In azienda l'AI viene già utilizzata.La domanda è se sai da chi e in che modo.
Mettiamo ordine nell'intelligenza artificiale che viene già utilizzata nella tua azienda: quali strumenti, con quali dati, con quali regole. Il lavoro operativo che serve prima di qualsiasi valutazione legale, e che quasi nessuno ha fatto.
Nessuno l'ha deciso ufficialmente, ma l'AI viene utilizzata dai tuoi dipendenti
L’intelligenza artificiale non è entrata nelle aziende da una delibera del consiglio. È entrata dal telefono del commerciale che incolla l’offerta in ChatGPT per farsela riscrivere, dal gestionale che ha attivato una funzione nuova nell’ultimo aggiornamento, dalla persona in amministrazione che ha trovato uno strumento gratuito per estrarre i dati dalle fatture.
Nessuno di loro sta facendo qualcosa di sbagliato. Stanno lavorando meglio. Il problema è un altro: nessuno in azienda ha autorizzato ufficialmente questi strumenti. Non si sa quali strumenti sono in uso, quali dati escono, chi ha accettato quali condizioni, cosa succede se un fornitore cambia i termini o se un cliente chiede conto di come è stata generata una risposta.
Finché va tutto bene, non si vede. Si vede il giorno in cui qualcuno fa una domanda: un cliente grande in fase di audit, un revisore, un’assicurazione, un’azienda capofila della filiera che invia ai fornitori il proprio questionario.
Il lavoro operativo, non il parere legale.
Su questa materia esistono due mestieri diversi e vanno tenuti distinti, perché è l’unico modo di farli bene entrambi.
Quello che facciamo noi
- La ricognizione dei sistemi AI in uso, inclusi quelli che nessuno ha dichiarato: strumenti attivati dai singoli, funzioni AI comparse dentro software che già usavate, integrazioni dei fornitori.
- Il registro: cosa fa ogni sistema, quali dati tratta, chi lo usa, quale fornitore c’è dietro e a quali condizioni.
- La classificazione preliminare per livello di rischio. Serve a capire dove guardare e cosa portare al legale.
- La policy interna d’uso: quali dati aziendali possono entrare in uno strumento AI e quali no, scritta in modo che la capisca chi lavora e non solo chi la firma.
- La formazione del personale su uso responsabile e sui limiti.
- La trasparenza tecnica dove serve: per esempio far sì che un assistente automatico dichiari di essere tale a chi ci parla.
Quello che non facciamo
Non siamo uno studio legale. Non diamo pareri, non certifichiamo conformità, non ci sostituiamo al tuo consulente.
Quando serve una valutazione giuridica lo diciamo e ti diciamo cosa portargli, che nella nostra esperienza è esattamente il materiale che di solito manca e che rende quella consulenza lenta e costosa.
Si parte da cosa c'è, non da cosa dovrebbe esserci.
Ha senso se…
- Sai che l’AI viene utilizzata all’interno della tua azienda, ma non sono mai stati definiti strumenti aziendali.
- Tratti dati sensibili e vuoi sapere dove finiscono.
- Stai per avviare un progetto AI serio e preferisci partire con le regole già scritte, invece di rincorrerle dopo.
Non è la cosa giusta se…
- Cerchi un parere legale o una certificazione: quelli te li deve dare un professionista abilitato, noi ti diciamo volentieri cosa portargli.
- Vuoi un documento da archiviare per dire che è stato fatto. Un registro che nessuno aggiorna è peggio che non averlo.
- In azienda l’AI non è ancora entrata in nessuna forma. In quel caso si parte prima dall’AI Assessment.
Le regole non servono a frenare. Servono per poter andare più veloce.
Il risultato che cerchiamo non è una cartella di documenti. È che in azienda si possa dire di sì a un progetto AI senza doverci pensare tre mesi, perché il perimetro è già chiaro e le domande difficili hanno già una risposta scritta.
Domande frequenti
L'AI Act riguarda anche chi l'AI la usa e basta, o solo chi la sviluppa?
Riguarda entrambi, con obblighi diversi e molto più leggeri per chi la usa. È il fraintendimento più comune che incontriamo: noi non la produciamo, quindi non ci tocca è una convinzione diffusa e non corretta.
Siamo una PMI, non credo ci riguardi.
La dimensione dell'azienda non è l'unico criterio: contano il tipo di sistema e l'uso che se ne fa. Una PMI che usa strumenti comuni per attività ordinarie sta in una situazione molto diversa da una che usa l'AI per selezionare il personale. La ricognizione serve esattamente a capire in quale delle due sei.
Ci serve un avvocato o basta questo servizio?
Dipende da cosa emerge. In molti casi la ricognizione mostra una situazione ordinaria che si sistema con una policy e un po' di formazione. Quando invece emergono usi delicati serve un professionista, e allora avere già registro e mappa dei dati fa risparmiare parecchio: è il lavoro che di solito il legale deve chiedervi di fare prima di poter iniziare.
Quanto dura?
Dipende da quanti reparti e quanti strumenti ci sono. Il perimetro si definisce nella prima call, prima di qualsiasi impegno.
Cosa resta in mano nostra alla fine?
Il registro dei sistemi AI, la policy d'uso scritta per essere letta dal team, e il materiale della formazione. Sono documenti vostri e aggiornabili da voi: non è un servizio che vi lega a noi per poterli mantenere.
Cosa succede se un cliente ci chiede conto di come usiamo l'AI?
È lo scenario per cui questo lavoro serve. Con il registro a posto la risposta esiste già ed è documentata; senza, va costruita nel momento peggiore, cioè quando qualcuno la sta aspettando.