Ho una segretaria in outsourcing che usa l'AI: sono a posto con l'AI Act?

Due stanze affiancate: a sinistra lo studio vuoto di un professionista con il telefono sulla scrivania, a destra, di sera, un'operatrice con le cuffie davanti ai monitor di una segreteria esterna.
Immagine generata con AI

No. Se hai esternalizzato la segreteria e chi ci lavora usa l'AI, sei deployer e l'obbligo è tuo. È un obbligo di mezzi, non di risultato.

Pubblicata il

No. E il punto non è il contratto che hai firmato con il fornitore.

Se il servizio di segreteria esterno usa strumenti di intelligenza artificiale mentre lavora per te — un trascrittore delle chiamate, un assistente che smista le mail, un risponditore vocale automatico — quelle persone rientrano nel perimetro dei tuoi obblighi, anche se non hai mai visto il loro contratto di lavoro e non sai nemmeno in che città si trovino.

Vediamo perché, e soprattutto cosa devi fare per uscirne pulito.

Perché un fornitore esterno mi rende “deployer” ai sensi dell’AI Act?

L’AI Act non ragiona per contratti, ragiona per ruoli. Il deployer di AI è chi utilizza un sistema di intelligenza artificiale sotto la propria autorità nell’ambito di un’attività professionale. Non chi lo ha comprato, non chi lo ha installato: chi se ne serve per lavorare.

Il deployer deve adottare misure a sostegno dell’alfabetizzazione in materia di AI del proprio personale e delle altre persone che si occupano del funzionamento e dell’utilizzo dei sistemi di AI per suo conto (articolo 4 dell’AI Act, Regolamento UE 2024/1689). È quest’ultima formula che conta. Le Q&A della Commissione europea sull’alfabetizzazione in materia di AI, aggiornate al 27 luglio 2026, hanno chiarito che vi rientrano anche soggetti che non sono dipendenti diretti: appaltatori, fornitori di servizi, e in generale chi opera dentro il perimetro organizzativo dell’impresa.

Una segreteria in outsourcing è esattamente questo. Le telefonate sono le tue, le mail sono le tue, i dati che vengono trattati sono i dati personali dei tuoi clienti o dei tuoi pazienti. Che la persona sia inquadrata da un’altra società non cambia il fatto che stia operando per tuo conto.

Vale la pena notare una conseguenza che sorprende molti: il fornitore, a sua volta, è deployer per conto proprio. I due ruoli non si escludono. Il suo adempimento non è il tuo adempimento.

L’obbligo dell’articolo 4 dell’AI Act è davvero più leggero di quanto mi hanno detto?

Il 27 luglio 2026 è entrato in vigore il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, che ha riscritto integralmente l’articolo 4 dell’AI Act.

Nella versione originaria bisognava adottare misure per garantire un livello sufficiente di alfabetizzazione. Nella versione vigente bisogna adottare misure volte a sostenere lo sviluppo dell’alfabetizzazione, e la norma precisa espressamente che l’obbligo non impone di garantire un livello specifico di competenza per alcuna persona.

In termini giuridici l’obbligo è passato da obbligazione di risultato a obbligazione di mezzi. Non devi dimostrare che la centralinista ha superato un esame. Devi dimostrare di aver assicurato la sua stessa alfabetizzazione, in modo diretto o indiretto.

Attenzione però a non leggerlo come uno sconto. La data di applicazione non è cambiata: l’obbligo è in vigore dal 2 febbraio 2025. E il fatto che il contenuto sia indeterminato significa che, il giorno in cui qualcuno viene a chiedertene conto, non esiste una soglia oggettiva dietro cui ripararsi. Esiste solo quello che hai in mano.

Cosa succede se la segreteria usa un software di trascrizione e un cliente segnala il caso al Garante?

Il rischio non si presenta mai come “ispezione sull’articolo 4 dell’AI Act”. Si presenta in modo diverso che analizziamo.

Il tuo servizio di segreteria usa un software di trascrizione automatica per non perdere i dettagli delle chiamate. Una di quelle chiamate contiene dati sensibili, come per esempio dei sanitari — un appuntamento, un referto da ritirare, un sintomo raccontato al telefono. La trascrizione transita su un servizio cloud extra-UE che nessuno ha mai valutato. Un cliente se ne accorge e segnala al Garante.

Il procedimento che si apre è un procedimento privacy, non AI Act. Ma la prima domanda che ti arriva è: quali istruzioni avevi dato sull’uso di strumenti di intelligenza artificiale nel trattamento dei dati di cui sei titolare?

Qui si gioca tutto. L’articolo 4 dell’AI Act non ha una sanzione amministrativa diretta — non figura tra le disposizioni a cui l’articolo 99 dell’AI Act collega i massimali da 15 o 35 milioni. Ma la sua violazione entra nel giudizio come elemento di colpa organizzativa: un’azienda che non aveva dato alcuna istruzione, non aveva alcuna policy e non aveva mai speso un’ora sul tema è un’azienda che si presenta senza difese davanti a una contestazione che nasce da tutt’altro.

E c’è un secondo canale, meno discusso: il private enforcement. Chi subisce un danno riconducibile alla mancata alfabetizzazione può agire in sede civile. Non serve che un’autorità ti abbia sanzionato prima.

Quali sono le tre misure minime per una segreteria in outsourcing, in ordine di importanza?

1. Scopri cosa usano davvero. Prima di qualunque policy, serve l’elenco degli strumenti di AI effettivamente in uso nel servizio che hai esternalizzato. Non quelli previsti dal contratto: quelli usati. Può emergere almeno un trascrittore, un traduttore o un assistente di scrittura che nessuno aveva mai dichiarato. Si fa con una richiesta scritta al fornitore, e la risposta va conservata.

2. Dai istruzioni scritte e verificabili. Una pagina, non un manuale. Cosa si può fare con l’AI, cosa non si può fare mai, cosa richiede autorizzazione preventiva. Per la segreteria tre divieti da fissare per primi sono:

Le istruzioni vanno trasmesse formalmente al fornitore, che deve confermare di averle girate a chi opera sul tuo servizio.

3. Fai un intervento di alfabetizzazione proporzionato. Per un servizio di segreteria non serve un corso universitario. Serve che chi risponde al telefono sappia tre cose: che lo strumento può inventare informazioni plausibili, che ciò che digita può uscire dal perimetro aziendale, e a chi rivolgersi quando ha un dubbio. Un’ora fatta bene, con materiale scritto che resta, vale più di un attestato comprato online.

Il contratto, da solo, non basta. Una clausola che scarica ogni responsabilità sul fornitore regola i rapporti tra voi due: non sposta l’obbligo pubblicistico che l’articolo 4 dell’AI Act pone in capo a te. Serve, ma serve in aggiunta.

Cosa deve contenere il fascicolo per una segreteria in outsourcing?

Il Regolamento non impone un formato di documentazione e non richiede alcuna certificazione: lo dicono espressamente le Q&A della Commissione, che però raccomanda di conservare registri interni delle iniziative intraprese. Il motivo è pratico, non formale: quei registri sono la prova della tua diligenza.

Un fascicolo minimo, per questo scenario, contiene:

Regola d’oro: una traccia che documenta il nulla documenta il nulla. Il fascicolo non sostituisce le misure, le dimostra. Un registro pieno di moduli firmati a fronte di zero istruzioni reali è, davanti a un’autorità, peggio dell’assenza di registro.

In sintesi: sono a posto con l’AI Act se la mia segreteria in outsourcing usa l’AI?

Se hai esternalizzato la segreteria e chi ci lavora usa l’AI, sei deployer e l’obbligo è tuo. È un obbligo di mezzi, non di risultato. Non ha una sanzione europea diretta, ma pesa nel momento peggiore, quando il problema è nato da altro. Si assolve con poco — inventario, istruzioni scritte, un’ora di formazione vera — a condizione di farlo prima.

Vuoi sapere quanto è presidiato l’uso dell’AI nel tuo studio? Fai il test dell’Indice di Presidio IA.

Ultimo aggiornamento: 15 settembre 2026. Contenuto aggiornato al Regolamento (UE) 2026/1744. Oltre al regolamento europeo, l'Italia sta completando le sue regole sull'AI. Le autorità sono già designate dall'articolo 20 della legge 23 settembre 2025, n. 132: l'ACN vigila sul mercato (per gli istituti finanziari, Banca d'Italia, CONSOB e IVASS) e l'AgID cura la notifica degli organismi. I decreti legislativi completano il quadro. Il primo, il decreto legislativo 9 settembre 2026, n. 160, sull'uso dell'AI da parte della polizia e sulle responsabilità penali e civili, è in vigore dal 30 settembre 2026. Il secondo è il decreto legislativo 7 ottobre 2026, n. 179, pubblicato nella Gazzetta Ufficiale n. 234 dell’8 ottobre 2026, in vigore dal 23 ottobre 2026. È quello che conta di più per studi e imprese, perché dice con quali sanzioni si applicano le regole e come va fatta la formazione.