L’intelligenza artificiale è ormai entrata nei processi di molte imprese italiane, comprese le piccole e medie aziende. Software per la selezione del personale, strumenti di analisi dei clienti e dei dati, sistemi di automazione e applicazioni capaci di generare testi, immagini e altri contenuti vengono spesso utilizzati in fase sperimentale, senza una valutazione altrettanto strutturata delle responsabilità e delle conseguenze giuridiche.
Il tema della governance riguarda anche realtà molto diverse da quelle impegnate nello sviluppo dei modelli più avanzati. Dario Amodei, amministratore delegato di Anthropic, ha chiesto di rallentare il ritmo di sviluppo delle tecnologie di frontiera, indicando tra le possibili misure valutazioni indipendenti e controlli più rigorosi. Una posizione condivisa anche da Sam Altman, CEO di OpenAI, e da Elon Musk. Il dibattito solleva una domanda che interessa ormai direttamente anche le imprese: chi controlla l’intelligenza artificiale e secondo quali regole?
Dalla sperimentazione alla governance
«Quella stagione pionieristica è conclusa», osserva l’avvocato Marco Sebastiano Accorrà, fondatore di MSÀ Community, realtà attiva nella consulenza legale e nella compliance aziendale, con particolare attenzione a privacy, nuove tecnologie e IA.
Il cambio di passo è legato anche all’AI Act, il Regolamento europeo 2024/1689 che disciplina sviluppo e utilizzo dei sistemi di intelligenza artificiale. Entrato in vigore il 1° agosto 2024, il quadro normativo è diventato progressivamente applicabile e riguarda non solo chi sviluppa i sistemi, ma anche le imprese che li utilizzano.
Per una PMI il primo passaggio consiste nel definire il proprio ruolo. L’azienda è considerata fornitore se sviluppa o immette sul mercato un sistema; più frequentemente agisce invece come deployer, cioè come soggetto che utilizza nella propria attività una soluzione realizzata da altri. Da qui nasce la necessità di mappare gli strumenti presenti, stabilire chi li approva e individuare chi deve gestire eventuali anomalie.
Formazione, controllo umano e trasparenza
La governance è anche una questione organizzativa. Secondo Accorrà, il personale incaricato deve avere alfabetizzazione, formazione e autorità adeguate per comprendere il funzionamento delle tecnologie e intervenire quando necessario. L’obbligo di adottare misure a sostegno dell’alfabetizzazione in materia di IA è applicabile dal 2 febbraio 2025 e richiede competenze proporzionate alle conoscenze, all’esperienza e al contesto di utilizzo.
Particolare attenzione è richiesta quando gli algoritmi incidono sui diritti delle persone, sul lavoro o sull’accesso ai servizi. L’output non può essere recepito senza verifica: il controllo umano deve consentire di comprendere i limiti del sistema, valutarne i risultati e correggerli se necessario. Per i sistemi ad alto rischio sono previsti obblighi specifici in materia di gestione del rischio, documentazione, accuratezza, cybersicurezza e supervisione.
Un ulteriore fronte riguarda i contenuti generati o manipolati artificialmente. Dal 2 agosto 2026 diventano applicabili gli obblighi di trasparenza previsti per determinate categorie di contenuti. Immagini, audio e video che costituiscono deepfake dovranno essere riconoscibili come artificiali. Regole specifiche riguarderanno anche testi generati o manipolati dall’IA e pubblicati per informare il pubblico su questioni di interesse pubblico, con l’eccezione dei casi in cui siano sottoposti a revisione umana o controllo editoriale e vi sia responsabilità sulla pubblicazione.
Per le imprese questo significa predisporre policy interne, procedure di approvazione ed etichettatura dei contenuti prima della diffusione. «Per le PMI non basta usare bene il software», sottolinea Accorrà: occorre sapere dove l’IA è già presente nell’organizzazione e quali rischi comporta.
Gli adempimenti si intrecciano con il GDPR. Quando un sistema tratta dati personali restano applicabili i principi di liceità, sicurezza e responsabilizzazione previsti dalla normativa sulla privacy. In presenza delle condizioni richieste può essere necessaria anche una valutazione d’impatto.
Il quadro italiano è stato inoltre definito dalla legge 132 del 23 settembre 2025, che ha individuato AgID e Agenzia per la cybersicurezza nazionale come autorità nazionali per l’intelligenza artificiale. Ad ACN sono stati attribuiti, tra gli altri, compiti di vigilanza, ispezione e sanzione; AgID svolge funzioni legate alla notifica, alla valutazione e al monitoraggio dei soggetti incaricati della verifica di conformità.
L’obiettivo, quindi, non è rinunciare all’intelligenza artificiale né limitarne l’uso in modo indiscriminato. Per le PMI si tratta di costruire regole proporzionate alle dimensioni dell’azienda e ai rischi effettivi, riducendo la possibilità di sanzioni o danni reputazionali e rendendo l’innovazione più sostenibile.