Qualche giorno fa, parlando di intelligenza artificiale con un’azienda, ho fatto una domanda che utilizzo spesso anche durante i corsi: «Quali strumenti di IA state usando oggi?»
La risposta è arrivata quasi immediatamente: «ChatGPT».
Poi, come accade quasi sempre, abbiamo cominciato a scavare.
Qualcuno utilizzava Copilot dentro Microsoft 365, un altro aveva provato Gemini per analizzare alcuni documenti, un collaboratore usava ChatGPT dal proprio account personale per sistemare testi e comunicazioni, un software acquistato dall’azienda aveva nel frattempo introdotto funzioni basate sull’intelligenza artificiale e, continuando a fare domande, l’elenco diventava più lungo.
A quel punto la questione cambia completamente.
Perché un conto è sapere che in azienda “si usa l’intelligenza artificiale”, altro conto è sapere quale sistema viene utilizzato, da chi, per quale attività, quali informazioni gli vengono affidate, cosa produce e chi controlla il risultato prima che quel risultato diventi una decisione, una mail, un documento, una valutazione o finisca nelle mani di un cliente.
Ecco il punto dal quale, oggi, partirei prima di qualsiasi discussione sull’AI Act.
Il problema arriva prima della conformità
Dal 2 agosto 2026 siamo entrati in una nuova fase di applicazione del Regolamento europeo sull’intelligenza artificiale. Tra le disposizioni diventate operative ci sono gli obblighi di trasparenza previsti dall’articolo 50, mentre il quadro di vigilanza e applicazione è ormai concretamente attivo. L’AI Act continua comunque ad avere un calendario progressivo: dopo il Digital Omnibus approvato nel luglio 2026, le disposizioni specifiche sui sistemi ad alto rischio dell’Allegato III scatteranno dal 2 dicembre 2027, mentre quelle relative ai sistemi ad alto rischio incorporati nei prodotti regolamentati arriveranno al 2 agosto 2028.
Questo calendario va conosciuto bene, soprattutto per evitare due errori opposti che continuo a vedere: aziende convinte che dal 2 agosto sia diventato improvvisamente obbligatorio qualunque adempimento immaginabile e aziende che, leggendo del rinvio di alcune regole sull’alto rischio, pensano di poter rimandare tutto.
La realtà richiede più attenzione.
L’articolo 4 sull’AI literacy, per esempio, si applica già dal 2 febbraio 2025. Dopo le modifiche introdotte dal Digital Omnibus, l’obbligo di sviluppare l’alfabetizzazione sull’IA per il personale e per le altre persone che utilizzano questi sistemi per conto dell’organizzazione resta in vigore, pur senza imporre un livello universale prestabilito, un numero fisso di ore o una certificazione obbligatoria. La stessa Commissione europea chiarisce che le misure devono essere costruite considerando conoscenze, esperienza, formazione delle persone, contesto di utilizzo e rischi dei sistemi impiegati.
Qui, secondo me, c’è una parola che vale più di tante slide sulla normativa: contesto.
Prima domanda: cosa stiamo usando?
Nelle FAQ ufficiali sull’AI literacy, la Commissione europea suggerisce alle organizzazioni di partire da domande apparentemente elementari: che cos’è l’IA, come funziona, quale IA utilizziamo nella nostra organizzazione, quali opportunità offre e quali rischi introduce.
Quella domanda, “quale IA utilizziamo?”, nasconde una quantità enorme di lavoro.
Pensiamo a una piccola azienda con dieci dipendenti. Il titolare potrebbe avere acquistato ChatGPT Team o Microsoft Copilot e sapere perfettamente come vengono utilizzati. Nel frattempo, però, un dipendente potrebbe caricare una bozza di contratto sul proprio account personale di un chatbot, un altro utilizzare un traduttore dotato di IA, chi gestisce i social potrebbe generare immagini e testi attraverso altre piattaforme e il software CRM potrebbe avere attivato nuove funzioni intelligenti dopo un aggiornamento.
Chi governa realmente questo ecosistema?
Quanti strumenti conosce l’azienda?
Quali dati stanno passando attraverso quei sistemi?
Quali risultati vengono controllati?
Dove l’IA suggerisce e dove, invece, il suo output finisce per orientare concretamente una decisione?
Per me la governance comincia qui, molto prima dei documenti sofisticati.
Un registro può sembrare una cosa banale, fino a quando lo compili davvero
Prendiamo un foglio e scriviamo il nome dello strumento.
Accanto mettiamo il fornitore, chi lo utilizza, l’attività per cui viene impiegato, i dati che riceve, ciò che produce, l’eventuale impatto sulle persone, il controllo umano previsto, gli aspetti di trasparenza, la formazione ricevuta e l’azione che eventualmente dobbiamo intraprendere.
Improvvisamente quella frase generica — “noi usiamo ChatGPT” — scompare.
Al suo posto compare una fotografia.
Magari scopriamo che il reparto commerciale utilizza l’IA soltanto per migliorare alcune email e che il rischio è contenuto. Potremmo però scoprire che qualcuno inserisce dati personali in uno strumento senza avere mai verificato configurazioni, condizioni contrattuali e modalità di trattamento. Oppure emerge un sistema che interviene in un processo più delicato, legato alla selezione del personale, all’accesso a un servizio o a decisioni che producono conseguenze sulle persone.
Il valore della mappatura sta proprio nella possibilità di distinguere.
Governare l’IA significa anche smettere di trattare allo stesso modo utilizzi profondamente diversi.
Il controllo umano va scritto, non semplicemente dato per scontato
Durante i corsi insisto molto su questo passaggio perché conosco la tentazione: “Tanto poi controllo io”.
Perfetto. Come?
Chi controlla?
Cosa verifica?
In quale momento?
Che cosa succede quando il sistema restituisce un risultato dubbio?
L’AI Act dedica particolare attenzione alla supervisione umana soprattutto nei sistemi ad alto rischio, e il quadro europeo lega competenze, utilizzo consapevole e capacità di interpretare correttamente gli output. Le regole specifiche sui sistemi ad alto rischio entreranno pienamente in gioco secondo il nuovo calendario 2027-2028, però costruire oggi una cultura del controllo umano significa preparare processi migliori già adesso.
Perché l’errore più pericoloso dell’intelligenza artificiale, spesso, ha una caratteristica particolare: sembra credibile.
Una frase scritta bene abbassa la nostra soglia di attenzione. Un’analisi ordinata sembra autorevole. Una tabella prodotta in pochi secondi ci restituisce la sensazione che dietro ci sia stata una verifica che, in realtà, potrebbe non essere mai avvenuta.
La tecnologia accelera; il controllo umano deve imparare a stare dentro quella velocità.
Dal 2 agosto anche la trasparenza pesa di più
L’articolo 50 dell’AI Act è applicabile dal 2 agosto 2026 e introduce obblighi specifici per determinati sistemi e utilizzi: persone informate quando interagiscono direttamente con sistemi di IA nei casi previsti, marcatura di determinati contenuti generati o manipolati artificialmente, obblighi relativi ai deepfake, ai sistemi di riconoscimento delle emozioni, alla categorizzazione biometrica e ad alcune pubblicazioni testuali su questioni di interesse pubblico.
Questo passaggio va letto senza creare terrorismo normativo.
Avere ChatGPT aperto sul computer dell’ufficio non trasforma automaticamente un’azienda in un soggetto sottoposto a ogni obbligo dell’articolo 50. Serve capire ruolo, sistema, finalità e modalità concreta di utilizzo.
Ancora una volta torniamo alla mappatura.
Come faccio a valutare gli obblighi applicabili a uno strumento se nemmeno so che quello strumento viene utilizzato?
E se arrivasse una verifica?
In Italia la legge 23 settembre 2025, n. 132 ha individuato AgID e ACN come Autorità nazionali per l’intelligenza artificiale. L’ACN è designata, in particolare, quale autorità di vigilanza del mercato e punto di contatto unico con le istituzioni europee, ferme restando le competenze settoriali, comprese quelle attribuite a Banca d’Italia, CONSOB e IVASS nei rispettivi ambiti.
Quando immaginiamo un controllo pensiamo spesso all’ispettore che entra dalla porta.
Una verifica può iniziare molto prima, attraverso una richiesta di informazioni e documentazione, e il primo problema potrebbe diventare semplicemente riuscire a ricostruire con ordine ciò che l’azienda sta facendo.
Quali sistemi utilizzate?
Chi li usa?
Per quali finalità?
Come avete affrontato la formazione?
Quali regole interne avete dato?
Come viene esercitato il controllo umano?
La Commissione, parlando dell’articolo 4, chiarisce anche che non è richiesta una specifica certificazione per documentare l’AI literacy e indica la possibilità di conservare registrazioni interne delle attività formative e delle altre iniziative adottate.
Questa indicazione mi interessa molto, perché restituisce il senso corretto del lavoro da fare: meno collezione di attestati da mettere in un cassetto, più capacità di dimostrare un percorso ragionato.
Da qui nasce “IA in Azienda”
Proprio lavorando con imprese e professionisti mi sono reso conto che mancava spesso il primo gradino.
Prima della consulenza specialistica, prima dell’eventuale classificazione dettagliata, prima dei documenti più complessi, serve qualcosa che costringa l’organizzazione a guardarsi dentro.
Per questo ho preparato gratuitamente IA IN AZIENDA – Kit operativo gratuito, composto da un Registro IA aziendale semplificato, una guida alla compilazione e una checklist iniziale.
Il registro serve a cominciare la mappatura. La guida accompagna campo per campo, cercando di evitare che il documento diventi l’ennesimo file riempito per dovere e dimenticato in una cartella. La checklist prova invece a far emergere gli utilizzi meno visibili, quelli che spesso sfuggono proprio perché sono diventati abitudini.
Il kit rappresenta un primo strumento operativo verso una gestione più consapevole dell’IA e non sostituisce una valutazione legale o una consulenza specialistica quando il contesto la richiede.
Ho voluto scriverlo chiaramente anche nella pagina di download, perché la trasparenza sui limiti di uno strumento fa parte del metodo con cui quello strumento viene costruito.
Puoi scaricarlo gratuitamente qui: IA IN AZIENDA – Kit operativo gratuito
Alla fine il punto resta quello da cui siamo partiti.
Puoi acquistare il miglior sistema di intelligenza artificiale disponibile, formare le persone, scrivere procedure e leggere cento pagine di normativa, però prima o poi qualcuno dovrà rispondere a una domanda molto semplice:
“Dove stiamo usando davvero l’intelligenza artificiale nella nostra azienda?”
Se per trovare la risposta servono tre riunioni e dieci telefonate, abbiamo già scoperto qualcosa di importante.
Ed è esattamente da lì che comincerei.
Fonti ufficiali e approfondimenti
- Regolamento (UE) 2024/1689 – Artificial Intelligence Act, testo ufficiale EUR-Lex
- Regolamento (UE) 2026/1744 – Digital Omnibus sull’IA, testo ufficiale EUR-Lex
- Commissione europea – AI Act: quadro normativo e calendario di applicazione
- Commissione europea – AI Literacy, Questions & Answers sull’articolo 4
- Commissione europea – Obblighi di trasparenza dell’articolo 50
- Commissione europea – Linee guida sugli obblighi di trasparenza, 20 luglio 2026
- Legge 23 settembre 2025, n. 132 – Gazzetta Ufficiale della Repubblica Italiana
Antonio Sinibaldi
Formatore in Intelligenza Artificiale per aziende e professionisti. Docente del corso IA per l’Istituto Nazionale Tributaristi. Autore della collana IA PRATICA.