Uso dell'IA in azienda: cosa usano i dipendenti e dove rischi
Inventario, classificazione per uso, policy e formazione per le PMI. L'AI Act è il contesto normativo: il lavoro parte dai sistemi realmente in uso.
Cos'è l'AI Act e quando si applica
Il Regolamento (UE) 2024/1689 — l'AI Act — regola lo sviluppo, la messa in servizio e l'uso dei sistemi di intelligenza artificiale nell'Unione, con obblighi proporzionati al livello di rischio.
Cosa comporta per le aziende
- Shadow AI. Nelle PMI i dipendenti usano strumenti di IA (ChatGPT, DeepL, trascrittori, grafica, CRM con IA, assistenti) spesso a insaputa della direzione. Il rischio è doppio: dati aziendali o dei clienti che escono verso servizi esterni, e sistemi di cui l'azienda non ha traccia.
- Ruolo e obblighi. Chi sviluppa, integra o usa sistemi AI deve capire ruolo e obblighi — anche quando l'AI entra da cloud, ERP e fornitori. I questionari ai dipendenti sono lenti e inaffidabili; le piattaforme enterprise di AI Governance sono spesso troppo care e complesse per una PMI.
- Cosa fare. Inventariare i sistemi AI in uso; definire il ruolo (fornitore, deployer, ecc.); classificare il livello di rischio in base all'uso; applicare gli obblighi pertinenti — literacy (art. 4), pratiche vietate (art. 5), sistemi ad alto rischio (capo III), trasparenza (art. 50) e, se rilevante, modelli GPAI — e documentare le scelte. Con l'applicazione generale in vigore dal 2 agosto 2026, serve evidenza dimostrabile.
- L'art. 99 dell'AI Act prevede ammende fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate; fino a 15 milioni o 3% per altri obblighi; fino a 7,5 milioni o 1% per informazioni inesatte alle autorità. Sono dati del regolamento, non il punto di partenza del lavoro: si parte da cosa si usa davvero.
Date chiave
- Entrata in vigore1° agosto 2024
- Applicazione generale2 agosto 2026 (art. 113)
- FonteReg. (UE) 2024/1689
Cosa facciamo
Consulenza di preparazione e inventario operativo: inquadriamo obblighi e ruoli, scansiamo cosa si usa davvero, classifichiamo per uso e definiamo azioni (policy, literacy, raccordo GDPR). L'assessment di conformità di terza parte interviene solo nei casi previsti per sistemi ad alto rischio, non come passaggio standard.
- Discovery. Scansione reale degli strumenti in uso su browser/endpoint o DNS.
- Report. Elenco tool IA usati, frequenza, indizio di dati inviati all'esterno.
- Classificazione. Rischio in base all'uso: inaccettabile, alto, obblighi di trasparenza, minimo.
- Registro sintetico. Documento di governance operativo.
- Enforcement. Blocchi sui tool non autorizzati, policy d'uso, formazione literacy e raccordo GDPR.
AB Horizon fornisce consulenza di preparazione all'adeguamento AI Act. Non è organismo di certificazione né di valutazione della conformità dei sistemi AI. Non rilasciamo certificazioni AI Act né sostituiamo il parere del legale/DPO.
Prossimo passo
Valutiamo insieme preliminare: definiamo ambito, gap e piano di lavoro con tempi chiari.
Cosa ottieni
- Report di discovery: tool IA in uso, frequenza, indizio di dati in uscita
- Classificazione del rischio per uso
- Registro sintetico di governance
- Policy d'uso e piano AI literacy (art. 4)
- Indicazioni di enforcement sui tool non autorizzati
- Raccordo GDPR e roadmap con milestone
A chi serve
L'AI Act interessa chi usa, integra o vende sistemi di intelligenza artificiale — anche quando l'AI entra da cloud, ERP o fornitori.
- PMI con AI in cloud / ERP / tool operativi. Anche senza sviluppare modelli propri: va scoperta la Shadow AI, inventariato l'uso via fornitori e classificato il rischio.
- Chi vende a clienti che chiedono garanzie su AI. Questionari, clausole contrattuali o diligence su conformità e governance.
- Chi sviluppa o mette in servizio sistemi AI. Ruolo provider o deployer (e altri ruoli della catena) con obblighi diversi per livello di rischio.
- Chi deve dimostrare AI literacy e governance minima. Competenze e responsabilità documentabili entro le scadenze del regolamento.
Errori comuni
Questi errori lasciano obblighi scoperti o documentazioni inutili in caso di richiesta cliente o controllo.
- Policy di facciata senza inventario. Regole generiche senza scansione reale e senza elenco dei sistemi AI in uso non dimostrano nulla.
- Confondere ISO 42001 con l'AI Act. ISO 42001 è volontaria e non dà presunzione di conformità. Per l'art. 17 (fornitori di sistemi ad alto rischio) il riferimento europeo è EN 18286:2026, con presunzione solo se citato in GUUE.
- Ignorare l'AI “nascosta”. SaaS, ERP, assistenti e automazioni spesso contengono AI non dichiarata nel perimetro interno.
- Ruolo non definito. Provider, deployer, importer, distributor: senza ruolo chiaro non si sa quali obblighi applicare.
- Solo IT, senza GDPR e responsabilità operativa. Dove ci sono dati personali e decisioni operative servono trasparenza, base giuridica e ownership chiare.
Esperienza tipica
Contesto 2026: applicazione generale dell'AI Act in corso e richieste clienti su conformità AI.
PMI con AI in cloud — discovery e classificazione per uso
Una PMI usava AI soprattutto via cloud e tool di terzi, senza inventario formale. Con l'applicazione generale dell'AI Act e domande da clienti, abbiamo fatto una discovery degli usi interni e dei fornitori, definito il ruolo per ciascun uso e classificato il rischio in base all'uso (pratiche vietate, alto rischio, obblighi di trasparenza, GPAI se rilevante). Abbiamo impostato registro, policy, piano di AI literacy (art. 4) e raccordato i punti di contatto con il GDPR dove circolavano dati personali.
Esito
Quadro chiaro degli obblighi pertinenti e piano prioritizzato, senza claim di “conformità certificata” inventata. AB Horizon prepara e documenta: non è organismo di valutazione della conformità AI.
Checklist operativa
Cosa verificare per un assessment AI Act realistico, anche con soli tool di terzi.
- DiscoveryTool IA in uso su browser/endpoint o DNS, inclusi SaaS e fornitori
- ReportFrequenza e indizio di dati inviati all'esterno
- RuoloRuolo dell'organizzazione definito per ciascun uso
- ClassificazioneRischio in base all'uso (inaccettabile, alto, trasparenza, minimo)
- Registro e literacyGovernance operativa e competenze documentate (art. 4)
- Enforcement e GDPRBlocchi, policy e raccordo privacy dove pertinenti
Domande frequenti
Quali sono i sistemi AI a rischio alto?
Nell'AI Act i sistemi ad alto rischio sono quelli che possono incidere in modo significativo su salute, sicurezza o diritti fondamentali, tipicamente elencati nell'Allegato III (e in altri casi previsti dal regolamento, ad esempio prodotti soggetti a normativa di armonizzazione UE). Non tutti gli usi di AI in azienda sono ad alto rischio: serve classificazione caso per caso su ruolo, contesto e Allegato pertinente. Valutiamo insieme inventario e classificazione.
Cosa devono fare le PMI per l'AI Act?
Inventariare i sistemi AI (anche da cloud, ERP e fornitori), definire il ruolo (provider, deployer, importer, distributor, ecc.), classificare il rischio e applicare gli obblighi pertinenti — literacy (art. 4), pratiche vietate (art. 5), alto rischio, trasparenza (art. 50) e GPAI se rilevante — documentando le scelte. Gli obblighi variano per ruolo e livello di rischio.
Entro quando bisogna adeguarsi all'AI Act?
Il Reg. (UE) 2024/1689 è entrato in vigore il 1° agosto 2024. Pratiche vietate e literacy (art. 4-5) dal 2 febbraio 2025. Dal 2 agosto 2025 si applicano gli obblighi sui modelli GPAI (capo V). Le multe della Commissione sui fornitori GPAI (art. 101) dal 2 agosto 2026. Dalla stessa data (art. 113) si applicano le restanti disposizioni non già in vigore, tra cui trasparenza (art. 50). Gli obblighi sui sistemi ad alto rischio dell'Allegato III slittano al 2 dicembre 2027 e quelli sui prodotti dell'Allegato I al 2 agosto 2028 (Reg. UE 2026/1744). Valutiamo insieme inventario e piano.
La formazione del personale è obbligatoria?
Sì: l'art. 4 (AI literacy) è in applicazione dal 2 febbraio 2025. Fornitori e deployer devono adottare misure per l'alfabetizzazione AI del personale e di chi usa i sistemi per loro conto, tenendo conto di conoscenze, esperienza e contesto d'uso. Non impone un corso o attestato specifico: servono misure proporzionate a ruolo e rischi.
Cosa cambia se uso solo AI di terzi (cloud / SaaS)?
Anche usando solo AI di terzi restano obblighi tipici del deployer o di altri ruoli: inventario degli usi, comprensione del rischio, literacy, trasparenza dove applicabile e raccordo contrattuale con il fornitore. L'AI «nascosta» in ERP, CRM o assistenti non esclude responsabilità. Mappiamo insieme cosa usate e chi è responsabile di cosa.
AI Act e GDPR: come si raccordano?
Sono due quadri distinti che spesso si sovrappongono: se l'AI tratta dati personali restano base giuridica, informative, diritti degli interessati e responsabilità del titolare/responsabile. L'AI Act aggiunge obblighi su rischio, trasparenza e governance dei sistemi. Nei progetti integriamo i due piani per evitare documentazioni duplicate o contraddittorie.
ISO 42001 è obbligatoria?
No: ISO 42001 è uno standard volontario di sistema di gestione per l'AI. Può strutturare governance e controlli, ma non sostituisce gli obblighi dell'AI Act e non dà presunzione di conformità al regolamento. Per i fornitori di sistemi ad alto rischio, lo standard europeo sul sistema di gestione della qualità (art. 17) è EN 18286:2026; la presunzione (art. 40) scatta solo se lo standard armonizzato è citato in Gazzetta ufficiale dell'UE.
Cosa succede se i dipendenti usano ChatGPT o DeepL senza permesso?
È la situazione più comune. Partiamo da una scansione reale degli strumenti in uso, verifichiamo se dati aziendali o dei clienti sono stati condivisi con servizi esterni e definiamo quali bloccare, quali regolamentare e quali autorizzare.
L'AI Act ci obbliga a mappare gli strumenti di IA?
L'AI Act prevede obblighi di AI literacy, trasparenza e governance. L'inventario è il modo pratico per metterli in pratica: capire cosa si usa, a che rischio si va incontro e quali azioni attivare.
NextBe fa l'AI Act?
No. AB Horizon affronta l'inventario, la classificazione, la policy e la literacy legate all'AI Act. NextBe interviene quando, da quel lavoro, emerge un bisogno di costruire o integrare strumenti di IA operativa sui processi aziendali.
Progetto tecnologico
Se serve l’IA sui processi, c’è NextBe
NextBe è il progetto tecnologico di AB Horizon dedicato all’IA operativa per PMI. Aiuta a capire dove intervenire su dati, costi, margini e processi e, quando serve, a progettare applicazioni integrate nel lavoro quotidiano.