AI Act · Regolamento (UE) 2024/1689
L’intelligenza artificiale è già nella tua azienda. Anche se non l’hai adottata.
Dal 2 agosto 2026 una parte degli obblighi europei è in vigore. Non riguardano solo chi ha deciso di usare l’IA: anche chi se la ritrova dentro programmi che usa da anni.
Fino al 31 ottobre l’assessment è senza costo per le piccole realtà — fino a 3 PC e 5 utenti: ricevi l’inventario e una relazione di una pagina. Senza impegno.
Quelle che già conosci
Le conosci già, ma vanno censite lo stesso.
Non serve aver «adottato l’IA» per averla in casa: è già dentro strumenti che usi ogni giorno. Vanno messe nell’inventario anche queste.
Copilot
Nella barra di Windows, dentro Edge e dentro Microsoft 365: sono tre cose diverse, con licenze diverse.
Microsoft 365
Le funzioni Copilot dipendono dalla licenza. Con Office 2019, 2021 o 2024 non ci sono: stessi programmi, prodotto diverso.
Windows 11
Sui PC recenti con unità neurale: effetti fotocamera, sottotitoli in tempo reale, funzioni generative in Paint e Foto.
E tre che di solito sorprendono
Quelle a cui nessuno pensa.
01
Il tuo antivirus contiene moduli di apprendimento automatico.
È a rischio minimo e non ti crea problemi, ma va censito. È la voce che manca in nove inventari su dieci.
02
Se pubblichi testi o immagini generate, vanno dichiarati.
L'obbligo di trasparenza è scattato il 2 agosto 2026 e ricade sull'azienda, non su chi ha premuto il tasto.
03
Se il tuo gestionale attiva un modulo di selezione del personale, cambia categoria.
Screening dei curriculum e valutazione delle prestazioni sono classificati ad alto rischio, con obblighi dal 2 dicembre 2027. Il modulo si accende in un pomeriggio.
Il perimetro, non solo i PC
Dove si ferma una scansione.
Rilevare le postazioni è la parte che sappiamo fare bene, ed è quella che quasi nessuno fa. Ma le postazioni sono un terzo del perimetro. Preferiamo dirtelo prima, perché un inventario che non dichiara i propri confini non è un inventario: è una rassicurazione.
La quarta sorpresa, ed è la più grossa
Il telefono personale del dipendente, su cui passano i dati della ditta.
Non è il telefono a essere un problema: è la catena. WhatsApp con i clienti sul suo numero, la posta di lavoro sul suo dispositivo, la foto di un documento nel rullino. Sopra ci passa un assistente che quei contenuti li legge, li riassume e li archivia — e nessuno l’ha autorizzato, perché nessuno l’ha deciso.
Il giorno che quella persona se ne va, i dati sono già altrove: quel telefono non puoi ispezionarlo e non puoi ripulirlo. È l’unica voce del censimento che nessuno strumento risolve. Si chiude con una pagina firmata, e va fatta prima, non dopo.
E non si risolve comprando telefoni aziendali. Cambia chi possiede l’apparecchio, non che cosa ci si fa sopra: l’obbligo resta identico. Cambia soltanto che su un telefono aziendale puoi disattivare la funzione e dimostrare di averlo fatto. Non è mai lo strumento a contare, è l’uso — e l’uso o lo decidi tu, o te lo trovi deciso da qualcun altro.
01
Le postazioni
PC fissi, portatili, tablet Windows. Qui leggiamo davvero: programmi installati, estensioni dei browser, applicazioni web, presenza di unità neurale. Con lo strumento nostro, senza questionari da compilare a memoria. È la parte risolta.
02
Il servizio, non il computer
Copilot, Recall, Viva Insights, Purview si accendono lato Microsoft o Google e non lasciano traccia sul PC. Nessuna scansione dell’endpoint può vederli: si guardano nella console di amministrazione del tuo abbonamento.
03
I telefoni e i tablet
Siri e Apple Intelligence, Google Assistant e Gemini, Galaxy AI. Nessuna scansione li raggiunge. Per quelli aziendali serve la console di gestione; per quelli personali usati a fini di lavoro, una dichiarazione firmata. Non c’è una terza strada.
Il punto che cambia categoria
Non è un’apocalisse ed è giusto dirlo: un telefono con Siri usato per gli appunti resta dov’era, rischio minimo. Quello che sposta davvero è una funzione sola, e si attiva in due tocchi — la trascrizione e il riassunto automatico delle telefonate. Lì viene registrata la voce di un interlocutore che non ha acconsentito, dentro un servizio che nessuno in azienda ha autorizzato, e non è più soltanto una questione di AI Act.
Gli obblighi seguono il sistema, non il dispositivo. Se il telefono è del dipendente ma la telefonata è di lavoro, l’esposizione resta dell’azienda. Il dispositivo personale non è una via d’uscita: è la casella da mettere per iscritto.
Per questo il nostro rilevamento dichiara i propri confini. Ogni file prodotto elenca che cosa ha guardato e che cosa no, e quell’elenco entra nell’impronta digitale del documento insieme al resto. Se fra due anni qualcuno lo rilegge, sa distinguere «non c’era» da «non potevo vederlo». È la differenza fra un documento che regge e uno che sembra completo.
Cosa NON ti serve
Prima di dirti cosa serve, ti diciamo cosa risparmiarti.
Non ti serve una piattaforma di AI governance. Costano da diecimila euro l'anno e servono a chi gestisce sistemi ad alto rischio. Quasi nessuna piccola impresa ne ha.
Non ti serve un corso «obbligatorio a pena di sanzione». L'obbligo di alfabetizzazione non è assistito da sanzione: la formazione serve a evitare gli errori, non una multa. Chi te lo racconta diversamente ti sta vendendo la paura.
Non ti serve un fascicolo di cento pagine se hai cinque dipendenti e due persone che usano un assistente per scrivere le mail. Ti serve una pagina di regole e una decisione presa bene.
Cosa ti serve davvero
Quattro passi, non un fascicolo.
01
Sapere cosa c'è
Rileviamo le postazioni con uno strumento nostro: programmi, estensioni, applicazioni web e componenti di IA già incorporati nei prodotti in uso.
02
Regole d'uso scritte
Una pagina o un manuale, secondo le dimensioni. Il punto non è vietare: è che sia chiaro quando un dato esce dall'azienda.
03
Informare i lavoratori
L'unico obbligo che non dipende dalle dimensioni: art. 11 della legge 132/2025, in vigore dal 10 ottobre 2025.
04
Un'ora di formazione su cosa non fare
Prima che qualcuno in buona fede concluda che vada tutto bene.
Come lavoriamo
Quattro fasi, impegno misurato.
1. Assessment
Rilevazione, qualificazione dei sistemi, verifica delle pratiche vietate.
mezza giornata
2. Documenti
Regole d'uso, strumenti autorizzati, informativa ai lavoratori, integrazione privacy.
1–2 giornate
3. Formazione
Un'ora per tutto il personale. Sessione avanzata per i referenti solo se serve.
1 ora per gruppo
4. Presidio
Ogni anno: nuova rilevazione, confronto, aggiornamento dei documenti.
canone annuo
Se il fascicolo privacy è già nostro, parti da metà strada: l’inventario estende il registro dei trattamenti e la fase documentale costa meno.
Perché a noi
Rileviamo, non ti spaventiamo.
Rileviamo, non chiediamo
Lo strumento di inventario è nostro. Non ti mandiamo un questionario da compilare a memoria: leggiamo cosa c'è davvero sulle macchine.
Ti diciamo cosa non ti serve
È il motivo per cui questa pagina elenca ciò che puoi risparmiarti. Meglio un incarico piccolo e un cliente che torna.
Documenti che reggono fra due anni
Ogni rilevazione porta la data, la versione delle regole e chi le ha validate. Se un giorno te lo chiedono, la risposta è scritta.
I cinque livelli di rischio
Quanto spendi non dice quanto rischi.
Chi paga i piani migliori si crede a posto, chi non spende nulla si crede fuori. Due errori opposti: il rischio non segue la spesa, segue cosa fa lo strumento e su chi.
Nessun dato aziendale
Riformulare appunti propri, tradurre testi già pubblici.
Nessun obbligo.
indifferente
Dati aziendali non personali
Listini, procedure, testi tecnici, documentazione interna.
Riservatezza contrattuale e segreto industriale. Non è AI Act.
poco rilevante
Dati personali
Corrispondenza con i clienti, anagrafiche, documenti del personale.
GDPR. Esposizione fino al 4% del fatturato.
DECISIVO
Contenuti pubblicati
Testi e immagini generate che finiscono sul sito o sui social.
AI Act art. 50, in vigore dal 2 agosto 2026. Fino al 3%.
non aiuta
Decisioni sulle persone
Selezione dei candidati, valutazione delle prestazioni, assegnazione di turni e mansioni.
AI Act Allegato III, alto rischio dal 2 dicembre 2027. Fino al 3% più obblighi organizzativi.
non aiuta
Pratiche vietate
Dedurre emozioni dei lavoratori, raccogliere volti in modo indiscriminato.
AI Act art. 5, vietate dal 2 febbraio 2025. Fino al 7%.
non aiuta
Per le PMI si applica l’importo minore fra la percentuale e la cifra fissa (art. 99 par. 6 AI Act).
Il primo passo
L’assessment iniziale, senza costo fino al 31 ottobre.
L’assessment è un servizio con un valore di € 25 per utente(ogni utente va profilato singolarmente: 3 utenti sullo stesso PC valgono € 75). Rileviamo le postazioni, produciamo l’inventario dei sistemi di IA e ti consegniamo una relazione che dice, in una pagina, che cosa ti riguarda e che cosa no. Fino al 31 ottobre 2026 è senza costo per le piccole realtà, fino a 3 PC e 5 utenti. Oltre questi limiti — e, dopo quella data, in ogni caso — l’assessment diventa un progetto e si procede con un preventivo scritto. Nessun allarmismo, nessuna vendita di paura: solo i tuoi buchi reali e cosa serve chiudere. Senza impegno di prosecuzione.
Valore € 25 per utente. Senza costo fino a 3 PC e 5 utenti, entro il 31 ottobre 2026. Oltre i limiti, o dopo la data: preventivo scritto.
Enrico Magni · SistemiAz S.a.s. · Gazzaniga (BG) · 335 6080723