IA generativa in azienda: dove usarla e come governarla

Cosa tenere a mente

L'adozione cresce ma resta una minoranza.Secondo l'Istat, nel 2025 usa almeno una tecnologia di intelligenza artificiale il 16,4% delle imprese con almeno 10 addetti, contro l'8,2% del 2024 e il 5,0% del 2023. Nelle grandi imprese la quota è il 53,1%, nelle PMI il 15,7%. Nella media UE Eurostat indica il 20,0% per il 2025.
L'IA generativa è una parte del quadro.Nelle imprese con almeno 10 addetti l'1,7% usa solo IA generativa e l'8,0% la usa insieme ad altre tecnologie di IA, quindi circa il 9,7% in totale (somma della redazione sui dati Istat). Aggiungendo il 6,7% che usa solo IA non generativa si ottiene il 16,4% complessivo.
Le barriere dichiarate non sono la tecnologia.L'Istat rileva che l'11,5% delle imprese che non usano l'IA ne ha preso in considerazione l'uso; tra queste il 58,6% cita la mancanza di competenze, il 47,3% la poca chiarezza della normativa, il 45,2% dati non disponibili o di scarsa qualità, il 43,2% la privacy.
Si parte dal processo.Un caso d'uso vale se risolve un problema misurabile, con dati disponibili e un rischio gestibile. L'ordine non è: scegliere lo strumento, poi cercare dove metterlo.
Le regole minime sono poche e verificabili:contratto con il fornitore secondo l'articolo 28 del GDPR, informazione ai lavoratori (legge 132/2025, art. 11), revisione umana degli esiti, registro dei casi d'uso. In più si applica l'AI Act, il regolamento (UE) 2024/1689, le cui scadenze sono state spostate nel 2026: sono riassunte più sotto e approfondite nell'articolo su obblighi e tutele previsti dal regolamento europeo 2024/1689.

Come scegliere i casi d'uso

L'Istat rileva che, tra le imprese che usano l'IA, la tecnologia più diffusa è l'estrazione di conoscenza da documenti di testo (70,8%), seguita dall'IA generativa per linguaggio scritto o parlato, immagini, video e audio (59,1%) e dal riconoscimento vocale (41,3%). Il dato indica dove le imprese hanno trovato un'applicazione concreta: lavorare su testi che già possiedono.

Un metodo semplice, proposto dalla redazione, per scegliere da dove cominciare:

Elencare i problemi di processo, non le funzioni dello strumento. Per ogni problema: chi lo vive, quante ore o quanti errori costa, che dati servono.
Dare tre voti da 1 a 5:impatto (ore, errori, tempi), fattibilità (qualità e accesso ai dati, integrazione con i sistemi esistenti), rischio (dati personali, effetto su persone, costo di un errore).
Partire dai casi con impatto alto, rischio basso o medio e un controllo umano facile.Un testo che un collega rilegge prima dell'invio è un buon inizio. Una decisione su una persona senza revisione no.
Misurare prima e dopocon gli stessi indicatori. Il metodo per stimare il ritorno è quello dell'articolo su costi e payback dell'automazione.

Esempi di usi tipici per funzione, con il rischio principale. Sono indicazioni editoriali, non casi osservati.

Funzione	Uso tipico	Rischio da presidiare
Assistenza clienti	Bozze di risposta da una base di conoscenza interna, riviste da un operatore	Dati personali nei messaggi, risposte inesatte
Amministrazione e acquisti	Estrazione di campi da contratti, ordini e documenti	Errori di lettura, dati riservati
Risorse umane	Sintesi di documenti interni, bozze di annunci	Selezione e valutazione delle persone: l'allegato III dell'AI Act li include tra i sistemi ad alto rischio, quindi cautela e verifica degli obblighi
IT e sviluppo	Supporto alla scrittura e alla revisione di codice	Segreti aziendali nelle richieste, licenze del codice
Produzione e manutenzione	Ricerca in manuali e procedure	Indicazioni sbagliate su operazioni di sicurezza
Marketing	Bozze di testi e varianti	Inesattezze, diritti sui contenuti

Dati, infrastruttura e competenze

I dati sono il vincolo più sottovalutato: per l'Istat il 45,2% delle imprese non utilizzatrici che hanno valutato l'IA cita dati non disponibili o di scarsa qualità. Prima di un progetto conviene fare un inventario con tre colonne: dove sono i dati, chi li può leggere, se contengono dati personali o segreti commerciali.

Sull'infrastruttura la scelta pratica è tra un servizio in abbonamento di un fornitore e una soluzione gestita in proprio. Nel primo caso contano contratto, ubicazione dei dati e condizioni di uscita; nel secondo contano rete, accessi, copie di sicurezza e personale. Per i criteri di scelta di un partner IT si veda la guida ai fornitori di servizi IT a Roma.

Sulle competenze l'Istat segnala la carenza come primo ostacolo (58,6%, nello stesso gruppo di imprese). L'articolo 12 della legge 132/2025 affida all'Osservatorio istituito presso il Ministero del lavoro e delle politiche sociali il compito di promuovere la formazione di lavoratori e datori di lavoro in materia di intelligenza artificiale. Suggerimento della redazione: una formazione breve, uguale per tutti, su che cosa non inserire negli strumenti e come controllare gli esiti, vale più di un corso avanzato per pochi.

L'AI Act: che cosa conta per un'impresa che usa questi strumenti

Il regolamento (UE) 2024/1689, l'AI Act, è direttamente applicabile in Italia ed è entrato in vigore il 1° agosto 2024. Le date di applicazione sono scaglionate e sono state modificate dal regolamento (UE) 2026/1744, l'omnibus digitale sull'IA, adottato l'8 luglio 2026 e pubblicato nella Gazzetta ufficiale dell'UE del 24 luglio 2026. Ecco il quadro, secondo i testi ufficiali:

Dal 2 febbraio 2025si applicano i capi I e II, tra cui l'elenco delle pratiche vietate (articolo 5) e l'articolo 4 sull'alfabetizzazione in materia di IA. Con l'omnibus l'articolo 4 chiede a fornitori e utilizzatori (deployer) di adottare misure per sostenere le competenze del personale che usa i sistemi, senza imporre un livello specifico per ciascuna persona.
Dal 2 agosto 2026il regolamento si applica in generale, comprese le regole di trasparenza dell'articolo 50. Chi fornisce sistemi che generano testo, immagini, audio o video deve marcare gli esiti in formato leggibile da macchina (articolo 50, paragrafo 2); per i sistemi già sul mercato prima del 2 agosto 2026 il termine è il 2 dicembre 2026. Chi usa un sistema che genera o manipola immagini, audio o video che costituiscono un deep fake deve dichiararlo (paragrafo 4).
Dal 2 dicembre 2027si applicano gli obblighi sui sistemi ad alto rischio dell'allegato III, e dal 2 agosto 2028 quelli per i sistemi ad alto rischio dell'allegato I, cioè legati a prodotti già regolati da norme di armonizzazione. Prima dell'omnibus la data per l'allegato III era il 2 agosto 2026.

Per un'impresa che usa strumenti già pronti, il punto pratico è capire se un caso d'uso rientra nell'allegato III. Il punto 4 elenca i sistemi destinati all'assunzione o alla selezione di persone (per esempio filtrare le candidature) e quelli usati per decisioni sulle condizioni di lavoro, sulla promozione o cessazione del rapporto, per assegnare compiti in base al comportamento individuale o per monitorare e valutare le prestazioni. Per questi sistemi l'articolo 26, paragrafo 7, prevede che il datore di lavoro che li usa informi, prima della messa in servizio, i rappresentanti dei lavoratori e i lavoratori interessati. Una bozza di annuncio di lavoro scritta con uno strumento generativo non è di per sé un caso ad alto rischio; lo diventa un sistema che classifica o valuta i candidati.

Le date sono state modificate nel luglio 2026: prima di fare un piano di adeguamento conviene verificare il testo consolidato sul sito EUR-Lex.

Governance: le regole minime

1. Politica d'uso accettabile. Suggerimento della redazione: un documento di una pagina con quattro parti: strumenti autorizzati, dati che non si possono inserire, attività che richiedono revisione umana, a chi segnalare un errore.

2. Protezione dei dati. Se il fornitore tratta dati personali per conto dell'azienda, l'articolo 28 del GDPR richiede un contratto che preveda, tra l'altro: trattamento solo su istruzione documentata, riservatezza delle persone autorizzate, misure di sicurezza, regole per i sub-fornitori, assistenza per i diritti degli interessati, cancellazione o restituzione dei dati a fine servizio e collaborazione alle verifiche. Il parere 28/2024 dell'EDPB, adottato il 17 dicembre 2024, indica al punto 129 che le autorità di controllo dovrebbero verificare se chi utilizza un modello ha svolto una valutazione adeguata, nell'ambito della responsabilizzazione, per dimostrare il rispetto degli articoli 5 e 6 del GDPR, considerando tra l'altro la fonte dei dati. Il Garante raccoglie sulla propria pagina tematica il testo del regolamento europeo, guide e documenti delle altre autorità. Per i rischi tecnici, l'EDPB ha pubblicato un rapporto di esperti esterni (10 aprile 2025) con una metodologia di valutazione e tre casi d'uso. Il rapporto è stato redatto da esperti esterni e precisa che le opinioni espresse sono quelle degli autori e non riflettono necessariamente la posizione ufficiale dell'EDPB.

3. Rischio del fornitore e del modello. Chiedere dove sono trattati i dati, se vengono riutilizzati per addestrare il servizio, quali sub-fornitori intervengono, che cosa succede a fine contratto. La norma ISO/IEC 42001 definisce un sistema di gestione per queste attività. La certificazione è volontaria e viene rilasciata da organismi accreditati ISO/IEC 17021-1, come ricorda Accredia. Un certificato attesta un sistema di gestione, non la qualità di ogni risposta.

4. Supervisione umana. Per ogni caso d'uso, una persona nominata che controlla gli esiti prima dell'uso e può fermare il processo. Non occorre per tutto: serve dove un errore ha un costo.

5. Lavoratori. L'articolo 11 della legge 23 settembre 2025, n. 132 dice che l'uso in ambito lavorativo deve essere sicuro, affidabile e trasparente, non può contrastare con la dignità umana né violare la riservatezza dei dati personali, e che il datore di lavoro o il committente deve informare il lavoratore nei casi e con le modalità dell'articolo 1-bis del D.Lgs. 152/1997. Il comma 3 richiede, nell'organizzazione e nella gestione del rapporto di lavoro, il rispetto dei diritti inviolabili del lavoratore senza discriminazioni.

6. Un quadro di gestione del rischio. Il NIST statunitense ha pubblicato il 26 gennaio 2023 il suo framework di gestione del rischio dell'IA (AI RMF, versione 1.0), a uso volontario, organizzato nelle funzioni Govern, Map, Measure e Manage, e il 26 luglio 2024 un profilo dedicato all'IA generativa (documento NIST AI 600-1). La pagina del NIST segnala che la versione 1.0 è in revisione. È un riferimento utile per strutturare il registro dei rischi, non un obbligo in Italia.

Registro dei casi d'uso

Suggerimento della redazione: una tabella con una riga per caso d'uso e queste colonne. Serve a rispondere in cinque minuti a un cliente, un'autorità o un revisore.

Colonna / Contenuto

Responsabile: Persona che risponde dell'esito
Strumento e fornitore: Nome, contratto, sede del trattamento
Dati trattati: Categorie, presenza di dati personali
Revisione umana: Chi controlla, quando
Indicatori: Ore risparmiate, errori, reclami
Data di revisione: Prossimo riesame