Un cliente chiede come vengono trattati i dati che il chatbot aziendale raccoglie durante l’assistenza. Un fornitore, in fase di gara, domanda se esiste un registro degli strumenti di intelligenza artificiale usati in produzione. Un revisore, durante un audit, cerca una policy interna sull’uso dell’AI da parte del personale. In tutti e tre i casi la risposta dovrebbe essere un documento già pronto in un cassetto, aggiornato, recuperabile in dieci minuti.
L’AI Act, il Regolamento europeo 2024/1689, non si limita a fissare requisiti tecnici per chi sviluppa sistemi di intelligenza artificiale. Impone anche obblighi di governance a chi li usa in azienda, la figura che il Regolamento chiama deployer: quasi sempre il ruolo di una PMI italiana che acquista un gestionale, un centralino AI o uno strumento di scoring già pronti sul mercato.
Perché la conformità del fornitore non basta
Un fornitore che vende un software con un modulo AI certificato copre la parte tecnica del sistema al momento in cui lo immette sul mercato. Come quello strumento viene usato in azienda, con quali dati, su quali decisioni e con quale livello di supervisione umana, resta una responsabilità interna, separata dalla certificazione del prodotto. È la stessa distinzione già emersa nel decreto italiano sulla responsabilità civile da danni causati da sistemi di intelligenza artificiale: aver comprato uno strumento a norma non esclude che l’azienda debba rispondere di come lo ha effettivamente usato.
I documenti che un’azienda deployer dovrebbe avere pronti
Al di là del singolo strumento, la governance richiesta dall’AI Act si traduce in un piccolo set di documenti che dovrebbero esistere, essere aggiornati e riflettere quello che accade davvero in azienda, non restare un adempimento scritto una volta e mai più rivisto.
- Una politica di governance interna: chi decide l’adozione di un nuovo strumento AI, chi ne è responsabile, quale ruolo giuridico assume l’azienda rispetto al Regolamento.
- Un registro degli strumenti AI in uso, con la categoria di rischio di ciascuno e le misure di mitigazione adottate.
- Una procedura di valutazione del rischio da seguire prima di adottare un nuovo strumento AI o di integrarne uno in un prodotto o servizio offerto ai clienti.
- Linee guida pratiche per il personale su cosa è permesso fare con gli strumenti AI aziendali e cosa no.
- Un’informativa di trasparenza verso i clienti, per i casi in cui un contenuto o una risposta che ricevono è generata o assistita da un sistema di intelligenza artificiale.
Nessuno di questi documenti richiede competenze legali avanzate per essere impostato. Richiede però di aver mappato per intero gli strumenti AI realmente in uso, un lavoro che quasi sempre porta alla luce più strumenti di quanti se ne avessero in mente: non solo il gestionale principale, ma anche assistenti per il marketing, strumenti di trascrizione riunioni, chatbot di assistenza, moduli di scoring integrati in software di terzi.
Perché prepararli ora, non durante un controllo
Ricostruire questa documentazione sotto la pressione di un audit, della richiesta di un cliente strutturato o di una contestazione legale costa più tempo e più margine di errore che prepararla con calma. Ed è più difficile dimostrare che una policy interna esisteva davvero ed era applicata, quando il primo documento scritto porta la data della contestazione stessa.
C’è anche un lato commerciale, non solo di tutela legale. Sempre più bandi e capitolati di gara, soprattutto verso la pubblica amministrazione o clienti di dimensioni maggiori, chiedono di dichiarare quali strumenti AI vengono usati nell’erogazione del servizio e con quali garanzie di supervisione. Un’azienda che ha già questa documentazione pronta risponde in giorni, non in settimane, e lo fa senza dover improvvisare risposte a domande a cui non aveva mai pensato prima.
Mappare gli strumenti AI davvero in uso in azienda è il primo passo concreto per iniziare a mettere questa documentazione nero su bianco, prima che sia un cliente, un revisore o un’autorità di vigilanza a chiederla.
💾 Scarica la presentazione PDF — la sintesi in slide di questo articolo, pronta da condividere con il tuo team.
Se non hai ancora verificato quali strumenti AI in uso nella tua azienda rientrano negli obblighi dell’AI Act, scrivici: i nostri tecnici possono aiutarti a capire dove sei esposto.