La policy aziendale sull’IA è davvero un obbligo di legge, e chi ce la scrive in modo che regga un controllo?

L’art. 4 del Regolamento (UE) 2024/1689 si applica dal 2 febbraio 2025 e, nel testo sostituito dal Regolamento (UE) 2026/1744, chiede a fornitori e deployer di adottare misure che sostengano l’alfabetizzazione del personale. La policy è lo strumento con cui quell’obbligo si dimostra: strumenti ammessi per classe di dato, divieti scritti, percorso per chiedere strumenti nuovi. La scriviamo con voi; la firma e la comunicazione restano alla direzione.

Chi ci aiuta a capire se siamo fornitori o deployer ai sensi dell’AI Act e quali obblighi ci toccano davvero?

La qualificazione si fa sistema per sistema, non a livello di azienda: per ciascuno si stabilisce il ruolo, la classe di rischio, i dati trattati e le scadenze che ne discendono. L’inventario parte dai fatti — traffico verso servizi AI, licenze a catalogo, funzioni AI già accese dentro gestionali e strumenti HR — non dall’organigramma.

Cosa dobbiamo chiedere per contratto a chi ci fornisce un modello di AI di uso generale?

Documentazione tecnica del modello, informazioni per chi lo integra a valle, policy di conformità sul copyright, sintesi dei contenuti usati per l’addestramento e adesione al codice di buone pratiche della Commissione. Dal 2 agosto 2026 gli obblighi sui modelli di uso generale sono sanzionabili, quindi la documentazione esiste: va chiesta per iscritto e archiviata.

Come documentiamo l’alfabetizzazione AI del personale prevista dall’art. 4 dell’AI Act?

Con materiali, date e presenze. È la prova materiale che un accertamento può verificare: le sessioni lasciano un registro, la policy viene firmata e comunicata, il censimento si rifà periodicamente. Senza traccia scritta l’obbligo risulta non adempiuto anche quando la formazione c’è stata.

Serve una valutazione d’impatto per il sistema di AI che stiamo introducendo, e chi la imposta?

Dipende dal ruolo e dalla classe di rischio, che si stabiliscono nell’inventario. Dove serve, la valutazione d’impatto sulla protezione dei dati e quella sui diritti fondamentali si sovrappongono in gran parte e conviene produrle da una sola analisi. L’impostazione è nostra; l’approvazione resta a chi risponde della decisione.

Soluzioni · Governance e conformità AI

L’AI in azienda, sotto controllo dimostrabile.

Inventario di ciò che è davvero in uso, policy che regge un controllo, formazione documentata e un’alternativa approvata che le persone adottano. Le decisioni restano umane e restano tracciate.

Timbro di verifica su un testo di legge aperto, appoggiato su una pagina stampata

L’obbligo è in vigore dal 2 febbraio 2025.

L’art. 4 del Regolamento (UE) 2024/1689 chiede a fornitori e deployer — cioè a ogni organizzazione che usa sistemi di IA, non solo a chi li produce — di adottare misure che sostengano l’alfabetizzazione del personale: dal 27 luglio 2026 il Regolamento (UE) 2026/1744 ha sostituito quell’articolo, trasformandolo da obbligo di risultato in obbligo di mezzi. In Italia si aggiunge la legge 132/2025, in vigore dal 10 ottobre 2025, che tiene la responsabilità della decisione in capo alla persona in sanità, pubblica amministrazione, lavoro e giustizia. Per chi vende o compra nella PA, le linee guida AgID su sviluppo e procurement — consultazione chiusa ad aprile 2026, versione definitiva attesa — porteranno AI Bill of Materials, exit strategy e schede di conformità dentro i capitolati. Policy e registri di formazione sono la prima cosa che un accertamento verifica: se non ci sono, manca la prova.

Intanto l’AI è già dentro, di solito senza autorizzazione. Le rilevazioni convergono: nella maggior parte delle aziende più della metà di chi usa l’AI al lavoro lo fa con account personali non autorizzati, e in gran parte non lo dichiara. Il divieto totale non riduce il fenomeno, lo sposta sul telefono personale. Ogni listino, contratto o riga di codice incollata in un chatbot pubblico indebolisce la tutela del segreto industriale (D.lgs. 63/2018, misure ragionevolmente adeguate) e produce un trattamento che il titolare non conosce né governa (GDPR, artt. 24 e 32).

Soluzioni

Come si mette ordine.

Inventario di ciò che è in uso.

Sistemi dichiarati e non dichiarati, comprese le funzioni AI già integrate in gestionali, software HR e strumenti di ufficio. Si parte dai fatti, non dall’organigramma.

Ruoli, rischio, obblighi.

Per ogni sistema: siete fornitore o deployer ai sensi del Regolamento (UE) 2024/1689, quale classe di rischio, quali dati tratta, quali obblighi e quali scadenze ne discendono.

Policy, formazione, tracciabilità.

Mappa degli strumenti ammessi per classe di dato, divieti scritti e firmati, registro della formazione, tracciamento delle decisioni assistite dall’AI e audit periodico.

L’alternativa approvata.

Un’AI dedicata e chiusa, sganciata dal web aperto: on-premise nel vostro ambiente oppure sul nostro cloud dedicato in Italia. Senza uno strumento che le persone usino davvero, la policy viene aggirata.

Un esempio, passo per passo.

Caso tipo, non un cliente reale. Un’impresa di servizi con 600 dipendenti e nessuna policy sull’IA scritta. In direzione la stima è «qualche decina di persone che usa un chatbot pubblico»; nell’esempio il censimento arriva a 34 strumenti distinti, in uso su nove funzioni: ventuno mai autorizzati, otto sono funzioni AI già accese dentro software comprati per altro.

01

Censimento degli strumenti.

Si parte dai fatti: traffico verso servizi AI, licenze a catalogo, funzioni AI integrate nei gestionali e negli strumenti HR, più un questionario anonimo alle persone. In due settimane l’elenco è chiuso, con chi usa cosa e per fare cosa.
02

Rischio e dato toccato.

Per ogni strumento si stabilisce se siete fornitore o deployer, in quale classe di rischio ricade e quale dato tratta. Emergono i tre o quattro casi che contano davvero — dove entrano listini, contratti o dati di persone — e tutto il resto scende di priorità.
03

Policy e formazione.

La policy dice cosa è ammesso per classe di dato, cosa è vietato e come si chiede uno strumento nuovo; viene firmata, datata e comunicata. Le sessioni di formazione lasciano materiali, date e presenze: è la prova materiale che l’art. 4 richiede.
04

Lo strumento interno entra in uso.

Uno strumento dedicato e chiuso, on-premise nel vostro ambiente oppure su cloud dedicato in Italia, fa le stesse cose che le persone facevano fuori — riassumere, riscrivere, cercare dentro i documenti interni — e in più vede i documenti aziendali, che un servizio pubblico non ha. Entra in uso una funzione per volta.
05

Verifica periodica.

Ogni sei mesi il censimento si rifà e si confronta con la policy. Se compare uno strumento nuovo, la direzione decide se ammetterlo, sostituirlo o vietarlo: la decisione resta alle persone, il sistema si limita a mostrare cosa è cambiato.

Sull’esempio, in un trimestre la direzione ha le carte da mostrare: inventario con ruolo e classe di rischio, policy firmata, registro della formazione, tracciamento delle decisioni assistite. È un tempo stimato sul caso tipo, non una promessa. Cambia anche il comportamento — nell’esempio l’uso di account personali si riduce perché lo strumento interno è più utile, non perché sia arrivato un divieto in più. Listini, contratti e dati di persone non transitano mai fuori dal perimetro.

Esempio illustrativo su un caso tipo: le assunzioni si ricalibrano sui vostri dati.

Cosa vi resta in mano.

Inventario dei sistemi AI in uso con ruolo (fornitore o deployer) e classificazione del rischio, shadow AI inclusa.
Policy sull’IA scritta con voi, firmata e comunicata: strumenti ammessi per classe di dato, divieti espliciti, percorso per chiedere nuovi strumenti.
Registro di formazione verificabile — materiali, date, presenze — che è la prova materiale richiesta dall’art. 4.
Documentazione pronta per un accertamento o per una gara: ruoli, valutazioni d’impatto, clausole di capitolato e le domande da porre a chi fornisce un modello di uso generale.
Uno strumento AI autorizzato dentro il perimetro, con tracciabilità di richieste, risposte e decisioni assistite.

Chi ha questo problema.

Direzioni generali e consigli di amministrazione che rispondono dell’uso dell’AI senza sapere quanta ne circoli già.
IT e sicurezza che vedono traffico verso servizi AI non approvati e non hanno un’alternativa da offrire.
Legale, compliance e DPO che devono dimostrare alfabetizzazione, ruoli e tracciabilità in un accertamento.
Amministrazioni ed enti pubblici che devono allineare sviluppo e procurement alla legge 132/2025 e alle linee guida AgID in arrivo.

Due modalità di erogazione.

On-premise, nel vostro ambiente

L’AI gira sull’infrastruttura che già controllate. I documenti non attraversano il confine della vostra rete e l’amministrazione resta al vostro IT.

Cloud dedicato, in Italia

Ambiente riservato al singolo cliente, VPN dedicata, data center residente in Italia, in locali che presidiamo direttamente. Nessuna condivisione con altri clienti.

In entrambi i casi i modelli sono dedicati e chiusi, sganciati dal web aperto: nulla di quello che leggono alimenta servizi di terzi. Sono modelli a pesi aperti, con la copia dei pesi archiviata nel perimetro in cui gira: la versione che usate cambia quando lo decidete voi.

Di chi è la macchina e di chi è il modello

Domande frequenti.

La policy aziendale sull’IA è davvero un obbligo di legge, e chi ce la scrive in modo che regga un controllo?

L’art. 4 del Regolamento (UE) 2024/1689 si applica dal 2 febbraio 2025 e, nel testo sostituito dal Regolamento (UE) 2026/1744, chiede a fornitori e deployer di adottare misure che sostengano l’alfabetizzazione del personale. La policy è lo strumento con cui quell’obbligo si dimostra: strumenti ammessi per classe di dato, divieti scritti, percorso per chiedere strumenti nuovi. La scriviamo con voi; la firma e la comunicazione restano alla direzione.
Chi ci aiuta a capire se siamo fornitori o deployer ai sensi dell’AI Act e quali obblighi ci toccano davvero?

La qualificazione si fa sistema per sistema, non a livello di azienda: per ciascuno si stabilisce il ruolo, la classe di rischio, i dati trattati e le scadenze che ne discendono. L’inventario parte dai fatti — traffico verso servizi AI, licenze a catalogo, funzioni AI già accese dentro gestionali e strumenti HR — non dall’organigramma.
Cosa dobbiamo chiedere per contratto a chi ci fornisce un modello di AI di uso generale?

Documentazione tecnica del modello, informazioni per chi lo integra a valle, policy di conformità sul copyright, sintesi dei contenuti usati per l’addestramento e adesione al codice di buone pratiche della Commissione. Dal 2 agosto 2026 gli obblighi sui modelli di uso generale sono sanzionabili, quindi la documentazione esiste: va chiesta per iscritto e archiviata.
Come documentiamo l’alfabetizzazione AI del personale prevista dall’art. 4 dell’AI Act?

Con materiali, date e presenze. È la prova materiale che un accertamento può verificare: le sessioni lasciano un registro, la policy viene firmata e comunicata, il censimento si rifà periodicamente. Senza traccia scritta l’obbligo risulta non adempiuto anche quando la formazione c’è stata.
Serve una valutazione d’impatto per il sistema di AI che stiamo introducendo, e chi la imposta?

Dipende dal ruolo e dalla classe di rischio, che si stabiliscono nell’inventario. Dove serve, la valutazione d’impatto sulla protezione dei dati e quella sui diritti fondamentali si sovrappongono in gran parte e conviene produrle da una sola analisi. L’impostazione è nostra; l’approvazione resta a chi risponde della decisione.

Da leggere prima di decidere.

Altre soluzioni

Conformità documentale assistita Protezione dei dati e perimetro Analisi su dati sensibili

Il primo passo

Operativi dalla prima settimana.

Un caso d’uso reale, sui vostri dati, in produzione. Poi si cresce, settimana dopo settimana.

30 minuti videocall ~~150 €~~ gratuita

Avvia una prova operativa

Si parte da una sessione con un nostro esperto di engagement. I dati restano vostri, sempre.