Per un'azienda che usa l'intelligenza artificiale il primo passo verso l'AI Act è l'inventario: l'elenco degli strumenti di AI usati davvero, ufficiali e no, con chi li usa, per che cosa, su quali dati e con quale piano. Senza inventario non si può dire quali obblighi valgono, chi va formato e quali dati sono a rischio. Si fa in due o tre settimane, con un questionario breve e qualche colloquio nei reparti.
Perché l'inventario viene prima di tutto?
Perché ogni obbligo dell'AI Act per chi usa l'AI dipende da quali sistemi si usano e per che cosa. L'alfabetizzazione dell'articolo 4 riguarda chi usa sistemi di AI. La trasparenza dell'articolo 50 riguarda certi usi, come un assistente che risponde ai clienti. Gli obblighi più pesanti riguardano solo gli usi ad alto rischio dell'allegato III. Un quadro completo degli obblighi per ruolo è nell'articolo di Deepelse sulla obblighi di chi sviluppa e di chi usa l'AI. I due passi che seguono l'inventario sono spiegati nelle guide sull'articolo 4 e sulla policy AI aziendale.
Che cosa si annota per ogni strumento?
| Voce | Esempio (dati di esempio) |
|---|---|
| Strumento e piano | ChatGPT, piano personale gratuito |
| Chi lo usa | 6 persone dell'ufficio commerciale |
| Per che cosa | prime bozze delle offerte, traduzioni |
| Quali dati entrano | nomi dei clienti, prezzi, condizioni |
| Contratto di trattamento | assente |
| Uso ad alto rischio o vietato | no |
| Decisione | passare al piano aziendale o a Copilot, togliere i nomi dei clienti dai prompt |
Il registro sta in un foglio condiviso. Conviene aggiornarlo ogni trimestre e ogni volta che entra uno strumento nuovo.
Come si scoprono gli strumenti non ufficiali?
Chiedendo, senza tono da ispezione. Solo il 19% di chi usa l'AI al lavoro in Italia si serve esclusivamente di strumenti forniti dall'azienda (Osservatorio Artificial Intelligence del Politecnico di Milano, comunicato del 5 febbraio 2026): gli altri usano account personali, spesso in buona fede. Un questionario anonimo di cinque domande per reparto, seguito da qualche colloquio con chi usa di più l'AI, fa emergere quasi tutto. L'IT aggiunge quello che vede dai registri di rete e dalle estensioni installate.
Che cosa si fa con l'inventario?
L'inventario porta a tre decisioni. Quali strumenti diventano ufficiali, con quale piano e quale contratto. Chi va formato e su che cosa, come richiede l'articolo 4 dell'AI Act. Quali regole scrivere nella policy AI aziendale. Se qualche uso rientra fra le pratiche vietate dell'articolo 5 o fra gli usi ad alto rischio dell'allegato III, come la selezione del personale, serve un parere legale prima di continuare.
E il calendario?
L'AI Act si applica per fasi, e il testo consolidato su EUR-Lex al 27 luglio 2026 (regolamento (UE) 2024/1689, versione consolidata) tiene conto delle modifiche di semplificazione. Le date aggiornate sono sul calendario ufficiale della Commissione europea. Per la maggior parte delle aziende che usano l'AI, gli obblighi di oggi sono formazione, divieti e trasparenza.
Le guide di questa sezione
Domande frequenti su AI Act
L'AI Act vale anche per chi usa solo ChatGPT?
Sì. Un'azienda che usa ChatGPT, Copilot o Gemini per lavoro è un utilizzatore ai sensi dell'AI Act, anche senza aver sviluppato nulla. Per questi usi, che di solito non sono ad alto rischio, gli obblighi principali sono la formazione delle persone che usano lo strumento e, in alcuni casi, la trasparenza verso chi riceve contenuti o risposte generate.
Chi deve fare l'inventario degli strumenti di AI?
Lo coordina un referente AI, se c'è, oppure chi si occupa di IT insieme a chi segue la protezione dei dati. I responsabili di reparto aiutano a raccogliere le risposte. La direzione approva le decisioni che ne seguono: quali strumenti diventano ufficiali, con quale piano, chi va formato.
Che cosa rischia un'azienda che non rispetta l'AI Act?
Le sanzioni arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per l'uso di pratiche vietate, e fino a 15 milioni o al 3% per altri obblighi, con importi ridotti per le PMI (articolo 99 del regolamento). Per molte aziende il rischio più concreto è indiretto: dati aziendali in strumenti personali senza contratto.
Fonti
Scritto da
Founder e CEO di Deepelse
Matteo Scutifero è founder e CEO di Deepelse.
