Checklist SaaS AI Act 2026: domande prima di attivare funzioni IA

Perché ora è una domanda d’acquisto

Le funzioni IA sono ormai in CRM, supporto, meeting e software finance. Un piccolo team non dovrebbe fermarsi a ‘include IA’. Deve capire quali dati usa, se si può disattivare, chi vede gli output e dove sono documentate le risposte.

Parti dall’inventario funzioni

Chiedi al fornitore l’elenco delle funzioni: riassunti, suggerimenti, scoring, routing, estrazione, traduzione, ricerca e chat. ‘AI-powered’ non basta. Servono controlli admin, fonti dati, default ed export.

Controlla training e retention

Leggi privacy, sicurezza e documentazione prodotto su training modelli, revisione umana e conservazione log. Le buone risposte sono concrete. Le frasi vaghe non provano abuso, ma diventano domande scritte.

I controlli admin contano più degli slogan

Il rischio pratico è spesso semplice: note sensibili in un assistente o output IA trattato come decisione. Cerca ruoli, audit log, controlli workspace, regione dati, export e disattivazione.

Prepara una demo realistica

Chiedi cambio permessi, record cancellato, nota sensibile, prompt sbagliato, export e opt-out. Segna cosa è documentato e cosa è stato solo detto in chiamata.

Distingui regole e workflow

La maggior parte dei team non fa classificazioni legali complesse. Sceglie software. Però è utile chiedere chi risponde dell’output, dove serve revisione umana e quali limiti dichiara il vendor.

Red flag prima dei dati reali

Fermati se mancano privacy pubblica, supporto chiaro, documentazione admin, export o spiegazione dell’uso dati IA. Non prova pericolo, ma richiede dummy data e risposte scritte.

Scorecard per la shortlist

Valuta inventario, training, retention, controlli admin, audit, export, supporto e disattivazione. Usa note, non stelle.

Cosa non verifica la guida

La guida usa documenti pubblici e domande demo. Non prova sicurezza interna o compliance legale, ma aiuta a trovare risposte mancanti prima del rollout.

Fonti

Usa l’overview AI Act della Commissione Europea, privacy vendor, documenti sicurezza e guide admin. Per prodotti specifici servono fonti datate.