Una startup che usa strumenti di intelligenza artificiale, per scrivere codice, rispondere ai clienti o analizzare documenti, ha bisogno di una governance leggera ma scritta. La risposta pratica è questa: sapere quali tool si usano e per cosa, stabilire quali dati possono entrarci, verificare i contratti con i fornitori quando trattano dati personali, formare il team e capire in quale categoria dell'AI Act rientrano i vostri usi e il vostro prodotto. Non serve un comitato: servono una pagina di regole, un inventario e un responsabile.
In breve
- Fate un inventario di tutti i tool AI usati nel team, compresi quelli attivati da singole persone.
- Classificate i dati in tre livelli e scrivete quali possono entrare in quali tool.
- Se un tool tratta dati personali per vostro conto, serve un contratto con i contenuti dell'articolo 28 del GDPR.
- Gli obblighi di alfabetizzazione AI dell'AI Act si applicano dal 2 febbraio 2025 a fornitori e deployer di sistemi AI.
- L'AI Act è applicabile dal 2 agosto 2026, con eccezioni; le regole per i sistemi ad alto rischio dell'allegato III si applicano dal 2 dicembre 2027.
Perché serve una governance anche in cinque persone
In una startup i tool AI entrano dal basso: qualcuno prova un assistente per il codice, qualcun altro un servizio per trascrivere le call, un terzo carica documenti di un cliente in un chatbot per riassumerli. Ognuna di queste scelte può essere sensata, ma insieme creano tre rischi concreti:
- dati che escono senza controllo: informazioni dei clienti, codice proprietario o dati personali finiscono presso fornitori di cui non conoscete le condizioni;
- impegni contrattuali violati: molti contratti B2B limitano dove e come potete trattare i dati del cliente;
- domande a cui non sapete rispondere: i clienti enterprise chiedono sempre più spesso nei questionari fornitori quali sistemi AI usate e con quali garanzie.
Una governance minima vi permette di continuare a usare questi strumenti, con più tranquillità.
L'inventario dei tool
Il primo passo è sapere cosa si usa. Preparate una tabella con, per ogni tool:
- nome e fornitore;
- chi lo usa e per quale attività;
- piano o licenza (personale gratuita, a pagamento, aziendale);
- quali dati ci entrano;
- se il fornitore usa i dati per addestrare i propri modelli, secondo le condizioni del piano che avete;
- dove sono trattati i dati, secondo la documentazione del fornitore;
- chi è il responsabile interno.
Chiedete a tutti di segnalare anche i tool usati in prova. L'obiettivo non è vietare, ma vedere.
Regole sui dati in tre livelli
Una regola semplice funziona meglio di una politica lunga. Dividete i dati in tre livelli:
- pubblici o non sensibili: contenuti già pubblicati, documentazione generica, codice open source. Possono entrare nei tool approvati.
- interni: codice proprietario, documenti strategici, dati di prodotto non personali. Solo nei tool con piano aziendale e condizioni verificate.
- riservati o personali: dati dei clienti, dati personali, informazioni coperte da accordi di riservatezza. Solo nei tool espressamente approvati per quell'uso, con contratto adeguato, e solo se il contratto con il cliente lo consente.
Scrivete la regola in una pagina e mettetela dove il team la vede. Rivedetela quando cambia un fornitore o un cliente importante chiede garanzie specifiche.
Fornitori e GDPR
Quando un tool AI tratta dati personali per vostro conto, il fornitore è in genere un responsabile del trattamento. L'articolo 28 del GDPR richiede di usare solo responsabili che offrano garanzie sufficienti e di regolare il rapporto con un contratto che indichi, tra l'altro, oggetto, durata, natura e finalità del trattamento, tipi di dati e categorie di interessati. Il contratto deve prevedere che il responsabile tratti i dati solo su istruzioni documentate, garantisca la riservatezza del personale, adotti misure di sicurezza adeguate, rispetti le regole sui sub-responsabili e cancelli o restituisca i dati alla fine del servizio.
In pratica: verificate che il fornitore offra un accordo sul trattamento dei dati, leggete l'elenco dei sub-responsabili e conservate una copia di ciò che avete accettato. Se siete voi a trattare dati per i clienti attraverso un tool AI, quel tool diventa un vostro sub-responsabile e potreste doverlo comunicare al cliente.
AI Act: cosa sapere oggi
Secondo la pagina della Commissione europea sul quadro normativo per l'AI:
- l'AI Act è entrato in vigore il 1° agosto 2024 ed è applicabile dal 2 agosto 2026, con alcune eccezioni;
- dal 2 febbraio 2025 si applicano i divieti e gli obblighi di alfabetizzazione AI;
- dal 2 agosto 2025 si applicano gli obblighi per i modelli di AI per finalità generali;
- le regole di trasparenza si applicano da agosto 2026: ad esempio, le persone devono sapere quando interagiscono con una macchina e i contenuti generati come i deepfake devono essere identificabili;
- le regole per i sistemi ad alto rischio dell'allegato III, come biometria, istruzione, lavoro, si applicano dal 2 dicembre 2027; quelle per l'AI integrata in prodotti regolati dal 2 agosto 2028.
Le categorie di rischio sono quattro: inaccettabile, alto, rischio di trasparenza, minimo o nullo. Per l'AI a rischio minimo l'AI Act non introduce regole.
L'articolo 4 chiede a fornitori e deployer di sistemi AI di adottare misure per favorire l'alfabetizzazione AI del personale e delle altre persone che usano i sistemi per loro conto, senza richiedere di garantire un livello specifico per ogni individuo. Per una startup, una breve formazione interna documentata su come usare i tool, i limiti e le regole sui dati è un buon punto di partenza.
Se il vostro prodotto usa l'AI in uno dei settori dell'allegato III, ad esempio la selezione del personale, la scadenza del 2027 va inserita da subito nella roadmap di prodotto e verificata con un professionista.
Cosa fare nelle prossime quattro settimane
- Raccogliete l'inventario dei tool AI usati nel team.
- Scrivete la regola dei tre livelli di dati e condividetela.
- Verificate accordi sul trattamento dei dati e sub-responsabili dei tool che trattano dati personali.
- Organizzate una sessione interna di alfabetizzazione AI e tenetene traccia.
- Classificate gli usi interni e le funzioni AI del prodotto rispetto alle quattro categorie di rischio.
- Preparate una risposta standard per i questionari dei clienti sull'uso dell'AI.
- Se volete capire da dove partire nel vostro caso, contattateci.
Trovate un modello di inventario dei tool nelle Risorse.
Le fonti
- Commissione europea, quadro normativo sull'AI
- AI Act, articolo 4, alfabetizzazione in materia di AI
- GDPR, articolo 28
Questo articolo è un orientamento generale e non sostituisce una valutazione legale o di conformità sul vostro caso.
Iscrivetevi a Dispatch, la newsletter di PATAVIUM, per ricevere aggiornamenti su norme, scadenze e strumenti per la vostra startup.