AI Act e aziende: cosa sapere prima di usare l’intelligenza artificiale in ufficio

AI Act e aziende è un tema che nei prossimi mesi diventerà sempre più importante, soprattutto per chi usa strumenti di intelligenza artificiale in ufficio per scrivere testi, analizzare documenti, creare immagini, riassumere email o gestire dati aziendali. L’AI Act europeo è entrato in vigore il 1° agosto 2024 e la sua applicazione è progressiva: molte regole saranno pienamente applicabili dal 2 agosto 2026, con alcune eccezioni e scadenze diverse per specifiche categorie di sistemi (Strategia Digitale Europea).

Il punto importante è questo: non serve essere una multinazionale o sviluppare un algoritmo da premio Nobel per dover prestare attenzione. Anche una piccola azienda che usa strumenti come ChatGPT, Microsoft Copilot, Gemini o altri servizi AI dovrebbe iniziare a ragionare su cosa inserisce dentro questi strumenti, chi li usa e con quali regole.

Perché l’intelligenza artificiale è comoda.
Ma anche il copia-incolla selvaggio di documenti riservati dentro una chat online è comodo. E infatti è proprio lì che iniziano i problemi.

AI Act e aziende: non è solo una questione da avvocati

Quando si parla di AI Act, il rischio è pensare subito a regolamenti, articoli, commi, sanzioni e documenti scritti in quella lingua meravigliosa che sembra italiano ma non lo è.

In realtà, per molte aziende il primo passaggio è molto pratico: capire come viene usata l’intelligenza artificiale in ufficio.

Le domande da farsi sono semplici:

• i dipendenti usano strumenti AI?
• li usano con account personali o aziendali?
• inseriscono dati di clienti, fornitori o dipendenti?
• caricano documenti riservati?
• usano l’AI per decisioni importanti?
• copiano testi generati dall’AI senza controllarli?
• esiste una policy interna?

Già rispondere a queste domande permette di capire se l’AI viene usata in modo ordinato oppure con il classico metodo “ognuno fa un po’ come gli pare”, che in informatica ha sempre regalato grandi soddisfazioni. Di solito agli attaccanti.

Cosa cambia con l’AI Act

L’AI Act è il regolamento europeo sull’intelligenza artificiale. Il suo obiettivo è classificare e regolamentare i sistemi AI in base al rischio, con regole più severe per gli utilizzi considerati più delicati.

Il regolamento prevede un’applicazione graduale. Alcune disposizioni, come quelle sulle pratiche vietate e sull’alfabetizzazione AI, sono già entrate in applicazione dal 2 febbraio 2025. Le regole sui modelli di AI per finalità generali hanno una scadenza specifica dal 2 agosto 2025, mentre molte altre parti del regolamento si applicano dal 2 agosto 2026 (Qui la timeline).

Per una piccola o media azienda che non sviluppa modelli AI, ma li usa come strumenti di lavoro, il tema principale non è diventare esperti di diritto europeo. Il tema è usare l’AI con criterio.

Significa sapere:

• quali strumenti vengono usati;
• quali dati vengono inseriti;
• quali risultati vengono prodotti;
• chi controlla l’output;
• quali attività possono essere automatizzate;
• quali attività richiedono sempre verifica umana.

AI Act e aziende: attenzione ai dati personali

Uno degli errori più comuni è inserire dentro strumenti AI dati personali senza pensarci troppo.

Esempi pratici:

• elenchi clienti;
• email ricevute;
• contratti;
• preventivi;
• documenti dei dipendenti;
• dati sanitari;
• curriculum;
• informazioni bancarie;
• documenti fiscali;
• pratiche legali o amministrative.

Il problema non è solo “l’AI può sbagliare”. Il problema è anche capire dove vanno quei dati, come vengono trattati, per quanto tempo restano disponibili e se possono essere usati per migliorare il servizio.

Qui entra in gioco anche il GDPR, che continua a valere. L’AI Act non sostituisce la normativa privacy: si aggiunge al quadro già esistente.

Quindi, prima di caricare documenti aziendali dentro un servizio AI, conviene chiedersi: questi dati possono essere condivisi con quello strumento? Sono dati riservati? Contengono informazioni personali? Esiste un contratto o una configurazione aziendale adeguata?

Se la risposta è “boh”, forse non è il momento ideale per fare copia e incolla.

Documenti riservati e intelligenza artificiale

Molti strumenti AI sono utilissimi per riassumere documenti lunghi, migliorare testi, preparare email, analizzare tabelle o generare bozze.

Il problema è che proprio per fare queste cose spesso chiediamo all’AI di leggere materiale aziendale.

Un conto è chiedere:

Scrivimi una bozza generica di email per fissare un appuntamento.

Un altro conto è caricare:

contratto cliente, condizioni economiche, dati fiscali, note interne e magari pure la password scritta nel PDF perché “tanto è comodo”.

Nel secondo caso il rischio aumenta.

Per questo una buona regola aziendale dovrebbe distinguere tra:

• dati pubblici;
• dati interni;
• dati riservati;
• dati personali;
• dati particolarmente sensibili;
• credenziali e informazioni di accesso, che non dovrebbero mai essere inserite.

L’AI può essere uno strumento utile, ma non deve diventare il nuovo cassetto dove buttare dentro qualsiasi documento nella speranza che “poi ci pensa lei”.

Policy interne: poche regole, ma chiare

Una piccola azienda non ha necessariamente bisogno di un manuale di 200 pagine sull’intelligenza artificiale. Anzi, spesso i documenti troppo lunghi finiscono letti con la stessa attenzione delle condizioni d’uso quando si installa un’app.

Meglio poche regole, ma chiare.

Una policy interna sull’AI dovrebbe indicare almeno:

• quali strumenti AI sono autorizzati;
• quali dati non devono essere inseriti;
• quando usare account aziendali invece di account personali;
• chi può usare l’AI per attività sensibili;
• come verificare i risultati generati;
• cosa fare in caso di errore o dubbio;
• chi contattare prima di usare l’AI su documenti riservati.

Il concetto è semplice: l’azienda deve sapere come viene usata l’AI al suo interno. Non per bloccare tutto, ma per evitare che ogni dipendente inventi la propria procedura personale.

Perché l’innovazione va bene.
L’anarchia digitale un po’ meno.

AI Act e aziende: l’importanza della verifica umana

Uno degli aspetti più importanti nell’uso quotidiano dell’AI è la verifica dei risultati.

L’intelligenza artificiale può essere molto utile, ma può anche produrre risposte sbagliate, incomplete o presentate con grande sicurezza. Il problema è proprio quello: spesso l’errore non arriva con scritto “attenzione, sto improvvisando”.

Per questo, in azienda, l’AI non dovrebbe essere usata come sostituto automatico del controllo umano.

È importante verificare sempre:

• dati numerici;
• riferimenti normativi;
• testi commerciali;
• comunicazioni ai clienti;
• traduzioni importanti;
• contenuti tecnici;
• documenti contrattuali;
• informazioni sanitarie, legali o fiscali.

L’AI può preparare una bozza, velocizzare un lavoro, suggerire una struttura o aiutare a riassumere. Ma la responsabilità finale resta di chi usa quel contenuto.

In parole povere: se l’AI scrive una sciocchezza e noi la mandiamo al cliente, non possiamo rispondere “è stato il robot”. Anche perché il robot, vigliaccamente, non partecipa alla riunione di chiarimento.

Sistemi ad alto rischio: quando serve più attenzione

L’AI Act distingue tra diversi livelli di rischio. Alcuni sistemi sono vietati, altri sono considerati ad alto rischio e richiedono obblighi più stringenti.

Gli utilizzi più delicati possono riguardare, ad esempio, selezione del personale, accesso a servizi essenziali, istruzione, sicurezza, identificazione biometrica e altri ambiti che possono incidere su diritti e opportunità delle persone. La Commissione europea ha avviato anche consultazioni e linee guida per aiutare operatori e sviluppatori a classificare correttamente i sistemi ad alto rischio (Guarda QUI).

Per molte piccole aziende che usano l’AI solo per scrivere testi, riassumere documenti o supportare attività amministrative, il rischio può essere più basso. Ma attenzione: se l’AI viene usata per valutare persone, selezionare candidati, classificare clienti o prendere decisioni rilevanti, la situazione cambia.

E in quel caso conviene fermarsi, valutare bene lo strumento e chiedere supporto tecnico e legale.

Trasparenza: quando bisogna dire che c’è l’AI

Un altro tema importante è la trasparenza.

Dal 2 agosto 2026, nell’Unione Europea diventeranno applicabili obblighi di trasparenza per determinati usi dell’AI: le persone dovranno essere informate quando interagiscono con sistemi di intelligenza artificiale o quando sono esposte a determinati contenuti generati o manipolati artificialmente.

Per un’azienda, questo può significare prestare attenzione a:

• chatbot sul sito;
• assistenti virtuali;
• testi o immagini generati con AI;
• contenuti commerciali;
• comunicazioni automatizzate;
• sistemi che interagiscono direttamente con clienti o utenti.

Se un cliente sta parlando con un chatbot, è bene che lo sappia. Se un contenuto è generato o manipolato artificialmente in modo rilevante, può essere necessario segnalarlo.

Anche qui il principio è semplice: usare l’AI non è vietato, ma non deve diventare un gioco di prestigio.

Cosa fare prima di agosto 2026

Il consiglio per le aziende è non aspettare l’ultimo momento.

Da qui ad agosto 2026 conviene fare un controllo interno sull’uso dell’intelligenza artificiale.

Le attività più utili sono:

• fare un elenco degli strumenti AI usati in azienda;
• capire chi li usa e per quali attività;
• verificare se vengono inseriti dati personali o riservati;
• scegliere strumenti adatti all’uso aziendale;
• definire una policy interna semplice;
• formare il personale;
• stabilire regole per la verifica degli output;
• evitare l’uso di AI per decisioni delicate senza valutazione specifica;
• aggiornare le procedure privacy dove necessario.

Non serve partire con un progetto gigantesco. Serve iniziare a mettere ordine.

Perché l’AI in azienda è già entrata. La domanda non è più “la useremo?”. La domanda è: la stiamo usando bene o stiamo solo incollando documenti a caso sperando che nessuno se ne accorga?

Sicurezza informatica e AI

L’intelligenza artificiale va vista anche come tema di sicurezza informatica.

Un uso disordinato può esporre informazioni aziendali, dati personali, credenziali o strategie commerciali. Inoltre, i contenuti generati dall’AI possono essere usati anche dagli attaccanti per creare email di phishing più credibili, testi più convincenti e truffe più difficili da riconoscere.

Per questo le aziende dovrebbero collegare l’uso dell’AI alle normali attività di sicurezza:

• gestione degli account;
• autenticazione a due fattori;
• controllo degli accessi;
• protezione dei dati;
• formazione anti-phishing;
• backup;
• aggiornamenti;
• gestione dei dispositivi aziendali.

L’AI non vive in un mondo separato. Entra nei processi informatici già esistenti e, se quei processi sono fragili, può amplificare il problema.

Account personali o account aziendali?

Un altro punto molto pratico riguarda gli account.

Molti dipendenti usano strumenti AI con account personali, magari gratuiti. Questo può essere comodo, ma in azienda può creare problemi di controllo, riservatezza e continuità.

Meglio valutare, quando possibile, soluzioni aziendali che permettano una gestione più ordinata di:

• utenti;
• permessi;
• dati;
• cronologia;
• impostazioni di privacy;
• condizioni contrattuali;
• accessi;
• disattivazione degli account quando una persona lascia l’azienda.

Usare account personali per lavorare su documenti aziendali può sembrare innocuo, ma nel tempo diventa difficile capire dove siano finiti i dati e chi abbia accesso a cosa.

E quando non si sa più dove sono i dati, di solito non è un buon segno.

AI Act e aziende: cosa non fare

Per usare l’intelligenza artificiale in modo più sicuro, ci sono anche alcune cose da evitare.

Meglio non:

• incollare dati personali senza valutazione;
• caricare contratti riservati su strumenti non approvati;
• inserire password o credenziali;
• usare l’AI per decisioni su persone senza controllo;
• pubblicare testi generati senza verifica;
• usare immagini AI ingannevoli;
• far credere a un cliente di parlare con una persona se sta parlando con un bot;
• lasciare ogni dipendente libero di usare qualsiasi strumento senza regole.

L’obiettivo non è bloccare l’AI. L’obiettivo è evitare che uno strumento utile diventi una fonte di problemi.

Conclusione

AI Act e aziende non significa soltanto prepararsi a una nuova normativa europea. Significa soprattutto iniziare a usare l’intelligenza artificiale in modo più consapevole.

L’AI Act è già in vigore dal 1° agosto 2024, alcune disposizioni sono già applicabili e molte regole diventeranno operative dal 2 agosto 2026, con un percorso progressivo che proseguirà anche oltre per specifiche categorie di sistemi. (Strategia Digitale)

Per le aziende, il primo passo è semplice: capire come viene usata l’AI oggi, quali dati vengono inseriti, quali strumenti sono autorizzati e quali controlli sono necessari.

L’intelligenza artificiale può aiutare molto nel lavoro quotidiano. Ma va usata con attenzione, soprattutto quando entrano in gioco dati personali, documenti riservati, clienti e decisioni aziendali.

In ufficio l’AI può essere un ottimo assistente.
Basta non trattarla come un collega onnisciente a cui affidare tutto, comprese le chiavi dell’archivio.