Usi l’AI in azienda? Le nuove regole europee sono già in vigore
L’intelligenza artificiale è entrata nelle aziende molto più velocemente delle procedure per gestirla. ChatGPT, Copilot, chatbot, immagini generate, automazioni: spesso vengono utilizzati ogni giorno senza una vera map…
L’intelligenza artificiale è entrata nelle aziende molto più velocemente delle procedure per gestirla. ChatGPT, Copilot, chatbot, immagini generate, automazioni: spesso vengono utilizzati ogni giorno senza una vera mappatura interna. Con l’AI Act europeo, però, alcune domande non possono più essere rimandate.
Probabilmente nella tua azienda qualcuno utilizza già l’intelligenza artificiale.
- Magari per scrivere una mail.
- Preparare una presentazione.
- Riassumere un documento.
- Generare un’immagine.
- Analizzare un foglio Excel.
- Rispondere più velocemente a un cliente.
E forse nessuno ha mai deciso ufficialmente che l’azienda avrebbe iniziato a usare l’AI.
È semplicemente successo.
È questo, oggi, uno degli aspetti più interessanti dell’intelligenza artificiale nelle imprese: la tecnologia è arrivata prima delle regole interne per utilizzarla.
Nel frattempo sono arrivate anche le regole europee.
Dal 2 agosto 2026 sono diventati applicabili, tra gli altri, gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. La Commissione europea ha inoltre pubblicato le linee guida per chiarire come questi obblighi debbano essere applicati da chi sviluppa e da chi utilizza determinati sistemi di intelligenza artificiale.
La questione, però, non è iniziare ad avere paura dell’AI.
È capire come la stiamo già usando.
No, non bisogna scrivere “generato con AI” su tutto
Partiamo da un equivoco.
Se un dipendente utilizza ChatGPT per migliorare il testo di una mail, questo non significa automaticamente che quella mail debba riportare la scritta:
“Contenuto generato dall’intelligenza artificiale.”
L’AI Act non funziona così.
Gli obblighi dipendono dal tipo di sistema utilizzato, dal modo in cui viene utilizzato e dal ruolo che l’azienda ricopre.
Ci sono però situazioni nelle quali la trasparenza diventa molto più importante.
Per esempio quando una persona interagisce direttamente con un sistema AI, quando vengono utilizzati determinati contenuti sintetici o manipolati, quando si pubblicano deepfake o quando vengono impiegati sistemi di riconoscimento delle emozioni o di categorizzazione biometrica.
L’articolo 50 stabilisce, tra le altre cose, che chi sviluppa sistemi AI destinati a interagire direttamente con le persone deve fare in modo che l’utente sappia di stare interagendo con un sistema di intelligenza artificiale, salvo i casi in cui ciò sia già evidente.
Sembra una distinzione semplice.
Nella pratica, non sempre lo è.
Pensiamo al chatbot sul sito aziendale
È uno degli esempi più immediati.
Un’azienda decide di aggiungere sul proprio sito un assistente che risponde alle domande dei clienti.
L’utente scrive:
“Quanto costa il vostro servizio?”
Il sistema risponde.
Poi gli propone un prodotto.
Gli chiede alcuni dati.
Magari raccoglie le informazioni necessarie per essere ricontattato.
A questo punto le domande diventano diverse.
L’utente sa chiaramente che sta parlando con un’intelligenza artificiale?
Quali informazioni può utilizzare il chatbot?
Da dove prende le risposte?
Può accedere a dati personali?
Cosa succede se fornisce un’informazione sbagliata?
Le conversazioni vengono memorizzate?
Per quanto tempo?
Vengono utilizzate da servizi esterni?
Chi ha deciso le regole con cui quel sistema opera?
L’AI Act è una parte del problema.
Poi ci sono privacy, GDPR, sicurezza, gestione dei fornitori e responsabilità sui processi.
Il punto è proprio questo: installare un sistema AI è molto più semplice che governarlo correttamente.
Il problema non è solo il software acquistato dall’azienda
C’è poi una situazione ancora più comune.
L’azienda magari non ha acquistato ufficialmente nessun sistema AI.
Ma i dipendenti lo utilizzano ugualmente.
È la cosiddetta Shadow AI: strumenti di intelligenza artificiale utilizzati all’interno dell’organizzazione senza un controllo o una gestione centralizzata.
Un commerciale copia una richiesta di preventivo dentro ChatGPT.
Un amministrativo utilizza un servizio online per analizzare un documento.
Un grafico carica materiale di un cliente su un generatore di immagini.
Un responsabile HR prova un sistema AI per classificare candidature.
Un dipendente inserisce un contratto in uno strumento gratuito perché vuole riassumerlo.
Il problema non è che queste persone stiano necessariamente facendo qualcosa di sbagliato.
Spesso stanno semplicemente cercando di lavorare meglio.
Ma qualcuno dovrebbe sapere quali strumenti vengono utilizzati e quali informazioni vengono affidate a quei sistemi.
Perché un conto è chiedere:
“Scrivimi cinque idee per un post su LinkedIn.”
Un altro è caricare:
il database dei clienti dell’azienda.
La prima cosa da fare non è comprare un altro software
Di fronte a una nuova normativa, la tentazione è cercare subito una soluzione tecnica.
Un plugin.
Una piattaforma.
Un bollino.
Una certificazione.
Con l’intelligenza artificiale partirei esattamente dal contrario.
Prima bisogna costruire una mappa degli utilizzi reali dell’AI in azienda.
Non di quelli previsti dal piano industriale.
Di quelli che stanno già succedendo.
Per esempio:
- quali strumenti AI vengono utilizzati;
- da quali reparti;
- per quali attività;
- quali dati vengono inseriti;
- quali sistemi interagiscono direttamente con clienti o utenti;
- quali contenuti vengono generati artificialmente;
- quali servizi vengono forniti da soggetti esterni;
- quali decisioni vengono supportate o automatizzate dall’AI.
Solo dopo ha senso chiedersi quali obblighi siano effettivamente applicabili.
Questa è probabilmente la parte meno spettacolare dell’intelligenza artificiale.
Ed è anche una delle più importanti.
Perché “usiamo ChatGPT” non è una strategia AI
Negli ultimi due anni molte aziende hanno iniziato a utilizzare strumenti generativi.
Ma utilizzare l’AI e governare l’AI sono due cose diverse.
Governarla significa sapere:
dove viene usata;
perché viene usata;
con quali dati;
da chi;
con quali responsabilità;
con quali controlli.
E significa anche decidere cosa non dovrebbe essere fatto.
Un’azienda potrebbe, per esempio, stabilire che determinati documenti riservati non possano essere caricati su strumenti non autorizzati.
Oppure individuare una piattaforma aziendale approvata.
O ancora definire quando un risultato prodotto dall’AI deve essere verificato da una persona prima di essere inviato a un cliente.
Non è burocrazia.
È organizzazione.
C’è anche un obbligo di competenza
Un altro aspetto dell’AI Act è entrato in applicazione ancora prima.
Dal 2 febbraio 2025 si applicano infatti le disposizioni relative all’AI literacy, cioè alla necessità di adottare misure affinché le persone che utilizzano sistemi AI per conto dell’organizzazione abbiano un livello adeguato di conoscenza e consapevolezza.
Anche qui è facile fraintendere.
Non significa necessariamente mandare tutti i dipendenti a un corso di programmazione sull’intelligenza artificiale.
Significa qualcosa di molto più pratico.
Chi utilizza questi strumenti dovrebbe almeno comprenderne:
- possibilità;
- limiti;
- rischi;
- contesto di utilizzo;
- conseguenze di un uso scorretto.
Se un collaboratore considera ogni risposta di ChatGPT corretta semplicemente perché è scritta bene, abbiamo un problema.
Se sa che l’AI può sbagliare e verifica le informazioni importanti, siamo già in una situazione diversa.
Una policy da sola non basta
Potremmo scrivere un documento di venti pagine intitolato:
“Policy aziendale per l’utilizzo dell’intelligenza artificiale.”
Mandarlo via mail.
Farlo firmare.
E pensare di aver risolto il problema.
Probabilmente non funzionerebbe.
Una governance seria dell’AI dovrebbe essere proporzionata all’azienda e soprattutto utilizzabile.
Per una PMI potrebbe bastare iniziare con poche regole molto chiare:
quali strumenti sono autorizzati;
quali dati non devono essere caricati;
quando serve una verifica umana;
chi è responsabile degli strumenti utilizzati;
cosa deve sapere chi li usa.
Cinque regole applicate valgono molto più di cinquanta pagine che nessuno leggerà.
E se utilizziamo immagini o testi generati dall’AI?
Anche questo è un tema su cui circola molta confusione.
L’articolo 50 introduce obblighi specifici per determinati contenuti sintetici o manipolati. I fornitori di sistemi generativi devono, nei casi previsti, rendere gli output rilevabili come generati o manipolati artificialmente attraverso marcature leggibili dalle macchine. Sono inoltre previsti obblighi specifici per chi utilizza deepfake e per alcuni contenuti generati dall’AI relativi a questioni di interesse pubblico.
Questo non significa che ogni immagine realizzata con l’AI debba necessariamente avere un enorme cartello “questa immagine è falsa”.
Significa che bisogna capire in quale situazione ci troviamo.
Una fotografia sintetica utilizzata come elemento grafico in una brochure non è automaticamente equivalente a un video realistico nel quale facciamo pronunciare a una persona parole che non ha mai detto.
Il contesto conta.
Ed è esattamente per questo che le aziende dovrebbero evitare sia l’allarmismo sia l’approccio opposto:
“Tanto noi usiamo solo ChatGPT, quindi l’AI Act non ci riguarda.”
L’AI Act non entra in vigore tutto insieme
C’è un’altra precisazione importante.
Il regolamento europeo segue un calendario progressivo.
Alcune disposizioni sono già operative da tempo, altre sono diventate applicabili il 2 agosto 2026 e alcune regole relative ai sistemi ad alto rischio hanno scadenze successive. Il calendario è stato inoltre interessato dalle modifiche del pacchetto Digital Omnibus.
Quindi titoli come:
“Dal 2 agosto tutte le aziende devono essere conformi all’AI Act”
sono troppo semplicistici.
La domanda corretta è un’altra:
Quali parti dell’AI Act riguardano concretamente la nostra azienda?
E per rispondere bisogna prima sapere come viene utilizzata l’intelligenza artificiale.
Cinque domande da fare oggi nella propria azienda
Prima ancora di parlare di compliance, prova a rispondere a queste domande.
1. Sappiamo quali strumenti AI stanno utilizzando i nostri collaboratori?
2. Sappiamo quali dati aziendali o dei clienti vengono inseriti in questi strumenti?
3. Abbiamo chatbot, assistenti o sistemi AI che interagiscono direttamente con utenti e clienti?
4. Esistono regole interne, anche semplici, sull’utilizzo dell’intelligenza artificiale?
5. Le persone che utilizzano questi strumenti conoscono almeno i rischi principali?
Se hai risposto “non lo so” anche soltanto a due di queste domande, non significa che la tua azienda abbia necessariamente un problema di conformità.
Significa però che vale la pena fare una verifica.
Ed è da lì che partirei.
Prima capire, poi adeguare
L’AI Act non dovrebbe diventare l’ennesima occasione per vendere paura alle imprese.
L’intelligenza artificiale può migliorare concretamente produttività, marketing, assistenza clienti, analisi dei dati e processi interni.
Rinunciarvi per paura della normativa sarebbe un errore.
Utilizzarla senza sapere cosa sta succedendo dentro l’organizzazione lo sarebbe altrettanto.
L’approccio più sensato sta nel mezzo:
usare l’AI, ma sapere dove la stiamo usando.
Sperimentare, ma stabilire qualche regola.
Automatizzare, ma decidere quali controlli mantenere.
Innovare, senza perdere il controllo dei dati e dei processi.
La normativa europea, da questo punto di vista, può essere anche un’occasione utile.
Obbliga molte aziende a fare una cosa che avrebbero dovuto fare comunque:
fermarsi un momento e capire come stanno realmente utilizzando l’intelligenza artificiale.
Sai davvero come viene utilizzata l’AI nella tua azienda?
Non serve partire da un progetto enorme.
In Consolidati possiamo iniziare con una ricognizione pratica dell’utilizzo dell’intelligenza artificiale nella tua organizzazione: strumenti, processi, sito web, chatbot, contenuti, dati e modalità operative.
L’obiettivo non è produrre altra burocrazia.
È capire:
cosa state già utilizzando,
dove ci sono criticità,
cosa può essere migliorato,
e quali aspetti meritano eventualmente un approfondimento tecnico, organizzativo o legale.
