MC3 Innovation accompagna imprese ed enti in un percorso di AI Readiness focalizzato sulla governance, sul GDPR e sulla tutela dei dati personali.
Il nostro intervento può affiancare o integrare percorsi a maggiore contenuto tecnico e applicativo, concentrandosi in particolare sugli aspetti organizzativi, documentali e privacy.
Possiamo supportare il cliente nelle seguenti attività:
- mappatura degli strumenti di IA già utilizzati, compresi quelli non ufficiali;
- individuazione dei fenomeni di Shadow AI;
- censimento e classificazione dei casi d’uso;
- creazione di un registro interno degli strumenti e degli utilizzi dell’IA;
- analisi delle categorie di dati personali coinvolte;
- verifica dei fornitori e delle condizioni di utilizzo dei servizi;
- valutazione dei ruoli privacy e degli eventuali trasferimenti di dati;
- individuazione degli obblighi derivanti da AI Act e GDPR;
- aggiornamento di informative, registri dei trattamenti e valutazioni dei rischi;
- definizione delle regole di trasparenza;
- progettazione di percorsi di AI Literacy differenziati per ruolo;
- redazione di una policy aziendale personalizzata;
- supporto nell’implementazione concreta della policy;
- verifiche periodiche sull’effettiva applicazione delle regole.
L’obiettivo non è ostacolare l’innovazione, ma permettere all’azienda di utilizzare l’Intelligenza Artificiale in modo consapevole, sicuro, documentato e conforme.
Perché il rischio principale non è utilizzare l’IA.
È utilizzarla senza sapere chi la sta usando, con quali dati e secondo quali regole.
Con l’AI Act – Regolamento UE 2024/1689 – l’impiego dell’Intelligenza Artificiale diventa anche un tema di governance, responsabilità, trasparenza e conformità.
Per molte PMI che utilizzano soluzioni sviluppate da soggetti terzi – come Microsoft Copilot, chatbot, strumenti di IA generativa e agenti AI – il ruolo prevalente è quello di deployer, cioè di utilizzatore professionale di sistemi di Intelligenza Artificiale.
Per queste organizzazioni diventa quindi necessario sapere:
- quali strumenti di IA vengono utilizzati;
- chi li utilizza;
- per quali attività;
- quali dati vengono inseriti;
- quali fornitori trattano le informazioni;
- quali regole disciplinano l’utilizzo;
- come vengono controllati i risultati prodotti dall’IA.
Le principali scadenze dell’AI Act
2 febbraio 2025
Sono già applicabili:
- gli obblighi in materia di AI Literacy;
- il divieto di alcune pratiche di Intelligenza Artificiale considerate inaccettabili.
2 agosto 2026
Diventa applicabile gran parte delle disposizioni dell’AI Act, comprese numerose regole in materia di trasparenza.
2027-2028
È prevista l’applicazione progressiva delle disposizioni relative ai sistemi di IA classificati come ad alto rischio, secondo il calendario europeo e gli eventuali aggiornamenti normativi in corso.
Prima priorità: formazione e AI Literacy
L’AI Act richiede ai fornitori e agli utilizzatori professionali di sistemi di IA di adottare misure adeguate per assicurare un livello sufficiente di AI Literacy al personale e agli altri soggetti che utilizzano tali sistemi per loro conto.
L’obbligo è già applicabile dal 2 febbraio 2025.
Non è quindi sufficiente organizzare una formazione generica sulle potenzialità dell’Intelligenza Artificiale.
La formazione dovrebbe essere:
- adeguata agli strumenti concretamente utilizzati;
- differenziata in base ai ruoli aziendali;
- proporzionata ai rischi dei diversi casi d’uso;
- documentata e tracciabile;
- periodicamente aggiornata.
Un responsabile delle risorse umane, un addetto marketing, un amministrativo e un operatore del servizio clienti utilizzano infatti l’IA per finalità diverse e possono trattare categorie di dati molto differenti.
La formazione deve comprendere anche la protezione dei dati
L’utilizzo dell’Intelligenza Artificiale non riguarda soltanto l’AI Act.
Quando nei prompt, nei file allegati o nei documenti analizzati sono presenti dati personali, trovano applicazione anche i principi e gli obblighi previsti dal GDPR.
La formazione dovrebbe pertanto aiutare dipendenti e collaboratori a comprendere:
- quali informazioni possono essere inserite negli strumenti di IA;
- quali dati non devono essere caricati;
- come ridurre o anonimizzare le informazioni;
- quali strumenti sono stati autorizzati dall’azienda;
- perché non devono essere utilizzati account personali per trattare documenti aziendali;
- come verificare la correttezza degli output;
- quando è necessario richiedere una supervisione umana;
- come segnalare un utilizzo improprio o una possibile violazione dei dati.
Un dipendente può utilizzare uno strumento di IA con l’obiettivo positivo di lavorare più velocemente, senza sapere che i contenuti inseriti potrebbero essere conservati, trasferiti all’estero o utilizzati dal fornitore per migliorare il servizio.
Per questo motivo, la formazione rappresenta anche una misura concreta di prevenzione dei rischi privacy e di sicurezza.
Seconda priorità: trasparenza
Dal 2 agosto 2026 diventano applicabili numerosi obblighi di trasparenza previsti dall’AI Act.
Quando una persona interagisce con un chatbot o con un assistente basato sull’Intelligenza Artificiale, deve essere informata in modo chiaro, salvo che ciò risulti evidente dalle circostanze.
Specifici obblighi possono inoltre riguardare:
- immagini, audio e video generati o manipolati artificialmente;
- deepfake;
- determinati testi generati dall’IA e pubblicati per informare il pubblico;
- sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, nei casi in cui ne sia consentito l’utilizzo.
Le aziende devono quindi verificare non soltanto gli strumenti utilizzati internamente, ma anche le modalità con cui l’IA viene impiegata nei rapporti con clienti, utenti, dipendenti e collaboratori.
Il rischio poco visibile: la Shadow AI
A questi obblighi si aggiunge un rischio spesso già presente nelle organizzazioni, ma difficilmente rilevabile: la Shadow AI.
Con questa espressione si indica l’utilizzo di strumenti di Intelligenza Artificiale:
- non approvati dall’azienda;
- non censiti;
- non sottoposti a valutazione;
- utilizzati attraverso account personali;
- non visibili alle funzioni IT, privacy o sicurezza.
La Shadow AI può nascere da una buona intenzione: semplificare un’attività o ottenere più rapidamente un risultato.
Può accadere, ad esempio, che un dipendente utilizzi autonomamente un servizio di IA per:
- riassumere un contratto;
- correggere una comunicazione contenente dati di clienti;
- analizzare curriculum;
- predisporre un’offerta commerciale;
- elaborare un elenco di nominativi;
- sintetizzare un verbale;
- tradurre un documento riservato;
- generare codice o procedure interne;
- rispondere a una richiesta ricevuta da un cliente.
In questi casi possono essere trasferiti a servizi esterni documenti, listini, offerte, dati personali, informazioni sui dipendenti, know-how e altre informazioni riservate.
L’azienda rischia quindi di perdere il controllo sui dati senza essere consapevole che il trattamento sia avvenuto.
Vietare l’Intelligenza Artificiale non è sufficiente
Una comunicazione interna che vieta genericamente l’utilizzo dell’IA difficilmente elimina la Shadow AI.
Il rischio è che gli strumenti continuino a essere utilizzati in modo ancora meno visibile, attraverso dispositivi o account personali.
È preferibile adottare un modello di governance che permetta di:
- censire gli strumenti già utilizzati;
- individuare i casi d’uso;
- valutare i dati trattati;
- selezionare gli strumenti autorizzati;
- definire gli utilizzi consentiti e quelli vietati;
- formare il personale;
- monitorare periodicamente l’evoluzione delle tecnologie e dei rischi.
La policy aziendale sull’utilizzo dell’IA
Uno degli strumenti principali per governare l’utilizzo dell’Intelligenza Artificiale è una specifica policy aziendale.
Non dovrebbe trattarsi di un documento standard, ma di una disciplina costruita sulla realtà dell’organizzazione, sui processi effettivamente svolti e sulle categorie di dati trattati.
La policy dovrebbe definire almeno:
- gli strumenti di IA autorizzati;
- le modalità di richiesta e approvazione di nuovi strumenti;
- il divieto o i limiti all’utilizzo di account personali;
- le categorie di dati che non possono essere inserite;
- le regole per anonimizzare o minimizzare le informazioni;
- i casi in cui è necessaria un’autorizzazione preventiva;
- le modalità di controllo degli output;
- le attività per le quali è sempre necessaria la supervisione umana;
- le regole di trasparenza verso clienti, utenti e collaboratori;
- le procedure per segnalare errori, incidenti o utilizzi impropri;
- i ruoli e le responsabilità delle funzioni coinvolte.
La policy deve poi essere concretamente implementata, comunicata alle persone, accompagnata da istruzioni operative e aggiornata quando cambiano gli strumenti o le modalità di utilizzo.
Porta la tua azienda verso un'Intelligenza Artificiale sicura e conforme
Stai già utilizzando strumenti di Intelligenza Artificiale in azienda o vuoi introdurli in modo corretto? Ti aiutiamo a valutare i rischi, adeguarti all'AI Act e al GDPR, individuare eventuali situazioni di Shadow AI e definire una governance efficace. Contattaci per una consulenza personalizzata e scopri come utilizzare l'IA in modo sicuro, trasparente e conforme alla normativa.