Le imprese che usano IA dovrebbero già sapere dove, come, da chi e con quale rischio…

Dal 2 agosto diventano applicabili gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. Una data che rappresenta una scadenza regolamentare importante per tutte le aziende che utilizzano (deployer) o sviluppano (fornitore) sistemi di IA nel mercato europeo.

Attualmente molte aziende stanno ancora trattando l’IA come una materia da reparto IT, marketing, HR, commerciale o innovazione. Uno strumento. Inserito a silos. Una licenza. Un chatbot. Un copilota. Un automatismo dentro il CRM. Un sistema che scrive, suggerisce, valuta e ordina… Il problema è che da agosto 2026 questa lettura diventerà debole o meglio: troppo superficiale. L’AI Act europeo sta portando l’IA all’interno di un nuovo contesto organizzativo essenziale da presidiare per chiunque: responsabilità, tracciabilità, formazione, supervisione, controllo dei rischi e trasparenza verso le persone coinvolte. Tradotto in linguaggio aziendale: l’IA non potrà più essere gestita come una sperimentazione. Dovrà diventare una capacità governata (e bene).

La scadenza è già arrivata?

Pensare che l’AI Act “parta” tutta insieme ad agosto 2026 è un errore. In realtà il regolamento ha già iniziato a produrre effetti. Dal 2025 sono già attivi alcuni obblighi rilevanti: divieto di alcune pratiche e AI literacy per chi utilizza sistemi IA in azienda. Dal 2025 sono partiti anche obblighi specifici per i fornitori di modelli di IA per finalità generali.

Agosto 2026 segna una nuova fase: molte imprese dovranno dimostrare in modo molto più serio ed efficace come stanno usando l’IA, con quali presidi, con quali responsabilità e con quale capacità di controllo. Alcune regole sui sistemi ad alto rischio hanno calendari scaglionati e vanno lette caso per caso. Questo però cambia poco per il management. Perché la domanda corretta oggi è già operativa: “Sappiamo davvero dove l’IA sta entrando nei nostri processi aziendali?”

L’IA è già dentro l’azienda (senza una mappa)

Molte imprese credono di essere ancora in fase di osservazione. Nei fatti, l’IA è già entrata. All’interno degli strumenti di produttività. Dentro le suite office. All’interno dei CRM e delle piattaforme marketing. All’interno dei sistemi di customer service. All’interno di strumenti HR. All’interno di software di analytics. All’interno di strumenti usati ogni giorno da persone che, legittimamente, cercano di lavorare più velocemente. La questione più delicata è proprio questa: spesso l’azienda non ha una visione completa.

Un reparto attiva una funzione. Un manager prova uno strumento poi lo abbandona. Un team creativo usa un assistente generativo. Un fornitore introduce una funzionalità “AI-powered”. Oppure qualcuno automatizza una parte del lavoro con strumenti personali, la famosa “Shadow AI”. Tutto utile. Tutto comprensibile. Tutto potenzialmente rischioso, se nessuno governa il quadro complessivo.

L’AI Act, oltre a misure specifiche e tecniche, impone misure adeguate per garantire un livello sufficiente di competenze interne e aumentare la consapevolezza nell’uso degli strumenti di IA e a contenere il fenomeno appunto della “Shadow AI”, ovvero l’utilizzo non autorizzato o non controllato di strumenti di IA da parte dei lavoratori.

I tre equivoci che vediamo più spesso

Il primo equivoco
Pensare: “Il sistema è del fornitore, quindi il rischio è del fornitore”. Questa è una scorciatoia pericolosa. Se un’azienda usa un sistema IA nei propri processi, deve capire quale ruolo assume, quali obblighi la riguardano, quali garanzie deve chiedere e quali controlli deve mantenere.

Il secondo equivoco
Pensare: “Noi usiamo l’IA solo per aumentare efficienza”. Anche l’efficienza può produrre rischio. Un sistema che velocizza risposte, priorità, valutazioni o raccomandazioni può amplificare errori, bias, incoerenze, violazioni informative e decisioni poco spiegabili.

Il terzo equivoco
Pensare: “Abbiamo fatto un corso, quindi siamo coperti”. La formazione è essenziale. Però da sola in realtà serve poco, se manca una mappa dei casi d’uso, una policy, un modello di responsabilità, una verifica dei fornitori, una gestione dei dati, una procedura di controllo e un sistema minimo di documentazione.

L’AI literacy è il primo livello. La governance è il sistema che la rende credibile.

Chi controlla e quali rischi corrono le aziende

In Italia i controlli sull’AI Act passeranno soprattutto da due autorità nazionali: ACN e AgID.

• ACN avrà un ruolo centrale sulla vigilanza, anche con poteri ispettivi, sull’adeguatezza e sulla sicurezza dei sistemi di IA
• AgID presidierà notifiche, adozione sicura e raccordo operativo con imprese e pubbliche amministrazioni. 

A queste si aggiungono in realtà le autorità già competenti sui singoli ambiti:

• Il Garante Privacy quando l’IA tratta dati personali, le autorità di settore quando il sistema tocca lavoro, sanità, credito, assicurazioni, pubblica amministrazione o diritti fondamentali.

Per le aziende il rischio legale vero è arrivare a una verifica senza prove: niente mappa degli strumenti usati, niente policy, niente formazione documentata, niente valutazione dei rischi, niente controllo sui fornitori, niente tracciabilità delle decisioni.

Le sanzioni dell’AI Act possono arrivare a livelli molto alti, fino a 35 milioni di euro o al 7% del fatturato mondiale annuo nei casi più gravi. A questo si sommano rischi privacy, responsabilità verso clienti e dipendenti, contestazioni contrattuali, blocco dei sistemi, danno reputazionale e, nei casi peggiori, profili di responsabilità per l’azienda e per chi la governa.

Cosa dovrebbero fare adesso le aziende

A partire dalle PMI ogni impresa dovrebbe almeno avviare sei attività:

1. Mappare dove viene usata l’IA
Serve un inventario concreto: strumenti, reparti, finalità, dati trattati, persone coinvolte, fornitori, output generati, processi impattati.Senza mappa, ogni discorso sulla compliance resta teoria.

2. Classificare i casi d’uso per livello di rischio
Non tutte le applicazioni hanno lo stesso peso. Un assistente che aiuta a scrivere una bozza commerciale ha un profilo diverso da un sistema che valuta candidati, clienti, credito, performance, accesso a servizi o decisioni in ambiti sensibili. La classificazione serve a decidere priorità, controlli e responsabilità.

3. Avviare un programma professionale di AI literacy
Uno degli elementi centrali del nuovo impianto regolatorio riguarda l’obbligo di alfabetizzazione sull’IA. Le persone devono capire capacità, limiti, rischi e responsabilità degli strumenti che usano. Non serve trasformare tutti in tecnici. Serve rendere i team consapevoli. Un commerciale, un HR manager, un responsabile marketing, un amministrativo e un CEO non hanno bisogno dello stesso percorso. Hanno bisogno di una formazione calibrata sul ruolo.

4. Definire una AI policy aziendale
Chi può usare quali strumenti? Con quali dati? Per quali attività? Con quali divieti? Con quali livelli di approvazione? Con quale supervisione umana? Con quali regole per clienti, dipendenti e fornitori? Una policy fatta bene evita improvvisazione, incoerenze e decisioni prese “a sentimento”.

5. Verificare fornitori, contratti e strumenti già attivi
Molti rischi arrivano da software già acquistati. Serve capire quali sistemi IA sono integrati nelle piattaforme usate, quali garanzie offre il vendor, dove risiedono i dati, come vengono trattati, quali log sono disponibili, quali responsabilità sono previste nei contratti.

6. Costruire una roadmap di adeguamento
La compliance IA non si risolve con un documento. Serve una roadmap: priorità, scadenze, ownership, formazione, policy, controlli, audit trail, processi di escalation, monitoraggio e aggiornamento continuo.
La domanda corretta è: “Abbiamo costruito un sistema aziendale capace di usarla senza perdere controllo?”

Agosto 2026 premierà le aziende ordinate

La parte interessante dell’AI Act è che obbliga le imprese a fare una cosa che avrebbero dovuto fare comunque: mettere ordine. Ordine nei dati. Ordine nei ruoli. Ordine nei processi. Ordine nei fornitori. Ordine nelle decisioni. Ordine nella formazione.

Chi parte ora può trasformare la compliance in vantaggio competitivo. Perché un’azienda che sa dove usa l’IA, come la controlla, chi valida gli output, quali dati entrano nei sistemi e quali rischi sta gestendo, sarà più credibile verso clienti, partner, dipendenti e mercato. Chi aspetta, arriverà ad agosto e oltre con la solita rincorsa. Responsabilità scaricate tra IT, HR, legal, marketing e direzione.E lì il costo sale.

Da dove partire

Il primo passo sensato è un assessment rapido, concreto, manageriale. Non una montagna di carta.

• Una fotografia chiara. 
• Dove stiamo usando IA?
• Quali strumenti sono già attivi?
• Quali dati entrano nei sistemi?
• Quali processi vengono influenzati?
• Quali team devono essere formati?
• Quali fornitori vanno verificati?
• Quali casi d’uso richiedono controlli prioritari?
• Quali policy mancano?
• Quali decisioni devono restare sotto supervisione umana?
• Da qui si costruisce il piano.

Grazie a Fluency stiamo supportando le aziende proprio su questo passaggio: avviare le attività di AI compliance, AI literacy, AI governance e integrazione operativa dell’IA con un percorso progressivo, sostenibile e adatto alla realtà aziendale.

L’obiettivo è semplice:
arrivare alle prossime scadenze con un sistema minimo di governo già attivo. Perché l’IA continuerà a entrare nelle imprese. La differenza la farà chi saprà governarla prima di doverla giustificare.