Le licenze enterprise (ChatGPT Enterprise, Copilot) bastano per l'AI Act?

No. Una licenza enterprise di ChatGPT, Copilot o simili protegge i tuoi dati, non certifica la tua conformità all'AI Act. Sono due cose che rispondono a domande diverse.

È un equivoco frequente tra chi lavora con cura: "uso la versione enterprise che non usa i miei dati per l'addestramento e tengo l'uomo nel processo, quindi sono a posto". Ottima scelta per la privacy. Ma l'obbligo di alfabetizzazione dell'articolo 4 non guarda il tuo contratto di licenza: guarda le persone.

Cosa risolve davvero la licenza enterprise

Molto, sul fronte dati. Le versioni enterprise di solito non usano i tuoi input per addestrare i modelli, offrono più controlli di sicurezza e ti danno garanzie contrattuali. Roba che conta per il GDPR e per la fiducia dei clienti.

Anche l'approccio "human-in-the-loop", con una persona che rivede sempre l'output, è sano: gestisce qualità e responsabilità. Continua a usarlo.

Il punto è che stai rispondendo alla domanda "i miei dati sono al sicuro?". L'articolo 4 fa un'altra domanda.

Cosa chiede l'articolo 4 (e la licenza non tocca)

L'articolo 4 è nominale: riguarda la competenza del singolo che usa lo strumento, non la potenza dello strumento.

Tradotto: la norma vuole sapere se tu, e chiunque nel tuo studio o azienda usi l'AI, avete un livello adeguato di competenza e siete in grado di dimostrarlo. Il tool più blindato del mondo non risponde per te. La competenza è delle persone, non del software.

Serve quindi una formazione documentata con attestato per chi usa l'AI, un registro dei sistemi AI che elenchi anche i tuoi strumenti enterprise, e una policy interna con le regole d'uso. La licenza enterprise entra nel registro come uno degli strumenti: non lo sostituisce.

L'errore da evitare

Confondere il livello dei dati con il livello delle persone. Sono due piani separati:

Il piano dei dati: privacy, sicurezza, GDPR. Qui la licenza enterprise e l'human-in-the-loop lavorano bene.

Il piano delle persone: competenza dimostrabile sull'AI. Qui serve formazione e documentazione, indipendentemente da quanto è buono il tuo abbonamento.

Un contratto enterprise non ha mai formato nessuno. È bravo a proteggere, non a insegnare.

In pratica

Tieni la licenza enterprise: è un punto a tuo favore e lo scrivi nel registro. Poi aggiungi la parte che manca, cioè la formazione e il resto del fascicolo. Se vuoi capire prima perché l'AI Act ti riguarda anche usando pochi strumenti, parti da lì; se invece vuoi sapere cosa preparare per un controllo, guarda il fascicolo da esibire. La guida all'articolo 4 chiude il cerchio.

Domande frequenti

Se uso ChatGPT Enterprise che non usa i miei dati sono in regola con l'AI Act? No. La licenza enterprise protegge i dati (rilevante per il GDPR), ma non copre l'obbligo di alfabetizzazione dell'articolo 4, che riguarda la competenza documentata delle persone che usano l'AI.

L'approccio human-in-the-loop basta a mettermi in regola? No. È un'ottima pratica per qualità e responsabilità, ma non sostituisce la formazione dimostrabile né la documentazione (registro e policy) richieste dall'AI Act.

Perché l'articolo 4 è "nominale"? Perché guarda la competenza del singolo utente, non le caratteristiche dello strumento. La formazione e l'attestato sono legati alla persona, non alla licenza software.

La licenza enterprise serve comunque a qualcosa nell'AI Act? Sì: la inserisci nel registro dei sistemi AI ed è un elemento a tuo favore sul piano della sicurezza dei dati. Semplicemente non sostituisce formazione e documentazione.