Tanto fa lei
La frase più pericolosa pronunciata nelle aziende italiane è corta. Tre parole. "Tanto fa lei."
La senti ovunque. Nel marketing che genera la campagna. Nell'amministrazione che riassume il contratto. Nel ragazzo bravo che incolla il listino clienti dentro una chat aperta sul suo telefono.
L'AI scrive. L'AI decide. L'AI propone. L'umano firma. Nessuno controlla. Nessuno traccia. Nessuno sa davvero cosa sia successo dentro quella scatola.
Fino al 29 settembre era solo imprudenza. Dal 30 settembre è un reato.
La scena che non vedi
Smetti di immaginare l'AI in azienda come un progetto. Non è un progetto. È un'infiltrazione.
Il dipendente migliore, quello volenteroso, usa il suo account personale per lavorare più in fretta. Ti fa anche un favore, dal suo punto di vista. Incolla dati tuoi in un sistema che non conosci, con regole che non hai letto, su server che non hai mai visto.
Il quadro firma l'analisi scritta dal modello. Non l'ha letta tutta. Ha guardato i grafici. I grafici erano belli.
Il marketing pubblica il video con una voce sintetica. Nessuno ha chiesto il consenso a nessuno. Tanto fa lei.
Questa roba ha un nome: shadow AI. Ed è già dentro la tua azienda. Non devi approvarla. Devi solo smettere di fingere che non ci sia.
Dal 30 settembre la firma è un reato
Il decreto legislativo 160 del 2026 è in vigore dal 30 settembre. Attua la legge italiana sull'AI e cambia il codice penale. Tre cose da sapere, senza giuridichese.
| Cosa succede | Cosa rischi |
|---|---|
| Ometti le misure di sicurezza o la sorveglianza umana su un sistema ad alto rischio, o lo alteri, e ne nasce un pericolo concreto | Arresto fino a tre anni e ammenda fino a 150 mila euro |
| Diffondi contenuti sintetici senza consenso, capaci di ingannare, con danno | Reato contro la persona |
| Il reato è commesso nell'interesse dell'azienda | L'ente risponde: fino a mille quote e misure interdittive |
Leggi bene la terza riga. È la responsabilità 231. Se il tuo collaboratore commette il reato per fare un favore all'azienda, l'azienda paga con lui. Stop attività. Divieto di contrattare con la pubblica amministrazione. Il Modello 231 che non hai aggiornato diventa la prova che non volevi prevenire.
E c'è l'altra metà della trappola, nel civile. Il giudice può ora ordinarti di esibire log, documentazione tecnica, dati sulla supervisione umana. Se non li hai progettati prima, non li ricostruisci dopo. La mancata esibizione affonda la difesa.
Non serve il disastro. Basta la distrazione
Chiarezza, perché qui nessuno vuole spaventarti a vanvera: non ogni errore dell'AI è un reato. La legge punisce condotte precise, su sistemi ad alto rischio, con un pericolo concreto.
Il punto è un altro. Le condizioni del reato si creano per accumulo, un martedì qualunque. Un go-live accelerato perché il cliente preme. Una supervisione di facciata perché non c'è tempo. Un'anomalia ignorata perché tanto poi passa. Una modifica al sistema che nessuno ha rivalidato.
Ogni pezzo da solo sembra niente. Insieme sono la fattispecie. E la domanda del giudice non sarà "cosa ha detto l'AI". Sarà "dov'è la prova che la controllavate".
La firma di chi non capisce non è sorveglianza
Qui sta il nodo che quasi nessuno vuole guardare.
Una firma apposta da chi non conosce i limiti del sistema non è controllo. È scenografia. Se chi firma non può capire, non può dissentire, non può fermare il processo: quella firma non assolve. Aggrava. Perché dimostra che sapevi di dover controllare. E hai scelto di fingere.
La sorveglianza umana richiesta dalla legge non è un timbro a valle. È comprensione a monte. Chi sorveglia deve sapere cosa il sistema può fare, dove sbaglia, quando va fermato. Deve avere autorità reale per fermarlo.
Se nella tua azienda nessuno può spiegare come l'AI è arrivata a quella decisione, non hai un sistema di sorveglianza. Hai un rito.
La fede non passa un audit. Dal 30 settembre non passa nemmeno un processo.
Il problema si risolve a monte o non si risolve
Puoi scrivere un regolamento aziendale. Molti lo faranno. Sarà un bel PDF, firmato da tutti, inutile come gli altri. Perché un regolamento non vede il dipendente che incolla i dati alle 22:47. Non registra la risposta che il manager ha firmato. Non si accorge della modifica che ha cambiato il profilo di rischio del sistema.
Il controllo che la legge chiede non è un documento. È un flusso. Continuo, tracciato, ispezionabile.
Per questo Kairion non è un accessorio. È fondativo. Il gateway si pianta tra la tua azienda e i modelli e da lì non si sposta: ogni richiesta passa di lì, ogni risposta resta tracciata, ogni intervento umano è registrato. La sorveglianza smette di essere una firma di facciata e diventa una catena di evidenze che esiste da prima che serva.
Quando busseranno — e con un reato in vigore da tre giorni, busseranno — la differenza sarà una sola. Chi ha costruito la catena apre un archivio. Chi non l'ha costruita apre un ombrello: non serve, ma dà l'illusione.
L'architettura è qui. Parliamone prima che sia il tuo avvocato a farlo.