L’IA prepara la risposta. Chi decide cosa inviare?

Un assistente può accelerare il lavoro, ma non sostituisce chi definisce le regole, verifica i risultati e gestisce gli errori.

Una promessa che nessuno aveva approvato

Un’azienda usa l’IA per preparare risposte ai clienti. I tempi si accorciano, finché una risposta promette una condizione commerciale inesistente. Il problema non è soltanto correggere quel testo: occorre capire chi poteva autorizzarne l’invio, quali informazioni l’assistente poteva usare e come fermare lo stesso errore in futuro.

Chiamare tutto questo «errore del chatbot» nasconde la questione organizzativa. L’IA produce una proposta; l’impresa decide in quali casi quella proposta può diventare una comunicazione. Una risposta di cortesia, un’offerta commerciale e una decisione che incide su una persona non richiedono lo stesso livello di controllo.

Quattro regole pratiche

Definire il perimetro. Scrivere quali attività sono ammesse, quali dati possono entrare nel sistema e quali risposte devono essere escluse o inoltrate a una persona. Se vengono trattati dati personali, valgono i principi del GDPR: finalità definite, minimizzazione, tempi di conservazione e misure di sicurezza. Salvare ogni conversazione «per prudenza» non è automaticamente una buona scelta.

Stabilire chi approva. Assegnare un responsabile del processo e criteri chiari: quando basta la verifica dell’operatore, quando serve un secondo controllo e quando l’invio va bloccato. La revisione umana deve poter correggere davvero il contenuto, non essere una firma formale dopo una lettura frettolosa.

Formare chi usa lo strumento. L’articolo 4 dell’AI Act richiede a fornitori e deployer misure a sostegno dello sviluppo dell’alfabetizzazione in materia di IA, tenendo conto del contesto d’uso. Non impone di garantire a ciascuno un livello specifico né prescrive un corso identico per tutti: per chi risponde ai clienti, la formazione utile comprende limiti del sistema, controllo delle fonti ed escalation degli errori.

Essere trasparenti quando necessario. Se il cliente interagisce direttamente con un sistema di IA, l’articolo 50 dell’AI Act prevede che sia informato di tale interazione, salvo i casi in cui sia evidente. Questo punto non va confuso con l’uso interno dell’IA per preparare una bozza poi inviata da una persona.

Dalla prova a un processo affidabile

COBIT 5, già nel 2012, distingueva l’indirizzo e il monitoraggio della governance dalla gestione operativa: è una lente organizzativa, non una norma sull’IA. Il NIST AI Risk Management Framework 1.0, guida volontaria del 2023, propone quattro funzioni — Govern, Map, Measure, Manage — per governare il rischio lungo l’uso del sistema. Anche il paper AIEA sulla NIS2 del 2026 insiste su ruoli, tracciabilità ed escalation; è un riferimento metodologico, non la prova che la NIS2 si applichi a ogni impresa che usa un chatbot.

Per iniziare basta una scheda per ciascun caso d’uso: scopo, dati ammessi, responsabile, revisore, regole di invio, condizioni di arresto e modalità proporzionate per registrare errori e correzioni. Una demo mostra cosa l’IA sa fare. Quella scheda chiarisce chi decide cosa può fare davvero.

Nota: non ogni assistente clienti è un sistema «ad alto rischio» ai sensi dell’AI Act; la classificazione dipende dall’uso concreto. Le regole specifiche per tali sistemi non vanno presentate come obblighi indistinti per ogni chatbot.

Fonti