L’articolo 4 del Regolamento UE 2024/1689, l’AI Act, impone anche a chi usa sistemi di intelligenza artificiale, non solo a chi li produce, di garantire al personale un livello sufficiente di alfabetizzazione. Vale dal 2 febbraio 2025, e la vigilanza nazionale è partita il 2 agosto 2026.
L’adempimento però non comincia dalla formazione, ma da una domanda a cui quasi nessuna PMI sa rispondere: quali strumenti di intelligenza artificiale stiamo già usando?
In una riunione con cinque dirigenti ho fatto una domanda che sembrava banale: “Quale strumento usate per registrare e trascrivere le videochiamate?”. Cinque risposte diverse, e alcuni di quegli strumenti mandavano audio e trascrizioni su piattaforme che l’azienda non avrebbe mai approvato. Nessuno stava violando una procedura, perché la procedura non esisteva.
Non è un caso isolato. Nelle aziende che ho seguito negli ultimi due anni, quando ricostruiamo la mappa di quello che è in uso, circa un terzo degli strumenti risulta scelto dall’azienda: gli altri due terzi sono entrati da soli. È un’osservazione sul campo, non una statistica. E non si forma nessuno su strumenti che non sa di avere.
L’intelligenza artificiale non si compra più
Nel 2023 introdurla significava acquistare qualcosa. Oggi arriva per tre strade, e nessuna passa da una decisione.
Con gli aggiornamenti: il software che usi da anni aggiunge una funzione già attiva. Il riassunto della posta, lo scoring dei contatti nel gestionale, la lettura automatica delle fatture.
Dal browser: le estensioni si installano in dieci secondi e chiedono la lettura di tutto quello che compare a schermo, gestionale e posta compresi.
Da sola in riunione: gli assistenti che prendono appunti si collegano al calendario e si presentano nelle chiamate come partecipanti. Se un collaboratore ne ha attivato uno, entra anche nelle call con i clienti.
La domanda “abbiamo introdotto l’intelligenza artificiale?” ha una risposta ufficiale, il 16,4% delle imprese sopra i 10 addetti (ISTAT), e una risposta vera, più alta, che nessuno conosce.
Le sei tracce da cui si ricostruisce l’inventario
Si ricostruisce dalle tracce, in mezza giornata, non con un questionario: chi usa un account personale non lo dichiara in un modulo aziendale.
- Le spese ricorrenti. Estratto della carta aziendale, addebiti mensili fra i 10 e i 50 euro: la fascia degli abbonamenti comprati da singole persone, senza un ordine.
- Le applicazioni autorizzate sulla suite. È il controllo che nessuno fa e che scopre di più: nella console di amministrazione c’è l’elenco delle app di terze parti a cui qualcuno ha dato accesso con “accedi con l’account di lavoro”, con i permessi ricevuti su posta, file e calendario. Accessi permanenti, vivi anche quando la persona non usa più il servizio.
- Le estensioni del browser sui dispositivi aziendali.
- I partecipanti delle riunioni degli ultimi due mesi: cerca quelli che non sono persone.
- I log del firewall o del filtro DNS. Questi, come la console del punto 2, li chiedi a chi vi gestisce i sistemi.
- Le persone, con la domanda giusta. Non “usi l’intelligenza artificiale?”, a cui rispondono no in buona fede, ma: come hai preparato questo documento? Come sono nati questi appunti?
Le quattro domande su ogni strumento trovato
Non sono domande legali: sono tecniche, e la risposta si chiede al fornitore per iscritto.
- Dove vengono elaborati i dati, e per quanto restano. Chi dichiara di trattarli in Europa può appoggiarsi a un subfornitore che li elabora altrove, e certi assistenti conservano le trascrizioni per mesi: lo scopri solo chiedendo.
- Se i nostri contenuti addestrano i modelli. È la differenza fra piano gratuito e aziendale dello stesso strumento, e spesso l’interruttore è per singolo utente, non per azienda.
- Quali permessi ha sul nostro ambiente. Un conto è uno strumento in cui incolli un testo, un altro è uno che ha accesso permanente alla casella di posta: il secondo è un fornitore con le chiavi.
- Chi è l’intestatario del contratto. Se è una persona, quando se ne va lo strumento resta con lei, insieme a quello che ci ha caricato dentro.
Da lì, ogni strumento si tiene portando il contratto in capo all’azienda, si sostituisce con la versione aziendale, oppure si spegne, ma solo offrendo l’alternativa lo stesso giorno: un divieto senza sostituto non elimina lo strumento, lo fa scendere dall’account aziendale a quello personale, dove non lo vedi più.
Cosa rischi davvero
Sull’articolo 4 circolano due affermazioni sbagliate, verificabili sul testo del regolamento. La prima: non compare nell’elenco delle violazioni sanzionate dall’articolo 99, quello delle multe fino a 15 milioni. La seconda: l’AI Act non impone a un’impresa privata un registro dei propri strumenti di AI, l’iscrizione alla banca dati europea riguarda fornitori di sistemi ad alto rischio e soggetti pubblici.
A risponderne sei tu che guidi l’impresa, non il fornitore del software. E l’inventario non lo fai perché te lo chiede una legge: lo fai perché senza non sai quali norme ti riguardano. Nel caso dei cinque dirigenti erano tre: protezione dei dati, lo Statuto dei lavoratori sul controllo a distanza, la legge 132/2025, che ti obbliga a dire ai lavoratori quali sistemi usi e con quali logiche. E la formazione mancante non è l’illecito: è l’aggravante di tutti gli altri.
Con l’elenco in mano, la formazione si imposta in un pomeriggio. Tre gruppi: chi decide, chi tratta i dati, chi produce contenuti. Ognuno sui suoi strumenti, lasciando traccia scritta: chi ha partecipato, quando, su cosa. Senza elenco compri un corso uguale per tutti, e speri che basti.
E la prima volta che chiedi “cosa stiamo usando?”, rispondono tutti la stessa cosa.
Fonti
- Regolamento (UE) 2024/1689 (AI Act), articoli 4, 49 e 99: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- Legge 23 settembre 2025, n. 132: https://www.gazzettaufficiale.it/eli/id/2025/09/25/25G00143/sg
- ISTAT, “Imprese e ICT”, dicembre 2025: https://www.istat.it/comunicato-stampa/imprese-e-ict-anno-2025/
Gaetano Castaldo è fondatore e CEO di Castaldo Solutions, società di consulenza con sede operativa a Pavia che
affianca le PMI italiane su intelligenza artificiale e automazione, digitalizzazione, CRM e cybersecurity. Ingegnere informatico abilitato, ha quindici anni di esperienza, undici dei quali nella consulenza enterprise internazionale su progetti CRM e di trasformazione digitale. È certificato TOGAF 10 e Professional Scrum Master, e ha otto certificazioni Salesforce attive. Scrive di intelligenza artificiale applicata alle piccole e medie imprese su www.castaldosolutions.it.
