcuni utilizzi dell’IA sono vietati, altri sono considerati ad alto rischio, altri richiedono obblighi di trasparenza, formazione e controllo. La Commissione europea descrive il Regolamento come un sistema fondato su diversi livelli di rischio, dal rischio inaccettabile fino al rischio minimo. (Strategia Digitale Europea)

Per molte imprese, quindi, l’AI Act non si tradurrà necessariamente in un impianto documentale complesso, ma in una domanda molto concreta: siamo in grado di dimostrare di sapere quali sistemi IA usiamo e come li controlliamo?

AI Act: chi riguarda davvero?

Uno degli errori più frequenti è pensare che l’AI Act si applichi solo a chi sviluppa intelligenza artificiale. In realtà, il Regolamento coinvolge anche chi utilizza sistemi IA sotto la propria responsabilità.

In termini pratici, un’azienda può essere coinvolta in almeno due modi.

Può essere provider, se sviluppa un sistema IA, lo fa sviluppare, lo immette sul mercato o lo mette in servizio con il proprio nome o marchio.

Può essere deployer, se utilizza un sistema IA sotto la propria autorità. Questo è il caso più frequente per molte PMI e imprese non tecnologiche: aziende che comprano o usano software di terzi, piattaforme cloud, applicazioni integrate o strumenti generativi.

Questa distinzione è fondamentale. Una software house che sviluppa una soluzione IA per clienti avrà obblighi molto diversi rispetto a un’azienda che usa un chatbot o un CRM con funzioni predittive. Tuttavia, anche chi “si limita a usare” l’intelligenza artificiale deve poter dimostrare di averla censita, valutata, autorizzata e controllata.

La Commissione europea ha pubblicato specifiche linee guida sulla definizione di sistema IA proprio per aiutare operatori e aziende a capire quando un software rientra nel perimetro del Regolamento. Le linee guida non sono vincolanti, ma spiegano l’applicazione pratica del concetto giuridico di sistema IA e sono pensate per evolvere nel tempo. (Strategia Digitale Europea)

Quando un’azienda dovrebbe preoccuparsi dell’AI Act

Un’azienda dovrebbe iniziare una verifica interna se utilizza strumenti che non si limitano a registrare dati, ma li analizzano, classificano, suggeriscono risultati, supportano decisioni o generano contenuti.

Esempi molto comuni sono:

Questa prima verifica serve a evitare l’errore più pericoloso: scoprire troppo tardi che l’azienda utilizza IA in processi rilevanti senza averla mai formalmente censita.

Le scadenze principali dell’AI Act

L’AI Act è entrato in vigore il 1 agosto 2024, ma la sua applicazione è progressiva. Dal 2 febbraio 2025 sono già applicabili le prime regole, tra cui la definizione di sistema IA, l’AI literacy e alcune pratiche vietate considerate a rischio inaccettabile nell’Unione europea. (Strategia Digitale Europea)

Dal punto di vista operativo, le aziende dovrebbero considerare almeno queste tappe:

Per le aziende che utilizzano modelli di IA per finalità generali o li integrano in propri servizi, è importante considerare anche le linee guida della Commissione sui modelli GPAI: dal 2 agosto 2025 gli obblighi per i provider di modelli GPAI sono entrati in applicazione per i modelli immessi sul mercato dopo tale data; dal 2 agosto 2026 entrano in applicazione i poteri di enforcement della Commissione; entro il 2 agosto 2027 devono adeguarsi i provider di modelli già immessi sul mercato prima del 2 agosto 2025. (Strategia Digitale Europea)

Il punto non è aspettare l’ultima scadenza. Il punto è arrivare preparati con evidenze già disponibili.

La prima attività concreta: creare un registro dei sistemi IA

La prima cosa utile da fare non è scrivere una policy generica sull’intelligenza artificiale. È costruire un Registro dei sistemi IA.

Questo registro dovrebbe rispondere a domande molto semplici: quali strumenti IA utilizziamo? In quale reparto? Per quale finalità? Su quali dati? Con quale fornitore? Chi li utilizza? Producono solo un supporto operativo o influenzano decisioni rilevanti?

Un registro IA efficace dovrebbe includere almeno:

Questa attività è fondamentale perché senza censimento non esiste governance. Un’azienda non può controllare ciò che non conosce.

Seconda attività: classificare il rischio

Dopo il censimento, ogni sistema deve essere classificato. Questa è la parte più importante dell’AI Act, perché gli obblighi cambiano in base al rischio.

Non tutti gli strumenti IA hanno lo stesso impatto. Un sistema usato per generare una bozza di testo interno ha un profilo diverso da un software che seleziona candidati, valuta lavoratori, assegna punteggi a clienti o supporta decisioni che possono incidere su diritti, opportunità o accesso a servizi.

La classificazione dovrebbe rispondere ad alcune domande essenziali:

Dal 2 febbraio 2025 si applicano le prime regole sulle pratiche vietate. La Commissione ha pubblicato linee guida sulle pratiche IA proibite, considerate inaccettabili per i rischi verso valori europei e diritti fondamentali. (Strategia Digitale Europea)

La classificazione deve essere motivata. Non basta scrivere che un sistema “non è ad alto rischio”. Bisogna spiegare perché, conservando la valutazione e aggiornandola quando cambiano finalità, dati, fornitore o modalità d’uso.

Terza attività: formare il personale sull’uso dell’IA

Uno degli obblighi già applicabili è l’AI literacy, cioè l’alfabetizzazione sull’intelligenza artificiale.

L’articolo 4 dell’AI Act richiede a provider e deployer di adottare misure per garantire un livello sufficiente di alfabetizzazione IA del personale e delle altre persone che utilizzano sistemi IA per loro conto. Il livello deve tenere conto delle conoscenze tecniche, dell’esperienza, della formazione, del contesto d’uso e delle persone su cui i sistemi vengono utilizzati. (Strategia Digitale Europea)

Questo significa che non serve necessariamente un corso uguale per tutti. Serve una formazione proporzionata agli strumenti realmente usati.

Chi usa IA generativa per testi commerciali deve sapere, ad esempio, che gli output possono contenere errori, informazioni inventate, contenuti non verificati o problemi di copyright. Chi usa strumenti IA in ambito HR deve conoscere i rischi di discriminazione, bias, decisioni automatizzate e impatto sui candidati. Chi usa sistemi IA in ambito IT deve considerare accessi, log, sicurezza, dati riservati e gestione degli incidenti.

La Commissione chiarisce che non è richiesto un certificato specifico: le organizzazioni possono conservare registrazioni interne delle attività formative o delle iniziative di guida adottate. (Strategia Digitale Europea)

In pratica, l’azienda dovrebbe conservare:

Quarta attività: valutare fornitori e contratti

Molte aziende non sviluppano IA internamente, ma la utilizzano tramite fornitori. Questo non elimina il problema: lo sposta sulla gestione della supply chain digitale.

Se un software HR, CRM, chatbot, piattaforma documentale o sistema di cybersecurity integra funzionalità IA, l’azienda deve capire almeno chi è il fornitore, dove vengono trattati i dati, quali funzionalità IA sono attive, quali istruzioni d’uso vengono fornite, quali limiti sono dichiarati e quali garanzie contrattuali esistono.

La verifica dei fornitori dovrebbe essere proporzionata al rischio. Non ha senso chiedere la stessa documentazione a tutti. Ha invece senso distinguere tra strumenti a basso impatto e sistemi che trattano dati personali, influenzano decisioni su persone, supportano processi critici o producono output utilizzati in modo operativo.

Le evidenze utili sono contratti, DPA privacy, schede tecniche, istruzioni d’uso, dichiarazioni del fornitore, condizioni di utilizzo, policy sui dati, eventuali certificazioni, log disponibili, misure di sicurezza e documentazione sulle modifiche del sistema.

Quinta attività: collegare AI Act e GDPR

Quando un sistema IA tratta dati personali, l’AI Act non sostituisce il GDPR. Le due normative devono essere lette insieme.

Il GDPR continua a disciplinare basi giuridiche, informative, minimizzazione dei dati, tempi di conservazione, diritti degli interessati, sicurezza, responsabili del trattamento e valutazioni d’impatto. L’AI Act aggiunge una valutazione specifica sul sistema IA: finalità, rischio, trasparenza, supervisione umana, documentazione, qualità degli output e controllo nel tempo.

Questo collegamento è particolarmente importante nei processi HR, nei chatbot, nei sistemi di profilazione commerciale, nelle piattaforme che supportano decisioni su clienti o candidati e negli strumenti che analizzano grandi quantità di dati personali.

Una domanda pratica da farsi è questa: se domani un candidato, un dipendente o un cliente ci chiedesse come viene usata l’IA nei suoi confronti, saremmo in grado di rispondere in modo chiaro e documentato?

Se la risposta è no, bisogna intervenire su informative, registro trattamenti, DPIA ove necessaria, istruzioni interne e gestione dei fornitori.

Esempio pratico: software HR per screening dei CV

Immaginiamo un’azienda che utilizza una piattaforma HR in grado di leggere CV, estrarre competenze, ordinare candidature o suggerire profili più coerenti con una posizione aperta.

L’azienda non ha sviluppato il software, quindi potrebbe pensare di non avere obblighi rilevanti. In realtà, lo utilizza in un processo delicato: l’accesso al lavoro.

In questo caso dovrebbe verificare se il sistema si limita a organizzare informazioni o se attribuisce punteggi, ordina candidati, suggerisce esclusioni o influenza la decisione finale. Dovrebbe poi raccogliere la documentazione del fornitore, valutare la classificazione del rischio, aggiornare le informative privacy, formare HR, definire il ruolo dell’intervento umano e conservare evidenza della valutazione effettuata.

Il punto non è vietare lo strumento. Il punto è evitare che diventi una “scatola nera” che incide sui candidati senza controllo, senza trasparenza e senza responsabilità interne definite.

Esempio pratico: uso di ChatGPT o strumenti generativi in azienda

Un secondo caso molto comune riguarda gli strumenti di IA generativa usati per scrivere testi, tradurre documenti, preparare bozze commerciali, riassumere materiali o generare immagini.

Anche quando il rischio non è alto, l’azienda dovrebbe stabilire regole minime: quali strumenti sono autorizzati, quali dati non devono essere inseriti, chi verifica gli output, come vengono gestiti dati riservati, contenuti di clienti, informazioni personali, proprietà intellettuale e documenti interni.

La Commissione, nelle FAQ sull’AI literacy, chiarisce espressamente che anche un’azienda i cui dipendenti usano strumenti come ChatGPT per scrivere testi pubblicitari o traduzioni deve informare il personale sui rischi specifici, ad esempio le allucinazioni. (Strategia Digitale Europea)

Questa è una delle aree in cui molte imprese dovrebbero intervenire subito, perché l’uso di IA generativa spesso è già diffuso prima ancora che l’azienda abbia adottato una policy.

Quali evidenze preparare per dimostrare la conformità all’AI Act

Per rendere l’AI Act davvero gestibile, l’azienda dovrebbe costruire un piccolo fascicolo di conformità IA. Non serve partire da documenti enormi. Serve partire da evidenze coerenti.

Questo approccio consente di trasformare l’AI Act da obbligo astratto a sistema di controllo verificabile.

Roadmap pratica di adeguamento all’AI Act

Per una PMI o un’azienda non tecnologica, una roadmap realistica potrebbe essere strutturata così.

Le tempistiche dipendono dalla complessità dell’organizzazione e dal numero di strumenti IA utilizzati. Tuttavia, il messaggio è chiaro: l’adeguamento non dovrebbe partire nel 2026 a ridosso dell’applicazione generale. Dovrebbe partire ora, almeno con censimento, formazione e policy interna.

Come Easy Consulting può supportare le aziende

Per molte imprese l’obiettivo non è costruire una struttura complessa, ma avviare un percorso sostenibile e proporzionato.

Easy Consulting supporta le aziende nell’applicazione dell’AI Act attraverso:

✓ assessment iniziale sugli strumenti IA utilizzati;

✓ mappatura dei sistemi IA nei processi aziendali;

✓ classificazione del rischio;

✓ predisposizione del Registro IA;

✓ verifica degli impatti GDPR;

✓ analisi dei fornitori e dei contratti;

✓ definizione di policy e istruzioni operative;

✓ formazione AI literacy per personale, management e funzioni operative;

✓ integrazione con ISO 27001, ISO 9001, Modello 231 e sistemi di gestione esistenti;

✓ roadmap di adeguamento con priorità, responsabilità ed evidenze.

L’obiettivo non è frenare l’innovazione, ma renderla governata, documentata e sostenibile.

L’AI Act non deve essere letto come l’ennesimo adempimento formale. È un invito a governare l’intelligenza artificiale prima che il suo utilizzo diventi disordinato, opaco o non documentabile.

Per molte aziende, il primo passo non sarà complesso: censire gli strumenti IA, capire dove vengono usati, classificare i rischi, formare il personale, verificare fornitori e privacy, preparare evidenze.

Il vero rischio non è usare l’intelligenza artificiale. Il vero rischio è usarla senza sapere dove si trova, chi la controlla, quali dati tratta, quali decisioni supporta e come dimostrarne la conformità.

Prepararsi all’AI Act significa trasformare l’intelligenza artificiale da strumento occasionale a processo governato.