Cosa sta succedendo
Da quando l'Articolo 50 dell'AI Act è entrato in vigore il 2 agosto (ne abbiamo parlato qui prima della scadenza e qui subito dopo), qualcosa che avevamo previsto ha iniziato a concretizzarsi: le grandi aziende non si limitano a essere conformi loro stesse, ma stanno anche verificando la propria catena di fornitura. Banche, assicurazioni, pubbliche amministrazioni e grandi aziende hanno iniziato a inviare questionari e richieste di prove alle PMI con cui lavorano, chiedendo come usano l'intelligenza artificiale e se possono dimostrarlo per iscritto.
Non è un'anomalia isolata: è il comportamento tipico di qualsiasi nuovo quadro normativo con sanzioni reali. Le grandi aziende gestiscono il proprio rischio trasferendo parte dell'onere ai propri fornitori — come già accade da anni con la protezione dei dati (GDPR) o la cybersicurezza.
Perché riguarda anche te, anche se non vendi "IA"
L'errore più comune è pensare che l'AI Act riguardi solo le aziende che sviluppano o vendono sistemi di intelligenza artificiale. Non è così. Il regolamento distingue tra fornitori (chi sviluppa il sistema) e deployer (chi lo utilizza nella propria attività), ed entrambi hanno obblighi.
Se la tua azienda paga un abbonamento a ChatGPT, ha Copilot attivo in Microsoft 365, usa un chatbot per l'assistenza clienti, o ha qualsiasi strumento con IA integrato nel CRM o nel sito web, sei un deployer ai sensi del regolamento. E se quello strumento interagisce con i clienti o genera contenuti, entrano in gioco gli obblighi di trasparenza dell'Articolo 50 che abbiamo già trattato negli articoli precedenti.
Il vero divario: adozione alta, governance bassa
Il motivo per cui questo tipo di richiesta coglie così tante PMI impreparate è un divario ben documentato: l'adozione dell'IA tra le PMI spagnole è tra le più alte d'Europa, ma la governance non ha tenuto il passo. Secondo i dati di IONOS/YouGov, il 41% delle PMI spagnole usa già l'IA quotidianamente, guidando l'adozione in Europa, e secondo Adigital l'89% delle aziende spagnole si aspetta di guadagnare efficienza dall'IA. Ma testate specializzate come La Ecuación Digital hanno documentato che buona parte di questa adozione avanza senza la governance minima ora richiesta dal regolamento: nessun inventario degli strumenti in uso, nessuna policy interna, nessuno designato come responsabile.
È esattamente questo vuoto che un questionario di una banca o di un grande cliente mette improvvisamente in luce.
Cosa chiedono esattamente
Il formato varia da azienda ad azienda, ma la maggior parte di queste richieste ruota attorno agli stessi punti:
- Inventario degli strumenti IA in uso — quali sistemi usate, per quali processi e da quando.
- Prova di trasparenza verso il cliente — se un chatbot o contenuti generati dall'IA raggiungono gli utenti finali, prova che siano identificati come tali (Articolo 50).
- Una policy interna minima sull'uso responsabile dell'IA — non serve un documento di 40 pagine, ma deve essere formale e datato.
- Un responsabile designato — una persona di contatto per le questioni di conformità IA, anche se è la stessa che già si occupa del GDPR.
- Una registrazione di quando avete iniziato a valutare la questione — la data conta: dimostra diligenza anche se il processo non è completo.
Non ti chiedono la perfezione, ti chiedono la prova che stai gestendo il rischio. Una banca non si aspetta che una PMI di 8 persone abbia lo stesso apparato di conformità di una banca. Si aspetta di vedere che il tema è sul tavolo, documentato e con un responsabile.
Cosa fare questa settimana se ti è arrivata l'email
- Non ignorarla e non rimandarla a "quando ci sarà tempo". Questi questionari hanno solitamente una scadenza per la risposta, e non rispondere può compromettere il rapporto commerciale, non solo la conformità legale.
- Fai l'inventario entro 48 ore. Elenca quali strumenti IA usa oggi la tua azienda: chat di assistenza clienti, generazione di contenuti, Copilot, CRM con IA, qualsiasi cosa. Sii esaustivo, non limitarti agli strumenti ovvi.
- Scrivi una policy di una pagina. Quali strumenti sono consentiti, per quali usi, chi è responsabile, e come viene etichettato il contenuto generato dall'IA per il pubblico.
- Rispondi al questionario con ciò che hai, datato. Meglio una risposta onesta e in corso d'opera che il silenzio o una risposta generica senza sostanza.
- Conserva tutto. L'email ricevuta, la tua risposta, la data dell'inventario e della policy. Quella documentazione è la tua prova se le autorità di vigilanza o il cliente stesso richiedono nuovamente informazioni.
Come evitare di farsi cogliere di sorpresa la prossima volta
Se questa volta è stato un cliente a farti reagire, la prossima potrebbe essere un'ispezione delle autorità di vigilanza, l'audit di un altro cliente, o una due diligence in un'operazione di finanziamento. Avere già pronti l'inventario e la policy — anche prima che qualcuno li chieda — trasforma una situazione di stress in una formalità di cinque minuti.
Conclusione
L'AI Act ha smesso di essere una preoccupazione astratta su sanzioni lontane: si sta già muovendo lungo la catena di fornitura, dalla grande azienda alla PMI fornitrice, sotto forma di questionari molto concreti. Le aziende che rispondono con una base minima di governance — inventario, policy, responsabile — non solo evitano attriti con clienti importanti, ma arrivano anche più preparate al giorno in cui l'ispezione sarà diretta.
In Dataverse Solutions aiutiamo le PMI a costruire questa base di conformità in giorni, non mesi, così che un'email di un cliente o delle autorità smetta di essere un'emergenza.