19/02/2026
Quando si parla con le aziende di governance dell’AI, la vera sfida è far capire che esiste un mondo oltre il GDPR.
Le richieste di consulenza e formazione, infatti, sono quasi sempre limitate al trattamento dei dati nell’uso dell’AI generativa.
Come se la domanda fosse soltanto: possiamo o non possiamo inserire questi dati nel chatbot?
Eppure, sul fronte privacy (in attesa del Digital Omnibus), non si sono ancora verificate rivoluzioni copernicane: stiamo applicando principi consolidati a tecnologie emergenti.
Inviereste i dati dei vostri clienti ad un fornitore extra‑UE senza conoscere con esattezza dove si trovi?
E allora perché li inserite in un chatbot generalista senza sapere dove siano effettivamente destinati?
Affidereste i dati vostri o dei vostri clienti ad un destinatario autorizzandolo ad utilizzarli per sviluppare il proprio business?
Allora perché accettate che vengano impiegati per l’addestramento o il miglioramento di un modello?
Ma il vero punto è un altro.
Oltre il GDPR c’è l’AI Act.
Se ne parla sempre di più, ma in pochi lo conoscono davvero.
E così capita di imbattersi in aziende che:
- utilizzano sistemi vietati senza saperlo;
- adottano sistemi ad alto rischio senza avere la minima percezione della compliance che sarà richiesta a breve;
- continuano a ragionare solo in termini di privacy, quando le regole sull’AI riguardano processi, organizzazione, responsabilità e modelli di business.
Il tutto mentre quasi nessuno sta avviando un vero percorso di AI literacy, che è invece uno dei primi requisiti previsti dal regolamento.
La governance dell’intelligenza artificiale non può essere una semplice estensione della compliance privacy. È un cambio di prospettiva.
Finché le aziende continueranno a chiedersi solo “È conforme al GDPR?”, si perderanno un’altra domanda fondamentale:
“Sono compliant all’AI Act?”
