Il tuo collega utilizza un assistente IA per redigere i suoi verbali di riunione. Un altro lo usa per filtrare le candidature. Un terzo genera visuali per una presentazione al cliente. Nessuno di questi utilizzi è stato convalidato dalla direzione, e nessuno sa esattamente quali strumenti siano in gioco. Questo scenario riguarda oggi la maggior parte delle PMI francesi, e gli obblighi legati all’AI Act e alla direttiva NIS2 rendono questa zona grigia sempre più rischiosa.
Usi informali dell’IA in azienda: mappare prima di regolamentare
Prima di redigere una carta o di vietare qualsiasi cosa, il primo passo è sapere cosa sta realmente accadendo. Una PMI i cui dipendenti utilizzano ChatGPT, Copilot, Gemini o uno strumento simile può essere considerata un “deployeur” ai sensi dell’AI Act. Questo status implica di identificare gli usi, valutare i rischi e formare i team.
Il problema è che questi strumenti si installano senza convalida informatica. Un dipendente crea un account gratuito, incolla dati dei clienti, ottiene un risultato soddisfacente e ripete il giorno dopo. Lo strumento diventa un riflesso, non una scelta tecnica approvata.
Per mappare queste pratiche, un questionario anonimo inviato ai team è sufficiente come punto di partenza. Tre domande forniscono già una visione utile: quale strumento utilizzate, per quale compito e quali dati vi trasmettete?
Questo censimento consente di distinguere gli usi a basso rischio (riformulazione di testi interni) da quelli che pongono un vero problema (filtraggio di CV, analisi di dati personali). Troverete inoltre informazioni informatiche su Planet X Tech che dettagliano queste distinzioni tra livelli di rischio.
AI Act e NIS2: cosa la regolamentazione richiede già alle PMI
Potresti aver letto che alcune scadenze dell’AI Act sono state rinviate. È parzialmente vero. Il calendario normativo è stato modificato nel 2026, ma i requisiti di formazione e trasparenza rimangono applicabili. Aspettare l’ultimo minuto per agire equivale ad accumulare un debito di conformità difficile da risolvere.
In concreto, l’AI Act impone ai deployeur di garantire che le persone che utilizzano sistemi di IA abbiano un livello sufficiente di comprensione di questi strumenti. Per una PMI di venti persone, ciò significa che deve esistere un minimo di sensibilizzazione documentata, anche informale.
NIS2 amplia il perimetro ben oltre la cybersicurezza classica
La trasposizione francese di NIS2 rimane un punto di attenzione. Il dispositivo previsto prevede una responsabilità aumentata dei dirigenti nella gestione dei rischi, inclusi quelli legati alla catena di approvvigionamento. Anche gli editori di software sono coinvolti, il che supera l’approccio tradizionale incentrato solo sul sistema informativo interno.
Tra gli obblighi previsti da NIS2, diversi riguardano direttamente l’uso di strumenti IA non supervisionati:
- La gestione dei rischi fornitori, che include i servizi cloud e le API di IA utilizzate dai dipendenti senza contratto formalizzato.
- L’autenticazione forte e la continuità operativa, due ambiti fragilizzati quando i dati circolano su piattaforme non controllate.
- La notifica graduale degli incidenti, che presuppone di sapere quali strumenti siano in gioco quando si verifica una fuga di dati.
Il legame tra IA informale e cybersicurezza è diretto: uno strumento IA non inventariato è un punto cieco nella gestione degli incidenti.
Regolare gli usi dell’IA senza bloccare la produttività
Vietare tutti gli strumenti IA non funziona. I dipendenti che hanno guadagnato tempo grazie a questi assistenti eluderanno il divieto, e l’azienda perderà in produttività senza ridurre il rischio. L’approccio efficace si basa su un quadro chiaro che distingue ciò che è autorizzato, ciò che richiede una convalida e ciò che è vietato.
Tre categorie per strutturare una carta IA interna
La logica è semplice. Classifica ogni uso identificato durante la mappatura in una di queste categorie:
- Uso libero: riformulazione di testi interni, ricerca di informazioni generali, brainstorming. Nessun dato sensibile lascia l’azienda.
- Uso regolato: generazione di contenuti destinati ai clienti, sintesi di documenti contenenti dati aziendali. Questi usi richiedono una convalida del responsabile e l’utilizzo di uno strumento approvato.
- Uso vietato: qualsiasi trattamento che coinvolga dati personali (CV, schede clienti, dati medici) su uno strumento non contrattualizzato. Questi casi rientrano direttamente nell’AI Act quando riguardano sistemi ad alto rischio.
Questa griglia non deve essere perfetta fin dal primo giorno. Deve esistere, essere comunicata e evolvere man mano che la regolamentazione si precisa.
Formare senza trasformare ogni dipendente in giurista
L’AI Act richiede che gli utenti comprendano gli strumenti che manipolano. In pratica, una sessione di un’ora per trimestre che copre le basi è sufficiente per una PMI: quali dati non incollare mai in un assistente IA, come verificare una risposta generata, a chi segnalare un uso dubbio.
Il formato più efficace rimane l’esempio concreto. Mostra un caso reale in cui un assistente IA ha prodotto una risposta falsa ma credibile. Mostra un’export di conversazione contenente dati dei clienti. Queste dimostrazioni colpiscono di più di un documento di dieci pagine sulla conformità normativa.
Dati, sicurezza e governance: il fondamento tecnico da porre
La mappatura degli usi e la carta interna non sono sufficienti se l’infrastruttura tecnica non segue. Un punto spesso trascurato riguarda i dati che transitano attraverso questi strumenti. Quando un dipendente incolla un foglio Excel in un assistente IA gratuito, questi dati sono potenzialmente memorizzati e utilizzati per addestrare il modello.
La risposta tecnica passa attraverso la scelta di strumenti con garanzie contrattuali sul trattamento dei dati. Diversi editori offrono ora versioni professionali in cui i dati non sono né conservati né riutilizzati per l’addestramento. Il costo aggiuntivo è modesto rispetto al rischio di una fuga.
Dal punto di vista della governance, designare una persona referente (anche part-time) per centralizzare le questioni legate all’IA consente di evitare che ogni servizio inventi le proprie regole. Questo referente non deve essere uno specialista di intelligenza artificiale. Deve conoscere i processi interni e sapere come orientare le richieste verso le giuste risorse, siano esse legali o tecniche.
La sfida per i prossimi mesi non è di chiudere tutto, ma di passare da una situazione in cui nessuno sa cosa stia succedendo a un quadro in cui gli usi sono visibili, classificati e adattabili. Le aziende che avranno posto questo fondamento prima dell’entrata in vigore completa dell’AI Act e di NIS2 guadagneranno un tempo considerevole sulla conformità finale.
