Copilot e l'EU AI Act

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Scopri le responsabilità di Copilot e dell'EU AI Act, inclusi gli obblighi del deployer, la governance, la gestione del rischio, la trasparenza e la supervisione umana.

Automatically translated with AI from the original post. Read the English original

Potresti pensare che Compliant by Design ti permetta di rilassarti. Ma questa idea può esporre il tuo gruppo a dei rischi. L'EU AI Act ti attribuisce una responsabilità concreta. Il fornitore non è l'unico responsabile. Molti responsabili IT e della compliance sono preoccupati per gli assistenti basati sull'AI. Temono che l'AI mostri dati a persone che non dovrebbero vederli. Microsoft Copilot 365 usa solidi controlli degli accessi basati sui ruoli. Queste funzionalità aiutano, ma sono solo un punto di partenza. Pensa a un utente che chiede a Copilot di riassumere file riservati. Sei sicuro che le tue impostazioni proteggano tutti i dati?

Punti chiave

• Conosci la scala dei rischi dell'EU AI Act. Il tuo caso d'uso di AI determina il tuo livello di conformità. Non è il fornitore a deciderlo al posto tuo.

• Usa le funzionalità di compliance di Copilot. Assicurati di configurarle nel modo corretto. Le impostazioni predefinite potrebbero non rispettare le normative europee.

• Documenta ogni passaggio quando utilizzi l'AI. Tenere registrazioni accurate ti aiuta a dimostrare di seguire le regole. Questo può aiutarti a evitare sanzioni pesanti.

• Forma il tuo team su sicurezza e compliance dell'AI. Tutti devono sapere cosa fare. Devono anche conoscere le regole per l'utilizzo degli strumenti di AI.

• Controlla e aggiorna spesso il tuo piano di compliance. Resta aggiornato sulle nuove normative. Questo ti aiuta a continuare a rispettare la legge.

La scala dei rischi dell'EU AI Act spiegata

Categorie di rischio e casi d'uso

Devi capire la scala dei rischi dell'EU AI Act prima di distribuire qualsiasi strumento di AI. La normativa classifica i sistemi di AI in quattro livelli di rischio. Ogni livello prevede regole diverse da rispettare. Ecco una tabella semplice che mostra come funziona la scala dei rischi:

Gli obblighi aumentano man mano che sali nella scala. Se usi Copilot o ChatGPT per attività semplici come la stesura di email, rientri nelle categorie a rischio minimo o limitato. Se usi questi strumenti per selezione del personale, valutazione del credito o consulenza sanitaria, entri nel territorio dell'alto rischio. In questo caso devi rispettare più regole e tenere registrazioni più accurate.

Perché il caso d'uso conta più del fornitore

Potresti pensare che sia il fornitore o il modello a determinare il tuo rischio. Non è così. Il modo in cui usi l'AI definisce il tuo livello di rischio. Devi definire casi d'uso chiari e requisiti precisi. Occorre documentare quale problema vuoi risolvere e verificare se l'AI è la soluzione giusta. Dovresti anche valutare i rischi legati agli output e i controlli di qualità. Chiediti come utilizzerai i risultati dell'AI e cosa potrebbe andare storto.

Ecco alcuni esempi:

• Se usi Copilot per riassumere i verbali delle riunioni, il rischio è limitato.

• Se usi ChatGPT per aiutarti a decidere chi ottiene un prestito, il rischio è elevato.

• Se sviluppi una tua AI per il social scoring, il rischio è inaccettabile.

Concentrati sul caso d'uso, non solo sul marchio o sul modello. Le funzionalità Compliant by Design aiutano, ma devi comunque collocare il tuo utilizzo dell'AI nel livello di rischio corretto e rispettare le regole.

Compliant by Design – L'impalcatura di compliance di Copilot

Funzionalità integrate per la compliance

Quando usi Copilot in Microsoft 365, parti già con un buon vantaggio. La piattaforma offre molti strumenti per proteggere i tuoi dati. Questi strumenti lavorano insieme per aiutarti a rispettare le regole. Trovi i principali nella tabella seguente:

Questi strumenti aiutano Copilot a sostenere un approccio Compliant by Design. Ottieni supporto per gestire i dati, controllare chi può vederli e monitorare cosa succede. Non devi costruire tutto da solo. Puoi usare questi strumenti come base per il tuo piano di conformità.

Suggerimento: Copilot non usa i tuoi prompt o le sue risposte per addestrare i propri modelli. Così i tuoi dati restano riservati e il rischio si riduce.

Cosa devono ancora configurare i deployer

Non puoi limitarti alle impostazioni predefinite. Devi apportare modifiche affinché Copilot rispetti le regole dell'EU AI Act. Compliant by Design ti aiuta a partire, ma il lavoro va completato da te. Le autorità di controllo vogliono prove, non semplici promesse.

Ecco alcuni passaggi per rafforzare la tua conformità:

1. Verifica e correggi le autorizzazioni in SharePoint, OneDrive e Teams prima di attivare Copilot. Rimuovi gli accessi di cui le persone non hanno bisogno.

2. Applica il principio del privilegio minimo. Controlla gli elenchi dei gruppi e le impostazioni di condivisione. Consenti a ciascuno di vedere solo ciò che gli serve.

3. Valuta l'acquisto di licenze E5 se desideri una protezione dei dati più solida per gli utenti che trattano dati personali.

4. Forma i tuoi utenti. Spiega loro che Copilot rispetta le regole sui dati della tua organizzazione. Assicurati che tutti sappiano cosa Copilot può e non può fare.

Devi configurare le etichette di riservatezza di Purview e le regole DLP per Copilot. Devi stabilire per quanto tempo conservare i dati e controllare i log di controllo. Dovresti limitare la ricerca in SharePoint per evitare una condivisione eccessiva. Devi documentare le verifiche del rischio e conservare la registrazione delle attività svolte.

Compliant by Design non significa che hai finito. Devi dimostrare come hai utilizzato questi strumenti nella tua configurazione. Le autorità di controllo vogliono vedere le prove. Devi dimostrare di aver configurato, monitorato e documentato i tuoi passaggi di conformità.

ChatGPT e Azure OpenAI – Bring Your Own Governance

Lacune di conformità di ChatGPT pubblico

Usare ChatGPT pubblico è una sfida importante. Copilot ha controlli integrati, ChatGPT no. Devi definire le tue regole e i tuoi controlli di sicurezza. Molte organizzazioni lo hanno imparato a proprie spese.

Prendi il caso del comune di Tromsø. I funzionari hanno usato l'AI per scrivere gran parte di un rapporto. Nessuno ha verificato se i fatti fossero reali prima di condividerlo. Il rapporto conteneva informazioni false. Questo errore ha danneggiato la loro reputazione e ha causato problemi sul lavoro. È facile perdere il controllo se mancano regole solide.

Ecco alcuni problemi comuni che devi risolvere:

• Non esiste una registrazione automatica di prompt e risposte.

• Non esiste un modo integrato per prevenire la perdita di dati o per applicare etichette ai dati sensibili.

• Non ci sono avvisi o etichette per i contenuti generati dall'AI.

• Non esiste una verifica umana per i risultati importanti.

• Non esiste un modo chiaro per limitare l'accesso o controllare dove vengono archiviati i dati.

Devi risolvere questi problemi da solo. L'EU AI Act ti chiede di dimostrare come gestisci i rischi, documentare le tue scelte e conservare le registrazioni.

Azure OpenAI come via di mezzo

Azure OpenAI ti offre un controllo maggiore rispetto a ChatGPT pubblico. Puoi usare account di lavoro, stabilire chi può utilizzarlo e monitorare le attività degli utenti. Ottieni registrazioni migliori e puoi mantenere i dati all'interno della tua organizzazione. Questi strumenti ti aiutano a rispettare alcune regole dell'EU AI Act.

Ma la maggior parte del lavoro resta a tuo carico. Devi:

1. Effettuare una valutazione d'impatto sulla protezione dei dati (DPIA) per ogni modo in cui lo utilizzi.

2. Conservare il registro delle attività di trattamento.

3. Configurare regole per prevenire la perdita di dati e stabilire per quanto tempo conservarli.

4. Controllare i log ed esaminare i risultati.

5. Formare gli utenti sull'uso sicuro dell'AI e sul rispetto delle regole.

Azure OpenAI ti aiuta a partire, ma il lavoro va completato da te. Devi dimostrare quanto fatto con registrazioni e verifiche chiare. L'EU AI Act non accetta promesse. Devi dimostrare cosa hai fatto.

Kit di sopravvivenza per i deployer dell'EU AI Act

Ti serve un piano semplice per rispettare le regole dell'EU AI Act. Questo kit ti aiuta a organizzarti. Offre passaggi facili, strumenti e suggerimenti per Copilot, ChatGPT e Azure OpenAI. Usalo per mantenere al sicuro la tua organizzazione e dimostrare alle autorità di controllo che ti impegni per la conformità.

Classificazione del rischio e documentazione

Inizia elencando i tuoi sistemi di AI e il modo in cui li utilizzi. Devi sapere dove viene usata l'AI e cosa fa ciascun sistema. Segui questi passaggi per classificare e documentare il rischio:

1. Documenta ogni strumento e modello di AI che la tua organizzazione utilizza, sviluppa, importa o vende in Europa.

2. Stabilisci se la tua organizzazione è provider, deployer, importatore o distributore per ciascun sistema.

3. Verifica se l'EU AI Act si applica a ciascun sistema o modello.

4. Assegna a ogni caso d'uso dell'AI un livello di rischio: inaccettabile, alto, limitato o minimo.

5. Verifica i contratti e controlla i dettagli dei servizi di AI.

6. Crea o aggiorna il tuo piano di governance dell'AI in linea con le regole dell'AI Act.

7. Tieni traccia delle modifiche apportate ai sistemi o ai modelli di AI.

Devi documentare ogni passaggio che compi. Se non tieni registrazioni accurate, rischi sanzioni molto pesanti.

I deployer che non documentano ciò che fanno per l'AI Act europeo rischiano grosso, come le sanzioni da 7,5 milioni di euro per non aver fornito informazioni complete alle autorità di controllo, anche quando le scelte sui rischi sono corrette.

Configurare Purview, DLP e l'accesso

Devi implementare controlli solidi per proteggere i tuoi dati. Usa Purview, Data Loss Prevention (DLP) e i controlli di accesso per rispettare le regole dell'AI Act europeo. La tabella seguente mostra cosa ti serve:

Raggruppa le regole DLP per coprire le esigenze più comuni. Assicurati che le regole applichino per prime le azioni più restrittive. Controlla spesso i log di audit e i report DLP per verificare che le regole vengano rispettate.

Logging, trasparenza e supervisione umana

Devi tracciare l'uso dell'AI e mantenere le cose chiare. Le autorità di controllo vogliono vedere come gestisci e monitori i tuoi sistemi. Applica queste best practice:

Aggiungi etichette chiare a tutto ciò che è stato creato con l'AI. Usa piè di pagina o filigrane per indicare quando l'AI ha contribuito a creare un file o un messaggio. Fai in modo che le persone verifichino le decisioni importanti, soprattutto in ambiti come l'assunzione del personale o il credit scoring.

Formazione e criteri interni

Devi formare il tuo team a usare l'AI in modo sicuro. Definisci regole chiare e organizza una formazione per tutti. Assicurati che tutti i collaboratori conoscano il proprio ruolo e le regole.

• Organizza una formazione in base al ruolo di ciascuna persona, ad esempio utenti business, amministratori e personale della compliance.

• Condividi le regole su quali usi dell'AI sono consentiti e quali no.

• Usa prompt e impostazioni che favoriscono la conformità, ad esempio chiedere a Copilot di mostrare le fonti o di aggiungere note di revisione.

• Aggiorna le regole man mano che cambia l'AI Act europeo.

Puoi usare strumenti integrati per aiutare gli utenti a svolgere il proprio lavoro. Prepara guide che spieghino la differenza tra modelli di AI per uso generale e sistemi. Offri kit di partenza con modelli ed elenchi a supporto della conformità.

Piano d'azione a 30/60/90 giorni e comunicazione interna

Ti serve una timeline per completare il lavoro di conformità. Ecco un piano d'azione semplice:

Primi 30 giorni:

• Elenca tutti i sistemi e i casi d'uso di AI.

• Assegna i ruoli e i livelli di rischio.

• Inizia a documentare la DPIA e il RoPA.

Successivi 60 giorni:

• Configura Purview, DLP e i controlli di accesso.

• Attiva audit e monitoraggio.

• Avvia la formazione per i team principali.

Ultimi 90 giorni:

• Verifica e aggiorna le regole.

• Testa i controlli umani e le etichette chiare.

• Prepara le prove da presentare alle autorità di controllo.

Condividi questo messaggio con il tuo team:

Usiamo gli strumenti di AI secondo un piano "Compliant by Design". Tutti devono rispettare le nuove regole e seguire la formazione. Terremo traccia, verificheremo e documenteremo ogni passaggio per rispettare l'AI Act europeo.

Usa questo kit per costruire un solido piano di conformità. Così proteggerai il tuo gruppo e aiuterai tutti a usare l'AI nel modo giusto.

Non devi limitarti a fidarti di "compliant by design". Devi dimostrare di rispettare le regole. L'AI Act europeo ti assegna compiti precisi. Se non rispetti le regole, rischi sanzioni molto pesanti. Le multe possono arrivare fino a 15 milioni di euro o al 3% del fatturato totale dell'azienda.

La governance dell'AI è importante. Devi tenere sotto controllo come usi l'AI. Serve qualcuno responsabile e dei passaggi che puoi ripetere. Controlla spesso i tuoi strumenti di AI. Configura i tuoi strumenti di compliance e documenta tutto ciò che fai. Usa le regole per aiutare le persone a fidarsi della tua azienda e a mantenere sicura l'AI.

Domande frequenti

Che cosa significa “compliant by design” per Copilot?

“Compliant by design” significa che Copilot include strumenti integrati che ti aiutano a rispettare le normative. Devi comunque configurare, verificare e dimostrare la tua compliance. Non puoi affidarti solo alle funzionalità del fornitore.

Devo eseguire una DPIA per Copilot o ChatGPT?

Sì. Devi eseguire una valutazione d'impatto sulla protezione dei dati (DPIA) per ogni caso d'uso dell'AI. Ti aiuta a individuare i rischi e a dimostrare alle autorità di controllo che prendi sul serio la privacy.

Come dimostro la compliance con l'AI Act dell'UE?

Devi conservare la documentazione, configurare i controlli e mostrare i log. Le autorità di controllo vogliono prove, non semplici promesse. Usa i log di audit, i documenti sui rischi e i registri della formazione come evidenze.

Posso usare ChatGPT pubblico per attività ad alto rischio?

No. ChatGPT pubblico non dispone di controlli integrati per le attività ad alto rischio. Devi aggiungere tu i controlli di sicurezza. Per gli usi sensibili, scegli strumenti con solide funzionalità di compliance.

Qual è l'errore più grave commesso da chi implementa l'AI?

Molti pensano che i soli strumenti del fornitore bastino a renderli conformi. Devi configurare, monitorare e documentare tutto. Le prove battono le promesse ogni volta.

Ti consigliamo anche di ascoltare

Se stai studiando AI Act dell'UE e Microsoft Copilot, questi episodi offrono un contesto pratico su implementazione, architettura, sicurezza e governance:

• Microsoft Teams Governance – The Illusion of Control — Scopri come proprietà, criteri e decisioni sul ciclo di vita rendono affidabili le operazioni di Microsoft 365.
• Microsoft AI Agent Harness – Simply Explained — Comprendi orchestrazione, guardrail, valutazione e osservabilità per i flussi di lavoro basati sull'AI.
• Azure AI Foundry – Simply Explained — Scopri come le soluzioni AI aziendali vengono create, valutate, distribuite e governate.
• Microsoft Defender XDR – Simply Explained — Collega le scelte implementative con visibilità sulla sicurezza, indagini e risposta.