AI compliance aziendale: il processo, non il singolo strumento

L'AI compliance aziendale non è un prodotto da acquistare né un documento da archiviare: è il processo con cui l'impresa decide quali usi dell'AI autorizzare, con quali dati, sotto quale responsabilità e con quali verifiche nel tempo. Se questo processo manca, l'AI entra dal basso e diventa difficile ricostruire chi ha fatto cosa.

Il punto di partenza è la governance AI aziendale: ruoli, responsabilità e un luogo in cui le decisioni vengono prese. Non serve un comitato numeroso; serve un referente con mandato, affiancato da chi conosce dati, processi e sicurezza. Senza un proprietario, il registro si svuota e la policy invecchia.

Chi approva i casi d'uso

Ogni nuovo caso d'uso dovrebbe passare da una richiesta semplice: cosa voglio ottenere, quali dati entrano, chi userà lo strumento, quali decisioni supporta e quale supervisione umana è prevista. La richiesta non deve diventare un progetto burocratico, ma deve produrre una decisione tracciata: approvato, approvato con condizioni, oppure da rivedere.

La distinzione tra usi ordinari e sensibili orienta la profondità dell'analisi. Un assistente per riassumere documentazione interna ha un profilo diverso da un sistema che supporta valutazioni su persone, credito o sanità. La classificazione va fatta sul processo reale, non sull'etichetta del fornitore: la struttura dei livelli di rischio è spiegata in conformità all'AI Act per le PMI.

Il registro degli strumenti AI

Il registro è la memoria operativa della compliance. Per ogni strumento annota fornitore, versione o modalità di erogazione, reparto che lo usa, finalità, categorie di dati, persone autorizzate, presenza di dati personali, eventuali trasferimenti verso Paesi terzi, misure tecniche e referente interno. Va aggiornato quando entra un nuovo strumento o cambia una configurazione.

Accanto al registro servono poche regole scritte: quali dati non possono essere caricati, quali strumenti sono autorizzati, come si verifica un output, quando è obbligatoria la revisione umana, come si segnalano incidenti o usi anomali. La policy deve essere breve e comprensibile; se nessuno la legge, non governa nulla.

Valutare i fornitori

La gestione della conformità AI passa anche dai contratti e dalla catena dei fornitori. Prima di adottare uno strumento chiedi dove girano modello, prompt, log, indici e backup, chi può accedervi, quali sub-responsabili intervengono, come vengono trattati i dati personali e quale documentazione tecnica è disponibile. Le risposte vanno conservate, non solo ricevute a voce.

Un fornitore che non sa ricostruire il flusso dei dati rende impossibile una valutazione seria. Per questo è utile confrontare più opzioni con criteri omogenei: dati, integrazioni, permessi, tracciabilità, assistenza, uscita dal contratto. Il metodo è in come scegliere una soluzione AI aziendale.

Revisione periodica

L'AI cambia in fretta: nuove funzioni, nuovi modelli, nuovi connettori. Fissa una revisione periodica del registro, delle policy e dei fornitori, più una verifica straordinaria quando cambia un processo critico. La revisione deve produrre azioni concrete — formazione, restrizioni, aggiornamenti tecnici — non solo un verbale.

Misurare se il processo funziona

Un processo di compliance non si misura dal numero di documenti prodotti. Misuralo da indicatori semplici: quanti strumenti AI sono autorizzati rispetto a quelli realmente in uso, quante richieste di nuovi casi d'uso sono state valutate, quante persone hanno completato la formazione, quante verifiche sui fornitori sono scadute. Se il registro cresce ma nessuno aggiorna le autorizzazioni, il processo è solo amministrativo.

Utile anche distinguere i ruoli operativi: chi propone un caso d'uso, chi valuta privacy e sicurezza, chi approva e chi verifica nel tempo. In una PMI le stesse persone possono coprire più funzioni, ma la separazione dei passaggi evita che un singolo entusiasmo diventi adozione senza controlli. La formazione serve proprio a rendere queste responsabilità comprensibili a chi usa l'AI ogni giorno, non solo a chi la governa.

La disciplina dei dati personali resta separata e non viene coperta dall'AI Act. Ruoli, basi giuridiche, minimizzazione e valutazioni d'impatto vanno verificati nel caso concreto: la checklist è in conformità GDPR e intelligenza artificiale. Le condizioni tecniche e contrattuali si definiscono durante l'assessment, non si deducono da uno slogan.

Un processo di questo tipo funziona meglio se lo strumento rende semplici i controlli. Chiedilo a Mirko porta una workstation AI dedicata nel perimetro aziendale, con OCR, agenti, integrazioni, formazione e assistenza in italiano, e un assessment gratuito per impostare registro, ruoli e verifiche sui tuoi casi d'uso.