Se dovessi consigliare una sola cosa da fare in azienda su questa materia, non sarebbe un corso e non sarebbe una consulenza. Sarebbe un file. Un elenco dei sistemi di intelligenza artificiale in uso, tenuto aggiornato.
Non è un adempimento formale previsto in questi termini per ogni impresa. È lo strumento che rende possibili tutti gli altri: senza sapere cosa gira, non puoi classificare, non puoi formare, non puoi rispondere a un'autorità e non puoi negoziare con un fornitore.
Le colonne che servono
Nome del sistema e fornitore. Come si chiama, chi lo produce, con quale contratto.
Finalità concreta. La colonna più importante e quella che si compila peggio. Non "intelligenza artificiale per il marketing", ma "generazione di bozze di testi per newsletter, riviste dal responsabile prima dell'invio". La classificazione del rischio dipende da qui.
Ruolo. Siamo fornitore o deployer rispetto a questo sistema? Se ci mettiamo il nostro marchio sopra o lo modifichiamo in modo sostanziale, siamo fornitori.
Classificazione del rischio. Vietato, alto rischio, trasparenza, minimo. Con una riga di motivazione. Se dici "non è alto rischio", scrivi perché: il Digital Omnibus ha ripristinato la registrazione in banca dati UE anche per i fornitori che si autoclassificano fuori.
Dati trattati. Quali categorie di dati entrano nel sistema. Se ci sono dati personali, il collegamento con il registro dei trattamenti GDPR è immediato.
Chi lo usa e chi ne risponde. Il reparto e il nome della persona responsabile. Nei reati omissivi e nelle contestazioni, la prima domanda è sempre "chi doveva farlo".
Trasparenza applicata. Il sistema dichiara di essere IA? I contenuti generati sono etichettati? Con link alla prova.
Date. Quando è entrato in uso, quando è stata fatta la valutazione, quando è stato aggiornato il record.
Come si compila davvero
Il problema non è il formato: è che nessuno sa cosa gira. Gli strumenti entrano dal basso — un reparto che attiva un abbonamento, un fornitore che aggiorna il gestionale, un collaboratore che usa il suo account.
Il metodo che funziona è una mail a tutti i responsabili di funzione con tre domande: quali strumenti di IA usate, per fare cosa, con quali dati. Poi un giro sulle fatture dei software e sui rinnovi degli abbonamenti, che è dove si scoprono le cose dimenticate. Poi una domanda ai fornitori dei gestionali: quali funzioni del vostro prodotto sono basate su IA?
In una PMI si chiude in un pomeriggio. In una struttura più grande servono due settimane, ed è tempo speso bene.
A cosa ti serve concretamente
A rispondere a un controllo senza andare nel panico. A capire se hai acceso qualcosa che ricade nei divieti dell'articolo 5, che sono applicabili dal 2 febbraio 2025 e costano fino a 35 milioni o al 7% del fatturato. A sapere quali sistemi dovranno essere pronti per il 2 dicembre 2027. A calibrare la formazione, come chiede l'articolo 4 in versione applicabile dal 27 luglio 2026.
E a una cosa meno nobile ma molto pratica: a smettere di pagare abbonamenti che nessuno usa più. Nei censimenti che ho visto, salta fuori sempre.
Il collegamento col GDPR
Non creare un secondo faldone parallelo. Il registro dei trattamenti che hai già può ospitare le informazioni sui sistemi di IA che intervengono in ciascun trattamento: quale sistema, con quale ruolo, con quale sorveglianza umana.
Un documento, due conformità. E il giorno in cui serve una valutazione d'impatto, hai già la mappa.
Tienilo vivo
Un registro fatto una volta e mai più aggiornato è peggio di niente, perché dà un'impressione di controllo che non c'è. Fissa una revisione periodica e una regola semplice: nessuno strumento nuovo entra in azienda senza una riga nel registro.
È la stessa disciplina che si usa per gli accessi ai sistemi. Nessuno la trova entusiasmante, tutti sono contenti di averla il giorno del problema.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Un foglio con dieci colonne risolve più problemi di conformità di qualsiasi consulenza da cinque cifre. Il difficile è tenerlo aggiornato.
Domande frequenti
Il registro dei sistemi di IA è obbligatorio?
Non è previsto in questi termini come adempimento generale per ogni impresa. Diventa sostanzialmente indispensabile per dimostrare classificazioni, ruoli e misure adottate, e per gli obblighi documentali che riguardano i sistemi ad alto rischio.
Che differenza c'è col registro dei trattamenti GDPR?
Il registro GDPR mappa i trattamenti di dati personali, quello dei sistemi di IA mappa gli strumenti e la loro classificazione. Conviene integrarli, perché si intersecano continuamente.
Ogni quanto va aggiornato?
A ogni nuovo strumento introdotto e comunque con una revisione periodica programmata. Un registro non aggiornato perde valore probatorio.