Registro dei sistemi AI aziendali: cos'è, cosa contiene, come si tiene

Per un motivo di legge e per uno di buon senso. Quello di legge: l'AI Act impone obblighi diversi a seconda del tipo e del rischio dei sistemi usati, ma non puoi classificare né governare ciò che non sai di avere. Il censimento è il presupposto logico di ogni altro adempimento, dalla formazione proporzionata al ruolo fino alla policy d'uso.

Quello di buon senso: nella maggior parte delle PMI l'AI è entrata dal basso: l'impiegato che usa ChatGPT, il commerciale col traduttore automatico, il gestionale che ha "acceso" l'assistente AI in un aggiornamento. È il fenomeno dello shadow AI: strumenti in uso senza che la direzione lo sappia, con dati aziendali e personali che escono senza regole. Sapere chi usa cosa ha valore gestionale a prescindere dalla norma.

Per ogni sistema o strumento AI in uso, il registro documenta:

• Identificazione: nome dello strumento, fornitore, versione (es. ChatGPT Team, Copilot, modulo AI del gestionale);
• Utilizzo: quali funzioni aziendali lo usano e per quali attività;
• Dati trattati: che tipo di informazioni vi transitano (dati personali, dati di clienti, know-how);
• Classificazione del rischioai sensi dell'AI Act (minimo, limitato, alto) con le conseguenze pratiche;
• Presidi: chi è il referente, quale formazione ha ricevuto chi lo usa, quali regole della policy si applicano.

È meglio di niente, ma invecchia dal giorno dopo: gli strumenti AI in azienda cambiano più velocemente di qualsiasi altro software perché nuove funzioni AI compaiono dentro applicazioni già in uso, i reparti adottano strumenti nuovi senza passare dall'IT, i fornitori cambiano modelli e condizioni. Un registro statico fotografa il passato; in caso di verifica, un documento fermo a 18 mesi prima dimostra soprattutto che il presidio non c'è.

Nel nostro abbonamento il registro è uno strumento vivo in piattaforma: si aggiorna in modo guidato, si collega alla formazione delle persone che usano ciascuno strumento e si esporta in un documento presentabile in qualsiasi momento.

Inventario e registro sono la stessa cosa vista da due lati. L'inventario è la fotografia: quali strumenti di AI ci sono oggi in azienda e chi li usa. Il registro è la stessa fotografia tenuta aggiornata, con accanto per cosa si usa ogni strumento, quali dati ci passano, quale rischio comporta e chi ne risponde.

Si parte quindi dall'inventario, e la prima versione si fa in tre passi:

1. Elenca gli strumenti, reparto per reparto. Anche quelli gratuiti, anche quelli dentro software che usi già (il gestionale, la suite per l'ufficio, il CRM).
2. Per ognuno scrivi chi lo usa e per cosa.Il criterio è l'uso: chi non tocca uno strumento non entra nell'elenco.
3. Segna quali dati ci passano: dati personali, dati dei clienti, informazioni riservate. È la colonna che decide quali regole servono nella policy.

Da lì l'inventario diventa registro quando aggiungi la classificazione del rischio e lo tieni aggiornato.

Il primo censimento è la parte che spaventa e quella che facciamo insieme: un questionario guidato per reparto fa emergere gli strumenti dichiarati e quelli "sommersi", il nostro team classifica i sistemi individuati e il registro nasce già compilato. Per un'azienda di 20-50 persone parliamo di ore di lavoro, non di settimane.

Il registro è incluso nell'abbonamento insieme a formazione con attestato e policy d'uso: i tre pezzi dell'adempimento si tengono a vicenda.