Per le aziende non basta più adottare strumenti AI: serve capire responsabilità, trasparenza, rischio e processi interni.
L’AI Act non è più soltanto una normativa da monitorare in vista del futuro. Alcune delle sue disposizioni sono già applicabili e il calendario è stato recentemente modificato dal Digital Omnibus, che ha rinviato l’applicazione di una parte degli obblighi sui sistemi di IA ad alto rischio.
Per le aziende, però, il rinvio delle scadenze non significa poter rimandare ogni attività. Al contrario, mentre il quadro normativo continua a evolvere, aumenta la necessità di capire quali sistemi di AI vengono effettivamente utilizzati, da chi, per quali processi e con quali responsabilità.
La questione diventa quindi meno astratta e molto più operativa: come si governa l’AI che è già dentro l’azienda?
Cosa è già in vigore e cosa è stato rinviato: la mappa delle scadenze dopo il Digital Omnibus
Il calendario dell’AI Act è articolato e negli ultimi mesi è stato modificato per rendere più graduale l’applicazione delle regole.
Il 2 febbraio 2025 sono diventate applicabili le disposizioni relative alle pratiche di AI vietate e all’alfabetizzazione in materia di AI. Dal 2 agosto 2025 sono invece applicabili le regole di governance e gli obblighi relativi ai modelli di AI per finalità generali, i cosiddetti GPAI.
Dal 2 agosto 2026 l’AI Act è diventato generalmente applicabile, con le eccezioni previste dal regolamento. Tra gli elementi che interessano direttamente molte aziende ci sono anche gli obblighi di trasparenza previsti dall’articolo 50, ad esempio per informare le persone quando interagiscono con determinati sistemi di AI e per rendere riconoscibili determinati contenuti generati artificialmente.
Per i sistemi classificati come ad alto rischio, invece, il calendario è stato modificato dal Digital Omnibus:
- 2 dicembre 2027 per i sistemi classificati ad alto rischio secondo l’Allegato III, che comprende determinati utilizzi in ambiti come occupazione, istruzione, infrastrutture critiche e accesso a servizi essenziali;
- 2 agosto 2028 per i sistemi ad alto rischio integrati in prodotti disciplinati dalla normativa europea e ricompresi nell’Allegato I.
Il risultato è un calendario meno lineare di quanto inizialmente previsto. Per questo, più che memorizzare una singola data, per un’azienda diventa importante capire quali regole si applicano ai propri sistemi e quando.
Perché il rinvio non è una pausa
Il rinvio degli obblighi high-risk non significa che le aziende possano aspettare il 2027 o il 2028 prima di occuparsi di governance dell’AI.
Il motivo è semplice: i sistemi AI non aspettano le scadenze normative.
Un’azienda può avere già oggi chatbot, strumenti di generazione di contenuti, sistemi di analisi, assistenti interni, funzionalità AI integrate nei software aziendali o strumenti utilizzati spontaneamente dai dipendenti.
Quando questi sistemi entrano nei processi reali, iniziano a produrre effetti che vanno oltre la semplice sperimentazione. Possono accedere a informazioni aziendali, supportare decisioni, interagire con clienti o dipendenti, elaborare documenti e generare contenuti.
Il problema diventa quindi capire cosa è già in produzione e come viene governato.
Aspettare l’entrata in vigore di un determinato obbligo può significare ritrovarsi successivamente a ricostruire a posteriori informazioni su sistemi, dati, autorizzazioni e responsabilità.
Il rinvio può quindi essere letto anche come un’opportunità per preparare l’organizzazione prima che gli obblighi diventino effettivamente applicabili.
La prima domanda è semplice: quali sistemi di AI stiamo davvero usando?
Prima ancora di parlare di compliance, un’azienda dovrebbe riuscire a rispondere a una domanda apparentemente banale: quali sistemi di AI utilizziamo?
La risposta spesso non è immediata.
Una parte degli strumenti può essere stata acquistata o integrata direttamente dall’azienda. Un’altra può essere incorporata in software già utilizzati dai team. Altri ancora possono essere utilizzati autonomamente dai dipendenti per scrivere testi, analizzare documenti, sintetizzare informazioni, tradurre contenuti o automatizzare attività.
È il fenomeno della cosiddetta Shadow AI: l’utilizzo di strumenti di AI al di fuori di un perimetro condiviso e governato.
Per costruire un quadro affidabile non basta quindi fare l’elenco dei software acquistati dall’IT. Serve considerare anche gli utilizzi effettivi all’interno dei diversi processi aziendali.
Una prima mappatura dovrebbe permettere di identificare:
- quale sistema AI viene utilizzato;
- da quale team o funzione;
- per quale attività o processo;
- quali dati vengono elaborati;
- chi è responsabile del suo utilizzo;
- quali altri sistemi o servizi vengono coinvolti;
- quali controlli sono già presenti.
Questo inventario diventa la base per tutte le valutazioni successive.
Trasparenza e responsabilità non riguardano solo l’IT
Uno degli aspetti più importanti dell’AI Act è che la gestione dell’AI non può essere considerata esclusivamente un problema tecnico.
Quando un sistema AI entra in un processo aziendale, le responsabilità possono coinvolgere più funzioni contemporaneamente.
IT e security devono occuparsi, tra le altre cose, di accessi, integrazione e sicurezza. Legal e compliance devono valutare requisiti normativi e responsabilità. HR può essere coinvolta quando l’AI viene utilizzata nei processi relativi ai lavoratori. Marketing e comunicazione devono considerare trasparenza e corretta identificazione dei contenuti. Il business, infine, deve conoscere finalità, limiti e impatti dello strumento che sta utilizzando.
Anche la trasparenza prevista dall’AI Act va letta in questa prospettiva. L’articolo 50 introduce obblighi specifici per determinati sistemi e scenari, tra cui l’informazione delle persone quando interagiscono con un sistema AI e requisiti relativi alla riconoscibilità di determinati contenuti generati artificialmente.
Non si tratta quindi soltanto di aggiungere una dicitura a un’interfaccia. Occorre capire dove l’AI entra nel rapporto tra azienda, dipendenti, clienti e utenti e quali informazioni devono essere fornite.
Classificare il rischio senza bloccare l’innovazione
Non tutti gli utilizzi dell’AI hanno lo stesso livello di rischio.
L’AI Act adotta un approccio basato sul rischio e distingue diverse categorie di sistemi. Per molte applicazioni considerate a rischio minimo o nullo non sono previsti gli stessi requisiti dei sistemi high-risk.
Per un’azienda questo significa che la risposta non dovrebbe essere né “usiamo l’AI senza regole” né “blocchiamo tutto finché non sarà tutto definito”.
Serve invece un approccio proporzionato.
Un assistente utilizzato per generare una prima bozza di una comunicazione interna non ha necessariamente lo stesso impatto di un sistema utilizzato in un processo che riguarda selezione del personale, accesso a determinati servizi o valutazioni che possono incidere significativamente sulle persone.
La classificazione del rischio dovrebbe quindi partire dal caso d’uso concreto, considerando non soltanto quale tecnologia viene utilizzata, ma cosa fa, su quali dati opera e quali conseguenze può produrre.
Policy, inventario, owner e documentazione: la governance parte da qui
Una volta identificati i sistemi, il passo successivo è trasformare la mappatura in un processo di governance.
Un elemento fondamentale è individuare un owner per ogni sistema o caso d’uso. Non necessariamente la persona che utilizza lo strumento ogni giorno, ma qualcuno che abbia la responsabilità di definirne finalità, utilizzo e modalità di controllo.
Accanto all’owner servono regole chiare.
Quali dati possono essere utilizzati? Quali informazioni non devono essere inserite? Chi può accedere allo strumento? Quando è necessario un controllo umano? Come vengono gestiti gli output? Cosa succede quando il sistema cambia? Come vengono registrate eventuali anomalie?
La documentazione non deve diventare un esercizio burocratico fine a sé stesso. Deve permettere all’azienda di ricostruire nel tempo come e perché un sistema viene utilizzato.
Questo diventa particolarmente importante quando l’AI non si limita a generare un contenuto, ma entra in un processo più ampio e interagisce con dati, applicazioni o altri sistemi.
Un esempio concreto: dall’HR al customer care
Immaginiamo un’azienda che utilizzi un sistema AI per supportare il recruiting.
Il sistema può essere utilizzato per analizzare candidature, sintetizzare informazioni o supportare il lavoro dei recruiter. In questo scenario non è sufficiente sapere quale software viene utilizzato.
L’azienda dovrebbe chiedersi quali dati vengono elaborati, quale ruolo ha l’AI nel processo decisionale, chi verifica gli output, quali persone hanno accesso al sistema e quale documentazione viene mantenuta.
Lo stesso principio vale per il customer care.
Un assistente AI può aiutare gli operatori a recuperare informazioni, formulare risposte o gestire richieste ricorrenti. Ma se interagisce direttamente con il cliente o produce contenuti destinati all’esterno, entrano in gioco anche aspetti di trasparenza, controllo e responsabilità.
La tecnologia può essere la stessa. Il rischio e il livello di governance cambiano in funzione del contesto in cui viene utilizzata.
La vera sfida è costruire una capacità interna di governare l’AI
L’AI Act può essere letto come un insieme di obblighi normativi, ma per le aziende rappresenta anche un’occasione per mettere ordine nell’adozione dell’AI.
La domanda non è soltanto se un determinato strumento sia conforme.
È capire se l’organizzazione è in grado di sapere:
quale AI utilizza, per fare cosa, con quali dati, sotto la responsabilità di chi e con quali controlli.
Questa capacità diventa ancora più importante man mano che l’AI passa da strumenti isolati ad applicazioni integrate nei processi aziendali.
L’adozione dell’AI richiede quindi un modello di collaborazione tra business, IT, security, legal, compliance e le persone che utilizzano concretamente gli strumenti.
La governance non dovrebbe arrivare alla fine del progetto, quando il sistema è già operativo. Dovrebbe accompagnarne la progettazione, la sperimentazione e l’evoluzione.
Checklist: da dove partire
Per iniziare a costruire un perimetro di governance dell’AI, un’azienda può partire da queste domande:
- Quali sistemi AI utilizziamo oggi?
- Quali strumenti vengono utilizzati spontaneamente dai dipendenti?
- In quali processi entrano?
- Quali dati elaborano?
- Chi è l’owner di ciascun sistema o caso d’uso?
- Quali utenti possono accedervi?
- Quali controlli sono già presenti?
- Quando è necessario un intervento umano?
- Quali sistemi richiedono particolare attenzione in base al loro livello di rischio?
- Quali obblighi di trasparenza si applicano?
- Quale documentazione viene mantenuta e aggiornata?
- Come viene gestito il cambiamento del sistema nel tempo?
Non serve necessariamente avere tutte le risposte prima di iniziare.
Il primo passo è sapere da dove partire.
L’AI Act continua a definire un quadro europeo di riferimento, ma per le aziende la sfida più concreta è già iniziata: trasformare l’utilizzo dell’intelligenza artificiale da una somma di strumenti e sperimentazioni in una capacità organizzativa governata, documentata e verificabile.