Rispettare le regole sull'AI: rischio, registro, spiegazioni

Nella vostra azienda l'intelligenza artificiale c'è già. Il programma delle paghe ha una funzione che suggerisce i turni. Il sito ha una chat. Il reparto vendite usa un servizio che assegna un punteggio ai clienti. Qualcuno scrive le mail con un assistente pubblico. Nessuno ha fatto l'elenco.

Poi arriva la domanda del consiglio, del revisore o di un grande cliente: «Quali sistemi di AI usate? Quali sono ad alto rischio? Come informate le persone?». E la risposta richiede settimane, perché va ricostruita reparto per reparto.

Nel frattempo le regole sono entrate in vigore. L'AI Act, la legge europea sull'intelligenza artificiale, vieta alcune pratiche dal 2 febbraio 2025. Dal 2 agosto 2026 chi parla con un assistente deve sapere che è un'AI. Per i sistemi ad alto rischio, come quelli usati per selezionare il personale o valutare il merito di credito, gli obblighi arrivano il 2 dicembre 2027: la data è stata spostata da un regolamento del 2026, ma il lavoro da fare resta lo stesso.

Il problema non è la legge. È non sapere cosa si ha in casa, e scoprirlo quando qualcuno lo chiede.

Un percorso in cinque parti, che lascia in azienda documenti e abitudini, non solo un rapporto.

1. L'elenco dei sistemi. Censiamo i sistemi di AI in uso: quelli comprati, quelli dentro programmi che avete già, quelli costruiti in casa, quelli usati senza autorizzazione. Per ciascuno: a cosa serve, chi lo usa, su quali dati, chi è il fornitore.
2. Il livello di rischio. Per ogni sistema rispondiamo a una domanda semplice: decide o influenza qualcosa che riguarda una persona? Da lì l'inquadramento nelle quattro categorie della legge: vietato, alto rischio, trasparenza, rischio minimo.
3. La trasparenza. Scriviamo i testi che dovete dare a clienti e dipendenti: la prima frase della chat, l'informativa ai candidati, la comunicazione ai lavoratori e ai loro rappresentanti.
4. Le prove. Per i sistemi che contano prepariamo una serie di prove documentate: domande con la risposta attesa, casi limite, tentativi di ingannare l'assistente. Si ripetono a ogni aggiornamento.
5. Il registro che resta aggiornato. L'elenco non si chiude in un cassetto: ogni nuovo sistema entra con una scheda, ogni modifica viene annotata, e una volta a trimestre si rivede tutto.

Non facciamo consulenza legale e non firmiamo pareri. Prepariamo i fatti, i documenti e le prove; il vostro legale o il responsabile della protezione dei dati li valuta e decide.

Tempo. Le richieste del consiglio, dei revisori e dei clienti trovano la risposta in giorni, non in settimane, perché i fatti sono già raccolti.

Soldi. Si evitano i costi di una ricostruzione d'urgenza e si scoprono i sistemi pagati due volte o non usati. Le sanzioni previste dalla legge europea sono calcolate anche in percentuale del fatturato mondiale: prevenire costa meno.

Clienti. I grandi clienti e i bandi pubblici chiedono sempre più spesso come usate l'AI. Rispondere con documenti ordinati è un vantaggio commerciale.

Rischi. Le pratiche vietate vengono individuate e fermate. I sistemi ad alto rischio arrivano alla scadenza del 2027 con controlli già provati.

Cinque passaggi del percorso, ognuno raccontato con una persona e i documenti che produce.

• Quali sistemi AI sono ad alto rischio, e cosa comporta

  Nessuno sa dire quali dei sistemi AI in uso sono ad alto rischio per la legge.

  Cosa ottenete: Ogni sistema inquadrato con il motivo, gli obblighi e le date che lo riguardano.

• L'elenco dei sistemi AI in azienda, tenuto aggiornato

  L'elenco dei sistemi AI si rifà da capo ogni volta che qualcuno lo chiede.

  Cosa ottenete: Una scheda per sistema, un responsabile, una data di revisione e la storia delle modifiche.

• Cosa dovete dire a clienti e dipendenti, e come

  La chat non dice di essere un'AI, e i dipendenti scoprono i sistemi dai colleghi.

  Cosa ottenete: Testi pronti per chat, telefono, candidati e lavoratori, con il punto dove vanno messi.

• Provare che l'AI fa quello che dite: prove e registri

  Dopo ogni aggiornamento nessuno sa se l'assistente risponde ancora come prima.

  Cosa ottenete: Un banco di prova ripetibile, con soglie, registro dei risultati e blocco se peggiora.

• DORA e AI: i fornitori di tecnologia sotto controllo

  I servizi di AI sono arrivati senza entrare nel registro dei fornitori di tecnologia.

  Cosa ottenete: Contratti con le clausole giuste, registro completo, uscita pianificata, incidenti gestiti.

Il percorso si fonda sugli stessi controlli che applichiamo ai nostri sistemi.

Sono numeri piccoli e verificabili, ed è questo il punto: un controllo vale se si ripete ogni volta e lascia traccia.

Registro, prove e trasparenza non servono solo per la legge sull'intelligenza artificiale. Lo stesso metodo mette ordine in tutti i processi che l'azienda ripete e che un controllore potrebbe chiedervi di dimostrare:

• Privacy: il registro dei trattamenti tenuto aggiornato insieme a quello dei sistemi.
• Fornitori: contratti, scadenze e verifiche periodiche dei fornitori di tecnologia.
• Qualità: controlli sui lotti, non conformità, azioni correttive con la data e il nome di chi le ha chiuse.
• Sicurezza sul lavoro: formazione, visite, attrezzature con le loro scadenze.
• Amministrazione: approvazioni di spesa sopra soglia, con la firma giusta a ogni passaggio.

Quando un sistema fa questi lavori, ogni passaggio è controllato allo stesso modo, ogni volta, e ogni azione è registrata; l'errore sui passaggi ripetitivi scende vicino allo zero e, dove resta un dubbio, il sistema si ferma e chiede a una persona. Gli esempi sono in cosa possiamo fare; come costruiamo i controlli è spiegato in precisione e controlli.

• AI Act (Regolamento UE 2024/1689, modificato dal Regolamento UE 2026/1744, in vigore dal 27 luglio 2026): pratiche vietate e formazione di chi usa l'AI dal 2 febbraio 2025; trasparenza dal 2 agosto 2026; alto rischio dell'allegato III dal 2 dicembre 2027; AI dentro prodotti regolati dal 2 agosto 2028.
• GDPR, la legge europea sulla privacy: registro dei trattamenti, valutazione d'impatto, diritto a un intervento umano nelle decisioni automatizzate.
• Legge italiana sull'intelligenza artificiale (Legge 132 del 2025): informazione ai lavoratori e principi per l'uso nelle professioni.
• DORA, il regolamento europeo sulla resilienza digitale del settore finanziario, e NIS2, la direttiva europea sulla sicurezza informatica, dove il vostro settore vi rientra.
• Il nostro lavoro non è un parere legale: prepara i fatti su cui il vostro consulente decide.

Siamo un'azienda piccola: l'AI Act ci riguarda? Sì, se usate sistemi di AI, anche dentro programmi comprati. Per la maggior parte delle piccole aziende gli obblighi sono pochi: trasparenza verso chi parla con un assistente e attenzione ai sistemi che riguardano il personale.

La data per l'alto rischio è stata rinviata? Sì: per i sistemi dell'allegato III, come selezione del personale e merito di credito, è il 2 dicembre 2027. Per l'AI dentro prodotti regolati, come macchinari e dispositivi medici, è il 2 agosto 2028. Costruire registro, prove e controlli richiede comunque mesi, e i clienti li chiedono già ora.

Chi è responsabile, noi o il fornitore? Entrambi, per parti diverse. Il fornitore risponde di come il sistema è costruito; voi di come lo usate, di chi lo sorveglia e di come informate le persone.

Fate consulenza legale? No. Raccogliamo i fatti, inquadriamo i sistemi con le motivazioni e prepariamo i documenti. La valutazione finale spetta al vostro legale o al responsabile della protezione dei dati.

Quanto tempo chiede alle nostre persone? Un'ora per ogni responsabile di reparto, qualche giorno al referente interno, e la collaborazione dell'IT per le verifiche sulla rete e sui contratti.

Cosa succede se troviamo una pratica vietata? La segnaliamo subito, con il motivo, e proponiamo come fermarla o modificarla. Di solito è una funzione da spegnere, non un sistema intero.

Serve un programma nuovo per il registro? No. Può stare nel vostro gestionale documentale o in un foglio strutturato. Conta che abbia un responsabile e una data di revisione.