Chi se ne occupa in azienda: ruoli, non titoli

Quattro responsabilità che devono avere un nome. Non richiedono una figura nuova, e in un'azienda di quaranta persone quasi mai la giustificano.

Guida operativa5 minutiAggiornata il 25 settembre 2026Grace & Partners

La figura dell'«AI Officer» circola molto e non compare nel regolamento: quello che c'è è l'obbligo, per certi sistemi, di affidare la sorveglianza a persone che abbiano competenza, formazione e autorità — il dettaglio nell'articolo Chi sorveglia il sistema.

Questo cambia la domanda. Non è «ci serve un AI Officer», è quali responsabilità devono avere un nome accanto. Sono quattro, e in un'azienda sotto i cento addetti stanno quasi sempre su persone che ci sono già.

Il punto delicato non è nominare qualcuno: è dargli il tempo e la facoltà di fermare qualcosa. Una responsabilità senza autorità è un nome su un organigramma.

01
Chi tiene il quadro aggiornato
Qualcuno deve sapere quali sistemi ci sono, e accorgersi quando ne entra uno nuovo. È una responsabilità di manutenzione, non di competenza normativa: sta bene su chi già segue i fornitori o i software.
Cosa resta · Il nome nel registro, e la data dell'ultima revisione.
02
Chi risponde di ogni singolo sistema
Diverso dal precedente, ed è quello che manca più spesso: per ogni sistema, la persona che viene avvisata se fa qualcosa di strano. Di solito è il responsabile del reparto che lo usa, perché è l'unico che si accorge davvero quando l'esito è sbagliato.
Cosa resta · Un nome per riga del registro, senza eccezioni.
03
Chi decide sui casi che non rientrano
Ogni settimana si presenta un uso nuovo che la policy non prevede. Serve un punto a cui chiedere che risponda in tempi compatibili con il lavoro: se la risposta arriva in due settimane, la decisione l'ha già presa qualcun altro.
Cosa resta · Il riferimento interno, e come lo si raggiunge.
04
Chi può fermare
La responsabilità che quasi nessuno assegna, e l'unica che conta quando serve. Deve essere scritta, deve stare su una persona che non ha interesse diretto a far passare quell'esito, e deve poter essere esercitata senza chiedere il permesso.
Cosa resta · L'atto che assegna l'autorità di sospendere l'uso di un sistema.
05
Metti le quattro cose su una pagina sola
Quattro righe con quattro nomi. Se due sono la stessa persona va benissimo; se una casella resta vuota, quella è la risposta alla domanda «di questo chi se ne occupa?».
Cosa resta · La pagina con i quattro nomi, datata.

Le domande che arrivano

Serve assumere qualcuno?: Quasi mai, sotto una certa dimensione. Serve che quattro responsabilità abbiano un nome e un po' di tempo dedicato. Il caso in cui una figura dedicata si giustifica è quando i sistemi che producono effetti su persone sono molti e continui, non quando sono nuovi.
Può occuparsene il DPO?: Spesso è la scelta naturale, perché conosce già i flussi di dati e ha un rapporto diretto con la direzione. Va detto che le due materie non coincidono: la protezione dei dati risponde a domande diverse, e sommare i due incarichi senza aggiungere tempo significa averne uno solo dei due.
Può occuparsene un consulente esterno?: Della parte di metodo e di verifica sì. Non della responsabilità di fermare: quella richiede di poter dire di no dentro l'azienda, e un fornitore esterno non è nella posizione di farlo.

Cosa dice la norma

Questa guida descrive un metodo di lavoro: non stabilisce quali obblighi riguardino la vostra azienda, che dipendono da cosa usate, con quali dati e per quali finalità. I riferimenti normativi stanno qui, riportati con le fonti ufficiali:

Con [H]AIdafare

Un sistema senza responsabile non può risultare sotto controllo: lo stato resta indietro finché non c'è un nome.

Da leggere dopo