Quasi ogni azienda usa già strumenti di intelligenza artificiale — un chatbot generativo per bozze di testo, un assistente di coding, un tool di trascrizione, un sistema di screening dei candidati. Raramente qualcuno ne ha una lista completa e aggiornata. Il Registro dei Sistemi AI è il censimento strutturato di questi strumenti: cosa si usa, chi lo usa, per quale attività, con quali dati, e con che livello di rischio secondo la piramide dell'AI Act.

Perché serve, anche senza un obbligo esplicito con questo nome

L'AI Act non chiede a ogni azienda, con queste parole, di "tenere un registro degli strumenti IA". Chiede però, tra le altre cose, di garantire sorveglianza umana sui sistemi in uso (Art. 14), di formare il personale in modo mirato al contesto d'uso (Art. 4), e — per i deployer di sistemi ad Alto Rischio — di monitorarne il funzionamento e gestire i fornitori con la dovuta diligenza. Tutte queste misure hanno un prerequisito implicito: sapere quali sistemi di IA sono effettivamente in uso in azienda. Un registro è lo strumento più diretto per soddisfare questo prerequisito, ed è anche la prima cosa che un auditor, un cliente in fase di due diligence o un'autorità di controllo chiedono di vedere.

Il problema dello Shadow AI

Il rischio più concreto non è quasi mai lo strumento approvato ufficialmente, ma quello che nessuno ha dichiarato: un dipendente che usa un account ChatGPT personale per lavorare su dati clienti, un'estensione di trascrizione installata sul browser aziendale senza passare dall'IT. Un censimento fatto con un modulo generico, lasciato alla buona volontà di chi risponde, raramente li fa emergere. Un censimento guidato per reparto, con domande mirate ed esempi concreti di Shadow AI da riconoscere, funziona molto meglio.

Cosa contiene un registro completo

Per ogni strumento censito, un registro utile registra almeno:

  • Identificazione — nome dello strumento, vendor, reparto o funzione che lo usa.
  • Finalità e dati trattati — per cosa viene usato, e se tratta dati personali, dati di clienti, know-how aziendale riservato, o nessuno di questi.
  • Ruolo AI Act — se l'azienda è provider, deployer, importer o distributor rispetto a quello specifico sistema.
  • Livello di rischio — dove si colloca nella piramide dell'AI Act: inaccettabile, alto rischio, rischio limitato o minimo.
  • Responsabile interno — chi risponde di quello strumento se qualcosa va storto.

Uno strumento vivo, non uno spreadsheet statico

Un registro compilato una volta e mai più aggiornato perde valore rapidamente quanto un attestato di formazione mai rinnovato: i team adottano nuovi strumenti, ne dismettono altri, cambiano fornitore. In aiACT il Registro dei Sistemi AI è incluso in ogni percorso e pacchetto formativo — non un servizio separato — ed è collegato alla Policy AI aziendale: i dipendenti vedono lo stato attuale del registro come appendice informativa quando accettano la policy, così il documento firmato e gli strumenti effettivamente in uso non si disallineano nel tempo. In qualunque momento è esportabile in un file pronto da presentare in un controllo.

Cosa significa per la tua azienda

Un registro aggiornato non è solo un adempimento formale: è la base su cui si costruisce ogni altra evidenza di conformità — dalla formazione mirata per chi usa davvero quello strumento, alla policy interna che ne regola l'uso, fino all'evidenza da esibire in caso di controllo. Senza, ogni altra misura rischia di restare scollegata dalla realtà di cosa succede davvero in azienda.