AI Act obblighi aziende: cosa cambia per una PMI che usa l'AI internamente
Usi l'AI per verbali, preventivi o smistamento email? Ecco cosa prevede l'AI Act per chi la usa soltanto dentro l'azienda, e da dove partire senza allarmismi.
AI Act obblighi aziende: cosa cambia se usi l'AI solo nei processi interni
Se usi strumenti di AI di terzi nei processi interni, per l'AI Act sei un «deployer», cioè un utilizzatore, e gli obblighi sono più leggeri di quelli dei fornitori. In sostanza: formare chi li usa, rispettare i divieti e, per gli usi ad alto rischio, garantire la sorveglianza umana e seguire le istruzioni del fornitore.
Questa è la mappa generale, non un parere. Il caso della tua azienda dipende da quali strumenti usi, per fare cosa e su chi ricadono gli esiti. Per quello serve un consulente legale che conosca la materia, e più avanti trovi cosa portargli.
Una premessa: il regolamento europeo non si applica tutto insieme. Gli obblighi scattano a scaglioni e il calendario è stato oggetto di discussione anche a livello europeo. Per questo qui non trovi date: fattele confermare, aggiornate, da chi ti segue.
Fornitore o utilizzatore: la distinzione da cui dipende tutto
Quasi tutte le guide parlano ai fornitori, cioè a chi sviluppa un sistema di AI o un modello e lo immette sul mercato. Per loro il carico è pesante: documentazione tecnica, valutazioni, controlli prima del rilascio. Una PMI manifatturiera o di servizi, nella maggior parte dei casi, sta dall'altra parte. Compra un servizio, lo configura, lo usa.
C'è però un punto che si sottovaluta. Il ruolo non lo decide la tua intenzione, lo decidono i fatti. Se prendi uno strumento e lo commercializzi con il tuo marchio, o ne cambi in modo sostanziale lo scopo d'uso, puoi essere trattato come fornitore. Un assistente interno che risponde ai colleghi è un conto. Un sistema che costruisci e poi offri a un cliente è un altro mestiere, con altri obblighi.
Il criterio pratico: stai usando l'AI per lavorare o la stai mettendo sul mercato? Nel primo caso sei utilizzatore. Se hai dubbi, è la prima domanda da fare al consulente.
Quali usi interni possono finire nell'alto rischio
La maggior parte delle automazioni d'ufficio sta lontana dalle categorie più delicate. Trascrivere una riunione, bozzare una risposta, riassumere un documento, preparare un preventivo: per questi usi di solito bastano controllo e consapevolezza. Di solito, non sempre.
Il discorso cambia quando l'AI tocca le persone che lavorano con te. Il regolamento guarda con particolare attenzione agli usi legati all'occupazione: selezione e screening dei candidati, valutazione delle prestazioni, assegnazione dei compiti in base al comportamento o a caratteristiche personali, decisioni su promozioni o cessazioni del rapporto. Se uno strumento fa una di queste cose, anche solo «suggerendo» una graduatoria, fermati e fai valutare il caso prima di andare avanti. In più, per i sistemi ad alto rischio usati sul lavoro sono previsti obblighi di informazione verso i lavoratori: un altro motivo per non scoprirlo a cose fatte.
Esiste anche un divieto che interessa chi gestisce personale: riconoscere le emozioni delle persone sul luogo di lavoro, salvo eccezioni limitate, come motivi medici o di sicurezza. Se un software di videochiamata o di monitoraggio promette di «misurare il coinvolgimento» di chi partecipa, quella frase va letta due volte.
Esempio concreto. Uno strumento che smista le email in arrivo verso i reparti giusti non decide niente su nessuno. Uno che ordina i curriculum e scarta in automatico i profili «poco adatti» sì. La tecnologia sotto può essere quasi identica, l'effetto sulle persone no, ed è l'effetto che conta. Per vedere come si imposta il primo caso tenendo il controllo, c'è la guida sullo smistamento email automatico.
Trasparenza: il bot in riunione si vede
L'AI Act chiede trasparenza in più punti: chi interagisce con un sistema di AI deve poterlo capire, e certi contenuti generati o manipolati vanno segnalati. Chi ha l'onere di farlo (fornitore o utilizzatore) dipende dal caso, quindi gli obblighi esatti vanno verificati. Intanto c'è un principio che conviene adottare subito, perché ti protegge in ogni scenario: l'AI non lavora di nascosto.
Nei nostri verbali automatici delle riunioni, per esempio, il bot entra in riunione e si vede. Niente registrazioni di nascosto, mai. Chi partecipa sa che c'è una trascrizione, sa che ne escono decisioni e attività, e può dire la sua prima di cominciare. È una scelta di metodo prima che di conformità. Una riunione in cui la gente scopre dopo di essere stata registrata smette di essere una riunione sincera.
Lo stesso vale fuori dalle riunioni. Se un cliente scrive a un assistente automatico, deve capirlo. E se un testo è stato generato e poi rivisto da una persona, la responsabilità resta di chi lo firma.
Approvazione umana: dove si mette il punto di controllo
Per gli usi ad alto rischio la supervisione umana è un obbligo vero: persone competenti, con l'autorità di fermare il sistema o di ignorarne l'esito. Ma consiglio di tenerla anche per gli usi ordinari. Il motivo è molto pratico: quando l'AI sbaglia, sbaglia con aria sicura.
Il modo giusto di metterla in pratica è semplice. L'AI prepara, la persona approva, e solo dopo l'approvazione qualcosa esce o parte. In un'agenzia viaggi B2B che seguiamo, il preventivo è composto dall'AI e rivisto dall'operatore prima dell'invio: nei primi novanta giorni dal lancio il tempo medio è passato da 6 minuti a 12 secondi, e l'operatore resta quello che decide. Il risparmio viene dalla bozza pronta, non dall'assenza di controllo.
Diffida del controllo di facciata. Chi clicca «approva» su decine di bozze all'ora non sta supervisionando niente. Il punto di approvazione va dove il costo dell'errore è alto (contratti, prezzi, comunicazioni ai clienti) e va progettato perché chi approva abbia il tempo e le informazioni per farlo. Un esempio è nella guida su come generare contratti automaticamente con revisione umana.
AI literacy: la formazione che riguarda anche chi non è fornitore
C'è un obbligo che coinvolge quasi tutti, ed è il più sottovalutato: chi usa sistemi di AI in azienda dovrebbe avere una competenza adeguata al proprio ruolo, e l'azienda deve fare il possibile perché sia così. È fra le prime disposizioni del regolamento a essere diventate applicabili. Non significa un master. Significa che chi usa lo strumento sa cosa fa, cosa non sa fare, e riconosce quando il risultato non regge.
Una formazione credibile, per una PMI, è breve e concreta. Cosa sono gli strumenti che usiamo. Cosa non va mai inserito nelle richieste. Quando un risultato va controllato e da chi. A chi si segnala un errore. Se la scrivi e la fai firmare, hai anche una traccia di quello che hai fatto, e in caso di controllo un documento pesa più di una promessa a voce.
Cosa chiedere al fornitore dello strumento
Da utilizzatore, buona parte di ciò che ti serve sta nelle mani di chi ti vende lo strumento. Prima di rinnovare un abbonamento, scrivigli. Qual è lo scopo d'uso previsto? Il sistema rientra, a suo avviso, tra quelli ad alto rischio? Quali istruzioni d'uso fornisce, e che cosa succede se le usi in modo diverso? Come ti segnala un malfunzionamento?
Le risposte, anche se vaghe, vanno tenute. Una risposta evasiva su un uso che tocca i dipendenti è già un'informazione utile per decidere se tenere quello strumento.
AI Act, obblighi per le aziende: il registro degli strumenti in cinque passi
Prima di leggere altri articoli sull'AI Act, fai l'unica cosa che serve a tutti: scoprire cosa usi davvero. Capita che un reparto attivi da solo l'assistente integrato in un programma già in uso, e che la direzione lo sappia mesi dopo. Il registro è una tabella, niente di più.
- Elenca gli strumenti che includono AI, anche quelli «nascosti» dentro programmi che già usi: trascrizione, assistenti nei gestionali, filtri automatici.
- Scrivi lo scopo di ognuno, in una riga: chi lo usa e per quale attività.
- Segna chi viene toccato dall'esito: solo colleghi, clienti, candidati, dipendenti. Gli usi che toccano le persone vanno in cima.
- Indica il punto di approvazione umana: chi controlla, prima di cosa, con quali informazioni.
- Annota la trasparenza: chi sa che c'è l'AI e come lo sa.
Se non sai da quali processi cominciare a guardare, ti aiuta la guida su come riconoscere i processi da automatizzare, e per il quadro generale quella su intelligenza artificiale per PMI. Se il registro mostra AI sparsa ovunque e nessuno che la governi, vale la pena ridisegnarla con punti di controllo chiari: lo facciamo nel nostro lavoro sulle automazioni su misura con AI, dove nessuna automazione parte senza l'ok del cliente.
Poi stampa il registro e portalo al consulente legale che ti segue, con una domanda scritta in cima: quali di questi usi, nel nostro caso, rientrano negli obblighi dell'AI Act e con quali scadenze? Parti da lì, con il foglio già compilato.
Domande frequenti
Una PMI che usa strumenti di AI di terzi è soggetta all'AI Act?
In genere sì, come utilizzatore, anche se con obblighi più leggeri di quelli dei fornitori. Contano soprattutto la formazione di chi li usa, il rispetto dei divieti e, per gli usi delicati, la supervisione umana. Il caso specifico va verificato con un consulente.
Un bot che trascrive le riunioni va dichiarato?
Come buona pratica sì: il bot deve vedersi e i partecipanti devono sapere che c'è una trascrizione. Gli obblighi precisi dipendono dal caso, quindi fai valutare la tua situazione a un consulente.
Quali usi interni dell'AI sono più delicati?
Quelli che incidono sulle persone che lavorano con te, come selezione dei candidati, valutazione delle prestazioni o decisioni su incarichi e carriere. Strumenti per verbali, bozze o smistamento email sono di solito meno critici, ma vanno comunque controllati.