AI Act e AI generativa in azienda: obblighi, rischi e governance dei processi documentali

L’Intelligenza Artificiale è ormai presente in un numero sempre più crescente di processi aziendali. Secondo Eurostat, nel 2025 il 20% delle imprese europee utilizzava almeno una tecnologia AI, contro il 13,5% dell’anno precedente. Tra le grandi imprese, la percentuale arrivava al 55%.

Con la diffusione di questi strumenti cambia anche il tipo di domande che le aziende devono porsi. Non basta sapere se un processo utilizza o meno l’AI: occorre capire che funzione svolge, quali dati tratta, che cosa produce e in che modo il risultato viene utilizzato.

L’entrata in vigore dell’AI Act rende questa analisi ancora più importante. Un sistema che legge una fattura ed estrae alcuni campi, per esempio, non svolge lo stesso ruolo di uno strumento che elabora informazioni personali utilizzate poi per prendere una decisione su una persona.

Il punto, quindi, non è stabilire se una tecnologia “usa l’AI”, ma capire che cosa fa concretamente all’interno del processo.

Punti chiave

• Utilizzare AI generativa non significa automaticamente utilizzare un sistema high-risk.
• La valutazione dipende soprattutto dalla finalità del sistema e dal modo in cui viene utilizzato il suo output.
• Estrarre, classificare o riassumere un’informazione non equivale necessariamente a prendere una decisione.
• Un processo basato sull’AI deve prevedere anche la gestione di errori, anomalie e informazioni mancanti.
• Controllo umano, gestione delle eccezioni e tracciabilità diventano aspetti centrali quando l’AI entra nei processi aziendali.

AI Act: cosa cambia per le aziende

L’AI Act disciplina lo sviluppo e l’utilizzo dei sistemi di Intelligence Artificiale secondo differenti livelli di rischio. Gli obblighi applicabili dipendono dal tipo di sistema, dalla sua finalità e dal contesto in cui viene utilizzato.

L’applicazione del regolamenteo europeo è progressiva. Dopo le modifiche introdotte dall’AI Omnibus, entrato in vigore il 27 luglio 2026, le norme relative ai sistemi high-risk dell’allegato III si applicheranno dal 2 dicembre 2027, mentre quelle relative ai sistemi integrati in specifici prodotti regolamentati dal 2 agosto 2028.

Per le aziende diventa quindi importante conoscere i propri casi d’uso AI e compendere anche il ruolo ricoperto nella catena tecnologica, tenendo conto almeno di alcuni elementi:

• finalità del sistema;
• dati utilizzati;
• output prodotti;
• conseguenze dell’utilizzo dell’output;
• possibile impatto sulle persone;
• ruolo dell’intervento umano.

Due sistemi basati sulla stessa tecnologia possono quindi avere implicazioni molto diverse. A fare la differenza è soprattutto il posto che il sistema occupa nel processo e ciò che accade dopo che ha prodotto un risultato.

Estrarre un dato non significa prendere una decisione

Nei processi documentali questa distinzione emerge in modo particolarmente chiaro.

In tutti e tre i casi l’AI può leggere documenti, estrarre informazioni e produrre un risultato strutturato. Il livello di attenzione richiesto cambia però in base a ciò che viene fatto con quel risultato.

Un dato estratto da una fattura può servire semplicemente ad alimentare un gestionale. Un’anomalia rilevata durante un processo di onboarding, invece, potrebbe essere utilizzata come elemento di valutazione.

Cosa succede quando l’AI sbaglia?

La progettazione di un processo AI non può basarsi soltanto sui casi in cui il sistema restituisce il risultato atteso.

Nella pratica possono presentarsi situazioni molto diverse:

• dati mancanti;
• informazioni incoerenti;
• anomalie;
• duplicati;
• documenti incompleti;
• risultati con un livello di affidabilità insufficiente;
• output che non possono essere validati automaticamente.

Questi casi devono essere previsti nel disegno del processo.

Una logica possibile può essere:

1. Output validato: il processo prosegue.
2. Output dubbio: viene richiesta una verifica.
3. Output anomalo: il caso viene separato dal flusso ordinario e gestito come eccezione.

Il tema non è quindi ottenere sempre una risposta dall’AI. In molti processi è più utile sapere quando quella risposta non è abbastanza affidabile da poter essere utilizzata.

Human-in-the-loop e controllo umano

Il termine human-in-the-loop indica la presenza di un intervento umano in determinati punti del processo. Può accadere, per esempio, quando il sistema rileva un’anomalia, quando il dato estratto non supera una soglia di affidabilità oppure quando alcune informazioni richiedono una verifica prima di essere utilizzate.

La human oversight prevista dall’AI Act per i sistemi high-risk riguarda però un tema più ampio. La persona incaricata della supervisione deve poter comprendere il funzionamento del sistema per quanto necessario al proprio ruolo, riconoscerne i limiti, interpretarne correttamente gli output e intervenire quando serve.

Avere un operatore inserito formalmente nel workflow, quindi, non risolve da solo il problema. Bisogna verificare se quella persona dispone davvero degli strumenti, delle informazioni e dell’autorità necessari per contestare, correggere o bloccare il risultato prodotto dal sistema.

Un caso reale Datlas: quando l’AI verifica la coerenza tra più documenti

Un esempio significativo riguarda la gestione di contratti bancari, condizioni economiche ed estratti conto.

In questi processi può essere necessario verificare che quanto applicato al cliente corrisponda effettivamente alle condizioni pattuite: tassi, commissioni, spese periodiche, voci di addebito e scadenze.

La Document Intelligence può leggere in modo coordinato i diversi documenti, confrontare le informazioni e segnalare eventuali discrepanze, fornendo all’operatore una base documentale strutturata sulla quale effettuare le verifiche o impostare una risposta al cliente.

Questo caso evidenzia bene un principio importante di AI governance: L’AI può individuare un’incoerenza e portarla all’attenzione dell’operatore senza necessariamente sostituirsi alla valutazione finale.

Il valore non consiste quindi soltanto nell’automatizzare la lettura dei documenti, ma nel rendere il processo più uniforme, tracciabile e verificabile, mantenendo chiaro il passaggio tra analisi automatica e intervento umano.

Un framework per governare un processo AI

Prima di introdurre l’AI in un processo aziendale può essere utile analizzare cinque aspetti.

1.Finalità

Qual è il compito assegnato al sistema?

Deve estrarre informazioni, classificare documenti, suggerire un risultato oppure contribuire a una decisione?

La risposta definisce il ruolo dell’AI nel processo.

2.Impatto

Che cosa accade una volta prodotto l’output?

Il risultato viene semplicemente registrato in un sistema? Attiva un’attività? Viene utilizzato da un operatore? Oppure contribuisce a una decisione con effetti su una persona?

Questo passaggio aiuta a capire quanto il risultato dell’AI sia rilevante nel processo complessivo.

3. Controllo

Come viene verificata la qualità dell’output?

Possono essere utilizzate regole di business, controlli incrociati, soglie di affidabilità o confronti con altre fonti.

L’obiettivo è evitare che un risultato venga utilizzato solo perché è stato prodotto dal sistema.

4. Eccezioni

Che cosa succede quando qualcosa non torna?

Bisogna definire in anticipo quali casi richiedono un controllo, quando il processo può proseguire e quando invece deve fermarsi.

È qui che l’intervento umano assume spesso il ruolo più importante.

5. Tracciabilità

È possibile ricostruire ciò che è successo?

In un processo ben governato dovrebbe essere possibile verificare almeno:

• quali dati sono entrati nel sistema;
• quale output è stato prodotto;
• quali anomalie sono state rilevate;
• quali controlli sono stati applicati;
• se e quando è intervenuto un operatore.

Dall’AI adoption all’AI governance

L’AI generativa consente di automatizzare attività che fino a pochi anni fa richiedevano necessariamente un intervento manuale. Nei processi documentali può leggere testi, riconoscere informazioni, classificare documenti, confrontare dati e supportare attività di verifica.

Più queste funzioni entrano nei workflow aziendali, più diventa necessario progettare ciò che sta intorno al modello: controlli, soglie, eccezioni, responsabilità e tracciabilità.

L’automazione, da sola, non dice molto sulla qualità di un processo. La questione diventa capire quali attività possono essere delegate al sistema, quali risultati possono essere accettati automaticamente e quali richiedono ancora una verifica. È su questo terreno che l’adozione dell’AI diventa un tema di governance.

FAQ: Domande Frequenti

1.Un sistema che utilizza AI generativa è automaticamente high-risk?

No. L’utilizzo di AI generativa non determina automaticamente la classificazione di un sistema come high-risk.
Occorre considerare la finalità del sistema, il contesto in cui viene utilizzato e il ruolo che l’output assume nel processo.

2.Un sistema che estrae dati dai documenti è high-risk?

Non necessariamente. L’estrazione di dati, da sola, non è sufficiente per stabilire il livello di rischio. Bisogna capire come vengono utilizzate successivamente le informazioni prodotte e quali conseguenze possono avere.

3.Human-in-the-loop significa essere conformi all’AI Act?

No. La presenza di un intervento umano può essere uno degli strumenti utilizzati per controllare gli output e gestire le eccezioni, ma non costituisce da sola una garanzia di conformità.
Gli obblighi dipendono dal sistema e dal caso d’uso.

4.L’AI Act si applica anche alle aziende che utilizzano soluzioni AI di terzi?

Sì. Un’azienda che utilizza un sistema AI fornito da un soggetto esterno può assumere il ruolo di deployer. Gli obblighi applicabili dipendono dal tipo di sistema, dal contesto di utilizzo e dal livello di rischio. Utilizzare una soluzione sviluppata da un fornitore, quindi, non elimina automaticamente le responsabilità dell’azienda che la introduce nei propri processi.

5.Perché la tracciabilità è importante nei processi AI?

Perché consente di ricostruire il funzionamento del processo anche dopo che l’elaborazione è avvenuta. Sapere quali dati sono stati utilizzati, quale risultato è stato prodotto, quali controlli sono stati eseguiti e se è intervenuto un operatore rende più semplice verificare ciò che è accaduto e gestire eventuali anomalie. Nei processi più critici, questa possibilità diventa particolarmente importante per mantenere l’utilizzo dell’AI controllabile e verificabile.