“Usare l’AI senza regole è come guidare senza patente. Funziona, finché non succede qualcosa.”
L’AI è ovunque. Anche dove non la vedi.
L’intelligenza artificiale non è più un argomento da convegni: è già dentro gli strumenti che usiamo ogni giorno. Nei sistemi di pianificazione del personale, nei CRM, nei software documentali, nelle email. Spesso senza che qualcuno in azienda ne abbia valutato le implicazioni.
Il rischio più sottovalutato non è “usare l’AI”. È usarla in modo non governato. Si chiama shadow AI: dipendenti che caricano contratti, dati clienti o informazioni riservate su strumenti pubblici, senza che l’azienda sappia, senza garanzie di sicurezza, senza conformità normativa. Spesso in buona fede, convinti di fare efficienza.
La domanda non è “usiamo l’AI?” quasi certamente sì. La domanda è: “sappiamo come la usiamo e chi risponde se qualcosa va storto?”
Non è solo ChatGPT: l’AI agentica cambia le regole.
C’è una differenza sostanziale tra chiedere una risposta a un modello linguistico e affidargli un processo aziendale. La prima è una consulenza veloce. La seconda è una delega.
L’AI agentica è sistemi che agiscono in autonomia: accedono a database, compilano moduli, avviano workflow, prendono micro-decisioni. In settori come la sicurezza privata, le pulizie industriali o la gestione eventi, dove la pianificazione del personale è il cuore operativo, questi sistemi si intrecciano con il lavoro quotidiano di decine o centinaia di persone.
Più autonomia significa più efficienza. Ma significa anche: più responsabilità da definire, più processi da presidiare, più domande a cui rispondere prima di partire.
Una delle questioni centrali nell’adozione dell’AI agentica è stabilire quanto controllo umano deve essere mantenuto e in quale forma. Non si tratta di sfiducia nella tecnologia: si tratta di responsabilità legale, etica e operativa. Nessun sistema automatizzato può essere ritenuto responsabile di una decisione che impatta persone reali. Quella responsabilità resta sempre in capo a qualcuno in azienda.
In questo senso, il mondo della governance AI ha sviluppato tre modelli distinti di supervisione umana, che si differenziano per grado di intervento:
| Modello | Come funziona | Quando usarlo | Rischio |
| Human in the loop (raccomandato) | L’essere umano valida ogni decisione prima che venga eseguita. L’AI propone, la persona approva. | Decisioni ad alto impatto: variazioni contrattuali, accesso a dati sensibili, comunicazioni critiche verso clienti. | Basso. Rallenta i processi ma garantisce piena responsabilità. |
| Human on the loop (da valutare) | L’AI agisce autonomamente, ma un supervisore monitora il flusso in tempo reale e può intervenire per correggere o bloccare. | Processi ripetitivi e a basso rischio individuale, ma con volumi elevati: scheduling, notifiche automatiche, reportistica. | Medio. Richiede che il supervisore sia davvero attivo e formato per riconoscere anomalie. |
| Human out of the loop (attenzione) | Il sistema opera in piena autonomia, senza supervisione diretta. Le decisioni vengono eseguite senza validazione umana. | Solo per processi tecnici a bassissimo rischio e reversibili, mai per decisioni che riguardano persone. | Alto. In molti contesti aziendali e normativi (AI Act, GDPR) questo modello non è ammissibile. |
L’AI Act europeo, per i sistemi ad alto rischio, rende obbligatorio il presidio umano. Non è una scelta organizzativa: è un requisito di legge. Progettare un sistema AI senza definire chi supervisiona, e come, non è efficienza, è un’esposizione al rischio.
AI Act e GDPR: la conformità normativa non è opzionale.
L’AI Act europeo classifica i sistemi di intelligenza artificiale per livello di rischio. I sistemi ad alto rischio — tra cui quelli usati in ambito sanitario, nella gestione delle risorse umane e nei processi decisionali che riguardano i lavoratori sono soggetti a requisiti stringenti: trasparenza, supervisione umana, documentazione tecnica, registri di utilizzo.
Il GDPR rimane lo strato base. Dati personali più AI significa: obbligo di trasparenza verso gli interessati, minimizzazione dei dati, diritto di opposizione alle decisioni automatizzate. In sanità, la sovrapposizione tra le due normative è particolarmente densa: ogni algoritmo che elabora dati clinici è un rischio legale se non è governato correttamente.
Per le aziende che integrano funzionalità AI nei propri applicativi e che quindi diventano fornitori di sistemi AI, la responsabilità non è delegabile al vendor tecnologico. È propria.
Proprietà intellettuale e dati dei clienti: chi tutela cosa?
Cosa succede quando un dipendente incolla il testo di un contratto su uno strumento AI cloud non approvato? O quando un prompt contiene informazioni sulla struttura del database aziendale? O quando le risposte generate includono dati sensibili dei clienti?
I rischi di data leakage sono concreti e spesso silenziosi. Non c’è un allarme che scatta: le informazioni semplicemente escono dal perimetro aziendale, finiscono in sistemi di terzeparti, potenzialmente contribuiscono all’addestramento di modelli su cui l’azienda non ha alcun controllo.
La gestione dei rischi aziendali in questo campo richiede strumenti pratici: policy di utilizzo chiare, un registro degli strumenti AI approvati, formazione al personale, log di utilizzo. Non burocrazia: presidio.
Sostenibilità digitale: il conto che nessuno calcola.
C’è una dimensione spesso ignorata nel dibattito sull’AI: il suo costo ambientale. Un singolo data center può consumare tanta acqua quanta ne usa un ospedale. I modelli più grandi richiedono quantità di energia enormi per essere addestrati e interrogati. La crescita dell’infrastruttura AI globale ha un impatto reale su risorse naturali limitate.
Ma c’è anche un rischio meno visibile, di natura geopolitica. La maggior parte di questa infrastruttura è concentrata fuori dall’Unione Europea: USA, Asia. Per le aziende italiane ed europee, questo significa dipendenza da provider stranieri, con tutte le implicazioni in termini di continuità operativa, sovranità dei dati e conformità normativa.
Scegliere fornitori europei, o strumenti con garanzie di residenza dei dati in UE, non è solo una questione di valori. È una scelta strategica di
sostenibilità digitale e di riduzione del rischio.
