Aggiungi ai preferiti
Il 2 agosto il regolamento europeo denominato Artificial Intelligence Act è entrato nella sua fase applicativa più ampia. Ma il vero costo per le imprese non è negli articoli di legge: è nella riorganizzazione silenziosa che impone a governance, processi e contratti.
Il 2 agosto non è la data in cui le aziende europee “diventano conformi” all’AI Act. È la data in cui scoprono quanto poco sanno dei propri sistemi di intelligenza artificiale.
Con l’applicazione dei capitoli centrali del Regolamento 2024/1689 — trasparenza, sorveglianza del mercato, regime sanzionatorio — l’AI smette di essere una questione tecnologica e diventa una questione di accountability: chi usa un sistema deve poterlo dimostrare governato, tracciato, supervisionato. E la dimostrazione, non l’intenzione, è ciò che conta davanti a un’autorità di vigilanza.
Il pacchetto Digital Omnibus, approvato a giugno, ha rimodulato il calendario, spostando in avanti gli obblighi più onerosi sui sistemi ad alto rischio. Molti consigli di amministrazione hanno letto la proroga come una tregua. È una lettura miope: il rinvio riguarda le scadenze formali, non il tempo necessario per costruire i presidi.
Costruire un sistema di gestione del rischio AI, con log immutabili, documentazione tecnica e supervisione umana effettiva, richiede tra i dodici e i ventiquattro mesi per un’organizzazione di media complessità. Chi comincia quando scatta l’obbligo ha già perso.
“Considerato che la maggior parte delle imprese non sviluppa l’AI ma la utilizza, il vero nodo sarà capire come governarla. Molte aziende scopriranno di usare già sistemi di intelligenza artificiale senza averne una piena visibilità o senza aver definito chi ne è responsabile, come vengono supervisionati e quali garanzie devono essere richieste ai fornitori”
Massimiliano Rosatelli – Head of Data & AI di SDG italia
Il significato reale: dall’adozione alla responsabilità
L’attenzione mediatica si è concentrata sui produttori di modelli. Ma la stragrande maggioranza delle imprese europee non sviluppa AI: la usa. E il regolamento assegna proprio ai deployer — chi impiega sistemi AI sotto la propria autorità — una catena di responsabilità che finora nessuno aveva formalizzato. Significa sapere quali sistemi sono in uso, con quali dati sono stati addestrati, chi ne sorveglia gli output, con quale formazione e con quali strumenti di intervento.
Qui emerge il primo costo implicito: il censimento.
Nella pratica, l’AI aziendale non vive solo nei progetti approvati dall’IT. Vive nel CRM che ha attivato una funzione di scoring “di default”, nel software HR che filtra i curricula, nel chatbot acquistato da una business unit senza passare dal procurement, nei plugin generativi che i dipendenti usano quotidianamente.
È l’AI invisibile: non governata, non documentata, spesso non nota nemmeno a chi dovrebbe risponderne. Molte aziende scopriranno di essere deployer di sistemi potenzialmente ad alto rischio senza averlo mai deciso.
Il sentiero nascosto: ciò che il regolamento costringe a riorganizzare
La conformità formale — la checklist, il fascicolo, la policy firmata — è la parte visibile. Quella invisibile è organizzativa, e attraversa funzioni che raramente hanno lavorato insieme.
- Il legal deve rinegoziare i contratti con i fornitori tecnologici: chi risponde se il modello del vendor produce un output discriminatorio? Quali clausole garantiscono accesso a documentazione tecnica, aggiornamenti, informazioni sugli incidenti?
- Il procurement deve inserire criteri di conformità AI nelle gare, trasformando un acquisto software in una due diligence regolatoria.
- L’HR deve gestire il doppio fronte della formazione — l’obbligo di AI literacy è in vigore da oltre un anno, e resta tra i più disattesi — e dell’impatto sui processi di selezione e valutazione del personale, tra gli ambiti più sensibili dell’Allegato III.
Poi ci sono i dati. Tracciabilità e auditabilità non si improvvisano: servono log conservati e non manipolabili, versioning dei modelli, registri delle decisioni automatizzate, procedure per l’escalation umana.
La “supervisione umana significativa” richiesta dal regolamento non è un dipendente che clicca “approva”: è una persona formata, con autorità reale di fermare il sistema e strumenti per capire cosa sta facendo. Progettarla costa, in tempo, competenze e architettura.
Infine, il costo meno esplicito: la manutenzione della conformità.
L’AI Act non certifica uno stato, impone un processo continuo. Ogni aggiornamento del modello, ogni nuovo caso d’uso, ogni modifica del fornitore riapre la valutazione. Le aziende dovranno mettere a budget non un progetto di compliance, ma una funzione permanente di AI governance — con comitati, ownership chiare e metriche — analoga a quanto accaduto con il GDPR, ma su un oggetto tecnologico che cambia molto più in fretta.
Chi si muove prima trasforma l’obbligo in vantaggio
C’è un modo cinico di leggere il 2 agosto: un’altra tassa regolatoria europea sull’innovazione. E ce n’è uno strategico: il regolamento obbliga le imprese a fare ciò che avrebbero comunque dovuto fare per scalare l’AI in sicurezza — sapere cosa usano, con quali dati, con quali controlli.
L’inventario dei sistemi diventa una mappa delle opportunità; la qualità dei dati imposta dalla norma migliora anche i modelli; la fiducia dimostrabile diventa un argomento commerciale verso clienti e partner che, a loro volta, chiederanno garanzie ai propri fornitori.
La distinzione competitiva dei prossimi due anni non passerà tra chi usa l’AI e chi no. Passerà tra chi la governa e chi la subisce. Il 2 agosto, semplicemente, rende questa differenza misurabile — e sanzionabile.
A cura di SDG Group, società di consulenza attiva a livello globale specializzata in AI, Data & Analytics