AI Act e PMI: cosa considerare quando introduci l'AI in azienda

Prima di tutto: una precisazione

Il regolamento europeo sull’intelligenza artificiale, noto come AI Act, ha portato all’attenzione delle aziende un tema che meriterebbe attenzione comunque: sapere quali sistemi AI si usano, con quali dati, con quali controlli e con quale supervisione. In questo articolo non interpretiamo la norma e non elenchiamo obblighi: ci concentriamo sulle pratiche tecniche e organizzative che rendono un’azienda ordinata, e che rendono più semplice qualsiasi verifica normativa affidata a professionisti.

Scriviamo dal punto di vista di chi progetta e integra sistemi AI nei processi aziendali: le indicazioni che seguono sono quelle che applichiamo nei progetti, indipendentemente dal contesto normativo.

Perché affrontare il tema in modo tecnico

Molte PMI hanno introdotto l’AI in modo graduale e poco visibile: un assistente generalista usato da alcune persone, una funzione AI attivata nel CRM, un componente aggiuntivo nella posta elettronica, un flusso documentale sviluppato da un fornitore. Il risultato è che spesso nessuno in azienda ha un elenco completo di dove l’AI è in uso, con quali dati e con quali effetti.

Questa mancanza di visibilità è un problema prima di tutto operativo: rende difficile capire dove si concentrano i rischi, chi è responsabile di che cosa e come intervenire se qualcosa non funziona. La normativa aggiunge una ragione ulteriore per fare ordine, ma la ragione principale resta il controllo dei propri processi.

Le pratiche che seguono sono organizzate in otto aree. Nessuna richiede tecnologie particolari; tutte richiedono metodo.

1. Mappare i sistemi AI in uso

Il primo passo è un inventario. Per ogni sistema o funzione AI in uso in azienda, anche se marginale, conviene registrare:

• che cosa fa (classifica email, estrae dati da documenti, genera testi, risponde a domande, suggerisce decisioni);
• chi lo usa (quali reparti, quali ruoli);
• chi lo fornisce (sviluppato internamente, da un fornitore su misura, incorporato in un software già in uso);
• quali dati riceve e quali produce;
• su quali processi ha effetto (informa una persona, scrive in un sistema, comunica con l’esterno);
• chi ne è responsabile in azienda.

L’inventario va tenuto aggiornato: ogni nuova funzione AI attivata, anche in un software esistente, va aggiunta. Un semplice registro condiviso è sufficiente per iniziare.

2. Dati: provenienza, qualità, perimetro

I sistemi AI lavorano su dati, e le domande da porsi sono le stesse che valgono per qualsiasi trattamento di dati aziendali, con qualche attenzione in più.

Provenienza. Da dove arrivano i dati che il sistema riceve? Sono dati dell’azienda, di clienti, di fornitori, di dipendenti? Contengono dati personali? Sono stati raccolti per finalità compatibili con questo uso? Queste domande vanno condivise con chi si occupa di protezione dei dati in azienda.

Perimetro. Il sistema riceve solo i dati necessari all’operazione, o riceve più di quanto serve? Nei progetti che realizziamo, il modello AI riceve il documento da elaborare e il contesto strettamente necessario (per esempio, l’elenco dei codici articolo candidati), non l’intero database.

Fornitori esterni. Se il sistema utilizza servizi AI di terzi, va verificato — con il fornitore e con i propri consulenti — dove vengono elaborati i dati, se vengono conservati, se vengono utilizzati per addestrare modelli e quali condizioni contrattuali si applicano. Le risposte a queste domande influenzano l’architettura: alcuni dati possono richiedere elaborazione locale o servizi con garanzie specifiche.

Qualità. Un sistema AI che lavora su anagrafiche duplicate, listini non aggiornati o documenti mal archiviati produce risultati inaffidabili. La qualità dei dati in ingresso è una precondizione tecnica, prima che un tema normativo.

3. Controllo degli accessi

Chi può usare un sistema AI, e su quali dati, deve essere definito e verificabile.

• Identità. Gli utenti accedono con la propria identità aziendale; i flussi automatici usano utenze tecniche dedicate, riconoscibili nei log.
• Permessi minimi. Ogni utente o flusso ha solo i permessi necessari. Un assistente per la documentazione risponde a ciascun utente solo con informazioni tratte dai documenti a cui quell’utente ha accesso.
• Separazione lettura/scrittura. Le operazioni che modificano i sistemi aziendali hanno permessi distinti da quelle di sola consultazione.
• Revoca. Deve essere possibile disattivare rapidamente un accesso, sia di una persona sia di un flusso automatico.

Questi principi sono gli stessi che valgono per qualsiasi sistema informativo. La differenza è che con l’AI la tentazione di dare “accesso a tutto per farla funzionare meglio” è più forte, ed è una tentazione a cui resistere.

4. Logging e tracciabilità

La tracciabilità è la pratica tecnica che più di ogni altra rende un sistema AI gestibile. Per ogni operazione rilevante, il sistema dovrebbe registrare:

• l’input ricevuto (o un riferimento a esso);
• il risultato prodotto dal modello;
• i controlli eseguiti e il loro esito;
• l’azione compiuta (scrittura, notifica, risposta) e su quale sistema;
• l’eventuale intervento umano: chi ha approvato, corretto o rifiutato, e quando;
• la versione del sistema e del modello in uso.

Il log serve a ricostruire che cosa è successo quando un risultato è sbagliato, a dimostrare come funziona il sistema quando qualcuno lo chiede e a migliorare la configurazione nel tempo. La conservazione dei log va definita con attenzione, perché i log stessi possono contenere dati personali.

5. Documentazione

Ogni sistema AI in uso dovrebbe avere una documentazione minima, comprensibile anche a chi non è tecnico:

• scopo e perimetro: che cosa fa e che cosa non fa;
• dati: quali riceve, quali produce, dove vengono conservati;
• architettura: quali componenti, quali fornitori, quali integrazioni;
• controlli: quali validazioni, quali soglie, quali punti di approvazione umana;
• limiti noti: casi in cui il sistema è meno affidabile e come vengono gestiti;
• responsabili: chi decide, chi gestisce, chi contattare in caso di problemi;
• storico delle modifiche: quando e perché il sistema è cambiato.

Quando il sistema è fornito da terzi, conviene chiedere al fornitore la documentazione corrispondente e conservarla insieme alla propria.

6. Supervisione umana

La supervisione umana non è una formalità: è il modo in cui l’azienda mantiene il controllo sugli effetti dei sistemi AI. Nella pratica si traduce in scelte di progettazione:

• punti di approvazione sulle operazioni che producono effetti rilevanti (scritture definitive, comunicazioni verso l’esterno, decisioni che riguardano persone);
• code di revisione per i casi che il sistema classifica come incerti, invece di forzare una risposta;
• possibilità di intervento in qualsiasi momento: correggere, annullare, disattivare;
• revisione periodica dei risultati, con un campione di casi verificati da una persona competente;
• formazione delle persone che supervisionano, perché sappiano che cosa il sistema fa, dove tende a sbagliare e come intervenire.

Un aspetto spesso trascurato: la supervisione è efficace solo se chi supervisiona ha tempo e strumenti per farlo. Una coda di revisione che nessuno guarda non è supervisione.

7. Il ruolo dell’azienda: fornitore o utilizzatore

La normativa europea distingue, in termini generali, tra chi sviluppa e mette a disposizione un sistema AI e chi lo utilizza nella propria attività, con responsabilità che possono differire. Per una PMI la domanda pratica è: per ciascun sistema nell’inventario, l’azienda lo ha sviluppato (direttamente o tramite un fornitore su misura) oppure lo utilizza come prodotto di terzi?

La risposta può non essere ovvia. Un’azienda che fa sviluppare un flusso documentale su misura si trova in una posizione diversa da una che attiva una funzione AI nel proprio CRM. E la stessa azienda può trovarsi in ruoli diversi per sistemi diversi.

Questa classificazione, insieme all’uso previsto del sistema e al tipo di effetti che produce, è il punto di partenza per qualsiasi valutazione normativa. Non è una valutazione che può essere fatta con un articolo: va fatta con professionisti qualificati, sulla base dell’inventario e della documentazione descritti sopra.

8. Verificare gli obblighi applicabili con professionisti

Tutto ciò che precede prepara il terreno. La verifica di quali disposizioni si applichino a ciascun sistema, con quali tempi e con quali adempimenti, richiede competenze legali e va affidata a consulenti qualificati, che potranno lavorare in modo più rapido e preciso se l’azienda arriva con un inventario, una descrizione dei dati, una documentazione dei controlli e dei log.

Il valore delle pratiche tecniche descritte in questo articolo è proprio questo: non sostituiscono la valutazione normativa, la rendono possibile.

Una checklist tecnica di partenza

Come affrontiamo questi aspetti nei progetti

Quando progettiamo un’integrazione AI per un’azienda, questi elementi non sono un’aggiunta finale: sono parte dell’architettura. Perimetro dei dati, credenziali dedicate, log completo, validazione con regole esplicite, punti di approvazione umana e documentazione del sistema vengono definiti in fase di analisi, prima del prototipo. È il modo in cui costruiamo gli agenti AI per aziende e i flussi di automazione dei processi con AI.

Nella pagina dedicata all’intelligenza artificiale per le aziende descriviamo come lavoriamo: analisi del processo, prototipo, integrazione con i sistemi esistenti e monitoraggio. Se vuoi confrontarti su un progetto in corso o in valutazione, puoi parlarci del tuo progetto. Per gli aspetti normativi, il riferimento restano i professionisti qualificati che seguono la tua azienda.