Governare l'AI in un'azienda strutturata chi decide, quali dati, chi risponde
Per chi deve mettere ordine fra gli strumenti AI che i reparti usano già: chi approva un nuovo uso, quali dati possono entrarci, come si misura, chi risponde quando sbaglia e che cosa chiede davvero la legge.
Da dove si parte per governare l'AI in azienda?
Dall'elenco di quello che gira già. In un'azienda strutturata l'AI arriva prima delle regole: nel 2025 il 71% delle grandi imprese italiane aveva almeno un progetto di AI, contro il 59% del 2024, e l'84% aveva comprato licenze di almeno uno strumento di AI generativa, con Microsoft Copilot, ChatGPT Plus e Gemini Advanced in testa. Le regole invece sono indietro: quattro grandi imprese su dieci hanno linee guida d'uso, e solo il 9% ha una governance dell'AI strutturata, «con responsabilità delineate» (Osservatorio Artificial Intelligence del Politecnico di Milano, febbraio 2026).
Alla domanda di un responsabile operations di un'azienda di 600 persone, con ChatGPT, Copilot, un chatbot e due prototipi già in uso, Google e gli assistenti AI danno la stessa ricetta: un comitato, una persona che coordina, l'elenco dei sistemi, i dati a semaforo, l'approvazione per livelli. Non sono d'accordo su chi risponde quando l'AI sbaglia, e quasi nessuno dice che cosa chiede la legge italiana: delle 73 pagine che abbiamo letto, fra risultati di Google e fonti delle risposte AI, la legge 132 del 2025 compare in 7, il decreto legislativo 179 del 2026 in nessuna.
L'elenco si fa per uso, non per strumento. ChatGPT, alla domanda di chi lavora nella compliance, consiglia di «censire separatamente il sistema e il caso d'uso», ed è il consiglio giusto: lo stesso Copilot che riassume una riunione può scrivere la risposta a un reclamo, e i due usi hanno rischi diversi.
| Campo | Che cosa scrivere | A che cosa serve |
|---|---|---|
| Strumento e fornitore | nome, licenza personale o aziendale, contratto sui dati | sapere con chi hai un contratto, e con chi no |
| Uso | che cosa fa, in quale processo | lo stesso strumento cambia rischio da un uso all'altro |
| Responsabile | chi lo ha introdotto e chi ne risponde oggi | dare un nome a ogni uso |
| Dati | quali dati entrano, e di quale classe | decidere se l'uso è ammesso |
| Persone coinvolte | clienti, dipendenti, candidati, fornitori | capire se servono informative o obblighi dell'AI Act |
| Verifica | chi controlla il risultato prima che abbia effetto | sapere dove un errore può uscire dall'azienda |
| Decisione | continuare, correggere o fermare, con una data | chiudere ogni riga con una scelta |
Il NIST AI Risk Management Framework, il riferimento volontario americano, mette l'inventario dei sistemi fra le pratiche di governo (Govern 1.6) e chiede di prevedere anche come si dismette un sistema (Govern 1.7), come si legge nel nucleo del framework. Perché l'elenco sia vero, chi usa uno strumento non autorizzato deve poterlo dire senza conseguenze: Perplexity propone un periodo da due a quattro settimane per dichiararlo. Ogni riga dell'elenco finisce con una decisione e una data, altrimenti è un censimento e non governa niente.
Chi se ne occupa, e con quale mandato?
Una persona che coordina, con un mandato scritto della direzione e tempo dedicato, e un gruppo piccolo che decide sui casi che contano. Su questo le risposte AI sono d'accordo, e ChatGPT aggiunge che la persona può essere già in azienda: «Non è necessario assumere subito un Chief AI Officer». Cambia chi presiede: il direttore operativo per la modalità AI di Google, il responsabile dei sistemi informativi o della tecnologia per la panoramica AI e per Perplexity. Secondo l'Osservatorio, il 54% delle grandi imprese si sta muovendo verso una governance centralizzata.
| Ruolo | Chi, di solito | Che cosa decide |
|---|---|---|
| Direzione | amministratore delegato o direttore generale | il mandato, il rischio accettabile, i casi che toccano persone o clienti |
| Coordinatore dell'AI | una persona già in azienda, con tempo dedicato | l'elenco, le regole, la corsia veloce, le revisioni |
| IT e sicurezza | responsabile dei sistemi informativi | strumenti ammessi, accessi, integrazioni, registri delle attività |
| Legale e protezione dei dati | legale interno e responsabile della protezione dei dati (DPO) | dati ammessi, contratti con i fornitori, valutazioni d'impatto |
| Risorse umane | responsabile del personale | informativa ai lavoratori, formazione, rapporti con le rappresentanze |
| Responsabile del processo | chi guida il reparto che usa l'AI | se l'uso funziona, chi verifica, che cosa si fa quando sbaglia |
Il NIST chiede che ruoli, responsabilità e linee di comunicazione siano scritti e chiari (Govern 2.1), e che sia la direzione a prendersi la responsabilità delle decisioni sui rischi dell'AI (Govern 2.3). Il gruppo però non deve approvare tutto. Un comitato che esamina ogni richiesta una volta al mese diventa la ragione per cui le persone tornano agli account personali. Decide sui casi gialli e rossi; il resto scorre.
Chi approva un nuovo uso dell'AI?
Dipende dal rischio dell'uso, non dallo strumento. Le risposte AI propongono tutte tre livelli a semaforo e una corsia veloce: 5 giorni lavorativi per la panoramica AI di Google alla domanda in inglese e per la modalità AI alla domanda della compliance. ChatGPT precisa che il semaforo è una «classificazione interna», non quella dell'AI Act; è vero, ma le due devono parlarsi: un uso ad alto rischio per l'AI Act non può essere verde per te.
| Livello | Quando | Esempi | Chi approva |
|---|---|---|---|
| Verde | strumento già approvato, dati pubblici o interni, una persona verifica prima dell'uso | riassunti, bozze, traduzioni interne | nessuno: basta scriverlo nell'elenco |
| Giallo | dati riservati o personali, oppure il risultato arriva a clienti o fornitori | assistente sui documenti aziendali, bozze di risposte ai clienti | il coordinatore, con IT e protezione dei dati |
| Rosso | decisioni su persone, usi dell'allegato III dell'AI Act, azioni che l'AI esegue senza una persona prima | selezione dei CV, valutazione dei dipendenti, chatbot che risponde da solo ai clienti | il gruppo, con legale e direzione |
La tabella è un esempio da adattare: le soglie le decide la tua direzione, sul costo che un errore avrebbe nel tuo processo. ChatGPT, alla domanda in inglese, aggiunge una regola che evita i prototipi eterni: un prototipo si può approvare per una prova controllata senza approvarlo per la produzione. Ogni prova parte con una soglia da raggiungere e una data di fine, decise prima. Che cosa chiede l'AI Act per gli usi rossi è nella guida su che cosa tocca a chi usa l'AI.
Preferisci parlarne a voce?
Prenota una call con chi lavora ogni giorno su questi temi: guardiamo insieme il tuo caso.
Quali dati possono entrare in uno strumento di AI?
Dipende dalla classe del dato e dal contratto con chi fornisce lo strumento. Se hai una politica sulla sicurezza delle informazioni, le classi le hai già; alla regola sull'AI serve aggiungere, per ogni strumento approvato, quali classi accetta.
| Classe | Esempi | Dove possono entrare |
|---|---|---|
| Pubblici | sito, cataloghi, comunicati | in ogni strumento approvato |
| Interni | procedure, verbali senza dati personali | in strumenti con licenza aziendale, che escludono per contratto l'addestramento sui tuoi dati |
| Riservati | contratti, offerte, prezzi, progetti | in strumenti aziendali con accessi per ruolo |
| Personali | dati di clienti, dipendenti, candidati | in strumenti con un accordo sul trattamento dei dati, per uno scopo dichiarato |
| Particolari e segreti | salute, dati giudiziari, segreti industriali | solo nel tuo perimetro, su infrastruttura privata o on-premise |
La licenza aziendale non chiude il discorso. La modalità AI di Google scrive che le licenze Enterprise azzerano «il rischio di data leak»; ChatGPT, alla stessa domanda, che pagare una licenza aziendale «non rende automaticamente sicuro qualsiasi utilizzo». Ha ragione la seconda. Il contratto esclude l'addestramento sui tuoi dati, ma non decide chi, dentro l'azienda, può vedere che cosa: un assistente collegato ai documenti aziendali risponde con quello che i permessi gli lasciano leggere, e se i permessi sono larghi lo sono anche le risposte. Nell'archivio di documenti interrogabile che abbiamo costruito per un'azienda industriale, 225 GB di normative, documenti HSE, sicurezza e operations, l'agente cerca la risposta solo nei documenti che il ruolo di chi chiede gli permette di vedere. Dove far girare i modelli per i dati più delicati è nella guida su AI in cloud o sui tuoi server.
Vietare non basta. Lo scrive anche l'Osservatorio: le grandi imprese sanno che vietare l'uso dell'AI generativa «porterebbe a fenomeni di Shadow AI e perdita di controllo», e solo il 24% vieta gli strumenti non forniti dall'organizzazione. Se lo strumento aziendale è peggiore di quello personale, la regola si aggira: lo strumento approvato arriva prima del divieto.
Prima di controllare chi usa che cosa, però, coinvolgi risorse umane e legale. La panoramica AI di Google, alla domanda della compliance, consiglia di analizzare i log di rete per scoprire l'AI non autorizzata, senza nominare le regole italiane sui controlli dei lavoratori. L'articolo 4 dello Statuto dei lavoratori permette di usare le informazioni raccolte solo se il lavoratore ha ricevuto un'informazione adeguata su come si usano gli strumenti e su come si fanno i controlli, nel rispetto della normativa sulla privacy; a seconda dello strumento può servire anche un accordo sindacale. Il monitoraggio si progetta prima e si scrive nella policy.
Come si misura se l'AI funziona?
Contro il punto di partenza, con un numero scelto prima. Fra le grandi aziende che usano l'AI generativa, solo il 54% prova a misurarne il beneficio, e quasi sempre raccogliendo il parere dei dipendenti; solo nell'11% il monitoraggio è periodico e strutturato (Osservatorio, febbraio 2026). La panoramica AI di Google, alla domanda in inglese, lo dice in una riga: «Never measure AI by "usage."» Quante persone aprono Copilot dice quante lo aprono, non che cosa è cambiato nel lavoro.
| Uso | Che cosa misurare | Che cosa non basta |
|---|---|---|
| Assistente di scrittura | tempo per pratica e correzioni prima dell'invio, contro lo stesso lavoro senza AI | quante persone lo usano |
| Chatbot per i clienti | richieste chiuse senza un operatore, insieme a soddisfazione e reclami | quante conversazioni gestisce |
| Assistente sui documenti | risposte corrette su un campione controllato da un esperto, domande rimaste senza risposta | quante domande riceve |
| Agente che prepara pratiche | correzioni di chi approva, tempi di chiusura, costo per pratica | quante pratiche prepara |
Accanto al beneficio si misura il costo: per pratica, non per licenza, con limiti di spesa per modello e per periodo. Un agente che lavora bene ma costa più del lavoro che sostituisce non è un risultato. Il numero si sceglie prima di partire, e alla data fissata decide se l'uso continua, cambia o si ferma.
Chi risponde quando l'AI sbaglia?
Verso clienti e terzi risponde l'azienda; dentro l'azienda, il responsabile del processo in cui l'AI lavora; chi usa lo strumento risponde di aver verificato il risultato prima di usarlo. Le risposte AI non sono d'accordo fra loro. Per la modalità AI di Google «l'errore dell'AI è un errore dell'azienda»; per la panoramica AI «l'utente finale rimane l'unico responsabile dell'output»; alla domanda in inglese risponde il capo del reparto che ha introdotto lo strumento. Ognuna ha un pezzo di ragione, nessuna separa i livelli.
| Livello | Chi risponde | Di che cosa |
|---|---|---|
| Verso clienti e terzi | l'azienda | di quello che lo strumento dice o fa a suo nome |
| Dentro l'azienda | il responsabile del processo | di come l'AI è usata: chi verifica, quando ci si ferma, che cosa si fa dopo un errore |
| Nel lavoro di ogni giorno | chi usa lo strumento | di aver verificato il risultato, con le regole e la formazione ricevute |
| Verso l'azienda | il fornitore dello strumento | di quello che promette il contratto: disponibilità, sicurezza, trattamento dei dati |
Il caso più citato è canadese. Nel febbraio 2024 il chatbot di Air Canada aveva assicurato a un cliente di poter ottenere a posteriori una tariffa per lutto; il cliente comprò il biglietto, e la compagnia poi gliela rifiutò. Il tribunale della British Columbia ha riconosciuto una dichiarazione negligente e non ha permesso all'impresa di disconoscere quello che il chatbot aveva scritto (Moffatt contro Air Canada, 2024 BCCRT 149, raccontato da Agenda Digitale). Lo stesso articolo avverte che non ogni risposta di un chatbot diventa un impegno contrattuale: contano il contenuto e le altre informazioni che il cliente aveva. Ma dire al cliente che ha sbagliato il chatbot non è una difesa.
Il livello interno chiede persone che possano dire di no. Per i sistemi ad alto rischio l'AI Act vuole la sorveglianza umana affidata a persone con «la competenza, la formazione e l'autorità necessarie» (articolo 26, paragrafo 2). Per le decisioni sul lavoro la legge italiana è già più avanti: dal 23 ottobre 2026 le decisioni finali su assunzione, modifica e fine del rapporto, compresi provvedimenti disciplinari e valutazioni delle prestazioni, spettano a una persona con un potere effettivo e autonomo (decreto legislativo 179 del 2026, articolo 41).
Gli errori poi si raccolgono: un modo semplice per segnalarli, un registro degli incidenti, una persona che può fermare lo strumento. Il NIST li chiede tutti e tre: segnalazioni degli utenti (Measure 3.3), monitoraggio dopo il rilascio con la possibilità di intervenire e di spegnere (Manage 4.1), incidenti ed errori comunicati, tracciati e documentati (Manage 4.3).
Come si mettono le regole dentro i sistemi?
Con controlli che non dipendono dalla memoria delle persone. Una regola scritta nella policy vale finché qualcuno se la ricorda; la stessa regola nel sistema vale sempre.
| Regola | Controllo nel sistema |
|---|---|
| ognuno vede solo i documenti che gli spettano | l'AI legge con i permessi di chi chiede |
| una persona approva le azioni che contano | l'AI prepara, una persona conferma prima che la modifica abbia effetto |
| un errore si deve poter ricostruire | una traccia del contesto, dei dati usati, dei passaggi e del costo di ogni operazione |
| la spesa resta sotto controllo | limiti per modello e per periodo |
| i dati non addestrano modelli di altri | servizi che lo escludono per contratto, o un'infrastruttura privata |
È il modo in cui lavoriamo nei progetti di adozione dell'AI nelle aziende strutturate: prima del rilascio vengono l'approvazione umana sulle operazioni a rischio, il registro delle decisioni e i limiti di spesa per modello. In un gruppo con più società la separazione vale anche fra loro: nella piattaforma di audit con agenti AI ogni organizzazione ha il suo spazio isolato, con dati, definizioni e contatti separati. L'automazione arriva fin dove il costo di un errore resta accettabile, e da lì in poi decide una persona (come garantiamo l'affidabilità). Gli strumenti di osservabilità, che consigliamo sempre e che si attivano su tua decisione, lasciano per ogni operazione la traccia che serve a ricostruire una decisione dell'AI anche mesi dopo, e i tuoi dati non addestrano modelli di altri. Per direzione, legale e compliance teniamo percorsi di formazione su decisioni e governance, costruiti sui casi d'uso della tua azienda.
Che cosa chiede la legge, e che cosa no?
Meno di quanto dicono molte risposte, e cose diverse. A chi usa l'AI l'AI Act chiede misure di formazione per tutti, trasparenza in alcuni casi e obblighi pesanti solo per gli usi ad alto rischio; la legge italiana aggiunge l'informativa ai lavoratori e la decisione di una persona sul rapporto di lavoro. Non chiede un comitato, un responsabile dell'AI o un elenco interno dei sistemi.
| Norma | Che cosa chiede a chi usa l'AI | Da quando |
|---|---|---|
| AI Act, articolo 4 | misure per sostenere le competenze del personale sull'AI, senza imporre un livello specifico | 2 febbraio 2025, riscritto dal Regolamento (UE) 2026/1744 |
| AI Act, articolo 50 | dichiarare deepfake e testi d'interesse pubblico generati; il chatbot che si presenta come AI è a carico di chi lo fornisce | 2 agosto 2026 |
| AI Act, articolo 26 | per gli usi ad alto rischio dell'allegato III: sorveglianza umana, log conservati almeno sei mesi, informazione ai lavoratori prima dell'uso sul lavoro | 2 dicembre 2027 |
| Legge 132 del 2025, articolo 11 | AI al lavoro sicura, affidabile e trasparente, senza discriminazioni; informativa al lavoratore nei casi dell'articolo 1-bis del decreto legislativo 152 del 1997 | 10 ottobre 2025 |
| Decreto legislativo 179 del 2026, articolo 41 | decisione finale di una persona su assunzione, modifica e fine del rapporto; informativa al lavoratore prima di usare il sistema | 23 ottobre 2026 |
| Decreto legislativo 179 del 2026, articolo 42 | l'AI che incide su organizzazione, ritmi o modo di lavorare entra nella valutazione dei rischi; informazione e formazione dei lavoratori sui suoi rischi | 23 ottobre 2026 |
L'articolo 4 è in vigore dal 2 febbraio 2025 e riscritto dal Regolamento (UE) 2026/1744: misure per sostenere le competenze del personale sull'AI, senza imporre un livello specifico. Quasi tutte le risposte AI lo descrivono ancora come un obbligo di formare il personale, e nessuna dice che è stato riscritto; solo Perplexity cita fra le fonti il regolamento che lo ha cambiato. Secondo l'Osservatorio, oltre una grande impresa su due ha avviato iniziative di alfabetizzazione, ma solo il 15% ha un progetto strutturato di adeguamento all'AI Act, integrato con le altre norme. L'articolo 11 della legge 132 del 2025 e l'articolo 1-bis del decreto legislativo 152 del 1997 chiedono di informare il lavoratore quando un sistema automatizzato decide o controlla qualcosa del suo lavoro.
Tre affermazioni lette nelle risposte AI vanno corrette. La modalità AI di Google scrive che «l'AI Act richiede la creazione di un registro interno»: per un'azienda privata che usa l'AI non è così; l'articolo 26 chiede di conservare i log dei sistemi ad alto rischio, che è un'altra cosa. La stessa superficie presenta la sanzione fino a 15 milioni di euro o al 3% del fatturato come il prezzo del muoversi senza regole: nell'articolo 99 è il tetto per chi viola gli obblighi del deployer dell'articolo 26 e gli obblighi di trasparenza, non per chi non ha una policy. E alla domanda in inglese ammette nel livello verde la versione gratuita di ChatGPT, che non ha un contratto aziendale sui dati.
L'elenco, il gruppo e la policy non sono adempimenti: sono gli strumenti con cui dimostri, il giorno che serve, di aver fatto quelli veri. Il dettaglio degli obblighi, caso per caso e con un'autoverifica, è nella guida sull'AI Act per il deployer.
Serve la ISO/IEC 42001?
Non per cominciare, e non è un obbligo. La ISO/IEC 42001, pubblicata nel dicembre 2023, specifica i requisiti per stabilire, attuare, mantenere e migliorare un sistema di gestione dell'AI, per chi fornisce e per chi usa prodotti o servizi basati sull'AI (scheda della norma su AFNOR). Il NIST AI Risk Management Framework, pubblicato il 26 gennaio 2023, è volontario e gratuito, e organizza il lavoro in quattro funzioni: governare, mappare, misurare, gestire.
| Domanda | ISO/IEC 42001 | NIST AI RMF |
|---|---|---|
| Che cos'è | una norma con i requisiti di un sistema di gestione dell'AI | un quadro volontario per gestire i rischi dell'AI |
| Chi la pubblica | ISO e IEC | il NIST, l'istituto americano per gli standard |
| Si certifica | sì, con un ente di certificazione | no |
| Quanto costa leggerla | si compra | è gratuito |
| A che cosa serve | dimostrare a un terzo come governi l'AI | una lista di controllo per non dimenticare niente |
Fra le risposte AI la nominano ChatGPT e Perplexity, che propone la 42001 come struttura e il NIST come lista di controllo; nessuna dice quando conviene certificarsi. La nostra lettura: conviene a chi vende sistemi AI a clienti che la chiedono, e a chi ha già un sistema di gestione certificato, come la ISO 27001, perché il lavoro si aggiunge a qualcosa che esiste. Per tutti gli altri, l'elenco degli usi, i ruoli scritti e un registro degli incidenti valgono più di un certificato.
Da dove si comincia?
Dall'elenco, non dalla policy.
- Fai l'elenco degli usi in tutti i reparti, con qualche settimana in cui dichiarare senza conseguenze gli strumenti non autorizzati.
- Nomina il coordinatore, con un mandato scritto della direzione, e il gruppo: IT, legale, protezione dei dati, risorse umane, i responsabili dei processi.
- Scrivi le classi dei dati e, per ogni strumento approvato, quali accetta; dai lo strumento aziendale a chi ne ha bisogno prima di vietare quello personale.
- Fissa i tre livelli di approvazione, con una corsia veloce per il verde e una data di fine per ogni prova.
- Per ogni uso giallo o rosso, scegli il numero da misurare, il punto di partenza e la data della decisione.
- Apri il registro degli incidenti e un modo semplice per segnalare un errore.
- Scrivi la policy, su quello che hai deciso, e costruisci la formazione su quella.
La policy si scrive per ultima, perché descrive decisioni già prese; scritta per prima, è un elenco di buone intenzioni. Se invece l'AI in azienda non c'è ancora e cerchi il primo processo da cui partire, leggi la guida su AI in azienda: da dove partire.
Un esempio: un'azienda di 600 persone
Un'azienda di 600 persone ha ChatGPT in diversi reparti, Copilot in amministrazione, un chatbot per il servizio clienti e due prototipi fatti dall'IT. È il caso che abbiamo posto a Google e agli assistenti AI; i dettagli che seguono sono inventati, da sostituire con i tuoi.
Il primo mese produce l'elenco: una quarantina di usi, metà su account personali. Tre caricano contratti di clienti in uno strumento senza un accordo sul trattamento dei dati: si fermano subito, e chi li usava riceve lo strumento aziendale nella stessa settimana. La direzione nomina coordinatrice la responsabile operations, con un mandato scritto e un giorno a settimana dedicato; il gruppo si riunisce ogni due settimane, solo sui casi gialli e rossi.
Il chatbot del servizio clienti è rosso: risponde da solo, e quello che promette impegna l'azienda. Resta acceso, ma risponde solo dai documenti approvati, passa a un operatore rimborsi e reclami, e ogni settimana qualcuno controlla un campione di conversazioni. Dei due prototipi, uno ha una soglia e una data e diventa un progetto; l'altro, senza un numero da migliorare, si ferma.
Le risorse umane chiedono di usare l'AI per una prima selezione dei CV. È un uso dell'allegato III dell'AI Act, con gli obblighi dell'articolo 26 dal 2 dicembre 2027, e il gruppo lo tratta da rosso. L'articolo 41 del decreto legislativo 179 del 2026 non conta la ricerca e selezione delle candidature fra le decisioni finali; quando però l'AI entra nella decisione di assumere, nelle valutazioni delle prestazioni o nei provvedimenti disciplinari, la decisione finale spetta già oggi a una persona. Dopo tre mesi l'azienda sa quanti usi ha, chi ne risponde, quali dati entrano dove e se gli usi più importanti funzionano. Solo allora scrive la policy: poche pagine, su decisioni già prese.
Fonti e approfondimenti
- Osservatorio Artificial Intelligence del Politecnico di Milano, «Il mercato dell'AI in Italia cresce del 50% nel 2025, 1,8 mld di euro», 5 febbraio 2026osservatori.net, consultato il 31 ottobre 2026
- NIST, «AI Risk Management Framework», versione 1.0 del 26 gennaio 2023nist.gov, in inglese, consultato il 31 ottobre 2026
- NIST AI Resource Center, «AI RMF Core», funzioni Govern, Map, Measure e Manageairc.nist.gov, in inglese, consultato il 31 ottobre 2026
- ISO/IEC 42001:2023, «Information technology, Artificial intelligence, Management system»boutique.afnor.org, in inglese, consultato il 31 ottobre 2026
- AI Act, articolo 4, «Alfabetizzazione in materia di IA»ai-act-service-desk.ec.europa.eu, consultato il 31 ottobre 2026
- AI Act, articolo 26, «Obblighi dei deployer dei sistemi di IA ad alto rischio»ai-act-service-desk.ec.europa.eu, consultato il 31 ottobre 2026
- AI Act, articolo 50, obblighi di trasparenza per i fornitori e i deployerai-act-service-desk.ec.europa.eu, consultato il 31 ottobre 2026
- AI Act, articolo 99, «Sanzioni»ai-act-service-desk.ec.europa.eu, consultato il 31 ottobre 2026
- Legge 23 settembre 2025, n. 132, articolo 11, «Disposizioni sull'uso dell'intelligenza artificiale in materia di lavoro»normattiva.it, consultato il 31 ottobre 2026
- Decreto legislativo 7 ottobre 2026, n. 179, articolo 41, «Tutela del lavoratore nei processi decisionali assistiti da sistemi di intelligenza artificiale»normattiva.it, consultato il 31 ottobre 2026
- Decreto legislativo 7 ottobre 2026, n. 179, articolo 42, «Intelligenza artificiale, salute e sicurezza nei luoghi di lavoro»normattiva.it, consultato il 31 ottobre 2026
- Decreto legislativo 26 maggio 1997, n. 152, articolo 1-bis, informazioni sui sistemi decisionali o di monitoraggio automatizzatinormattiva.it, consultato il 31 ottobre 2026
- Legge 20 maggio 1970, n. 300, articolo 4, «Impianti audiovisivi e altri strumenti di controllo»normattiva.it, consultato il 31 ottobre 2026
- Emiliano Marchisio, «Le parole dell'IA possono vincolare l'impresa? La risposta del diritto», Agenda Digitale, 28 ottobre 2026agendadigitale.eu, consultato il 31 ottobre 2026
Serve un Chief AI Officer?
Non per cominciare. Serve una persona con un mandato scritto della direzione, tempo dedicato e un gruppo con IT, legale, protezione dei dati e risorse umane; spesso è già in azienda. Un ruolo dedicato ha senso quando gli usi dell'AI diventano tanti e toccano il prodotto o i clienti.
Bisogna vietare ChatGPT in azienda?
Vietare gli account personali sì, se ci entrano dati aziendali; vietare l'AI no. Secondo l'Osservatorio del Politecnico di Milano, le grandi imprese sanno che il divieto porta all'uso nascosto, e solo il 24% vieta gli strumenti non forniti dall'azienda. Prima si dà uno strumento aziendale con un contratto sui dati, poi si vieta quello personale.
L'AI Act obbliga a tenere un registro dei sistemi di AI?
Non un'azienda privata che usa l'AI. Per i sistemi ad alto rischio l'articolo 26 chiede di conservare i log generati dal sistema per almeno sei mesi, che è un'altra cosa. L'elenco degli usi resta però lo strumento più utile per governare l'AI e per dimostrare, il giorno che serve, che cosa usi e con quali regole.
Chi paga se il chatbot sbaglia con un cliente?
Verso il cliente risponde l'azienda: nel caso Moffatt contro Air Canada, del 2024, un tribunale canadese non ha permesso alla compagnia di disconoscere quello che il suo chatbot aveva promesso. Dentro l'azienda ne risponde il responsabile del processo; verso l'azienda, il fornitore, nei limiti del contratto.
Bisogna informare i dipendenti dell'uso dell'AI?
Sì, quando un sistema automatizzato decide o controlla qualcosa del loro lavoro, come assunzioni, compiti, valutazioni o sorveglianza: lo chiedono l'articolo 11 della legge 132 del 2025 e l'articolo 1-bis del decreto legislativo 152 del 1997, e dal 23 ottobre 2026 anche l'articolo 41 del decreto legislativo 179 del 2026. Per l'AI che cambia il modo di lavorare, l'articolo 42 dello stesso decreto chiede in più informazione e formazione sui suoi rischi.
Conviene certificarsi ISO/IEC 42001?
Conviene se vendi sistemi AI a clienti che la chiedono, o se hai già un sistema di gestione certificato come la ISO 27001. Per cominciare a governare l'AI non serve: elenco degli usi, ruoli scritti, regole sui dati e registro degli incidenti vengono prima, e la norma, se arriva, si appoggia su quelli.
Hai l'AI in tutti i reparti e nessuna regola comune?
Raccontaci che cosa usate oggi, in una call conoscitiva, gratuita e senza impegno: ti diciamo da dove partire e quali regole conviene mettere dentro i sistemi.
- Non parli con un commerciale
- NDA prima di entrare nel merito
- Il codice resta di tua proprietà
Articoli sugli stessi temi.
Data quality: decidono i dati o il modello?
Quando l'AI sbaglia, la colpa è quasi sempre dei dati, non del modello. Come identificare, sanificare e aggiornare le tue fonti perché l'AI funzioni davvero.
Leggi
European AI Act a chi riguarda davvero?
Se usi l'AI in azienda l'EU AI Act riguarda anche te, non solo chi crea i modelli. Cosa si applica dal 2 agosto 2026 e cosa slitta al 2027 e al 2028.
Leggi
Small is the new big: SLM per l'enterprise
L'AI enterprise non richiede modelli giganti. Scopri come gli Small Language Models (SLM) riducono i costi di inferenza e garantiscono la privacy dei dati.
Leggi