Il registro sistemi AI: il primo documento da avere

Perché il registro viene prima di tutto

L'AI Act ha scadenze diverse: per i sistemi ad alto rischio gli obblighi si applicano dal 2 dicembre 2027 (Allegato III) e dal 2 agosto 2028 (Allegato I). Se usi AI in azienda, anche solo uno strumento come Claude, ChatGPT o qualunque altro modello per lavoro, sei un deployer AI ai sensi del regolamento.

Non serve entrare nel merito giuridico completo. Il punto concreto è questo: se arriva un'ispezione o una contestazione, dimostrare che hai ragionato su cosa usi e chi ne risponde vale moltissimo. Il registro è la prima cosa che puoi fare adesso, da solo, senza pagare nessuno.

Cosa va dentro il registro

Non serve un formato specifico. Serve che contenga almeno questi dati per ogni sistema AI che usi:

1. Nome del sistema: es. Claude (Anthropic), ChatGPT (OpenAI), Gemini (Google)
2. Versione o piano: es. Claude Max, API, GPT-4o
3. Scopo d'uso: es. "rispondere alle email dei clienti", "scrivere bozze di contratti", "analizzare i dati di vendita"
4. Contesto di uso: chi lo usa in azienda (ruolo, non necessariamente il nome)
5. Responsabile: la persona che risponde di come viene usato quel sistema
6. Data di inizio uso
7. Dati in input: quali dati entrano nel sistema (es. "testi interni", "dati clienti anonimizzati")

Un foglio Google Sheets o Excel va bene. Non serve un software dedicato.

Il template

Copia questa struttura e compila una riga per ogni strumento AI:

| Sistema AI | Versione | Scopo | Chi lo usa | Responsabile | Data inizio | Dati in input | |---|---|---|---|---|---|---| | Claude | Max | Bozze email clienti | Customer care | Mario Rossi | gen 2026 | Testi interni | | ChatGPT | GPT-4o | Ricerca di mercato | Marketing | Maria Bianchi | nov 2025 | Testi pubblici |

Se hai meno di 5 persone in azienda, bastano 3 colonne: sistema, scopo, responsabile.

Come valutare il rischio di ogni sistema

L'AI Act distingue i sistemi AI per livello di rischio. Non tutti i tuoi strumenti sono uguali:

1. Rischio inaccettabile (vietati): sistemi di monitoraggio delle emozioni sul lavoro, scoring sociale, biometria in massa. Se ne hai uno, fermati e consulta un esperto.
2. Rischio alto: sistemi che prendono decisioni che impattano le persone. Selezione CV, valutazione creditizia, scoring assicurativo, accesso a servizi essenziali. Obblighi pesanti: valutazione di conformità, supervisione umana obbligatoria, logging dei dati.
3. Rischio limitato: chatbot, generatori di testo, raccomandatori di contenuto. Obbligo principale: trasparenza verso chi interagisce con il sistema (l'utente deve sapere che sta usando un AI).
4. Rischio minimo: tool interni per produttività, analisi di testo, bozze. Pochi obblighi formali, ma il registro resta utile per dimostrare consapevolezza se arriva un'ispezione.

Per ogni sistema nel registro, aggiungi una colonna "livello di rischio stimato" con una di queste 4 categorie. Se non sei sicuro, scrivi "da valutare" e consulta chi di competenza.

Il responsabile AI: chi nominare e cosa firma

Non serve un ruolo formale dedicato. Per una PMI sotto i 50 dipendenti, il responsabile AI può essere il titolare, il responsabile IT, o il responsabile della funzione che usa di più i tool AI.

Cosa deve fare:

1. Tenere il registro aggiornato
2. Verificare che il team usi i tool AI in modo conforme alla policy interna
3. Essere il punto di riferimento in caso di contestazioni o ispezioni

Basta una lettera di nomina interna, firmata dal titolare. Due paragrafi bastano: "Il sottoscritto nomina [nome] come responsabile dei sistemi AI in uso presso [azienda], con effetto dal [data]."

La policy uso AI: il secondo documento

Anche solo una pagina. Deve rispondere a queste domande:

1. Quali tool AI sono autorizzati in azienda?
2. Per quali attività si possono usare?
3. Quali dati NON devono mai entrare nei prompt AI (dati personali di clienti, contratti riservati, dati sensibili)?
4. Chi è autorizzato a usarli?

Se hai già il registro, la policy viene da sola: guarda le note sullo scopo d'uso e trasformale in regole esplicite.

Cosa fare adesso

Se non esiste ancora nessuno di questi documenti:

1. Inizia dal registro. Passa un'ora a elencare tutti i tool AI che usi, anche quelli che sembrano marginali.
2. Nomina un responsabile. Anche informalmente per ora. L'importante è che ci sia un nome.
3. Scrivi 5 righe di policy. Solo le cose essenziali per il tuo team: cosa si può fare, cosa no, chi chiamare in caso di dubbio.

Tre passi. Mezza mattina.

Se dopo questa fase vuoi che anche il team impari a usare l'AI con regole chiare sui dati, faccio formazione aziendale. Trovi info su giovanniliguori.it/formazione-aziendale.

Voce sintetica generata. Questo contenuto è informativo e non costituisce consulenza legale. Per la tua situazione specifica, consulta un professionista qualificato in materia di compliance AI.