Il Rinvio dell’AI Act Non Ferma i Rischi Operativi
La governance AI per le PMI parte da una domanda semplice: sai quali strumenti di intelligenza artificiale usa già la tua azienda? Secondo l’analisi pubblicata il 26 ottobre 2026 da Agenda Digitale, il rinvio degli obblighi “high-risk” dell’AI Act non sospende i rischi operativi, perché l’esposizione esiste dal giorno in cui un modello entra in un processo aziendale. Vale anche per un’impresa di Bassano del Grappa, Vicenza o Treviso con dieci dipendenti.
L’autore, Adriano Bertolino (esperto di privacy e cybersecurity), ricorda che dal 2 agosto l’AI Act è nella fase di enforcement e sono operative le regole di trasparenza dell’art. 50. L’AI Omnibus (Reg. UE 2026/1744) ha però spostato gli obblighi high-risk al 2 dicembre 2027 e, per i sistemi incorporati in prodotti regolamentati, al 2 agosto 2028.
L’Inventario dell’AI È la Prima Falla nelle Aziende
Secondo Bertolino, molte organizzazioni censiscono l’AI come un software, ma l’AI può nascondersi in strumenti di produttività, CRM, recruiting, antifrode, analisi documentale e piattaforme cloud acquistate senza un progetto qualificato come “AI”. Prima ancora di capire se un sistema ricade tra quelli ad alto rischio, serve sapere dove opera, con quali dati, per quale decisione e con quale autonomia.
L’analisi propone un “record sorgente” per ogni sistema, con finalità, fornitore, versione, dati, API, dipendenze, responsabile, log e criticità. Da quel record discendono poi le valutazioni specialistiche (privacy, sicurezza, AI Act).
Per una PMI veneta la nostra lettura, che è un’inferenza e non un dato della fonte, è che per partire bastano un foglio condiviso e un responsabile per partire. Un negozio di Treviso con chatbot sul sito, assistente AI nel gestionale e ChatGPT usato dall’amministrazione ha già tre sistemi da censire.
Il Contratto con il Fornitore Non Trasferisce il Rischio
Secondo la stessa analisi, per un servizio AI contano la disponibilità dei log, l’uso dei dati per il training, i subfornitori, le modifiche del modello, i tempi di notifica e la cancellazione dei dati. Se il fornitore può cambiare una componente rilevante senza che il cliente ne colga l’impatto, la conformità contrattuale può convivere con una governance debole.
Il testo ipotizza anche il caso di un assistente generativo che accede a repository interni senza che nessuno abbia definito chi possa sospenderlo o quali log conservare. L’analisi ipotizza il caso di un’impresa soggetta a NIS2 (direttiva europea sulla sicurezza delle reti). A nostro avviso non tutte le piccole aziende rientrano in quel perimetro: verifica con il tuo consulente se rientri nel perimetro.
| Cosa registrare | Esempio per una PMI |
|---|---|
| Strumento e fornitore | Chatbot del sito, assistente nel gestionale |
| Dati trattati | Email clienti, preventivi, anagrafiche |
| Responsabile interno | Titolare o responsabile amministrativo |
| Chi lo può sospendere | Nome e procedura in una riga |
Governance AI nelle PMI: da Dove Partire Questa Settimana
- Censisci gli strumenti AI: in una prima mezza giornata (stima nostra) elenca chatbot, assistenti nel gestionale e tool di scrittura usati dal team, con la tabella qui sopra.
- Nomina un responsabile per ogni strumento: una persona che sa spiegare a cosa serve, quali dati riceve e come si spegne.
- Rileggi i contratti dei fornitori: controlla uso dei dati per il training, log disponibili e cancellazione dei dati, e riesamina l’elenco quando cambia modello, fornitore o finalità.
Se ti serve una mano a mappare gli strumenti AI e a integrarli in modo ordinato su sito e processi, noi di ikwaba possiamo aiutarti: vedi la nostra pagina sull’intelligenza artificiale per le aziende.
Domande Frequenti
Vuoi mettere ordine negli strumenti AI della tua azienda? Contatta ikwaba per una consulenza gratuita →
Fonte: Adriano Bertolino, “Governance dell’AI: come integrare AI Act, GDPR e NIS2”, Agenda Digitale, 26 ottobre 2026.
