Il registro degli strumenti di intelligenza artificiale è un foglio di calcolo con una riga per ogni strumento usato in azienda: cosa fa, chi lo usa, quali dati ci entrano, con quale account, quanto è rischioso e chi ne risponde. Non è chiamato così dall'AI Act, ma è la base per dimostrare le misure dell'articolo 4 e si compila in mezz'ora.
- Otto colonne bastano: strumento, funzione IA, chi, per cosa, dati, account, rischio, responsabile e revisione.
- La colonna dei dati è quella che fa emergere i problemi veri.
- Gli strumenti «nascosti» si scoprono con sei domande in riunione, non con una circolare.
- Si aggiorna a ogni nuovo strumento e almeno una volta l'anno.
A cosa serve il registro (e perché è la prima cosa che ti chiederanno)
L'AI Act non usa la parola «registro» per chi semplicemente usa strumenti di intelligenza artificiale. Però l'articolo 4, nella versione in vigore dal 27 luglio 2026, chiede a chi usa sistemi di IA di adottare misure per la competenza del personale «tenendo conto del contesto» in cui i sistemi sono usati. Non puoi tenere conto di un contesto che non conosci: per questo l'elenco degli strumenti è il primo documento da preparare.
Serve anche fuori dall'AI Act. Il cliente grande che ti manda un questionario fornitori chiede quali strumenti trattano i suoi dati. Il GDPR ti chiede di sapere dove finiscono i dati personali. E un nuovo collaboratore capisce in cinque minuti cosa è permesso.
Le 8 colonne minime
Un registro utile sta in un foglio di calcolo con otto colonne. Di più è burocrazia; di meno non regge una domanda seria.
| # | Colonna | Cosa scrivere |
|---|---|---|
| 1 | Strumento e fornitore | Nome commerciale e azienda che lo fornisce (es. «Copilot – Microsoft»). |
| 2 | Funzione di IA | Cosa fa l'IA dentro lo strumento: genera testo, trascrive, classifica, risponde ai clienti. |
| 3 | Chi lo usa | Ruoli o nomi. Servirà a decidere chi formare. |
| 4 | Per cosa | Le attività reali: bozze di email, verbali, ricerca, preventivi. |
| 5 | Dati che ci finiscono dentro | Nessun dato personale / dati di clienti / dati sanitari o di lavoratori / documenti riservati. |
| 6 | Account | Aziendale con contratto, aziendale gratuito, personale del collaboratore. |
| 7 | Rischio e motivazione | Minimo, limitato (obblighi di trasparenza) o alto, con una riga di motivazione. |
| 8 | Responsabile e revisione | Chi risponde dello strumento e la data del prossimo controllo. |
La colonna che ti salva: i dati
La colonna 5 è quella che fa emergere i problemi veri. Uno strumento innocuo diventa delicato quando ci entrano buste paga, referti o contratti. Se in questa colonna compare «dati di clienti» e nella colonna 6 «account personale», hai trovato la prima cosa da sistemare. Ne parliamo nella guida su cosa si può inserire in ChatGPT e Copilot.
Come compilare la colonna del rischio
Per gli strumenti di uso comune (assistenti di scrittura, traduttori, antispam, trascrizione) la risposta è quasi sempre «minimo». Diventa «limitato» quando l'IA parla con il pubblico (un chatbot sul sito) o produce contenuti realistici che pubblichi: lì scattano gli obblighi di trasparenza dell'articolo 50. È «alto» solo nei casi elencati dall'AI Act, ad esempio software che seleziona o valuta il personale: per questi gli obblighi si applicano dal 2 dicembre 2027.
Esempio compilato per uno studio di 8 persone
Un esempio di fantasia, ma realistico, per uno studio tecnico con otto persone tra titolari, collaboratori e segreteria.
| Strumento | Funzione IA | Chi | Per cosa | Dati | Account | Rischio | Resp. / revisione |
|---|---|---|---|---|---|---|---|
| ChatGPT – OpenAI | Genera testo | 2 tecnici | Bozze di relazioni | Dati di clienti (da togliere) | Personale | Minimo – ma da passare ad account aziendale | Titolare / marzo |
| Copilot – Microsoft | Riassunti e bozze in Outlook e Word | Tutti | Email, verbali | Dati di clienti | Aziendale con contratto | Minimo | Titolare / marzo |
| Trascrizione riunioni (app sul telefono) | Trascrive audio | 1 collaboratore | Verbali di cantiere | Voci e nomi di terzi | Personale | Minimo – serve decisione | Segreteria / gennaio |
| Filtro antispam della posta | Classifica messaggi | Tutti (automatico) | Posta in arrivo | Aziendale | Minimo | Fornitore IT / annuale | |
| Chatbot del sito | Risponde ai visitatori | Pubblico | Domande frequenti | Nomi ed email dei visitatori | Aziendale | Limitato – avviso «stai parlando con un sistema automatico» | Titolare / giugno |
Due righe su cinque richiedono un'azione: l'account personale con dati di clienti e l'app di trascrizione. È esattamente il risultato atteso dal primo giro di censimento.
Come scoprire gli strumenti «nascosti»: le 6 domande da fare in riunione
Gli strumenti di IA usati senza che il titolare lo sappia (si parla di «shadow AI») non emergono con una circolare. Emergono con domande concrete, fatte senza tono da interrogatorio.
- Quali app o siti usi per scrivere o correggere testi? Include le estensioni del browser.
- Usi qualcosa per riassumere documenti o email lunghe?
- Registri o trascrivi riunioni e telefonate? Anche dal telefono personale.
- Hai mai incollato un testo di un cliente in un assistente online?
- Il gestionale o il CRM ha funzioni «intelligenti» attive? Spesso arrivano con un aggiornamento.
- Con quale account accedi? Email aziendale o personale.
Ogni quanto aggiornarlo e chi lo firma
Il registro si aggiorna in due momenti: quando arriva uno strumento nuovo (o una nuova funzione di IA in uno strumento che usi già) e almeno una volta l'anno con un controllo completo. Basta una riga in fondo: «Revisione del …, a cura di …». In una piccola impresa lo firma il titolare o la persona che ha delegato; in uno studio associato, uno dei soci. Collegalo alla policy aziendale sull'IA: la policy dice quali strumenti sono ammessi, il registro dice quali sono davvero in uso.
Errori comuni
- Copiare il registro di una multinazionale. Trenta colonne su valutazioni d'impatto e cicli di vita del modello non servono a chi usa strumenti acquistati: sono pensate per chi sviluppa sistemi.
- Dimenticare le funzioni di IA dentro i software già in uso. Posta, videoconferenze, gestionali e programmi di grafica hanno aggiunto funzioni di IA negli ultimi aggiornamenti.
- Scrivere «nessun dato» per abitudine. Se in uno strumento si incollano email dei clienti, i dati ci sono.
- Compilarlo una volta e dimenticarlo. Un registro con la data di un anno fa dimostra che non è stato seguito.
Per il quadro generale degli obblighi leggi anche AI Act per le piccole imprese: cosa devi fare davvero. Se preferisci compilarlo con qualcuno che conosce già i tuoi sistemi, la consulenza informatica Helpwebnet lo fa insieme a te.
Domande frequenti
Il registro degli strumenti AI è obbligatorio?
L'AI Act non usa la parola registro per chi usa strumenti comuni, ma è il modo più semplice per dimostrare che sai quali sistemi usi e che hai adottato misure come chiede l'articolo 4. Senza un elenco, nessun'altra misura è dimostrabile.
Devo inserire anche il filtro antispam o il correttore?
Sì, se hanno funzioni di intelligenza artificiale. Una riga basta: serve a mostrare che il censimento è completo.
Basta un foglio Excel?
Sì. Conta che sia aggiornato, datato e che qualcuno ne sia responsabile.
E se un collaboratore usa ChatGPT con l'account personale?
Va registrato comunque e va presa una decisione: vietarlo, consentirlo con regole o passare a un account aziendale. Il registro serve proprio a far emergere questi casi.
Il modello editabile è nel kit
Registro degli strumenti già impostato, policy in una pagina e materiale per la formazione: 1,99 €, con gli aggiornamenti.
Scarica il kit a 1,99 €Fonti: Regolamento (UE) 2024/1689 (AI Act), artt. 3, 4, 26 e 50, EUR-Lex · Regolamento (UE) 2026/1744 (Omnibus digitale sull'IA), EUR-Lex · AI Act Service Desk della Commissione · Garante privacy, Intelligenza artificiale
