Un registro strumenti AI azienda e’ un elenco strutturato di tutti i sistemi di intelligenza artificiale usati in organizzazione, con i campi minimi per governarli: nome, owner, dati trattati, base giuridica, classe di rischio AI Act, status, ultima review. Non e’ burocrazia: e’ il punto di partenza per dimostrare conformita’ e bloccare lo shadow AI prima che diventi un incidente.
Perche’ serve un registro degli strumenti AI nel 2026
Se qualcuno ti chiedesse oggi quanti strumenti AI vengono usati nella tua azienda, sapresti rispondere? Non quanti ne hai comprato tu, ma quanti ne usano davvero i tuoi collaboratori: compresi quelli gratuiti, quelli integrati nei software che gia’ avete, quelli che qualcuno ha iniziato a provare di testa sua.
Secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano 2025, in Italia l’81% dei lavoratori usa tool AI fuori dal perimetro aziendale e solo il 19% dichiara di usare esclusivamente strumenti forniti dall’azienda. E’ il dato piu’ alto d’Europa e descrive un fenomeno preciso: lo shadow AI. Senza un inventario di cio’ che viene utilizzato, non puoi sapere dove finiscono i dati aziendali, non puoi valutare i rischi, non puoi dimostrare di avere una governance, e non puoi nemmeno cogliere le opportunita’, perche’ non sai cosa funziona e cosa no.
Il registro AI trasforma il “non so cosa succede” in “so cosa abbiamo, chi lo usa e con quali regole”. E’ il documento zero da cui discendono policy, formazione, audit e risposte al management.
Cosa registrare per ogni tool: i campi minimi
Non servono piattaforme enterprise. Per una PMI un foglio di calcolo ben strutturato e’ sufficiente, purche’ contenga i campi giusti. Ogni riga rappresenta un caso d’uso specifico, non uno strumento generico: ChatGPT per riassumere verbali e ChatGPT per rispondere ai clienti sono due righe diverse con rischi diversi.
Nome del tool e versione
“ChatGPT” non basta. Specifica se e’ ChatGPT Free, Plus, Team o Enterprise: condizioni contrattuali, gestione dei dati e funzionalita’ cambiano radicalmente. Lo stesso vale per Microsoft Copilot (Free vs M365), Gemini (consumer vs Workspace), Claude (web vs Team vs API).
Funzione e caso d’uso approvato
Descrivi in una riga cosa fa lo strumento nel processo: “genera bozze di email commerciali a freddo”, “riassume verbali Teams”, “classifica ticket di assistenza in ingresso”. Registra ogni caso d’uso come riga separata.
Owner operativo
Chi risponde della qualita’ dei prompt, dei criteri di revisione, dell’aggiornamento del flusso? Una persona con nome e cognome, non “il marketing”. Senza owner preciso i progetti AI si degradano in poche settimane.
Categoria di dati trattati
Classifica almeno tre livelli: dati pubblici (sito, listini aperti), dati interni (verbali, procedure, offerte), dati sensibili o personali (clienti, dipendenti, candidati, sanitari). Questa classificazione e’ il ponte con il GDPR e determina quali tool sono ammissibili. Per un approfondimento vedi la guida a come proteggere i dati sensibili quando usi l’AI.
Base giuridica del trattamento
Se elabori dati personali, scrivi la base giuridica ex art. 6 GDPR: contratto, legittimo interesse, consenso, obbligo di legge. Senza questa voce il registro AI e il Registro dei trattamenti (RoPA) restano scollegati.
Classe di rischio AI Act
L’AI Act distingue quattro categorie: rischio inaccettabile (vietato), alto rischio, rischio limitato (obblighi di trasparenza), rischio minimo. Per ogni caso d’uso scrivi la classe e la motivazione in una riga. La maggior parte delle PMI opera in “rischio minimo” o “rischio limitato”, ma devi poterlo dimostrare. Per il dettaglio normativo leggi la guida agli obblighi AI Act per le PMI.
Status di approvazione
Approvato, in valutazione, non approvato. Senza questo campo il registro e’ descrittivo ma non prescrittivo, e non combatte lo shadow AI.
Ultima review
Data dell’ultimo controllo e firma di chi l’ha fatto. Un registro senza data di review invecchia in silenzio.
Il collegamento con AI Act e ISO 42001
Il registro non e’ un’idea nostra. E’ un requisito di fatto di due framework che stanno convergendo.
AI Act (Regolamento UE 2024/1689). Dal 2 febbraio 2025 sono gia’ in vigore i divieti sulle pratiche a rischio inaccettabile e l’obbligo di AI literacy per il personale. Dal 2 agosto 2026 scattano gli obblighi pieni per i sistemi ad alto rischio. L’articolo 17 richiede ai provider di sistemi ad alto rischio un sistema di gestione della qualita’ documentato in modo sistematico. L’articolo 26 impone ai deployer (cioe’ a chi usa il sistema, tra cui molte PMI) di rispettare istruzioni d’uso, monitorare il funzionamento e informare i lavoratori. Per fare tutto questo devi prima sapere cosa stai usando. Il testo ufficiale e’ su EUR-Lex.
ISO/IEC 42001:2023. Il primo standard internazionale per gli AI Management System, pubblicato a fine 2023 e adottato rapidamente come riferimento per la certificazione. La Clause 8.1 richiede una lista dettagliata di modelli AI, dataset, feed real-time, motori di inferenza e ambienti di deployment. L’Annex A.4 (Resources) impone un inventario completo di risorse AI: documentazione (A.4.2), dati (A.4.3), tooling (A.4.4), sistemi e risorse di calcolo (A.4.5), risorse umane (A.4.6). Detto semplice: ISO 42001 parte dal registro.
Per una PMI la buona notizia e’ che il registro che costruisci per l’AI Act copre al 90% anche cio’ che ti chiederebbe ISO 42001 se un giorno decidessi di certificarti. Un solo documento, due conformita’.
Come censire lo shadow AI senza spaventare il team
Lo shadow AI non si combatte con le circolari. Si censisce con un processo non punitivo che funziona in quattro mosse.
- Questionario anonimo di cinque domande. Quali tool AI usi? Per quali attivita’? Che dati inserisci? Quanto spesso? Li hai scelti tu o te li ha indicati qualcuno? Dai una settimana di tempo, promessa esplicita che l’obiettivo e’ mappare, non sanzionare.
- Analisi dei log di rete. IT verifica il traffico verso i principali domini AI (openai.com, anthropic.com, gemini.google.com, mistral.ai, perplexity.ai). Non per bloccare, per contare.
- Audit dei software gia’ in casa. Microsoft 365 con Copilot, Google Workspace con Gemini, Canva con Magic Design, HubSpot con Breeze, Notion AI, Salesforce Einstein. Molti di questi tool sono attivi by default e nessuno li ha mai registrati.
- Interviste ai reparti ad alto rischio. Commerciale, HR, amministrazione. Quindici minuti per reparto bastano a far emergere il 70% del sommerso.
Per il contesto completo sui rischi e i numeri dello shadow AI nelle PMI italiane, leggi la nostra analisi su shadow AI: cos’e’ e perche’ e’ un rischio reale per le aziende.
Template registro strumenti AI pronto all’uso
Copia questa tabella in un foglio di calcolo (Google Sheets, Excel, Notion: qualsiasi strumento va bene) e popolala riga per riga. Ogni riga e’ un caso d’uso.
| Nome tool | Funzione | Owner | Dati trattati | Base giuridica | Classe rischio AI Act | Status | Ultima review |
|---|---|---|---|---|---|---|---|
| ChatGPT Team | Bozze email commerciali a freddo | M. Bianchi (Sales) | Interni (listino, anagrafica aziende) | Legittimo interesse | Rischio minimo | Approvato | 01/04/2026 |
| Microsoft Copilot M365 | Sintesi riunioni Teams | L. Verdi (Operations) | Interni (verbali, calendario) | Contratto di lavoro | Rischio minimo | Approvato | 01/04/2026 |
| Gemini Workspace | Classifica CV candidati | S. Neri (HR) | Personali candidati | Consenso + art. 88 GDPR | Alto rischio (All. III AI Act) | In valutazione | 10/04/2026 |
| Midjourney v6 | Immagini social media | A. Rossi (Marketing) | Pubblici (brief creativi) | N/A | Rischio minimo | Approvato | 20/03/2026 |
| Claude Team | Analisi contratti fornitori | G. Conti (Legal) | Interni riservati | Legittimo interesse | Rischio limitato | In valutazione | — |
Due note di lettura. Primo: la riga “classifica CV candidati” e’ alto rischio ex Allegato III AI Act (uso AI nella selezione del personale) e quindi non puo’ essere approvata senza valutazione specifica. Secondo: Midjourney su brief creativi pubblici e’ a basso rischio, ma resta da verificare la clausola sui diritti di output se le immagini vanno su materiale commerciale. Il registro serve proprio a far emergere queste sfumature.
Checklist: setup del registro in una settimana
- Crea il foglio con le 8 colonne del template sopra
- Lancia il questionario anonimo ai collaboratori (5 domande, 1 settimana)
- Estrai la lista dei tool AI integrati nei software gia’ in uso (Copilot, Gemini, Einstein, Breeze, Notion AI)
- Compila le prime 10 righe con quello che gia’ sai
- Assegna un owner per ogni riga, con nome e cognome
- Scrivi la classe di rischio AI Act per ciascuna riga
- Decidi lo status (approvato / in valutazione / non approvato)
- Condividi il registro con il team e spiegalo in una riunione di 30 minuti
- Fissa in calendario la review trimestrale con data certa
- Collega il registro alla policy AI aziendale e al RoPA GDPR
Review trimestrale: come tenerlo vivo
Un registro compilato a gennaio e mai piu’ toccato e’ peggio di nessun registro, perche’ da’ una falsa sensazione di controllo. La routine che funziona nelle PMI e’ una review trimestrale di 90 minuti con quattro passaggi fissi.
- Nuove righe. Il team ha iniziato a usare tool nuovi dall’ultimo check? Aggiungili.
- Righe invariate. Per le righe che non sono cambiate, riconferma owner, status e base giuridica. Una riga non toccata per due trimestri diventa sospetta.
- Audit a campione. Per tre righe scelte a caso, guarda dieci output recenti e dieci prompt in uso. Cerchi errori, dati sensibili scivolati dentro, drift del caso d’uso rispetto a quello approvato.
- Aggiornamento status. Se un tool in valutazione e’ stato usato per tre mesi senza incidenti, approvalo formalmente. Se un tool approvato ha generato segnalazioni, retrocedilo o bloccalo.
Alla fine dei 90 minuti aggiorni la colonna “ultima review” e firmi. Il registro resta vivo senza diventare un secondo lavoro.
Due casi reali: come si usa nelle PMI
Metalmeccanica, 28 dipendenti, Brescia. Dopo il censimento sono emersi 14 tool AI attivi contro i 3 dichiarati dal titolare. Nove erano versioni gratuite di ChatGPT usate dal commerciale con dati di clienti dentro. Il registro ha portato alla migrazione su un unico account ChatGPT Team (costo: 25 euro per utente al mese, 7 utenti), al blocco delle versioni gratuite via policy di rete e a una formazione di due ore sul “cosa si puo’ scrivere nel prompt”. Incidenti nei sei mesi successivi: zero.
Studio commercialista, 12 persone, Padova. Il registro ha fatto emergere che tre collaboratori usavano Gemini consumer per elaborare bozze di dichiarazioni dei redditi. Dati fiscali di persone fisiche in un tool non approvato: rischio GDPR alto. Lo studio ha migrato il caso d’uso su Microsoft Copilot M365 con data residency UE, ha aggiornato il RoPA con la nuova voce e ha firmato un addendum al DPA. Il registro ha reso visibile in 20 minuti un problema che stava in pancia da sei mesi.
Il registro come base per tutta la governance
Il registro non e’ un fine in se’. E’ il fondamento su cui costruire una governance AI leggera ma efficace: dalla policy (quali strumenti approvare e con quali regole), al piano di formazione AI literacy (chi usa cosa, chi e’ gia’ stato formato), all’audit periodico, fino alla risposta al management quando chiede “come stiamo usando l’AI”. Un CEO che riceve un registro con 15 righe e status chiari e’ un CEO che smette di preoccuparsi dei titoli di giornale.
Molti imprenditori vedono le regole come un ostacolo. Nella pratica succede il contrario: quando il team sa cosa puo’ usare, cosa non puo’ usare e come validare i risultati, smette di perdere tempo nell’incertezza e lavora meglio. Per un percorso completo di adozione governata, leggi il libro Intelligenza Artigianale.
Domande frequenti
Il registro strumenti AI e’ obbligatorio per legge?
Non esiste un obbligo esplicito di tenere un registro AI per le PMI che non sono provider di sistemi ad alto rischio. Ma gli articoli 17 e 26 dell’AI Act, gli obblighi di AI literacy dal 2 febbraio 2025 e il principio di accountability del GDPR rendono il registro di fatto indispensabile per dimostrare conformita’. Senza registro non puoi provare nulla; con registro puoi provare tutto.
Qual e’ la differenza tra registro AI e Registro dei trattamenti GDPR?
Il RoPA si concentra sui dati personali: finalita’, base giuridica, conservazione, destinatari. Il registro AI copre un perimetro piu’ ampio: tutti i sistemi AI in uso, anche quando non trattano dati personali. I due documenti devono parlarsi: quando nel registro AI una riga tratta dati personali, quella voce deve comparire anche nel RoPA con le informazioni ex art. 30 GDPR.
Quanti strumenti AI dovrei aspettarmi di trovare in una PMI da 20 dipendenti?
Nell’esperienza sul campo la forbice e’ 8-20 tool attivi. Il titolare di solito ne conosce 2-4. La differenza e’ shadow AI, spesso concentrato in versioni gratuite di ChatGPT, Gemini consumer, Canva Magic Design e funzionalita’ AI integrate in software gia’ in uso (Copilot, Einstein, Breeze, Notion AI).
Posso tenere il registro su un foglio Excel o serve un software dedicato?
Per PMI fino a 50 dipendenti un foglio Excel o Google Sheets e’ sufficiente. Lo diventa meno quando le righe superano la cinquantina o quando vuoi workflow di approvazione, audit trail automatici e integrazione con SSO. In quel caso vale la pena guardare tool dedicati di AI governance, ma e’ una scelta che arriva dopo il registro, non prima.
Ogni quanto va aggiornato il registro?
Review trimestrale come routine fissa, piu’ aggiornamenti puntuali ogni volta che viene approvato un tool nuovo o cambia un processo. Meno di un trimestre e’ sostenibilita’ bassa; piu’ di un trimestre e’ invecchiamento silenzioso. Novanta minuti a trimestre e’ il punto di equilibrio.
Chi dovrebbe essere responsabile del registro in una PMI senza ufficio compliance?
Nella maggior parte delle PMI ha senso che sia la stessa persona che fa da AI champion aziendale: non necessariamente l’IT, spesso una figura operativa con autorevolezza trasversale. Direzione generale, controllo di gestione o operations sono i profili piu’ frequenti. Il DPO va coinvolto sulle righe che toccano dati personali.
