In molte aziende l’AI è già arrivata, solo che nessuno l’ha introdotta davvero. È entrata nei sistemi aziendali da un account personale, da una prova gratuita, dal collega che ha trovato un modo più rapido per riassumere un documento. Nel giro di pochi mesi ChatGPT, Microsoft Copilot, Gemini e altri strumenti sono diventati parte del lavoro quotidiano. Mentre la regolamentazione sul loro utilizzo in ambito aziendale, è arrivata molto dopo.
Così, nello stesso ufficio, c’è chi usa l’AI per sistemare gli appunti di una riunione e chi la applica a dati, candidature o valutazioni che possono incidere sulle persone. Cambiano gli strumenti, i dati condivisi e il peso delle decisioni. Eppure tutto finisce sotto la stessa etichetta: “usiamo l’AI”.
La scadenza per l’applicazione effettiva dell’AI ACT al 2 agosto 2026, rende questa approssimazione sempre più difficile da sostenere. Per farsi trovare preparare a questa trasformazione, un’azienda deve prima vedere gli usi dell’AI già in corso, valutarli e assegnare delle responsabilità precise.
Il calendario dell’AI Act, aggiornato
L’AI Act è entrato in vigore l’1 agosto 2024 e viene applicato per fasi. Dal 2 agosto 2026 diventa applicabile gran parte delle disposizioni ancora pendenti, comprese alcune regole sulla trasparenza.
Nel frattempo, l’’AI Omnibus (o Digital Omnibus on AI) – il regolamento dell’Unione Europea che modifica l’AI Act per semplificarne l’applicazione, mantenendo le tutele, ma rendendo più facile per le imprese rispettare la normativa – ha spostato più avanti gli obblighi relativi a determinati sistemi ad alto rischio.
Per i casi elencati nell’Allegato III la data è il 2 dicembre 2027; per i sistemi incorporati in prodotti regolamentati è il 2 agosto 2028. L’Omnibus è entrato in vigore il 27 luglio 2026. Il calendario pubblicato dalla Commissione europea riporta le diverse scadenze.
È cambiato anche l’articolo 4 sull’AI literacy, applicabile già dal 2 febbraio 2025. Il testo aggiornato chiede a provider e deployer di adottare misure che sostengano lo sviluppo delle competenze AI del personale e delle altre persone che utilizzano sistemi per loro conto.
Le misure vanno calibrate su conoscenze, esperienza, formazione, contesto d’uso e persone interessate dal sistema. La norma chiarisce, inoltre, che l’organizzazione non deve garantire a ogni individuo uno specifico livello di competenza. Il riferimento è il Regolamento (UE) 2026/1744.
Per le aziende cambia il modo di impostare il lavoro. Un corso introduttivo identico per tutti risponde poco alla logica della norma e ancora meno ai problemi quotidiani. Le competenze utili dipendono da chi usa il sistema, da cosa gli si affida e dalle conseguenze dell’output.
Perciò, una governance credibile deve partire da cinque attività.
1. Partire da ciò che le persone del team, fanno già
Prima degli strumenti nuovi serve un inventario realistico di quelli in uso.
La ricognizione dovrebbe far emergere almeno il nome dello strumento, il reparto che lo utilizza, l’attività svolta, il tipo di account, i dati inseriti e il modo in cui l’output viene controllato. Va registrato anche il ruolo dell’AI nel processo: semplice supporto, filtro, classificazione oppure elemento che orienta una decisione.
I risultati tendono a essere più vari di quanto l’azienda immagini. Il marketing prepara bozze e immagini. L’area commerciale personalizza offerte. Il customer care costruisce risposte. HR scrive annunci o analizza candidature.
Questa fotografia serve a trovare i punti che meritano attenzione immediata. Serve anche a individuare usi validi che potrebbero essere condivisi, invece di restare iniziative isolate.
2. Dare priorità ai casi che incidono su dati e persone
Gli appunti di una riunione e la valutazione di un candidato richiedono controlli diversi.
Una prima selezione può partire da tre domande:
- Quali dati riceve il sistema?
- Che cosa fa con quei dati?
- Chi subisce le conseguenze del risultato?
La risposta permette di separare le attività interne a basso impatto dai casi che coinvolgono informazioni riservate, dati personali o decisioni rilevanti per clienti, lavoratori e candidati.
Nei casi più delicati, la supervisione umana deve essere effettiva. La persona incaricata del controllo ha bisogno di tempo, informazioni e autorità per contestare l’output. Un’approvazione automatica a fine processo lascia il sistema sostanzialmente senza controllo.
3. Regole brevi, decisioni chiare
Una policy è utile quando risolve dubbi reali. Le persone devono poter capire, mentre lavorano, quali strumenti sono approvati, quali dati possono condividere e quando l’output richiede una verifica.
Le prime linee guida possono concentrarsi su poche decisioni ricorrenti:
– strumenti consentiti e account da utilizzare;
– dati e documenti che devono restare fuori dai sistemi;
– attività soggette ad autorizzazione preventiva;
– controlli richiesti prima di usare o pubblicare un output;
– modalità per segnalare errori, incidenti e comportamenti inattesi.
Le regole vanno riviste con una frequenza definita. Funzionalità e condizioni dei servizi cambiano, mentre i team scoprono nuovi modi di usarli. Una policy ferma descrive presto un’azienda che non esiste più.
4. La governance ha bisogno di nomi
IT, HR, legal, compliance, responsabili di funzione e management vedono parti diverse dello stesso problema. La collaborazione diventa operativa quando ogni decisione ha un proprietario riconoscibile.
L’IT può occuparsi di sicurezza e integrazioni. Legal e compliance valutano i requisiti applicabili. HR e formazione lavorano sulle competenze. I responsabili di funzione conoscono il processo, i dati e le conseguenze operative. Il management stabilisce priorità e rischio accettabile.
Resta da decidere chi approva uno strumento, chi mantiene l’inventario, chi aggiorna le regole e chi interviene quando emerge un problema. Questi compiti possono essere distribuiti tra funzioni esistenti. L’importante è che ciascuno sappia dove finisce il proprio ruolo e dove comincia quello degli altri.
5. Formazione diversa per responsabilità diverse
Chi usa un sistema generativo per attività quotidiane deve saper proteggere le informazioni aziendali, riconoscere errori e allucinazioni, verificare le fonti e capire quando l’output non è affidabile.
Un manager ha un’esigenza diversa: valutare il caso d’uso, scegliere i controlli e decidere quali attività possono essere delegate. HR, procurement, legal e compliance devono collegare l’uso dell’AI ai processi che presidiano. Per i team tecnici entrano in gioco integrazione, monitoraggio, sicurezza, qualità dei dati e controllo dei sistemi.
Il nuovo articolo 4 lascia spazio a misure proporzionate al contesto. Per sfruttarlo bene occorre partire dagli strumenti e dalle responsabilità reali, non da un catalogo standard di corsi.
Portare la governance nelle decisioni di ogni giorno: i consigli di Data Masters
Inventario, policy e ruoli danno una struttura. La tenuta del sistema dipende poi dalle persone: da ciò che scelgono di caricare, dalle verifiche che fanno e dalla capacità di fermarsi quando un output non convince.
Data Masters progetta percorsi di formazione aziendale, basati sui ruoli, sul livello di competenza e sui casi d’uso dell’organizzazione. Il lavoro può iniziare da un assessment, proseguire con una base comune di alfabetizzazione AI e differenziarsi per dipendenti, manager, funzioni di business e team tecnici.
Il risultato atteso è pratico: davanti a un documento da caricare, a una risposta da pubblicare o a una decisione da prendere, le persone devono sapere quali controlli applicare e quando chiedere supporto.
Raccontaci quali strumenti usa la tua azienda, quali team sono coinvolti e quali competenze volete sviluppare. Costruiremo un percorso coerente con il livello di maturità e con le esigenze della vostra organizzazione.
AUTORE:Francesco Cipriani Apri profilo LinkedIn
Francesco è Co-founder di Data Masters, AI Academy per la formazione in Intelligenza Artificiale, Machine Learning e Data Science. È un Ingegnere Informatico specializzato in computer vision. Ha fondato le mie due prime aziende quando era ancora uno studente universitario. AI and Machine Learning sono le sue principali passioni e quotidianamente investe il suo tempo nel comunicare come queste tecnologie stiano rivoluzionando il mondo e cambiando il nostro modo di vivere.
