Molte aziende scoprono di essere "deployer" ai sensi dell'AI Act nel modo peggiore possibile: non perché abbiano deciso di adottare un sistema di IA, ma perché i dipendenti hanno iniziato a usare ChatGPT, Copilot o Gemini in autonomia, senza che nessuno abbia formalizzato regole d'uso. Prima ancora di costruire una policy aziendale completa, ci sono cinque accorgimenti che riducono subito il rischio operativo.

1. Niente dati riservati o personali nei prompt di tool pubblici

La regola più semplice e più violata: quello che viene scritto in un prompt verso un servizio pubblico può, a seconda delle condizioni contrattuali del fornitore, essere usato per addestramento o comunque uscire dal perimetro aziendale. Codice sorgente proprietario, dati di clienti, informazioni finanziarie non pubbliche non dovrebbero mai finire in un prompt verso un tool consumer.

2. Verificare sempre l'output prima di usarlo

I modelli generativi producono contenuti plausibili, non necessariamente corretti (le cosiddette "allucinazioni"). Un output IA non verificato non dovrebbe mai diventare direttamente un documento verso un cliente, un'authority o una decisione che riguarda una persona (es. una valutazione di un candidato).

3. Dichiarare l'uso dell'IA quando rilevante

L'Art. 50 dell'AI Act impone trasparenza quando una persona interagisce con un sistema di IA (es. un chatbot) o riceve un contenuto generato artificialmente in contesti dove l'origine non sia già evidente dal contesto. Vale sia verso clienti esterni sia, per coerenza, verso i colleghi.

4. Tenere traccia di quali tool sono usati e per cosa

Un elenco anche minimale — quali tool IA sono in uso, in quali reparti, per quali attività — è il prerequisito per qualunque valutazione successiva su rischio, ruolo (provider/deployer) e obblighi applicabili. Senza questa mappa, ogni altra iniziativa di compliance parte da zero.

5. Formare, non solo vietare

Una policy che si limita a vietare l'uso dell'IA senza formare il personale tende a fallire: l'uso continua comunque, ma senza regole né tracciabilità. L'Art. 4 dell'AI Act chiede esplicitamente alfabetizzazione, non proibizione — è anche la strada più realistica.

Questi cinque punti non sostituiscono una policy interna completa né una valutazione strutturata degli obblighi applicabili alla singola azienda, ma sono un buon punto di partenza mentre si organizza la formazione formale del personale.