Formazione AI e sviluppo su misura · Bergamo, Italia
ITEN
Guida operativa per PMI e freelancer italiani: alfabetizzazione AI (art. 4), DPA con i fornitori (GDPR) e registro dei sistemi, con i passi concreti in ordine di priorità.
Tre cose che valgono per tutti, anche se non sai ancora se i tuoi sistemi rientrano nell'alto rischio. Si fanno nell'ordine che segue.
Per l'alto rischio (Allegato III) gli obblighi si applicano dal 2 dicembre 2027, secondo il Regolamento (UE) 2026/1744. Ma queste tre cose valgono indipendentemente dalla categoria di rischio dello strumento che usi. E la maggior parte delle PMI italiane non le ha ancora affrontate.
Andiamo per ordine.
Il più sottovalutato. L'Art. 4 dell'AI Act, applicabile dal 2 febbraio 2025 e sostituito dal Regolamento (UE) 2026/1744 dal 27 luglio 2026, dice che fornitori e deployer adottano misure per sostenere l'alfabetizzazione AI di chi usa i sistemi per loro conto. È un obbligo di misure, non di risultato: non impone un livello specifico. Non solo i tecnici: chiunque usi questi sistemi per te.
Non serve un corso costoso. Serve poter mostrare le misure che hai adottato. In pratica:
Il punto: il contabile che usa l'AI per le note spese rientra nell'ambito dell'Art. 4. Non è un obbligo per i soli developer o i team IT. È trasversale.
La mia lettura: le PMI che si avvicinano alla compliance si concentrano sul registro (obbligo 3) e saltano l'alfabetizzazione (obbligo 1). Sbagliato.
Ogni volta che un dipendente inserisce dati aziendali in un sistema AI, stai trasferendo dati a un data processor. Il GDPR ti obbliga ad avere un Data Processing Agreement con ogni fornitore.
Anthropic, OpenAI, Google hanno tutti il loro DPA standard per le aziende europee. Il problema: quasi nessuna PMI italiana l'ha firmato formalmente. Si usa il tool, si accettano i termini generali, e si ignora la questione del trattamento dati.
Cosa fare:
Attenzione ai dati sensibili. Dati personali di clienti, dati sanitari, informazioni riservate non vanno mai inseriti in un prompt AI senza un DPA in regola. Se un tool non ha un DPA per aziende europee, smetti di usarlo per dati aziendali.
Questo non dipende dall'AI Act. È un obbligo GDPR attivo da anni.
Se usi sistemi AI che rientrano nelle categorie dell'Allegato III AI Act, gli obblighi del deployer (art. 26) si applicano dal 2 dicembre 2027: un registro documentato è la base per prepararli. Le categorie ad alto rischio includono sistemi usati in:
Per la maggior parte delle PMI italiane, i sistemi ad alto rischio sono pochi o zero. Ma vale la pena fare la verifica, perché il registro ti serve comunque come base documentale per qualsiasi audit, anche su sistemi a rischio limitato.
Come strutturarlo:
Se hai dubbi sulla classificazione, l'AGID e la Commissione Europea pubblicano linee guida operative. Conviene ricontrollarle ogni tanto: cambiano.
I 3 obblighi sono ordinati per priorità e difficoltà crescente:
Se vuoi che il team parta da una base comune sull'uso dell'AI, il punto 1, faccio formazione aziendale: sessioni pratiche su Claude sul lavoro di ogni giorno.
I dettagli su giovanniliguori.it/formazione-aziendale.