Copilot in azienda e AI Act: cosa devi fare quando lo attivi

"È dentro Office, mica è ChatGPT." È la frase che sentiamo più spesso quando una PMI attiva Microsoft 365 Copilot. E purtroppo è sbagliata.

Copilot suggerisce testi in Word, formule in Excel, risposte in Outlook, riassunti in Teams. È integrato, comodo, quasi invisibile. Ma per l'AI Act (Regolamento UE 2024/1689) è un sistema di intelligenza artificiale come gli altri. E la tua azienda, dal momento in cui lo usa per lavoro, è un deployer: un utilizzatore professionale di AI, con obblighi precisi. Alcuni sono già in vigore.

Se hai già letto la nostra guida su ChatGPT in azienda, la logica è la stessa. Con una differenza importante: Copilot parte con un vantaggio di governance che ChatGPT non ha. Ma anche con un rischio in più, che vediamo tra poco.

Attivare Copilot ti rende deployer. Punto.

L'AI Act non guarda al marchio, né a dove sta il pulsante. Guarda a chi usa il sistema e come. Se i tuoi collaboratori usano Copilot in Word, Excel, Outlook o Teams per attività lavorative, la tua azienda è deployer di un sistema di AI. Non serve un contratto speciale, non serve un progetto AI: basta la spunta sulla licenza.

Questo non significa panico. Per un uso da assistente d'ufficio gli obblighi sono gestibili. Ma esistono, e due sono già operativi o in arrivo a breve.

Obbligo 1: formare chi lo usa (già in vigore)

L'articolo 4 dell'AI Act è in vigore dal 2 febbraio 2025. Dopo il pacchetto Omnibus (Reg. UE 2026/1744 del 27 luglio 2026) la formulazione chiede misure effettive e proporzionate a mansioni, esperienza e contesto d'uso delle persone che lavorano con l'AI.

Traduzione pratica: attivare Copilot per 30 persone senza formarne nessuna è una misura pari a zero. Non proporzionata: inesistente. E il paradosso è che Copilot, proprio perché è "dentro Office", viene adottato senza alcun momento formativo. Con ChatGPT almeno qualcuno si pone la domanda; con Copilot la spunta la mette l'IT e nessuno dice niente a nessuno.

Cosa devono sapere le persone prima di usarlo? Le basi: che Copilot può sbagliare con grande sicurezza (allucinazioni), che l'output va verificato prima di usarlo, quali dati e domande sono fuori limite, come riconoscere un risultato inaffidabile. Non serve un master. Serve una formazione vera, documentata, fatta prima del rollout.

Obbligo 2: contenuti verso l'esterno (dal 2 agosto 2026)

Dal 2 agosto 2026 è applicabile l'articolo 50: gli obblighi di trasparenza. Se pubblichi verso l'esterno contenuti generati o manipolati dall'AI che risultano rilevanti — pensa a testi, immagini o materiali che il pubblico prende per prodotti "umani" — vanno etichettati come tali.

Qui serve buon senso, non paranoia. Ci sono due situazioni molto diverse:

• Uso interno come assistente di scrittura. Copilot ti prepara la bozza dell'email, tu la leggi, la correggi, la firmi e la mandi. Il contenuto è tuo, l'AI è stata uno strumento, c'è una revisione umana sostanziale. È un'altra cosa rispetto alla pubblicazione di contenuti generati.
• Pubblicazione verso l'esterno di contenuti generati. L'articolo del blog scritto da Copilot e pubblicato così com'è, il post social prodotto in serie, l'immagine generata usata in una campagna. Qui il tema etichettatura esiste e va gestito con una regola aziendale chiara.

La linea di confine passa dal ruolo dell'AI e dalla revisione umana. Non aspettare il caso concreto per deciderlo: stabilisci ora la regola per i contenuti destinati all'esterno.

E dal 2 dicembre 2026: i nuovi divieti

Ultima data da segnare: dal 2 dicembre 2026 scattano nuovi divieti, tra cui quello sulla generazione di contenuti intimi non consensuali. Vale per chiunque generi contenuti, anche con il tenant aziendale. Sembra un caso estremo? Lo è. Ma se succede con gli strumenti della tua azienda, il problema è anche tuo. Un motivo in più per avere una policy scritta e persone formate.

Le sanzioni: cosa rischi davvero

L'articolo 99 prevede per la violazione degli obblighi ordinari sanzioni fino a 15 milioni di euro o il 3% del fatturato mondiale annuo. Per le PMI si applica il valore più basso tra i due. Nessuno verrà a sanzionarti domattina perché usi Copilot: ma "non sapevo che fosse AI" non è una difesa, e la distanza tra rischio e tranquillità è fatta di poche cose concrete, documentate.

Il vero vantaggio di Copilot (e il suo punto debole)

Qui usciamo dalla norma ed entriamo nella buona pratica di adozione.

Rispetto agli account ChatGPT personali dei dipendenti, Copilot ha un vantaggio enorme: la governance. I dati restano nel tenant aziendale, non escono verso account privati, e Copilot rispetta i permessi già esistenti su file e cartelle. È il motivo per cui, tra i due, Copilot è la scelta più sana per un'azienda.

Ma attenzione al rovescio della medaglia: Copilot vede tutto ciò che l'utente può vedere. Se i permessi su SharePoint e OneDrive sono troppo larghi — e in quasi tutte le PMI lo sono — Copilot li rende visibili in un modo che prima non esisteva. Prima, per trovare il file sbagliato, dovevi cercarlo. Ora basta chiedere.

Esempio reale: il commerciale scrive "fammi il riassunto degli stipendi" e lo ottiene, perché la cartella HR era condivisa con "Tutti" da anni e nessuno se n'era mai accorto. Copilot non ha violato niente: ha solo usato i permessi che gli hai dato. Il problema c'era già. Copilot lo ha reso evidente.

La checklist di adozione consapevole (6 punti)

Ecco cosa fare, in ordine, quando attivi Copilot in azienda.

1. Censisci Copilot nel registro dei sistemi AI. È un sistema di AI in uso: va tracciato come gli altri, con scopo, utenti e data di attivazione. Se non hai ancora un registro, qui trovi come farlo in pratica.
2. Rivedi i permessi prima del rollout. Cartelle HR, amministrazione, direzione: chi ci accede davvero? Sistema SharePoint e OneDrive prima di accendere Copilot, non dopo il primo incidente.
3. Aggiorna la policy AI. Copilot è uno strumento approvato? Per quali usi sì e per quali no? Chi risponde dell'output? Se la policy non lo nomina, per i tuoi collaboratori non esistono regole.
4. Forma le persone prima di dare le licenze. Allucinazioni, verifica dell'output, cosa non chiedere, dati sensibili. È anche l'obbligo dell'articolo 4: formazione prima, licenze dopo.
5. Decidi la regola per i contenuti destinati all'esterno. Cosa si pubblica, cosa si etichetta, chi revisiona. Una regola scritta oggi evita discussioni ad agosto inoltrato.
6. Tieni evidenza di tutto. Date, partecipanti, attestati di formazione, versioni della policy, revisione permessi. Se un domani qualcuno chiede "cosa avete fatto?", la risposta è un fascicolo, non un ricordo.

Da dove partire

I punti 1, 3 e 4 sono quelli che puoi chiudere in pochi giorni, senza consulenze infinite:

• Il corso AI Literacy copre la formazione dell'articolo 4 per fino a 10 persone a 190 €, con attestati nominali e registro delle presenze: esattamente l'evidenza che ti serve tenere.
• Il Kit Policy AI a 59 € ti dà la policy pronta da adattare, Copilot incluso tra gli strumenti da disciplinare.
• Il Kit Registro AI a 69 € ti mette in mano il registro dei sistemi, con Copilot come prima riga da compilare.

Copilot è un ottimo strumento e la scelta giusta rispetto al far west degli account personali. Ma "è dentro Office" non è un piano di adozione. Sei punti di checklist sì.