Da 0 a AI Act compliant in 10 giorni: il caso Studio Alfa

Contesto

Studio Alfa è uno studio tributario con 8 collaboratori fondato nel 2008, attivo principalmente su Milano con clientela PMI e professionisti autonomi. Nel gennaio 2026, durante una riunione di team, è emerso che 6 dei loro 8 collaboratori usavano strumenti AI quotidianamente — ChatGPT per le bozze di pareri, Microsoft Copilot per i riepiloghi documentali, DeepL per le traduzioni, e altri tool settoriali.

Nessuno ne aveva parlato apertamente. Nessuno aveva chiesto autorizzazioni. Nessuno sapeva che dal 2 febbraio 2025 fosse in vigore un obbligo di formazione AI literacy per tutti i dipendenti che usano sistemi AI (AI Act Art. 4).

La sfida

Tre rischi concreti si erano già materializzati prima dell'intervento:

1. Shadow AI non governata Dati di bilancio di un cliente inseriti in ChatGPT per un'analisi comparativa — senza verificare la privacy policy di OpenAI, senza sapere se i dati venivano usati per training, senza informare il cliente. Un potenziale incidente GDPR nascosto.

2. Zero AI literacy documentata Nessuna formazione formale era mai stata erogata. Con il termine dell'Art. 4 già scaduto, lo studio era tecnicamente inadempiente — anche se nessuno lo sapeva ancora.

3. Nessuna informativa ai clienti L'Art. 50 AI Act impone che i clienti vengano informati quando si interagisce con sistemi AI. Le lettere di incarico dello studio non contenevano alcun riferimento agli strumenti AI in uso. Idem la Legge 132/2025, Art. 13.

L'intervento — Metodo AIRA, Fase A (Assessment)

Il servizio AI Act Ready di gitogi copre la fase di Assessment del metodo AIRA: diagnosi completa, documentazione di conformità e formazione iniziale.

Giorni 1-2 — Assessment e inventario

Il primo passo è stato un inventario completo dei tool AI in uso nello studio. Il risultato ha sorpreso anche il management:

Ogni tool è stato classificato secondo la tassonomia AI Act (Art. 6, Allegato III) e le sue data practice analizzate rispetto al GDPR.

Giorni 3-5 — Documentazione di conformità

Con il quadro chiaro, abbiamo prodotto la documentazione di base:

Policy AI Interna (8 pagine) Regole d'uso per ogni tool, lista degli strumenti autorizzati e non, procedura di approvazione per nuovi tool, responsabilità per incidenti, piano di aggiornamento annuale. Firmata da tutti i collaboratori il giorno 5.

Template Informativa AI per le lettere di incarico Un paragrafo conforme all'Art. 50 AI Act e all'Art. 13 Legge 132/2025, da inserire in tutte le nuove lettere di incarico e da comunicare ai clienti esistenti tramite lettera informativa.

Procedura Shadow AI Un semplice modulo di valutazione da compilare prima di usare un nuovo tool AI: 5 domande, 10 minuti, archiviato nel cloud condiviso.

Giorni 6-8 — Formazione AI literacy (Art. 4)

Abbiamo erogato due sessioni di formazione:

Workshop AI Literacy — Tutto lo studio (4 ore)

• Cos'è l'AI Act e perché riguarda ogni studio professionale
• Come distinguere sistemi AI ad alto, medio e basso rischio
• Cosa sono i bias algoritmici e come riconoscerli
• Regole pratiche di uso quotidiano: cosa si può fare, cosa no
• Simulazioni: 3 casi di uso AI che avrebbe creato problemi

Formazione avanzata — 2 partner (2 ore)

• Governance AI per studio professionale: ruoli e responsabilità
• Come gestire un incidente AI
• Roadmap aggiornamenti normativi 2026

Tutti i partecipanti hanno firmato il registro di formazione — il documento chiave per dimostrare la conformità all'Art. 4.

Giorni 9-10 — Validazione e handover

L'ultimo step: una checklist finale di 32 punti (derivata dalla nostra checklist "AI Act Ready") per verificare che ogni obbligo fosse coperto. Tre punti erano parzialmente aperti — li abbiamo chiusi durante le ultime sessioni.

Al giorno 10 lo studio ha ricevuto:

• Policy AI firmata
• Registro formazione completo
• Template informativa clienti
• Checklist di conformità con stato "verde" su tutti i punti
• Roadmap 90 giorni per il monitoraggio continuo

Risultati misurati

A fine progetto, il quadro era radicalmente diverso rispetto al giorno 1:

Da shadow AI a AI governance: 7 tool precedentemente usati senza governance ora hanno regole chiare, responsabili identificati e procedure di approvazione per nuovi tool.

Conformità Art. 4 raggiunta: 24 ore di formazione AI literacy documentate per ogni collaboratore (8 persone × 4 ore staff + 2 ore partner). Il registro è pronto per eventuali ispezioni.

Informativa clienti attiva: La nuova lettera informativa è stata inviata a tutti i clienti attivi (circa 140 studi e professionisti). Nessun opt-out ricevuto.

Zero punti aperti: La checklist di 32 punti segna "verde" su tutti gli elementi.

---

Il caso studio si è concluso il 24 gennaio 2026. Le limitazioni dichiarate sopra sono parte integrante di questa documentazione.