Servizi · AI Act e GDPR Compliance

L’AI la usi già. Usarla in regola è lavoro pratico.

Censimento degli strumenti in uso, passaggio agli account aziendali, regole scritte, formazione documentata ed elaborazione dei dati in Europa. Lavoro pratico, non un parere.

Richiedi il censimento

Prenota una call

Regolamento UE 2024/1689 · AI ActApplicazione generale dal 2 agosto 2026esempio

Registro AI dell’azienda0/6 voci in regola

Censimento degli strumenti in usoReparto per reparto: strumenti, account, dati caricatida farefatto
Account aziendali con contratto sui datiPiani business, dati esclusi dall’addestramentoda farefatto
Regole operative scritteCosa si può caricare, con quali strumenti, chi controllada farefatto
Formazione del personale, art. 4Documentata con contenuti, date e partecipantida farefatto
Avviso dove risponde un’AI, art. 50Chat, WhatsApp, email automaticheda farefatto
Elaborazione dei dati in EuropaRegione UE verificata, accessi tracciatida farefatto

In linea con AI Act e GDPR

Il punto di partenza

Il rischio più frequente non è l’AI Act. È l’account personale.

Le ricerche descrivono un divario ampio tra quello che accade negli uffici e quello che le aziende hanno deciso: in oltre il 90% delle aziende intervistate dal MIT nel 2025 i dipendenti usano regolarmente strumenti AI personali per lavoro, mentre solo il 40% delle aziende ha un abbonamento ufficiale. Il fenomeno ha un nome, shadow AI, ed è la norma, non l’eccezione.

Il problema pratico è il GDPR prima ancora dell’AI Act: listini, contratti e dati dei clienti caricati su account gratuiti, su cui l’azienda non ha alcuna garanzia contrattuale. Il primo intervento utile è quindi un censimento, seguito dal passaggio agli account aziendali, che prevedono un contratto sul trattamento dei dati e l’impegno a non usarli per l’addestramento.

Sull’AI Act, il regolamento europeo 2024/1689, per una PMI che usa l’AI senza svilupparla gli obblighi sono pochi e precisi: formazione del personale dal 2 febbraio 2025, trasparenza verso le persone dal 2 agosto 2026. Li abbiamo riassunti nell’articolo su cosa cambia dal 2 agosto 2026.

Cosa include

Tante attività, un solo percorso.

Censimento degli strumenti in uso

Quali strumenti AI usa il team, con quali account e piani, per quali attività e con quali dati. È l’attività che rivela di più, e non serve a colpevolizzare nessuno.

Passaggio agli account aziendali

Migrazione ai piani business o all’elaborazione via API, con contratto sul trattamento dei dati, dati esclusi dall’addestramento e permessi per ruolo.

Regole operative scritte

Una pagina che dice cosa si può caricare, con quali strumenti, come si controllano i risultati e cosa fare nei casi non previsti. È la base della policy aziendale.

Formazione documentata

La sessione richiesta dall’articolo 4 dell’AI Act, costruita sui processi dell’azienda e registrata con contenuti, date e partecipanti.

Trasparenza verso i clienti

Dove risponde un’AI, il cliente lo sa: l’avviso sui canali, il passaggio a una persona su richiesta, la regola interna sui contenuti generati e pubblicati.

Elaborazione dei dati in Europa

Per i dati sensibili, la configurazione Governance: Claude su Amazon Bedrock, sull’account AWS della tua azienda, con permessi per superficie e accessi tracciati.

Dati sensibili · Amazon Bedrock

La tua azienda tratta dati sensibili?

Con il servizio Governance, Claude opera su Amazon Bedrock, sull'account AWS della tua azienda. I dati restano in Europa, i permessi sono definiti per superficie e ogni accesso viene monitorato. Una configurazione progettata per i requisiti di GDPR e AI Act, attivabile su qualsiasi preventivo.

I tuoi dati
al sicuro

dati in Europa

progettata per i requisiti di GDPR e AI Act

Come procediamo

Dal censimento al registro, passaggio per passaggio.

Censimento

Intervistiamo i reparti e verifichiamo strumenti, account e dati coinvolti. Il risultato è un elenco onesto di cosa si usa oggi, non di cosa si dovrebbe usare.

Priorità

Separiamo ciò che va sistemato subito, come i dati riservati su account personali, da ciò che va regolato nel tempo. Ogni voce ha un responsabile e una data.

Interventi

Account aziendali, regole scritte, avvisi sui canali, configurazione dell’elaborazione. Dove serve un parere giuridico, coinvolgiamo il tuo consulente.

Registro e verifica

Consegniamo il registro degli strumenti autorizzati e il fascicolo della formazione. Ogni anno, o quando cambiano gli strumenti, si aggiorna.

01Da quando si applica l’AI Act a una PMI?

Dal 2 febbraio 2025 valgono i divieti e l’obbligo di formazione del personale; dal 2 agosto 2026 gli obblighi di trasparenza, tra cui informare chi dialoga con un sistema automatico. Gli obblighi sui sistemi ad alto rischio sono stati rinviati dal Digital Omnibus del luglio 2026 tra la fine del 2027 e il 2028. Per la maggior parte delle PMI, che usano l’AI senza svilupparla, l’adeguamento si misura in giorni di lavoro.

02Cosa rischia chi non si adegua?

Le sanzioni più alte del regolamento, fino a 35 milioni di euro o al 7% del fatturato mondiale, riguardano le pratiche vietate. Nella pratica, il rischio più frequente per una PMI è un altro: dati di clienti e listini caricati su account personali e gratuiti, senza alcuna garanzia contrattuale sull’uso. È una questione di GDPR, e la si scopre con il censimento.

03Come faccio a sapere quali strumenti AI usano i miei collaboratori?

È il primo passo del percorso. Ricerche recenti indicano che nella grande maggioranza delle aziende i dipendenti usano strumenti AI personali per lavoro, anche dove l’azienda non ha mai adottato nulla. Il censimento rileva strumenti, account e dati coinvolti, senza colpevolizzare nessuno: la regola arriva dopo, e vale per tutti.

04Fate consulenza legale?

No. Facciamo il lavoro pratico: censire, migrare, scrivere le regole operative, formare, configurare l’elaborazione dei dati. Dove serve una valutazione giuridica, come l’aggiornamento dell’informativa privacy o la nomina di un responsabile, indichiamo cosa va fatto e lavoriamo con il tuo consulente o con il tuo DPO.

05I dati aziendali vengono usati per addestrare i modelli?

No. Con gli account aziendali di Claude e ChatGPT, e con l’elaborazione via API, i fornitori si impegnano per contratto a non usare i dati per l’addestramento. Per i dati sensibili la configurazione Governance su Amazon Bedrock mantiene l’elaborazione sull’account AWS della tua azienda, in Europa.

Non hai trovato la risposta?

Scrivici: rispondiamo entro un giorno lavorativo, senza risposte automatiche.

oppure info@plico.ai

Scrivici su WhatsApp