Registro dei sistemi AI: come censire gli strumenti usati in azienda

Policy sull'uso dell'AI, formazione del personale, informative sul chatbot: ogni adempimento dell'AI Act parte dalla stessa domanda. Quale AI usa davvero la tua azienda? Se non lo sai con precisione — e quasi nessuna PMI lo sa — qualsiasi documento che scrivi dopo poggia sul vuoto. Il registro dei sistemi AI serve a questo: mettere nero su bianco cosa usate, chi lo usa, per cosa e con quali dati. In questo articolo vediamo come costruirlo in pratica. Se invece parti da zero sull'AI Act, comincia dalla guida per le PMI.

Perché senza censimento non vai da nessuna parte

L'AI Act (Regolamento UE 2024/1689) chiede cose diverse a seconda di cosa usi e come lo usi. Il che significa che ogni obbligo presuppone di sapere quali sistemi hai in casa:

• Alfabetizzazione AI (art. 4, in vigore dal 2 febbraio 2025): devi formare chi usa l'AI per conto dell'azienda. Ma su quali strumenti, se non sai chi usa cosa?
• Trasparenza (art. 50, dal 2 agosto 2026): devi informare i clienti quando interagiscono con un chatbot e dichiarare i contenuti generati dall'AI. Serve l'elenco dei punti in cui questo succede.
• Alto rischio: se uno strumento rientra nelle aree critiche (selezione del personale, credito, istruzione, sanità, infrastrutture critiche), scattano obblighi molto più pesanti. Devi saperlo prima che scattino.

C'è poi un motivo pratico: in caso di controllo o di contenzioso, un registro compilato e aggiornato dimostra che l'azienda governa l'uso dell'AI invece di subirlo. È la differenza tra "non sapevamo" e "avevamo mappato e valutato".

Da dove saltano fuori gli strumenti: le tre fonti del censimento

L'errore tipico è fare il censimento a memoria, in mezz'ora, dalla scrivania del titolare. Ne escono tre strumenti. Quelli veri, di solito, sono il doppio o il triplo. Per trovarli conviene incrociare tre fonti:

Fonte	Dove guardare	Cosa emerge di solito
Documenti ufficiali	Contratti, fatture, abbonamenti software	Licenze Copilot, piani ChatGPT/Gemini a pagamento, moduli AI del gestionale
IT (interno o fornitore)	Console di amministrazione, elenco applicazioni, traffico verso servizi AI	App collegate a Microsoft 365 o Google, estensioni del browser, integrazioni
Le persone	Interviste brevi per reparto	La shadow AI: strumenti gratuiti usati con account personali

Le interviste: la domanda giusta

Se chiedi "usi l'intelligenza artificiale?", molti rispondono di no in buona fede. La domanda giusta è concreta: "Quali strumenti usi per scrivere testi, tradurre, riassumere documenti, generare immagini, trascrivere riunioni?" Dieci minuti a reparto bastano: commerciale, amministrazione, marketing, produzione, assistenza.

La shadow AI: il punto più delicato

La shadow AI è l'insieme degli strumenti che i dipendenti usano senza che l'azienda lo sappia: il piano gratuito di ChatGPT con l'account personale, il traduttore online dove finisce il contratto di un cliente, l'app che trascrive le riunioni. Il censimento non serve a punire chi li usa — serve a farli emergere. Conviene dirlo esplicitamente prima delle interviste: nessuna conseguenza per chi dichiara. Paradossalmente, lo strumento gratuito usato di nascosto è spesso quello con il rischio più alto sul fronte dati, perché nessuno ne ha mai letto le condizioni d'uso.

L'AI nascosta nei software "normali"

Non cercare solo gli strumenti con "AI" nel nome. Il CRM che assegna un punteggio ai contatti, il gestionale che suggerisce il riordino, il centralino che trascrive le chiamate: sono funzioni di AI dentro software che usi da anni. In caso di dubbio, chiedi al fornitore per iscritto se il prodotto include funzioni di intelligenza artificiale e come si posiziona rispetto all'AI Act.

I campi del registro: cosa scrivere per ogni strumento

Per ogni strumento censito, registra almeno questi campi:

1. Strumento e fornitore — nome, versione o piano (gratuito, Team, Enterprise: fa differenza su dove finiscono i dati).
2. Chi lo usa — reparto e persone, così sai anche chi va formato.
3. Per cosa — l'uso concreto: "bozze di email commerciali", non "produttività".
4. Dati trattati — dati di clienti? Dati personali? Dati riservati dell'azienda? È il campo che pesa di più nelle decisioni.
5. Ruolo dell'azienda — quasi sempre sei deployer (usi il sistema in contesto professionale); sei fornitore solo se sviluppi o immetti sul mercato un sistema AI.
6. Livello di rischio — vietato, alto, limitato, minimo (sotto vediamo come assegnarlo).
7. Obblighi collegati — formazione, trasparenza art. 50, verifiche aggiuntive.
8. Stato e referente — approvato, in valutazione o vietato; e chi risponde di quello strumento in azienda.

Esempio: tre righe di registro compilate

Strumento	Chi / per cosa	Dati trattati	Rischio	Obblighi
ChatGPT (piano Team)	Marketing: bozze di testi e post	Nessun dato di clienti (vietato da policy)	Minimo	Formazione art. 4; dichiarare i contenuti pubblicati generati con AI
Chatbot sul sito web	Clienti: prime risposte assistenza	Nome, email, testo delle richieste	Limitato	Informare che si interagisce con un'AI (art. 50, dal 2 agosto 2026)
Software di screening CV	HR: preselezione candidature	Dati personali dei candidati	Alto (all. III)	Obblighi rafforzati: valutare con il fornitore prima di continuare a usarlo

Tre righe, tre situazioni completamente diverse. Senza registro sono indistinguibili: "usiamo un po' di AI". Con il registro sai che il chatbot richiede un'informativa, che il marketing va formato e che lo screening CV è il punto su cui muoverti subito.

Il livello di rischio: come assegnarlo senza impazzire

Non serve un'analisi da studio legale per una prima classificazione. Tre domande in sequenza:

1. Lo strumento tocca aree critiche? Selezione o gestione del personale, accesso al credito, istruzione, sanità, infrastrutture critiche: sono le aree dell'allegato III, quindi potenziale alto rischio. Segnala e approfondisci prima di tutto il resto.
2. Interagisce con le persone o genera contenuti? Chatbot, testi, immagini, audio, video: rischio limitato, con gli obblighi di trasparenza dell'art. 50 dal 2 agosto 2026.
3. Niente di tutto questo? Quasi certamente rischio minimo: resta l'obbligo di formazione per chi lo usa, poco altro.

La maggior parte degli strumenti di una PMI finisce tra minimo e limitato. Ma è proprio il censimento a dirti se c'è l'eccezione che cambia tutto — ed è molto meglio scoprirla ora che a obblighi pienamente operativi.

Tenerlo vivo: il registro non è un documento una tantum

Un registro fermo a sei mesi fa vale poco: gli strumenti AI in azienda cambiano in continuazione. Tre accorgimenti bastano:

• Un referente unico che tiene il registro e riceve le richieste di nuovi strumenti.
• Una regola nella policy interna: nessun nuovo strumento AI si adotta senza passare dal registro. Così il censimento si aggiorna da solo.
• Una revisione ogni 3-6 mesi: giro rapido di conferma con i reparti, anche solo via email.

Meglio un registro semplice e aggiornato che uno perfetto e abbandonato.

Da dove cominciare

Se vuoi capire prima a che punto sei complessivamente, l'autovalutazione gratuita ti dice in pochi minuti quali obblighi dell'AI Act riguardano la tua azienda e dove sei scoperto — registro compreso. E se non vuoi partire dal foglio bianco, tra i kit documenti del portale trovi un modello di registro già strutturato con i campi giusti, istruzioni di compilazione e aggiornamenti quando la normativa cambia.