L’intelligenza artificiale potrebbe essere molto più presente nelle aziende di quanto gli stessi vertici aziendali sappiano. Un dipendente utilizza un chatbot per sintetizzare un documento, un commerciale prepara una presentazione con un assistente AI, il marketing genera testi e immagini, l’ufficio del personale sperimenta strumenti per analizzare candidature e un manager carica un file aziendale su una piattaforma esterna per ottenere un’analisi in pochi secondi. Sono attività apparentemente diverse, accomunate però da una questione destinata a diventare sempre più importante per chi guida un’impresa: chi governa realmente l’utilizzo dell’intelligenza artificiale in azienda?
La domanda è diventata ancora più attuale nelle ultime settimane. Dal 2 agosto 2026 la Commissione europea e le autorità competenti degli Stati membri hanno iniziato una nuova fase di applicazione e controllo dell’AI Act, il regolamento europeo sull’intelligenza artificiale. Come comunica la Commissione europea, sono diventati applicabili, tra gli altri, nuovi obblighi di trasparenza per determinati sistemi AI, mentre sono operativi i poteri di enforcement previsti dal regolamento. Per esempio, chatbot e altri sistemi interattivi interessati dalle disposizioni devono rendere riconoscibile all’utente l’interazione con un’intelligenza artificiale, mentre deepfake e determinati contenuti generati o modificati artificialmente sono sottoposti a obblighi di identificazione e trasparenza.
Non tutte le disposizioni, tuttavia, hanno la stessa scadenza. Le regole relative ad alcuni sistemi AI considerati ad alto rischio entreranno in applicazione più avanti: dal 2 dicembre 2027 per i casi ricompresi nell’Allegato III e dal 2 agosto 2028 per i sistemi ad alto rischio incorporati in determinati prodotti regolamentati. Il recente intervento europeo di semplificazione, l’AI Omnibus entrato in vigore a luglio, ha infatti modificato parte del calendario e alleggerito alcuni adempimenti, in particolare per le imprese di minori dimensioni.
Per il management sarebbe però un errore interpretare queste scadenze come un motivo per rinviare il problema. Il punto non è soltanto essere formalmente conformi a una normativa. Il vero tema è costruire una governance dell’intelligenza artificiale prima che siano gli utilizzi quotidiani a costruirla autonomamente.
1. Sappiamo quali strumenti AI vengono utilizzati in azienda?
È la prima domanda e probabilmente anche quella più difficile. Accanto alle piattaforme acquistate ufficialmente dall’impresa esiste infatti un utilizzo individuale dell’intelligenza artificiale che può sfuggire ai sistemi informativi aziendali. Chatbot, traduttori, generatori di presentazioni, strumenti di analisi e applicazioni integrate nei software già utilizzati possono entrare nella quotidianità dei dipendenti senza una decisione formale del management.
Per un amministratore delegato il primo passo dovrebbe quindi essere ottenere una mappa degli utilizzi dell’AI, distinguendo gli strumenti autorizzati da quelli utilizzati autonomamente e, soprattutto, individuando i processi nei quali l’intelligenza artificiale interviene su informazioni o decisioni rilevanti.
2. Quali dati aziendali stiamo consegnando all’intelligenza artificiale?
È probabilmente il punto più delicato. L’efficienza offerta dall’AI può indurre a caricare su piattaforme esterne documenti, contratti, report, database, informazioni commerciali o dati relativi a clienti e dipendenti senza interrogarsi sufficientemente su dove quelle informazioni vengano elaborate e conservate e sulle condizioni previste dal fornitore.
La domanda che dovrebbe arrivare dal vertice non è quindi semplicemente “possiamo usare questo strumento?”, ma “quali informazioni possiamo affidargli?”. Una policy efficace dovrebbe stabilire con chiarezza quali categorie di dati possono essere utilizzate con sistemi AI, quali devono essere anonimizzate e quali, invece, non devono uscire dagli ambienti aziendali autorizzati.
3. Chi controlla ciò che produce l’AI?
L’intelligenza artificiale generativa può produrre risposte convincenti anche quando sono inesatte. La stessa Commissione europea, nelle proprie indicazioni sull’AI literacy, richiama espressamente il rischio delle cosiddette “allucinazioni” anche nel caso, molto comune, di dipendenti che utilizzano strumenti come ChatGPT per scrivere testi pubblicitari o effettuare traduzioni.
Questo cambia il concetto stesso di responsabilità. Se un sistema AI produce un’analisi sbagliata, una comunicazione contenente informazioni false o un documento contrattuale problematico, l’azienda non può considerare la macchina come il soggetto responsabile. Deve esistere una persona incaricata di verificare l’output quando questo può avere conseguenze economiche, reputazionali, legali o organizzative.
4. I nostri dipendenti sanno davvero utilizzare l’AI?
Saper formulare un prompt non significa necessariamente saper utilizzare professionalmente l’intelligenza artificiale. L’AI literacy, cioè la capacità di comprendere funzionamento, opportunità e rischi dei sistemi utilizzati, è ormai anche un tema regolamentare. La Commissione europea chiarisce che provider e utilizzatori professionali di sistemi AI devono adottare misure per favorire lo sviluppo di competenze adeguate tra il personale e le persone che operano con questi strumenti per loro conto.
Non è previsto un “patentino” europeo né viene imposto un determinato livello individuale di competenza. La Commissione precisa inoltre che non è necessario creare una specifica struttura di governance o nominare obbligatoriamente un “AI Officer” soltanto per adempiere alle disposizioni sull’AI literacy. Per un’impresa resta però conveniente documentare formazione, linee guida e iniziative interne: non come esercizio burocratico, ma per ridurre l’utilizzo inconsapevole degli strumenti.
5. In quali decisioni stiamo permettendo all’AI di entrare?
Non tutti gli utilizzi hanno lo stesso peso. Chiedere all’intelligenza artificiale di riassumere un documento è diverso dall’impiegarla per selezionare candidati, valutare lavoratori, concedere credito, stabilire priorità commerciali o supportare decisioni che incidono direttamente sulle persone.
L’AI Act europeo segue proprio una logica basata sul rischio: più l’utilizzo può produrre conseguenze rilevanti, maggiori diventano le garanzie richieste. Per questo il management dovrebbe classificare non soltanto gli strumenti utilizzati, ma soprattutto i processi nei quali vengono inseriti.
6. Chi decide quali sistemi AI possono entrare in azienda?
In molte organizzazioni l’acquisto di tecnologia è stato tradizionalmente una responsabilità prevalentemente informatica. Con l’AI questo modello rischia di non essere più sufficiente. La scelta di una piattaforma può coinvolgere contemporaneamente sicurezza informatica, privacy, proprietà intellettuale, risorse umane, compliance, organizzazione e reputazione.
Non significa creare necessariamente un nuovo comitato o moltiplicare le procedure. Significa però stabilire chi ha l’autorità per autorizzare un sistema, con quali verifiche e assumendosi quale responsabilità. In alcune aziende sarà una funzione dedicata; in altre potranno collaborare IT, legal, HR e management. Ciò che conta è evitare una zona grigia nella quale tutti utilizzano l’AI ma nessuno ne governa realmente l’adozione.
7. Stiamo usando l’AI soltanto per risparmiare tempo o per cambiare davvero l’impresa?
È forse la domanda più importante per un amministratore delegato. Gran parte dell’adozione iniziale dell’intelligenza artificiale si concentra sulla produttività individuale: scrivere più rapidamente un’email, sintetizzare un documento, produrre una presentazione o automatizzare attività ripetitive. Sono vantaggi reali, ma rappresentano soltanto il primo livello della trasformazione.
La questione strategica è capire quali processi aziendali possano essere ripensati, quali attività possano acquistare maggiore valore grazie all’AI e quali competenze diventeranno più importanti. Un’impresa che utilizza l’intelligenza artificiale soltanto per fare più velocemente ciò che faceva prima ottiene efficienza. Un’impresa che la utilizza per ridisegnare processi, prodotti e modalità decisionali può invece costruire un vantaggio competitivo.
Dalla sperimentazione alla governance
L’entrata in una nuova fase dell’AI Act rende il 2026 un anno di passaggio anche per le aziende che non producono direttamente tecnologie di intelligenza artificiale. La Commissione europea ha chiarito che dal 2 agosto sono operativi nuovi obblighi e poteri di controllo, mentre il recente AI Omnibus ha contemporaneamente cercato di rendere il quadro più proporzionato, ampliando alcune semplificazioni e opportunità di sperimentazione anche alle small mid-cap e aumentando l’accesso alle sandbox regolamentari.
Per imprese e manager la questione, però, va oltre il rispetto della normativa. Governare l’intelligenza artificiale significa sapere dove viene utilizzata, quali dati attraversa, quali decisioni influenza, chi verifica i risultati e chi ne assume la responsabilità.
La tecnologia continuerà probabilmente a evolvere più rapidamente delle procedure aziendali. Per questo la domanda che un CEO dovrebbe porsi oggi non è più “quando introdurremo l’intelligenza artificiale?”. In molte organizzazioni è già arrivata.
La domanda è un’altra: siamo noi a governare l’AI o è l’AI che sta entrando nell’azienda senza che ce ne accorgiamo?
