Inventario AI: il primo passo per l'AI Act, in 2 minuti

Prima di chiederti se la tua azienda rispetta l'AI Act, c'è una domanda più semplice a cui quasi nessuno sa rispondere: quali strumenti di AI usiamo, chi li usa e per cosa?

Il regolamento distingue per ruolo, per livello di rischio e per tipo di uso ¹. Finché non hai l'elenco, ogni ragionamento su obblighi e scadenze resta in aria. Il video qui sopra mostra come costruirlo in due minuti. Il modello da copiare è subito sotto il video. Qui trovi le stesse istruzioni con qualche dettaglio in più.

Una riga per ogni uso, non per ogni strumento

La regola che evita metà degli errori: se lo stesso strumento serve a due reparti per cose diverse, sono due righe. ChatGPT che scrive le bozze del marketing e ChatGPT che smista i curriculum hanno rischi diversi, anche se l'abbonamento è uno.

Non compilarlo da solo. Mandalo ai responsabili di reparto e chiedi di includere anche gli strumenti attivati per conto proprio: account personali, estensioni del browser, app sul telefono. Sono quelli che nessuno ha autorizzato e che di solito pesano di più.

Le prime cinque colonne dicono cosa

Strumento, fornitore, tipo di licenza, chi lo usa, per cosa. Sembra anagrafica, ma la terza colonna è già una decisione. Con una licenza aziendale i grandi fornitori dichiarano di non usare i tuoi dati per addestrare i modelli, con un account personale spesso sì: ne abbiamo parlato in ChatGPT, Claude e Gemini usano i dati della tua azienda?.

Poi due colonne sui dati: quali entrano nello strumento e se il risultato esce dall'azienda. Un testo che finisce a un cliente, sul sito o sui social merita più attenzione di un riassunto letto da te.

Poi entra l'AI Act

Ruolo. Quasi sempre la tua azienda è deployer, cioè usa un sistema di AI fatto da altri sotto la propria autorità ¹. I doveri del deployer sono in questa guida all'articolo 26.

Livello di rischio. Nel modello c'è un secondo foglio, «Guida rischio», che fa da bussola. In breve:

• Minimo: scrittura, traduzione, analisi interna, riassunti. È la gran parte degli usi in una PMI.
• Trasparenza: chatbot che parlano con clienti e contenuti realistici generati. Gli obblighi valgono dal 2 agosto 2026 ²: il chatbot si dichiara, i contenuti si segnalano. Dettagli nella guida all'articolo 50.
• Alto rischio: selezione e valutazione del personale, accesso al credito, valutazioni nell'istruzione. Per questi usi gli obblighi scattano dal 2 dicembre 2027 ². L'elenco completo è nell'Allegato III.
• Vietato: manipolazione delle persone, punteggio sociale, riconoscimento delle emozioni sul lavoro. Fuori legge dal 2 febbraio 2025 ^{1, 2}, si dismette subito.

Se un caso non ti è chiaro, scrivi «da verificare» e passalo al legale. Meglio una casella onesta che una classificazione inventata.

Le ultime colonne dicono chi risponde

Chi controlla il risultato prima che venga usato. Chi è stato formato, quando e su cosa: l'obbligo di formare chi usa l'AI vale dal 2 febbraio 2025 ^{1, 2}, e la guida all'articolo 4 spiega cosa basta davvero. Cosa dice il contratto con il fornitore su addestramento e residenza dei dati. Se serve l'informativa ai lavoratori prevista dalla legge italiana sull'AI ³. E chi è il responsabile interno.

L'ultima colonna è la più utile: la prossima azione, con una scadenza. «Passare alla licenza aziendale entro novembre» è un inventario che lavora. Senza questa colonna hai solo una fotografia.

Come tenerlo vivo

Aggiornalo ogni tre mesi e ogni volta che arriva uno strumento nuovo. Un inventario compilato una volta e dimenticato è peggio di nessun inventario, perché dà una sicurezza che non hai.

Non serve un software. Serve un foglio condiviso, un responsabile e la disciplina di riaprirlo. Quando i reparti diventano tanti, conviene una pagina dove ognuno compila la sua parte e il registro si aggiorna da solo.