Prova a farla in una riunione, questa domanda: quali sistemi di intelligenza artificiale usa la nostra azienda, su quali dati, e chi li ha autorizzati? Nella maggior parte delle PMI segue un silenzio, poi qualcuno nomina Copilot perché le licenze sono state acquistate, e lì la lista si ferma. Non perché non ci sia altro: perché il resto non è mai passato da una decisione.
L’AI in azienda è entrata dal basso. Il commerciale fa riscrivere le offerte a un assistente aperto nel browser, l’ufficio tecnico ci traduce le specifiche, il marketing genera le immagini per i social, qualcuno ha messo un chatbot sul sito. Nessuno di questi passaggi è passato dall’IT, e nessuno è scritto da qualche parte. È un problema che resta teorico finché non diventa un adempimento — o finché non lo chiede un cliente strutturato nel suo questionario fornitori.
Questa guida propone un template Excel scaricabile per censire i sistemi AI in uso, con esempi realistici da adattare. Fa parte della serie “Template Excel per PMI” di SynSphere.
Scarica il template
Scarica il template “Registro dei sistemi AI” (.xlsx)
Il file è pre-popolato con dodici sistemi tipici di una PMI — da Copilot al chatbot sul sito, dall’assistente pubblico usato dal browser al filtro automatico delle candidature — così da mostrare subito come funzionano i menu a tendina, le evidenze colorate e i conteggi del riepilogo.
Il registro non è un obbligo formale. Conviene farlo comunque
Diciamolo prima di tutto il resto, perché in giro si legge il contrario: il registro dei sistemi AI non è un modulo previsto da un articolo del Regolamento (UE) 2024/1689, e non esiste un formato obbligatorio da compilare. Chi lo presenta come un adempimento in scadenza sta vendendo qualcosa.
Il registro serve per una ragione più semplice e più solida: senza di esso non si è in grado di rispondere alle domande che gli obblighi pongono. Quali sistemi usiamo. Chi è il fornitore e con quali condizioni. Quali dati vi finiscono. Se l’uso arriva a un cliente. Se le persone che li usano sono state formate. Sono domande a cui, prima o poi, tocca rispondere a un cliente, a un revisore o a un’autorità — ed è lo stesso ragionamento del registro dei trattamenti nel GDPR, che pure moltissime PMI tengono anche quando l’obbligo formale non le raggiunge.
C’è poi un effetto collaterale che vale il tempo speso: il censimento è il momento in cui si scopre cosa gira davvero in azienda. Nella pratica è la prima volta che qualcuno mette in fila gli strumenti usati nei reparti, e la lista non somiglia mai a quella immaginata dalla direzione.
Le date che contano
Due riferimenti, per capire cosa incide davvero e cosa no.
L’obbligo di alfabetizzazione del personale è applicabile dal 2 febbraio 2025. Riguarda sia chi fornisce sia chi usa sistemi di AI, senza soglie dimensionali: una PMI che usa Copilot o un assistente generativo rientra nell’ambito come deployer. Il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ne ha riformulato la portata — dal garantire un livello sufficiente al sostenere lo sviluppo delle competenze — ma non l’ha eliminato: è cambiato lo standard, non l’esistenza del dovere. Il dettaglio è in questo articolo.
Gli obblighi di trasparenza si applicano dal 2 agosto 2026: rendere evidente all’interlocutore quando interagisce con un sistema di AI, e dichiarare determinati contenuti generati o manipolati artificialmente. La data è stata confermata anche dopo la revisione normativa di luglio 2026, che ha invece rinviato l’applicazione degli obblighi sui sistemi ad alto rischio — dicembre 2027 e agosto 2028 secondo la categoria. Le distinzioni fra fornitore e deployer, che non sono un dettaglio, sono in cosa scatta davvero il 2 agosto.
Nel registro questa distinzione diventa operativa: la colonna che conta ai fini della trasparenza non è “usiamo l’AI”, è “l’uso arriva a un interlocutore esterno”. Un assistente che riscrive una email interna e un chatbot che parla con i clienti non pongono lo stesso problema.
Cosa contiene il template
Cinque fogli, in ordine di compilazione.
Foglio 1 — Anagrafica e governo del registro
Dati dell’azienda, e soprattutto le due voci che fanno la differenza fra un registro vivo e un documento morto: il referente interno e la data della prossima revisione. C’è anche il flag sulla policy d’uso interna, perché è la domanda che segue immediatamente il censimento.
Foglio 2 — Registro dei sistemi AI
Il cuore del file. Una riga per sistema, con tredici colonne: identificativo, sistema, fornitore, reparto, finalità, ruolo dell’azienda, dati che vi finiscono, presenza di dati personali, valutazione del rischio, uso verso l’esterno, informativa predisposta, autorizzazione aziendale, data dell’ultima verifica.
Le dodici righe di esempio non sono riempitivo: ognuna illustra un innesco diverso. C’è l’uso interno ordinario che non pone problemi particolari, l’assistente pubblico usato dal browser che nessuno ha autorizzato, il chatbot sul sito che arriva ai visitatori, il generatore di immagini che produce contenuti da dichiarare, il filtro delle candidature che appartiene a una categoria da guardare con più attenzione.
Le colonne critiche hanno un menu a tendina, e la formattazione condizionale fa il lavoro sporco: rosso sui sistemi non autorizzati, giallo sugli usi da verificare e sui dati personali coinvolti, e rosso sull’informativa mancante solo dove l’uso arriva all’esterno — perché è lì che serve, e segnalarla altrove produrrebbe solo rumore.
Foglio 3 — Formazione del personale
Chi è stato formato, quando, su cosa, e quale evidenza è stata conservata. È la traccia documentale dell’unico adempimento già applicabile. La norma non fissa un numero di ore: chiede un livello adeguato al ruolo, e chiede di poterlo dimostrare. Un elenco con date e contenuti, tenuto insieme a programma e materiali, è ciò che serve.
Foglio 4 — Riepilogo e scoperti
Non si compila. Conta i sistemi censiti, quelli con dati personali, quelli con uso verso l’esterno, le persone formate. Poi, separatamente, conta gli scoperti: sistemi non autorizzati, usi verso l’esterno senza informativa, usi da verificare, usi classificati ad alto rischio. Verde se zero, rosso se c’è qualcosa da fare.
Come si fa il censimento, e come non si fa
Ecco l’errore da cui dipende la qualità di tutto il resto: guardare le licenze acquistate. Gli strumenti che creano i problemi non compaiono in nessun contratto, perché sono gratuiti e si aprono da una scheda del browser o dal telefono personale.
Il censimento si fa chiedendo ai reparti, con una domanda formulata in modo da non spaventare: non “chi usa strumenti non autorizzati?”, che produce zero risposte, ma “quali strumenti ti aiutano nel lavoro, anche quelli che ti sei trovato da solo?”. La differenza fra le due domande è tutta la differenza fra un registro utile e un registro finto.
Un’avvertenza sul metodo: se durante il censimento emergono usi imprudenti, il primo passaggio non è sanzionare. Le persone li hanno adottati in buona fede, per lavorare meglio, e nessuno aveva spiegato la differenza. Trasformare il censimento in un’ispezione garantisce che la prossima volta nessuno dica niente.
Gli scoperti che emergono quasi sempre
L’assistente che nessuno ha autorizzato
È il caso numero uno, e nella riga di esempio AI-03 del template lo trovi già rosso. Estratti di documenti e dati di clienti incollati in un servizio pubblico, in buona fede, per farsi aiutare a scrivere.
La risposta sbagliata è il divieto secco: sposta l’uso sul telefono personale e peggiora la situazione, perché sparisce anche la visibilità. La risposta che funziona è duplice — una regola scritta su cosa non esce mai dall’azienda, e un’alternativa interna utilizzabile. Se l’azienda ha già licenze Microsoft 365 Copilot, l’alternativa esiste e va solo resa nota.
Il chatbot sul sito senza informativa
Un assistente conversazionale rivolto al pubblico è esattamente il caso su cui incidono gli obblighi di trasparenza. Predisporre la frase che rende evidente all’utente che sta parlando con un sistema automatico, e la regola su quando la conversazione passa a una persona, costa poco. Farlo dopo il rilascio costa molto di più.
Il filtro delle candidature
Selezione e valutazione del personale, decisioni su accesso a servizi o credito, biometria: sono gli ambiti in cui la normativa pone obblighi più stringenti. Nel registro, se hai un dubbio, la voce corretta è “Da verificare” e non “No” — il template lo dice nel messaggio di errore della cella, perché è la scorciatoia che si prende più volentieri.
In diversi casi la conclusione ragionevole è usare l’automazione a monte — ordinare, riassumere, preparare — e non sulla decisione finale, che resta di una persona.
La formazione mai documentata
Capita di aver fatto formazione e di non poterlo dimostrare: una sessione svolta, nessun elenco dei presenti, nessun materiale archiviato. Ai fini dell’adempimento equivale a non averla fatta. Il foglio 3 esiste per questo.
Il registro che nessuno aggiorna
L’ultimo, e il più frequente. Un registro fermo a un anno prima non serve nel momento in cui viene chiesto: dimostra soltanto che il presidio si è interrotto. Il caso peggiore non è non avere il registro, è avere un registro che certifica la propria obsolescenza. Per questo l’anagrafica ha la data della prossima revisione, e per questo va assegnata a una persona.
Quando il foglio non basta più
Finché i sistemi sono qualche decina, Excel va benissimo e ogni strumento più complesso è tempo perso. Il foglio comincia a stare stretto quando servono lo storico delle revisioni, le responsabilità tracciate e un flusso di approvazione per i nuovi strumenti: a quel punto il registro va su un sistema documentale con versioni e permessi.
Il collo di bottiglia, però, non è quasi mai lo strumento: è che manca la persona a cui il presidio è assegnato. Il passaggio di piattaforma senza quella persona sposta il problema, non lo risolve.
Cosa fare adesso
Tre passi, in ordine, e il primo si fa oggi.
- Scarica il template e fai il censimento chiedendo ai reparti, non guardando le licenze. Anche una lista incompleta è infinitamente meglio di nessuna lista.
- Guarda il foglio Riepilogo: se gli usi verso l’esterno senza informativa sono più di zero, quella è la priorità, perché è la parte su cui incidono gli obblighi di trasparenza dal 2 agosto 2026.
- Metti in calendario la revisione e assegnala a una persona con nome e cognome.
Se preferisci non farlo da solo, l’AI Act Starter Kit produce in tre o quattro giornate il registro compilato sul tuo perimetro reale, la policy d’uso interna e i testi delle informative di trasparenza; l’AI Literacy Workshop copre la parte di formazione con la traccia documentale. Perimetro e prezzi a listino sono nel configuratore dei servizi AI — presi insieme costano meno che separatamente.
E se il punto di partenza è più a monte — capire se il tenant è pronto prima di estendere l’uso dell’AI — quello è l’AI Readiness Assessment.
Sul resto del quadro normativo, l’hub compliance 2026 mette in fila NIS2, DORA, AI Act e GDPR; e se stai già lavorando sulla protezione dei dati personali, il template del registro dei trattamenti GDPR è il gemello di questo file.
Nota: articolo informativo aggiornato al 28 luglio 2026, non costituisce consulenza legale. Il quadro descritto tiene conto del Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Gli obblighi vanno verificati sul testo del Reg. UE 2024/1689 come modificato, e la qualificazione del proprio ruolo — fornitore o deployer — va valutata caso per caso con il proprio consulente legale.