Linee guida AgID AI nella PA: utili anche ai privati

In breve

• AgID ha pubblicato le linee guida per l'uso dell'AI nella PA italiana: anche se siete un'azienda privata, vale la pena leggerle.
• Tre principi chiave: trasparenza (l'utente sa quando interagisce con AI), supervisione umana (decisioni importanti restano umane), valutazione del rischio prima di partire.
• Le PMI possono adottare lo stesso approccio "in piccolo": un registro AI interno, una policy d'uso, un responsabile.
• Le linee guida AgID sono coerenti con l'AI Act europeo e con la ISO/IEC 42001 (sistema di gestione AI).
• Per la PA: scadenze precise per il registro AI e i Data Protection Impact Assessment. Per le aziende: best practice da copiare.

Perché un'azienda privata dovrebbe leggere le linee guida AgID

Le linee guida AgID sono pensate per la Pubblica Amministrazione, ma sono uno dei testi italiani più chiari sull'uso pratico dell'AI in organizzazione. Tradotto: chi le ha scritte si è preso il tempo di rispondere alle stesse domande che si fa qualunque imprenditore:

• Come decido se un caso d'uso è davvero adatto all'AI?
• Chi è responsabile se l'AI sbaglia?
• Cosa devo dire ai miei utenti/clienti?
• Come misuro che funziona?

Adottare gli stessi principi nelle PMI riduce i rischi e prepara naturalmente alla compliance con l'AI Act europeo.

Fonte: AgID — Linee guida AI per la PA.

I principi che valgono anche per le PMI

Trasparenza

Quando un cittadino (o un cliente) interagisce con un sistema AI, deve saperlo. Non serve scrivere un trattato: basta una nota chiara tipo "Questa risposta è generata da un assistente automatico, verifica sempre con un operatore per casi specifici".

Supervisione umana

Le decisioni importanti restano in mano a una persona. L'AI può preparare la pratica, ma se si tratta di negare un servizio, applicare una sanzione o fare un investimento, decide un umano. Per una PMI: l'AI può scrivere un'offerta, ma il commerciale firma.

Valutazione del rischio (AI Risk Assessment)

Prima di partire con un caso d'uso AI, ci si chiede: cosa succede se sbaglia? Chi viene danneggiato? Che impatto economico/reputazionale? Se i danni potenziali sono alti, servono controlli più stringenti.

Tracciabilità e audit

Ogni decisione AI deve essere ricostruibile: input, modello usato, output, chi ha approvato. Niente "ce lo ha detto l'AI" senza poter spiegare come.

Protezione dei dati

I dati personali usati con l'AI seguono il GDPR. Se è dato personale sensibile (sanitario, giudiziario), serve un DPIA (Data Protection Impact Assessment) prima di partire.

Come applicarlo in una PMI: la "AI policy" in una pagina

Non serve un manuale di 200 pagine. Una buona policy AI per PMI sta in una pagina e include:

1. Cosa si può fare con AI in azienda: scrittura testi, riassunti, supporto coding, analisi documenti.
2. Cosa NON si può fare: caricare dati personali clienti su servizi consumer, prendere decisioni HR sulla base di soli output AI, generare contenuti senza revisione.
3. Quali tool sono autorizzati: Microsoft 365 Copilot, ChatGPT Enterprise, Gemini for Workspace. Non i tool free senza contratto privacy.
4. Chi è il referente AI: una persona a cui chiedere quando hai un dubbio.
5. Cosa fare in caso di errore o data leak: chi avvisare, in che tempi.

Il "registro AI" interno

AgID chiede alla PA di tenere un registro degli AI in uso. Per una PMI è una best practice utile. Cosa contiene:

• Nome del sistema/agente AI.
• Caso d'uso (es. "supporto al servizio clienti").
• Categoria di rischio (basso/medio/alto).
• Dati utilizzati (tipologia, fonte).
• Responsabile interno.
• Data ultimo audit.

Una semplice tabella Excel o Notion va benissimo per partire.

Cosa cambia con l'AI Act

Le linee guida AgID anticipano molto di quello che l'AI Act europeo chiede a tutte le aziende:

• Sistemi a rischio alto (HR, credito, ordine pubblico): obblighi pesanti di documentazione, audit, supervisione.
• Sistemi a rischio limitato (chatbot, generazione contenuti): obbligo di trasparenza verso l'utente.
• Sistemi a rischio minimo (filtri spam, suggerimenti): nessun obbligo specifico ma best practice consigliate.

Per la maggior parte delle PMI ricaderete nel rischio limitato o minimo, ma vale comunque la pena prepararsi.

ISO 42001: lo standard di riferimento

Per chi vuole un percorso più strutturato, esiste la ISO/IEC 42001:2023 — il sistema di gestione per l'AI (un po' come la ISO 27001 per la sicurezza informatica). Non è obbligatoria, ma sta diventando rapidamente uno standard di riferimento per chi vende a clienti grandi o alla PA.

Cosa fare nei prossimi 90 giorni

Per una PMI che vuole iniziare:

• Mese 1: audit interno. Quali tool AI usano i dipendenti? Su quali dati? Risultato: un primo "registro AI" anche grezzo.
• Mese 2: scrivere la AI policy in una pagina. Discuterla in CdA o in direzione, condividerla con tutti.
• Mese 3: formazione di 1-2 ore per tutto il personale. Risposte alle domande: "cosa posso, cosa non devo".

Costo: tra 3 e 8 mila euro tutto incluso, se vi fate aiutare da un consulente esperto.

Approfondimenti

• AgID — Linee guida AI
• AI Act — Regolamento UE 2024/1689
• ISO/IEC 42001:2023

In sintesi

Le linee guida AgID sembrano scritte per la PA, ma sono una scuola pratica per chiunque introduca AI in azienda. Trasparenza, supervisione, valutazione del rischio, registro: principi semplici da applicare anche in piccolo. Tre mesi di lavoro vi mettono al sicuro per i prossimi anni di AI Act.