Agenti IA aziendali e AI Act

L'AI Act europeo è già operativo e chi usa agenti IA deve dimostrare governance, trasparenza e controllo umano. Con UnoDiMeno l'adeguamento parte dall'architettura: agenti installati nel tuo Tenant Microsoft 365, dati nel tuo perimetro, decisioni critiche validate da persone.

In sintesi

Agenti IA e AI Act: gli agenti aziendali rientrano nel Reg. UE 2024/1689 di regola come sistemi a rischio limitato o minimo. Obblighi chiave: alfabetizzazione IA del personale (art. 4), uso conforme alle istruzioni e supervisione umana (art. 26). UnoDiMeno installa agenti nel Tenant Microsoft 365 del cliente, con log, permessi e human-in-the-loop predisposti per l'adeguamento.

Lo scenario: come funziona oggi

Oggi molte aziende introducono l'IA generativa senza governance: dipendenti che copiano documenti da SharePoint o Outlook in chatbot esterni, automazioni senza log, nessuna formazione. Con l'AI Act (Reg. UE 2024/1689) questo scenario espone a rischi sanzionatori: l'obbligo di alfabetizzazione IA (art. 4) è in vigore dal 2 febbraio 2025.

Con i servizi IA consumer spesso non è chiaro dove transitano i dati né se alimentano il training dei modelli. Senza audit log, dimostrare la supervisione umana dell'art. 26 diventa impossibile. Il tema agenti IA e AI Act non è solo legale: è architetturale — conta dove gli agenti vengono installati e come vengono tracciate le azioni.

Prima e dopo l'automazione

Passaggio	Manuale, non governato	Con agenti UnoDiMeno
Uso dell'IA dai dipendenti	Strumenti consumer esterni senza policy	Agenti nel Tenant con piano di alfabetizzazione IA (art. 4)
Tracciabilità	Nessun registro delle operazioni dell'IA	Audit log completo in Purview e nello storage del cliente
Validazione delle decisioni	Output dell'IA usati senza controllo	Human-in-the-loop: approvazione umana sui passaggi critici
Gestione dei dati	Documenti copiati su piattaforme esterne	Dati sempre nel Tenant, connessione esterna bloccata, nessun training
Classificazione del rischio	Nessuna mappatura dei sistemi IA in uso	Censimento degli agenti e classificazione secondo l'AI Act

Cosa comprende l'automazione

Censimento agenti IA e AI Act: inventario dei sistemi in Copilot Studio e Power Automate, con classificazione del rischio secondo il Reg. UE 2024/1689
Supervisione umana strutturata: l'agente propone e la persona approva, ad esempio prima dell'invio di una risposta via Outlook o della modifica di un record in Dataverse
Logging probatorio: ogni azione è registrata con timestamp, utente autorizzante e contenuto, pronta per audit
Documentazione di conformità: istruzioni d'uso, limiti noti e finalità di ogni agente, come richiesto dai doveri del deployer (art. 26)
Supporto all'alfabetizzazione IA: materiale operativo per formare i team all'uso consapevole degli agenti (art. 4)

Resta fuori — e resta umano — ciò che richiede giudizio: decisioni su persone fisiche (valutazioni, selezioni), firma dei documenti rilevanti, definizione delle policy sull'IA e responsabilità legale dell'adeguamento, in capo all'organizzazione con consulenti e DPO.

Dove risiedono i dati

Gli agenti vengono installati nel Tenant Microsoft 365 del cliente: documenti su SharePoint e OneDrive, email su Exchange Online, dati strutturati su Dataverse. Il processamento avviene tramite i servizi Microsoft coperti dal Data Processing Agreement del cliente, con data residency nell'UE. Le policy di Data Loss Prevention bloccano l'invio di contenuti verso endpoint esterni non autorizzati.

I log — richieste, azioni, approvazioni umane — restano nel tuo ambiente, in Microsoft Purview e negli storage che controlli. I dati non vengono mai usati per addestrare modelli. È questo che rende gestibile il rapporto tra agenti IA e AI Act: se un auditor chiede dove sono i dati e chi controlla il sistema, la risposta è una — nel tuo Tenant, sotto il tuo controllo.

Gli obblighi dell'AI Act che riguardano gli agenti aziendali

Per la maggior parte degli agenti IA e AI Act significa rischio minimo o limitato, con obblighi concreti. Art. 4 (alfabetizzazione IA): dal 2 febbraio 2025 provider e deployer devono garantire che il personale comprenda i sistemi usati. Art. 26 (doveri del deployer): uso secondo le istruzioni, supervisione umana, monitoraggio e conservazione dei log. Art. 5 (pratiche vietate): vietati, tra gli altri, manipolazione subliminale, social scoring ed emozione recognition sul lavoro.

La timeline: da agosto 2025 gli obblighi per i modelli GPAI, dal 2 agosto 2026 il regime pieno per l'alto rischio. Gli agenti su selezione del personale o accesso a servizi essenziali possono ricadere nell'Allegato III: serve una mappatura puntuale. L'architettura UnoDiMeno — permessi ereditati da Entra ID, human-in-the-loop nativo, log probatori nel Tenant — copre per progettazione ciò che l'AI Act richiede di dimostrare.

Approfondimenti su Agenti IA aziendali e AI Act

human-in-the-loop: supervisione umana sugli agenti IA→tenant isolation: i dati restano nel tuo Tenant Microsoft 365→audit logging: tracciabilità delle azioni degli agenti→

Domande frequenti

Domande frequenti su Agenti IA aziendali e AI Act

1Gli agenti IA aziendali sono sistemi ad alto rischio per l'AI Act?

Dipende dall'uso. Agenti per documenti, email e amministrazione sono in genere a rischio minimo o limitato. Diventano ad alto rischio (Allegato III) se trattano selezione del personale, valutazione dei dipendenti o accesso a servizi essenziali: serve una mappatura caso per caso.

2L'obbligo di alfabetizzazione IA (art. 4) vale già per la mia azienda?

Sì: l'art. 4 del Reg. UE 2024/1689 si applica dal 2 febbraio 2025 a provider e deployer. Chi usa agenti IA in azienda deve garantire competenze sufficienti su funzionamento, limiti e rischi dei sistemi.

3Come dimostro la supervisione umana richiesta dall'art. 26?

Con agenti progettati human-in-the-loop: i passaggi critici richiedono l'approvazione esplicita di una persona e ogni azione è registrata nei log del Tenant Microsoft 365. Approvazioni tracciate e audit log sono la prova della supervisione.

4Agenti nel mio Tenant Microsoft 365 facilitano l'adeguamento all'AI Act?

Sì: dati e log restano nel tuo perimetro, i permessi sono quelli di Entra ID, la connessione esterna è bloccata e nessun dato alimenta il training dei modelli. Gli elementi probatori richiesti dall'AI Act sono già disponibili nel tuo ambiente.

Valuta la conformità dei tuoi agenti IA

Esplora le soluzioni UnoDiMeno e scopri come installare agenti IA progettati per l'AI Act, con dati nel tuo Tenant e supervisione umana nativa.

Esplora le soluzioni