Non solo chatbot: come mettere in regola l’AI che già usi

Quando si parla di intelligenza artificiale, molti imprenditori pensano subito ai chatbot o agli strumenti che generano testi e immagini. In realtà, l’IA è già dentro molti software aziendali di uso quotidiano: CRM che suggeriscono azioni commerciali, applicativi HR che filtrano candidature, piattaforme di videoconferenza che trascrivono e riassumono riunioni, antivirus e sistemi di sicurezza che rilevano anomalie...

Il punto pratico per l’imprenditore è semplice: potresti già usare IA senza chiamarla così. Questo può esporre l’impresa a rischi legali, privacy, cybersecurity e reputazionali.

Il Regolamento (UE) 2024/1689, (AI Act), non si rivolge soltanto ai provider che sviluppano o immettono sul mercato sistemi di intelligenza artificiale. Il regolamento considera espressamente anche i deployer, cioè i soggetti che usano i sistemi di AI nel proprio contesto organizzativo. Questo è particolarmente importante per le imprese che adottano strumenti che integrano l’AI come funzione interna.

Il primo obbligo pratico: AI literacy

Per molte imprese, l’obbligo oggi più trasversale è quello di alfabetizzazione in materia di IA. Già il considerando 20 dell’AI Act spiega che l’AI literacy serve a dare a provider, deployer e persone interessate le conoscenze necessarie per prendere decisioni informate, comprendere gli output, i rischi, i diritti e le misure di uso corretto.

Sul punto c’è però un aggiornamento importante: il Regolamento (UE) 2026/1744 ha modificato l’articolo 4 dell’AI Act, ammorbidendo l’impostazione originaria. Oggi l’obbligo non va letto come necessità di “garantire” in astratto un livello rigido e uniforme di preparazione, ma come dovere di adottare misure a sostegno dello sviluppo dell’alfabetizzazione IA del personale e di chi usa o gestisce tali sistemi per conto dell’impresa.

In pratica, per un’azienda questo significa almeno quattro cose:

• capire quali persone usano o governano strumenti di IA;
• fornire una formazione proporzionata al ruolo;
• spiegare non solo come si usa il tool, ma anche limiti, rischi, errori possibili e regole interne;
• lasciare traccia dell’attività svolta: piano formativo, materiali, presenze, aggiornamenti.

Non serve trattare tutti allo stesso modo. Chi usa un assistente di scrittura avrà bisogno di istruzioni diverse rispetto a chi seleziona personale con software predittivi. La formazione deve essere concreta: esempi d’uso consentito, divieti interni, gestione dei dati personali, verifica dell’output, escalation in caso di anomalie.

Trasparenza: quando bisogna informare

Un secondo fronte essenziale è la trasparenza. L’AI Act prevede che i sistemi destinati a interagire direttamente con persone fisiche siano progettati e usati in modo da rendere riconoscibile che l’interlocutore sta interagendo con un sistema di IA, salvo che ciò sia già evidente. Inoltre, per i contenuti audio, video, immagini o testi sintetici, il regolamento impone specifici obblighi di marcatura e riconoscibilità per i contenuti generati o manipolati artificialmente.

Tradotto per le imprese: se usi un assistente virtuale sul sito, un voicebot nel customer care o strumenti che inviano comunicazioni apparentemente “umane” ma automatizzate, devi verificare che l’utente sia informato in modo chiaro. Se invece utilizzi strumenti che producono o alterano contenuti, devi valutare come rendere riconoscibile l’intervento dell’AI secondo il caso concreto.

A questi obblighi si affiancano quelli del GDPR. Quando l’uso dell’AI comporta trattamento di dati personali, l’informativa deve essere chiara e completa; restano poi centrali: accountability, privacy by design e sicurezza del trattamento.

Un percorso di adeguamento in 5 mosse

Per un’impresa, il modo più efficace per mettersi in regola è partire da un percorso semplice:

1. Mappare i sistemi di IA già presenti in azienda, anche se acquistati come funzioni accessorie di altri software.
2. Classificarli in base al rischio e al ruolo dell’impresa.
3. Adottare una policy interna sull’uso dell’AI, con regole su usi consentiti, dati caricabili, controlli umani, approvazioni e divieti.
4. Formare i collaboratori in modo differenziato, in base alle funzioni svolte e ai sistemi effettivamente usati.
5. Integrare la governance AI con privacy e cybersecurity, così da gestire insieme trasparenza, basi giuridiche, minimizzazione, sicurezza e gestione degli incidenti.

Il messaggio finale è netto: l’IA in azienda non inizia con il chatbot e non finisce con il reparto IT. Spesso è già nei processi commerciali, HR, amministrativi e di sicurezza. Per questo la domanda giusta non è più “se usiamo IA”, ma dove la stiamo già usando e con quali regole.

---

Simone Di Meglio, consulente AI e sviluppatore web. Attualmente è Customer Service Manager presso Keplero AI. Ha svolto docenze per varie agenzie di formazione specialistica in Full Stack Development, data integration e data science.