Governance dell'AI in azienda: dal pilota alla scala

In breve: governare l'AI in azienda significa decidere chi approva ogni uso, con quali dati, con quali controlli e con quali metriche. Serve a tre cose: rispettare l'AI Act, che per i sistemi ad alto rischio dell'allegato III si applica dal 2 dicembre 2027; rendere spiegabili le decisioni automatiche; portare i progetti oltre il pilota.

Punti chiave

La trustworthy AI, cioè l'AI affidabile, ha tre componenti: è lecita, etica e robusta. La spiegabilità è il pezzo che la rende verificabile.
Una parte dell'AI Act si applica già: pratiche vietate e alfabetizzazione dal 2 febbraio 2025, trasparenza per chatbot e deepfake dal 2 agosto 2026.
Il Digital Omnibus ha spostato gli obblighi per l'alto rischio al 2 dicembre 2027 (allegato III) e al 2 agosto 2028 (allegato I): sono rinviati, non cancellati.
I progetti si fermano al pilota per mancanza di un responsabile, di dati pronti e di regole di approvazione, più che per limiti tecnici.
Dal 2 febbraio 2025 chi usa l'AI deve sostenere le competenze sull'AI dei propri dipendenti: non serve un attestato, ma una traccia interna della formazione.
In Italia la legge 132/2025 aggiunge regole proprie, come l'informativa ai lavoratori quando l'azienda usa sistemi decisionali o di monitoraggio automatizzati.
Quello che dice il chatbot del sito lo dice l'azienda: la responsabilità verso il cliente non si scarica sull'algoritmo.

Perché la governance dell'AI conta adesso per e-commerce e aziende B2B

In molte aziende l'AI è ancora una somma di esperimenti: schede prodotto, chatbot, automazioni nel CRM, ognuno con la propria chiave API e senza sapere quali dati escono.

Questo modello non regge per due motivi. Il primo è normativo: l'AI Act è in vigore dal 1° agosto 2024, si applica per fasi e alcune regole riguardano già chi usa l'AI, oltre a chi la sviluppa. Il secondo è organizzativo: le grandi imprese si stanno strutturando. Nello studio IBM su 2.000 amministratori delegati e alti dirigenti pubblicato a maggio 2026, il 76% delle organizzazioni intervistate ha un Chief AI Officer, contro il 26% dell'anno precedente.

Per un e-commerce o un'azienda B2B strutturata la conseguenza è pratica: clienti e partner più grandi chiederanno come usi l'AI e chi ne risponde.

Senza governance i rischi sono concreti: usi scorretti o discriminatori, violazioni con sanzioni anche pesanti, informazioni sbagliate date ai clienti di cui l'azienda resta responsabile, costi duplicati e dati riservati che escono senza controllo. Li vediamo uno per uno nelle sezioni che seguono.

Cos'è la trustworthy AI, l'intelligenza artificiale affidabile?

La trustworthy AI (intelligenza artificiale affidabile) è un'AI lecita, cioè conforme alle leggi, etica, cioè rispettosa di principi e valori, e robusta dal punto di vista tecnico e sociale. La definizione viene dalle linee guida etiche del gruppo di esperti di alto livello della Commissione europea, pubblicate l'8 aprile 2019. Non sono vincolanti, ma accanto all'AI Act restano un riferimento utile per valutare se un sistema AI è affidabile.

I requisiti indicati sono sette: intervento e sorveglianza umani, robustezza tecnica e sicurezza, riservatezza e governance dei dati, trasparenza, diversità e non discriminazione, benessere sociale e ambientale, responsabilità.

Spiegabilità: cosa vuol dire in pratica

La spiegabilità è la capacità di un sistema AI di rendere comprensibile perché ha prodotto un certo risultato, in modo adatto a chi usa o subisce quella decisione.

E-commerce: il sistema antifrode blocca un ordine da 1.200 euro. Il servizio clienti deve poter dire quali segnali hanno pesato (indirizzo di spedizione diverso da quello di fatturazione, carta emessa in un altro paese, velocità degli acquisti) e chi può sbloccarlo.
B2B: un modello di lead scoring assegna 85 punti a un'azienda e 20 a un'altra. Il commerciale deve vedere i fattori del punteggio (dimensione, settore, pagine visitate, richieste precedenti), altrimenti smette di fidarsi e torna al foglio Excel.

La spiegabilità non è solo una buona pratica. Il GDPR (art. 22) dà alle persone il diritto di non essere sottoposte a decisioni basate unicamente su un trattamento automatizzato che producono effetti giuridici o incidono in modo analogo significativamente su di loro. Le eccezioni sono poche (contratto, legge, consenso esplicito) e anche in quei casi l'azienda deve garantire almeno l'intervento di una persona, la possibilità di esprimere la propria opinione e di contestare la decisione. L'AI Act aggiunge, per le decisioni prese sulla base di un sistema ad alto rischio dell'allegato III, il diritto di ottenere dal deployer spiegazioni chiare e significative sul ruolo che il sistema AI ha avuto nella decisione (art. 86).

Come si ottiene la spiegabilità in pratica:

Scegli strumenti che mostrano il perché: nei modelli predittivi (scoring, antifrode, previsione della domanda) chiedi al fornitore quali fattori hanno pesato su ogni singolo risultato. Librerie open source come SHAP calcolano proprio il contributo di ciascun fattore a una previsione.
Per l'AI generativa, fai citare le fonti: un assistente che risponde su listini, disponibilità o condizioni di reso deve indicare il documento da cui prende l'informazione, così l'operatore può controllarla.
Registra input, output e versione del modello: senza log non puoi ricostruire una decisione contestata da un cliente.
Prevedi una via d'uscita umana: chi subisce la decisione deve sapere a chi rivolgersi per farla rivedere.

Un sistema spiegabile riduce anche gli errori: se vedi su quali fattori si basa un risultato, ti accorgi prima quando il modello si appoggia a un dato sbagliato. E diventa un argomento di fiducia quando un cliente B2B ti chiede come usi l'AI nei processi che lo riguardano.

Cosa chiede l'AI Act alle aziende e con quali scadenze?

L'AI Act classifica i sistemi per livello di rischio e assegna obblighi diversi a chi li sviluppa (fornitore) e a chi li usa (deployer). Il deployer è l'azienda che usa un sistema AI sotto la propria autorità per scopi professionali: è il ruolo in cui si trova quasi sempre un e-commerce o un'azienda B2B che acquista strumenti AI.

Le categorie sono quattro: rischio inaccettabile (pratiche vietate), alto rischio (permesso ma regolato), rischio di trasparenza (chatbot, deepfake) e rischio minimo, che copre la maggior parte degli usi senza obblighi aggiuntivi.

Data	Cosa si applica	Cosa significa per un'azienda
2 febbraio 2025	Pratiche vietate e alfabetizzazione sull'AI (art. 4)	Niente usi vietati; misure per le competenze sull'AI di chi la usa
2 agosto 2025	Modelli di AI per finalità generali, governance, sanzioni	Obblighi soprattutto per i fornitori dei modelli
2 agosto 2026	Applicazione generale, incluse le regole di trasparenza (art. 50)	Il chatbot del sito deve dichiarare che è un'AI; i deepfake vanno etichettati
2 dicembre 2026	Nuovo divieto introdotto dall'Omnibus; marcatura dei contenuti sintetici (art. 50, par. 2) per alcuni sistemi già sul mercato	Verificare con i fornitori di AI generativa
2 dicembre 2027	Obblighi per i sistemi ad alto rischio dell'allegato III	Selezione del personale, valutazione dei lavoratori, accesso al credito
2 agosto 2028	Obblighi per l'alto rischio integrato in prodotti (allegato I)	Macchinari, ascensori, giocattoli e prodotti regolati simili

Il rinvio dell'alto rischio arriva dal Digital Omnibus sull'AI, in vigore dal 27 luglio 2026. Lo stesso pacchetto ha alleggerito l'obbligo di alfabetizzazione: le aziende devono sostenere lo sviluppo delle competenze sull'AI di chi usa i sistemi, senza più dover garantire un livello sufficiente per ogni persona. Ha anche esteso alcune semplificazioni previste per le PMI alle small mid-cap, le imprese con meno di 750 dipendenti e fatturato fino a 150 milioni di euro: è la fascia in cui ricadono molte aziende B2B strutturate.

Da deployer di un sistema ad alto rischio devi seguire le istruzioni del fornitore, monitorarlo, affidare la sorveglianza a persone competenti, usare dati di input pertinenti e informare prima lavoratori e rappresentanti se lo introduci sul lavoro. L'elenco dei casi ad alto rischio comprende anche la pubblicazione mirata di annunci di lavoro e il filtro delle candidature: chi usa l'AI nell'HR deve guardarlo per primo, come spiego nell'articolo su AI nei processi HR e compliance.

Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le pratiche vietate, fino a 15 milioni o al 3% per la violazione degli altri obblighi e fino a 7,5 milioni o all'1% per informazioni inesatte fornite alle autorità. In Italia l'AI Act è affiancato dalla legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, con disposizioni e deleghe al Governo in materia di intelligenza artificiale.

Uso tipico	Categoria probabile	Cosa fare
Chatbot di assistenza sul sito	Trasparenza	Dire chiaramente all'utente che parla con un'AI
Immagini realistiche generate (es. persone che indossano un prodotto)	Trasparenza, se costituiscono un deepfake	Valutare caso per caso ed etichettarle in modo visibile
Raccomandazioni prodotto, previsione della domanda, filtri antispam	Rischio minimo	Nessun obbligo AI Act specifico; restano GDPR e tutela dei consumatori
Lead scoring su aziende B2B	Di norma rischio minimo	Spiegabilità comunque utile per l'adozione da parte dei commerciali
Filtro dei CV e annunci di lavoro mirati	Alto rischio (allegato III)	Prepararsi agli obblighi del deployer entro il 2 dicembre 2027
Riconoscimento delle emozioni dei dipendenti	Vietato	Da escludere: il divieto vale dal 2 febbraio 2025

La tabella è un orientamento: la classificazione dipende dall'uso concreto e va verificata sulle linee guida della Commissione sulla classificazione dei sistemi ad alto rischio, pubblicate in bozza a maggio 2026.

Perché i progetti AI si bloccano al progetto pilota?

Un progetto si blocca al pilota quando ha dimostrato che la tecnologia funziona ma nessuno ha deciso chi la gestisce, con quali dati e con quali regole. Il pilota è una prova in un ambiente protetto; la scala è un processo quotidiano con clienti veri, errori veri e responsabilità vere.

A differenza di un gestionale, un sistema AI va ricalibrato nel tempo, perché cambiano dati, catalogo e modello del fornitore. Le cause più comuni del blocco:

Nessun responsabile: finita la prova, nessuno ne risponde.
Dati non pronti: nel pilota si usa un estratto pulito, in produzione arrivano anagrafiche duplicate e campi vuoti. Per scalare serve lavoro di data engineering (pulizia, integrazione e aggiornamento delle fonti), non solo un buon modello.
Sfiducia nell'algoritmo: se chi lo usa non capisce perché il sistema suggerisce una cosa, la ignora. Qui la spiegabilità diventa una condizione per l'adozione.
Metriche da demo: si misura la qualità della risposta, non il tempo o gli errori risparmiati. Senza baseline non c'è un caso per investire, come spiego nella guida ai KPI per misurare il valore dell'AI.
Approvazioni arrivate tardi: legale, privacy e IT vedono il progetto solo al momento del rilascio e lo fermano.
Adozione: chi deve usarlo non è stato coinvolto e lavora come prima. La resistenza al cambiamento cala se il team partecipa dalle prime fasi e vede benefici concreti sul proprio lavoro, per esempio le ore risparmiate su un'attività ripetitiva.

Un caso ipotetico: un'azienda B2B di componentistica con 80 dipendenti prova un assistente AI che prepara le risposte alle richieste d'offerta, e nel pilota funziona su 50 richieste scelte. Per la produzione servono tre decisioni: chi approva i prezzi proposti, da quale listino legge il sistema e quale soglia di sconto impone la revisione del commerciale. Senza queste decisioni resta una demo.

Come si passa dal pilota alla produzione?

Si passa quando ogni elemento del pilota ha il suo equivalente "da produzione". La tabella riassume cosa cambia:

Aspetto	Nel pilota	In produzione
Dati	Estratto pulito, scelto a mano	Dati reali, collegati a e-commerce, CRM o gestionale e aggiornati
Utenti	Pochi volontari motivati	Tutto il reparto, compresi gli scettici
Metriche	Qualità percepita delle risposte	KPI di business rispetto a una baseline: tempo, errori, conversioni
Responsabilità	Il gruppo di progetto	Un owner di processo con nome e cognome
Controlli	Verifica manuale occasionale	Log, soglie oltre le quali decide una persona, verifiche periodiche
Manutenzione	Nessuna	Ricalibrazione quando cambiano dati, catalogo o modello del fornitore

Il passaggio va gestito con una roadmap di roll-out, non con un interruttore:

Estendi un reparto alla volta, partendo da quello che ha fatto il pilota.
Nomina un referente per reparto, una persona rispettata dai colleghi che usa lo strumento per prima, raccoglie i problemi e li porta al responsabile.
Prepara un piano di comunicazione: cosa cambia, cosa resta in mano alle persone, a chi segnalare gli errori.
Fissa i criteri di passaggio: quali risultati servono per estendere l'uso e in quali casi si torna indietro.

È lo stesso metodo che vale per qualsiasi automazione, come spiego nella guida all'automazione dei processi aziendali.

Come si governa l'AI su scala?

Governare l'AI su scala vuol dire applicare le stesse regole a tutti gli usi, senza ricominciare da capo a ogni nuovo strumento. Un riferimento utile è l'AI Risk Management Framework del NIST, pubblicato il 26 gennaio 2023 e di adozione volontaria, che organizza il lavoro in quattro funzioni: governare, mappare, misurare e gestire i rischi.

Un'immagine aiuta: una flotta di auto a guida autonoma. Non basta che ogni auto funzioni bene; serve un sistema di controllo che coordini i movimenti e faccia rispettare il codice della strada. Con l'AI è lo stesso: ogni strumento può funzionare bene da solo, ma senza regole comuni costi, rischi e dati sfuggono di mano.

Per un'azienda media questo si traduce in tre elementi:

Un registro degli usi AI: per ogni strumento, lo scopo, il fornitore, i dati che usa, la categoria di rischio, il responsabile e la data dell'ultima revisione.
Un punto unico di integrazione: quando ogni reparto chiama i modelli con la propria chiave API, si perdono il controllo dei costi, i log e le regole sui dati. Far passare le chiamate da un unico livello (un orchestratore come n8n o Make, oppure un gateway interno) permette di tracciare ogni richiesta, limitare i dati inviati e cambiare modello senza riscrivere le integrazioni. È anche un primo presidio di sicurezza: meno chiavi sparse vuol dire meno punti d'accesso da proteggere, come spiego nella guida alla sicurezza dell'e-commerce contro ransomware e frodi.
Regole proporzionate al contesto: un assistente che riassume documenti interni non richiede gli stessi controlli di un agente che modifica ordini o prezzi. La governance va rivista quando cambia il contesto: un nuovo mercato, un nuovo canale di vendita, una nuova versione del modello.

Il terzo punto pesa di più con gli agenti AI, che eseguono azioni nei sistemi aziendali, e conferma che il valore dell'AI dipende dal contesto operativo in cui la inserisci, come mostro nella guida all'IA agentica negli ERP.

Serve un Chief AI Officer? Chi deve guidare la governance

Il Chief AI Officer (CAIO) è il dirigente che risponde della strategia AI dell'azienda: decide le priorità, collega i progetti agli obiettivi di business, supervisiona dati, rischi e conformità. Nelle grandi organizzazioni è un ruolo in rapida crescita; lo stesso studio IBM del 2026 rileva che le organizzazioni con un'impostazione del vertice centrata sull'AI hanno portato su scala aziendale il 10% in più di iniziative AI rispetto alle altre.

Un e-commerce da 30 persone o un'azienda B2B da 150 raramente giustifica un CAIO a tempo pieno: serve la funzione, non il titolo. In pratica: una persona della direzione che risponde dell'AI e approva i nuovi usi, un piccolo comitato mensile (direzione, IT, privacy o legale, un responsabile di reparto), un owner per ogni processo in cui l'AI decide o suggerisce, e un supporto tecnico, interno o esterno, per integrazioni, log e fornitori.

Che sia un CAIO o un responsabile interno, il ruolo richiede tre competenze: conoscere abbastanza la tecnologia da valutare fornitori e rischi, saper guidare persone di reparti diversi e capire i numeri del business. Il compito più difficile è rompere i silos: l'AI rende di più quando dati, persone e processi di reparti diversi lavorano insieme, per esempio quando il customer care usa le stesse schede prodotto del marketing e lo stesso storico ordini delle vendite. Rientra nel ruolo anche la governance dei dati: quali dati possono alimentare i sistemi AI, con quale base giuridica privacy e con quali protezioni. È una questione di conformità, ma anche di fiducia di clienti e partner.

Una precisazione utile: nelle domande e risposte sull'alfabetizzazione la Commissione europea chiarisce che l'AI Act non richiede un responsabile AI sul modello del DPO del GDPR né un comitato per l'AI: per rispettare l'articolo 4 non è imposta alcuna struttura di governance specifica. La funzione serve a gestire bene l'AI, non a spuntare un adempimento.

Sul lato manageriale vedi l'articolo su intelligenza artificiale e leadership; se sei una PMI all'inizio del percorso, parti dalla guida all'intelligenza artificiale nelle PMI.

La formazione sull'AI per i dipendenti è obbligatoria?

Sì, nei termini dell'articolo 4 dell'AI Act. Dal 2 febbraio 2025 chi fornisce o usa sistemi AI deve adottare misure per sostenere lo sviluppo delle competenze sull'AI del proprio personale e delle altre persone che li usano per suo conto, come collaboratori e fornitori di servizi. Dopo il Digital Omnibus non è richiesto un livello minimo garantito per ogni persona, ma l'obbligo resta. Le autorità nazionali di vigilanza del mercato controllano e sanzionano dal 2 agosto 2026, con un approccio proporzionato al singolo caso.

Riguarda anche gli usi più comuni. Secondo la Commissione, un'azienda i cui dipendenti usano ChatGPT per scrivere testi pubblicitari o tradurre deve informarli sui rischi specifici, come le allucinazioni, cioè risposte false presentate come vere. Non serve un certificato: basta tenere un registro interno delle formazioni e delle istruzioni date. Un programma minimo, sempre secondo la Commissione, copre quattro punti:

cos'è l'AI, come funziona, quali sistemi usa l'azienda, con quali opportunità e pericoli;
il ruolo dell'azienda: sviluppa sistemi AI o usa quelli di altri;
i rischi dei sistemi usati e cosa deve sapere chi li usa;
azioni calibrate sulle conoscenze di partenza delle persone e sul contesto d'uso.

Chi usa sistemi ad alto rischio ha in più l'obbligo di formare il personale incaricato della sorveglianza umana.

Cosa deve contenere una policy aziendale sull'AI?

La policy è il documento che dice ai dipendenti cosa possono fare con l'AI. Serve soprattutto contro la shadow AI, cioè l'uso di strumenti non approvati con account personali, in cui nessuno sa quali dati escono dall'azienda. Vietare tutto raramente funziona: se gli strumenti approvati sono troppo limitati, le persone cercano scorciatoie. Meglio poche regole chiare:

Strumenti approvati e account aziendali da usare, con il nome di chi autorizza quelli nuovi.
Dati che non devono uscire: dati personali di clienti e dipendenti, listini e condizioni riservate, contratti, codice sorgente, informazioni coperte da accordi di riservatezza con i clienti B2B.
Verifica umana di ogni contenuto generato prima di pubblicarlo o inviarlo a un cliente.
Usi vietati (le pratiche proibite dall'AI Act) e usi che richiedono approvazione: tutto ciò che decide su persone, prezzi o contratti.
Trasparenza verso clienti e lavoratori: chatbot dichiarati, contenuti sintetici etichettati, informativa ai dipendenti dove richiesta.
Segnalazione di errori e incidenti: a chi e in quanto tempo.

Due pagine bastano, purché siano aggiornate e qualcuno ne risponda. Per i casi d'uso e la scelta degli strumenti vedi la guida all'AI generativa in azienda.

Cosa cambia in Italia con la legge 132/2025?

La legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, affianca l'AI Act con regole nazionali. Per un'azienda contano soprattutto tre articoli:

Lavoro (art. 11): l'uso dell'AI deve essere sicuro, affidabile e trasparente e non può contrastare con la dignità umana né violare la riservatezza dei dati personali. Il datore di lavoro o il committente deve informare il lavoratore nei casi previsti dall'art. 1-bis del d.lgs. 152/1997, cioè quando usa sistemi decisionali o di monitoraggio integralmente automatizzati per assunzione, gestione o cessazione del rapporto, assegnazione di compiti, sorveglianza e valutazione delle prestazioni. Lo stesso articolo vieta discriminazioni per sesso, età, origine etnica, credo religioso, orientamento sessuale, opinioni politiche e condizioni personali, sociali ed economiche.
Professioni intellettuali (art. 13): il professionista può usare l'AI solo per attività strumentali e di supporto, con prevalenza del proprio lavoro intellettuale, e deve comunicare al cliente quali sistemi usa, con un linguaggio chiaro, semplice ed esaustivo.
Autorità (art. 20): l'Agenzia per l'Italia digitale (AgID) e l'Agenzia per la cybersicurezza nazionale (ACN) sono le autorità nazionali per l'AI. All'ACN spetta la vigilanza, comprese ispezioni e sanzioni; Banca d'Italia, CONSOB e IVASS restano autorità di vigilanza del mercato per i propri settori.

In pratica: se usi l'AI per gestire turni, valutare le prestazioni o selezionare candidati, aggiorna l'informativa ai lavoratori e la documentazione privacy prima di attivarla, non dopo.

Chi risponde se l'AI sbaglia?

Verso il cliente, risponde l'azienda che la usa. Il caso più citato è Moffatt contro Air Canada (2024). Il chatbot della compagnia aveva detto a un cliente che poteva chiedere la tariffa agevolata per lutto entro 90 giorni dall'emissione del biglietto; la compagnia gliel'ha poi negata perché la tariffa non valeva per viaggi già fatti. In giudizio Air Canada ha sostenuto che il chatbot fosse un'entità giuridica separata, responsabile delle proprie azioni. Il Civil Resolution Tribunal della British Columbia ha respinto la tesi: l'azienda è responsabile di tutte le informazioni sul proprio sito, che arrivino da una pagina statica o da un chatbot. Il risarcimento era di 650,88 dollari canadesi più interessi e spese.

È una decisione canadese, ma il ragionamento vale per ogni e-commerce: il chatbot che risponde su resi, prezzi, tempi di consegna o garanzie va trattato come una pagina del sito. Quindi contenuti approvati, risposte basate su documenti aggiornati, log delle conversazioni e passaggio a una persona nei casi dubbi.

Per chi produce e vende prodotti con software o AI integrati, per esempio macchinari connessi, c'è anche la nuova direttiva UE sulla responsabilità per danno da prodotti difettosi (2024/2853), che gli Stati membri devono recepire entro il 9 dicembre 2026. La direttiva chiarisce che il software, compresi i sistemi AI, è un prodotto: il fabbricante può rispondere dei difetti presenti al momento dell'immissione sul mercato, anche quando emergono dopo, per effetto di aggiornamenti o di funzioni di apprendimento automatico.

Attenzione infine al ruolo. Secondo l'articolo 25 dell'AI Act, se metti il tuo nome o marchio su un sistema ad alto rischio, lo modifichi in modo sostanziale o ne cambi la finalità facendolo diventare ad alto rischio, sei considerato fornitore, con obblighi molto più pesanti di quelli del deployer. Succede, per esempio, a chi rivende con il proprio marchio una soluzione AI per la selezione del personale sviluppata da altri.

Come scegliere un fornitore AI affidabile: le domande da fare

Gran parte della governance si decide al momento dell'acquisto. Prima di firmare, chiedi al fornitore:

Dati: dove vengono trattati e conservati, per quanto tempo, e se vengono usati per addestrare i modelli.
Ruolo e documenti AI Act: se si considera fornitore del sistema, che classificazione di rischio gli attribuisce e quali istruzioni d'uso consegna (per i sistemi ad alto rischio il deployer è tenuto a seguirle).
Spiegabilità: come mostra il perché di un risultato (fattori, fonti citate, livello di confidenza).
Log: quali registrazioni rende disponibili e per quanto tempo.
Cambi di modello: come e con quanto anticipo avvisa quando cambia il modello sottostante.
Intervento umano: se è previsto il passaggio a un operatore e come si configura.
Certificazioni: per esempio ISO/IEC 42001.

La ISO/IEC 42001:2023 è lo standard internazionale per i sistemi di gestione dell'AI: definisce i requisiti per istituire, attuare, mantenere e migliorare nel tempo un sistema di gestione dell'AI ed è applicabile a qualsiasi organizzazione che fornisce o usa prodotti e servizi basati sull'AI, di qualsiasi dimensione. Per un'azienda B2B ha senso valutarla quando i clienti più grandi la chiedono nei questionari di qualifica dei fornitori; negli altri casi registro, policy e log descritti in questo articolo coprono la sostanza.

Come applicarlo nella tua azienda: i primi passi

Censisci gli usi attuali entro 30 giorni. Chiedi a ogni reparto quali strumenti AI usa, anche gratuiti, e compila il registro.
Classifica ogni uso per rischio. Separa rischio minimo, trasparenza e possibile alto rischio (HR, credito); elimina subito le pratiche vietate.
Nomina un responsabile e scrivi una policy di due pagine. Strumenti approvati, dati che non devono uscire (dati personali, listini riservati, contratti), casi con revisione umana.
Metti in regola la trasparenza. Chatbot dichiarato come AI, immagini realistiche generate etichettate dove serve, formazione di base per chi usa l'AI ogni giorno.
Porta in produzione un solo pilota, con KPI e log. Scegli il progetto con il ritorno più misurabile, collegalo tramite il punto unico di integrazione e fissa verifiche a 30, 60 e 90 giorni.

Se la parte più faticosa è collegare AI, e-commerce, CRM e gestionale, è il lavoro che faccio nei sistemi e automazioni su misura. Altri approfondimenti sono nella sezione AI in azienda del blog.

Errori da evitare

Aspettare il 2027 per muoversi: divieti, alfabetizzazione e trasparenza sono già applicabili. Il rinvio riguarda soprattutto l'alto rischio.
Trattare la governance come un documento: servono registro, log e un responsabile, non una policy che nessuno legge.
Acquisti in ordine sparso: ogni reparto con i suoi strumenti moltiplica costi, chiavi API e flussi di dati incontrollati.
Automatizzare decisioni sulle persone senza revisione umana: è il caso in cui la spiegabilità serve di più e in cui le regole sono più severe.

Domande frequenti (FAQ)

Cos'è la trustworthy AI?

La trustworthy AI, o intelligenza artificiale affidabile, è un'AI lecita, etica e robusta. Il concetto viene dalle linee guida etiche del 2019 del gruppo di esperti di alto livello nominato dalla Commissione europea, che indicano sette requisiti, tra cui sorveglianza umana, trasparenza e responsabilità. Non sono vincolanti, ma restano un riferimento utile accanto all'AI Act.

Quando si applica l'AI Act alle aziende che usano l'AI?

Per fasi. I divieti e l'obbligo di alfabetizzazione valgono dal 2 febbraio 2025, le regole di trasparenza per chatbot e deepfake dal 2 agosto 2026. Gli obblighi per i sistemi ad alto rischio dell'allegato III si applicano dal 2 dicembre 2027, quelli dell'allegato I dal 2 agosto 2028.

Il chatbot del mio e-commerce deve dichiarare di essere un'AI?

Sì. Le regole di trasparenza dell'AI Act chiedono che le persone sappiano quando interagiscono con una macchina. Basta un'indicazione chiara all'apertura della chat, per esempio "Sei in chat con un assistente AI". Come buona pratica, aggiungi la possibilità di passare a una persona.

Cosa significa spiegabilità di un sistema AI?

Significa poter dire perché il sistema ha prodotto un certo risultato, in modo comprensibile per chi lo usa o lo subisce. In pratica si ottiene registrando input e output, mostrando all'operatore i fattori principali della decisione e prevedendo sempre la revisione umana nei casi delicati.

Perché i progetti AI non superano la fase pilota?

Di solito mancano un responsabile, dati pronti, metriche di business e approvazioni preventive di IT e privacy, più che capacità tecniche. Un pilota va progettato fin dall'inizio con le regole della produzione.

Una PMI ha bisogno di un Chief AI Officer?

Raramente a tempo pieno, e secondo la Commissione europea l'AI Act non impone una figura di responsabile AI. Serve però qualcuno in direzione che risponda dell'AI, approvi i nuovi usi e tenga il registro degli strumenti, con un supporto tecnico interno o esterno.

La formazione sull'AI è obbligatoria per i dipendenti?

Sì. Dal 2 febbraio 2025 l'AI Act chiede a chi usa sistemi AI di adottare misure per sviluppare le competenze del personale che li usa. Dopo il Digital Omnibus non è fissato un livello minimo per ogni persona e non serve un certificato: basta un registro interno delle formazioni. Anche chi usa ChatGPT per testi o traduzioni va informato sui rischi, come le allucinazioni.

Fonti

Se vuoi capire quali usi dell'AI hai già in azienda e come portarne uno in produzione con regole chiare, richiedi una diagnosi gratuita.