Quando valutare i fornitori di IA e cosa fare dopo

La due diligence sui fornitori di IA dovrebbe iniziare prima che il servizio riceva dati rilevanti, si colleghi ai sistemi aziendali o influenzi decisioni importanti. Ripetete i controlli pertinenti quando cambiano finalità, autorizzazioni, trattamento dei dati o servizio. Il passo successivo è definire l’uso previsto, assegnare un responsabile e raccogliere evidenze per un’approvazione circoscritta.

Per i team SaaS, questa verifica collega gli acquisti alle decisioni di prodotto, sicurezza, privacy e gestione operativa. Le raccomandazioni seguenti descrivono un percorso pratico, non un questionario legale universale. La profondità della verifica dovrebbe riflettere possibili errori e persone coinvolte. Un assistente che redige guide pubbliche richiede una valutazione diversa da un agente che modifica account dei clienti.

Riconoscere gli eventi che avviano la verifica

Iniziate quando è ancora possibile cambiare fornitore, limitare l’uso o negoziare condizioni. Aspettare la firma o il lancio rende più difficile risolvere i dubbi. Includete prove gratuite, abbonamenti dei dipendenti, API, modelli integrati e funzioni di IA attivate in piattaforme esistenti.

Questi eventi dovrebbero avviare o riaprire la verifica:

• Nuovo acquisto: un team propone un servizio o un’integrazione di IA.
• Nuova capacità: un fornitore aggiunge un assistente, recupero di informazioni o azioni automatizzate.
• Più dati: un progetto pilota passa da esempi sintetici a dati dei clienti o documenti riservati.
• Più poteri: uno strumento passa dal suggerire azioni all’eseguirle.
• Modifica sostanziale: cambiano instradamento dei modelli, hosting, conservazione, condizioni o subfornitori in modo rilevante per l’approvazione.
• Evidenze negative: un incidente, reclamo o valutazione fallita mette in discussione una premessa dell’uso continuativo.

Il rinnovo è un punto di controllo utile, ma non dovrebbe essere l’unico evento attivatore. Assegnate a qualcuno la ricezione degli avvisi del servizio e il loro collegamento alla scheda di utilizzo. Il rapporto commerciale può restare invariato mentre il rischio effettivo cambia notevolmente.

Stabilire quali controlli si applicano

Descrivete in una frase attività, utenti, dati e limiti delle azioni. Esempio: «Gli addetti all’assistenza usano l’ambiente aziendale per preparare risposte dalla documentazione pubblica; inviano personalmente le risposte; i ticket dei clienti sono esclusi». Registrate anche piano acquistato e configurazione.

Individuate poi le aree di verifica. La privacy valuta il trattamento dei dati personali; la sicurezza, accessi e integrazioni; i responsabili di prodotto, qualità dei risultati e conseguenze degli errori; il legale, obblighi applicabili e ripartizione contrattuale. Gli acquisti coordinano evidenze e processo commerciale. In una piccola impresa una persona può ricoprire più ruoli, ma ogni decisione richiede un responsabile identificato.

Quando si applica il GDPR, l’articolo 28 richiede garanzie sufficienti dai responsabili del trattamento. GDPR, articolo 28. Fate determinare ruoli delle parti e accordi sul trattamento prima di considerare sufficiente il contratto standard del fornitore.

Per delimitare l’AI Act, chiedete al legale di identificare ruolo, finalità prevista, disposizioni e date applicabili. Una dichiarazione generale di conformità del fornitore non risponde a queste domande specifiche. Registrate motivazione e questioni aperte invece di copiare un’affermazione commerciale nell’approvazione.

Al 10 settembre 2026, le scadenze per l’alto rischio sono il 2 dicembre 2027 per l’allegato III e il 2 agosto 2028 per l’allegato I. Calendario aggiornato della Commissione europea. Verificate separatamente le disposizioni pertinenti prima di stabilire cosa occorre fare ora.

Quando è ragionevole una verifica più limitata

Se un prodotto non ha funzioni di IA, può bastare il normale processo fornitori. Se tratta solo materiale pubblico e non accede a sistemi né esegue azioni, una valutazione più breve può essere proporzionata. Documentate questi limiti e confermate che la configurazione li faccia rispettare.

L’assenza di dati personali non elimina automaticamente la verifica. Riservatezza, proprietà intellettuale, affidabilità, continuità e impegni verso i clienti possono restare importanti. Viceversa, l’IA non giustifica la richiesta di ogni documento a ogni fornitore. Chiedete evidenze per decisioni specifiche e motivate i controlli non applicabili.

Un progetto pilota raccoglie evidenze entro confini concordati. Non autorizza automaticamente a caricare dati di produzione. Definite dati, utenti, integrazioni, durata e condizioni di arresto prima di concedere accesso. Stabilite chi può autorizzare l’estensione dopo la verifica dei risultati.

Seguire un percorso decisionale in sei passi

1. Creare la scheda d’uso

Registrate attività, servizio, piano, utenti, categorie di dati, ubicazioni, integrazioni e azioni ammesse. Nominate responsabile aziendale e tecnico. Collegate architettura o schema dei flussi e indicate gli usi esclusi. La scheda diventa il riferimento comune per gli specialisti.

Separate l’impiego previsto dalle funzioni future. Se il team vuole automatizzare i rimborsi in seguito, registratelo come cambiamento futuro da verificare. Una roadmap ampia non deve estendere tacitamente l’approvazione attuale.

2. Tracciare dati e accessi

Chiedete cosa accade a prompt, allegati, materiale recuperato, risultati, feedback e log. Stabilite conservazione, eliminazione, accesso dell’assistenza, destinatari successivi e uso per addestramento. Associate le risposte al piano e alle impostazioni effettivamente previsti.

Per i servizi collegati, registrate credenziali e autorizzazioni. Preferite l’accesso minimo necessario e testatene i confini. La dicitura «sola lettura» in un modulo non basta se l’integrazione riceve diritti di scrittura. Conservate un’esportazione della configurazione o evidenza equivalente.

3. Associare dichiarazioni ed evidenze

Usate una breve tabella: dichiarazione, documento o test, ambito, data, revisore e lacuna residua. Un rapporto di sicurezza può supportare controlli nel proprio ambito; un contratto, impegni concordati; un test, comportamento osservato in condizioni documentate. Rendete visibili queste differenze.

Chiedete chiarimenti se un documento esclude la funzione di IA o riguarda un altro ambiente. Se mancano evidenze, registrate l’incertezza e il suo effetto sulla decisione. Dimensioni, reputazione o una dimostrazione convincente non devono chiudere una domanda senza risposta.

4. Testare il flusso reale

Definite i criteri di accettazione prima dei test. Includete attività rappresentative, informazioni incomplete, input ingannevoli, limiti delle autorizzazioni e ripristino dopo errori. Usate dati sintetici o autorizzati. Registrate versione disponibile, impostazioni, data, risultati e problemi irrisolti.

Testate anche il controllo umano. Il revisore può consultare il materiale di supporto, rifiutare un suggerimento errato e fermare un’azione in tempo? Altrimenti cambiate il flusso o limitate la capacità. Un punteggio medio elevato non deve nascondere un errore che espone informazioni di un altro cliente.

5. Prendere una decisione esplicita

Scegliete: approvare entro l’ambito, approvare con condizioni, limitare al pilota, inoltrare a un livello decisionale superiore o rifiutare. Distinguete le condizioni che bloccano la produzione dai miglioramenti successivi. Ogni condizione richiede responsabile, scadenza ed evidenza di completamento.

Registrate rischi residui ed eccezioni autorizzate con motivazione e scadenza. La firma del contratto non deve superare tacitamente un blocco tecnico o di privacy. Chi attiva l’integrazione deve capire la decisione senza ricostruire discussioni tra email e chat.

6. Monitorare e preparare l’uscita

Fissate una data di riesame in base all’uso e ai rischi, oltre agli eventi già elencati. Assegnate responsabilità per avvisi, incidenti, reclami e risultati delle valutazioni. Riaprite solo i controlli interessati quando giustificato, conservando lo storico.

Descrivete revoca degli accessi, rimozione delle integrazioni, esportazione dei dati necessari, richieste di eliminazione e continuità durante guasti o uscita. Provate i passaggi critici prima di farvi affidamento. Schede riutilizzabili riducono anche le duplicazioni descritte nella guida alle verifiche manuali del rischio fornitori.

Esempio: un assistente inizia a leggere ticket privati

Immaginate un team di assistenza che già prepara risposte da documentazione pubblica con un assistente. Il prodotto vuole aggiungere il recupero di ticket privati. Fornitore e abbonamento restano uguali, ma cambia il confine dei dati. La verifica deve precedere l’attivazione.

Il responsabile aggiorna la scheda. La privacy controlla gli accordi sul trattamento; la sicurezza testa autorizzazioni e separazione tra clienti; il prodotto verifica divulgazioni non necessarie nelle risposte. Gli acquisti confermano che gli impegni coprano la funzione. Durante i controlli resta attivo l’uso iniziale di redazione.

Se i test delle autorizzazioni falliscono, la nuova capacità resta bloccata. Se i controlli passano, l’approvazione registra dati ammessi, impostazioni, risultati, supervisione e condizioni di riesame. L’esempio illustra un processo decisionale, non conclude che uno specifico impiego rispetti ogni legge applicabile.

Errori comuni da evitare

Approvare un nome aziendale invece di un uso definito rende invisibili i cambiamenti successivi. Accumulare documenti senza conclusioni crea archiviazione, non evidenze. Definire un pilota «a basso rischio» senza limitarne dati o autorizzazioni lascia aperta la domanda importante.

Un altro errore è assegnare tutto alla «compliance». Il responsabile aziendale spiega l’attività e assume responsabilità operativa; l’ingegneria verifica i controlli; gli specialisti decidono nelle proprie competenze. Un coordinatore può far avanzare il processo senza assumersi ogni rischio.

Domande frequenti

Qual è lo scopo pratico?

Decidere se un servizio specifico può svolgere un’attività definita, con evidenze, condizioni e responsabili. L’esito deve indicare cosa si può attivare e cosa resta limitato.

Cosa dovrebbe documentare prima un fondatore?

Attività, dati, autorizzazioni e responsabile. Questi fatti rendono concrete le domande successive. Iniziate con un uso rilevante anziché distribuire un questionario indistinto in tutta l’azienda.

Ogni modifica richiede una nuova valutazione completa?

No. Confrontate la modifica con le premesse registrate e riaprite i controlli pertinenti. Conservate la motivazione quando non vi sono effetti sostanziali. Coinvolgete il livello decisionale appropriato se le conseguenze sono poco chiare.

Cosa fare la prossima settimana?

Scegliete un servizio di IA proposto o attivo. Compilate la scheda, identificate la maggiore lacuna nelle evidenze e assegnate un revisore. Concordate una decisione circoscritta e registrate il prossimo evento di riesame prima di ampliare l’accesso.

Fonti e credito fotografico

Riferimenti legali verificati il 10 settembre 2026. Le fonti collegate supportano le affermazioni giuridiche e temporali; processo ed esempio sono raccomandazioni editoriali.

Foto: Team Meeting, woodleywonderworks, CC BY 2.0. Ridimensionata a 1280 × 482 pixel. Fotografia illustrativa.