AI Act per commercialisti e direzioni finanziarie: cosa cambia

Gli studi commercialisti e le direzioni amministrative si trovano in una posizione particolare rispetto all'AI Act: sono contemporaneamente soggetti obbligati e consulenti di soggetti obbligati. È una posizione scomoda se la si subisce e molto interessante se la si presidia.

Questa guida copre il primo aspetto, cioè cosa deve fare lo studio o la direzione per sé, e indica dove si apre il secondo.

Perché rientrate nell'obbligo

L'articolo 4 del Regolamento UE 2024/1689 impone a fornitori e deployer di sistemi di AI di garantire un livello sufficiente di alfabetizzazione in materia di AI del proprio personale.

Deployer significa chi utilizza l'AI nell'esercizio dell'attività, non chi la sviluppa. Uno studio che usa l'AI per riclassificare un bilancio, redigere una nota integrativa, sintetizzare una circolare dell'Agenzia o anche solo scrivere una mail è pienamente dentro il perimetro.

L'obbligo si applica a tutti i sistemi di AI, indipendentemente dalla classe di rischio, e non prevede soglie dimensionali.

Le date

Gli adeguati assetti, che riguardano solo voi

Qui c'è un collegamento che nella maggior parte dei materiali sull'AI Act non viene fatto, e che invece per un commercialista è il più rilevante di tutti.

L'articolo 2086, comma 2, del codice civile, introdotto dall'art. 375 del D.Lgs. 14/2019, impone all'imprenditore che operi in forma societaria o collettiva di dotarsi di assetti organizzativi, amministrativi e contabili adeguati alla natura e alle dimensioni dell'impresa, anche in funzione della rilevazione tempestiva della crisi. L'imprenditore individuale resta fuori da questo obbligo.

Ora si consideri un'azienda che ha introdotto strumenti di intelligenza artificiale in processi amministrativi, nella gestione dei crediti, nella predisposizione di documenti contabili o nell'analisi dei dati finanziari, senza policy, senza competenze documentate, senza sapere chi li usa e su quali dati.

Non esiste un rinvio normativo diretto fra AI Act e articolo 2086. È però difficile sostenere che quella configurazione descriva un assetto amministrativo adeguato. Chi assiste l'organo amministrativo sulla valutazione degli assetti ha ragione di considerare anche questo profilo.

L'alfabetizzazione documentata è utile su entrambi i fronti: assolve l'articolo 4 e sostiene la valutazione dell'adeguatezza degli assetti.

Il rischio operativo, in concreto

Al di là della sanzione, il rischio quotidiano per uno studio o una direzione amministrativa si concentra su questi profili:

L'output plausibile e sbagliato. Un modello linguistico produce un'aliquota errata, una scadenza inesistente o una norma abrogata con la stessa fluidità con cui produce quelle corrette. In materia fiscale la verifica dell'output è indispensabile.

I dati di terzi. I dati contabili dei clienti immessi in un servizio consumer sono un problema di GDPR prima che di AI Act. La differenza fra un piano consumer e un piano business con l'atto di nomina a responsabile del trattamento è sostanziale.

L'uso sommerso. Nella maggioranza degli studi l'AI è già entrata dal basso, sui dispositivi dei singoli, senza che il titolare lo sappia. Non si può governare ciò di cui si ignora l'esistenza: il primo passo di ogni percorso serio è una ricognizione onesta di che cosa si sta già usando.

Cosa deve contenere la formazione

1. Come funziona un modello linguistico: quel tanto che basta a capire perché sbaglia con sicurezza
2. Il perimetro dell'AI Act: deployer, classi di rischio, cosa vi riguarda
3. Dati dei clienti, GDPR e scelta degli strumenti: consumer, business, API
4. Verifica dell'output in materia fiscale e contabile: protocolli di controllo
5. Casi d'uso reali: riclassificazione, analisi di bilancio, sintesi normativa, corrispondenza, controllo di gestione
6. La policy interna: chi usa cosa, su quali dati, con quale supervisione
7. Il registro e il piano di aggiornamento

Il registro

L'articolo 4 non produce un attestato: produce un registro. Deve contenere l'elenco dei sistemi di AI in uso e di chi li usa, le persone formate con ruolo e data, contenuti e durata, il materiale distribuito, la policy adottata, e il piano di aggiornamento nel tempo.

Quest'ultimo punto è quello che quasi tutti saltano, ed è quello che distingue un adempimento reale da una fotografia scattata una volta e mai più aggiornata.

Come lavoro con studi e direzioni finanziarie

Ho progettato e sviluppato CFO Hub, la piattaforma di controllo per il CFO di PMI: forecast di cassa a tredici settimane e dodici mesi, governance societaria, verifica degli adeguati assetti con il DSCR e gli altri indicatori dell'art. 3 del Codice della crisi, bilanci XBRL riclassificati con indici, monitoraggio dei parametri richiesti dalle banche.

Dentro c'è intelligenza artificiale in produzione, sull'estrazione dei dati dai contratti e sulla trascrizione dei verbali assembleari, cioè su dati dove un errore ha conseguenze. Costruire quel software mi ha insegnato dove questa tecnologia regge e dove va vincolata, ed è quello che porto in aula.

Formato standard: sei ore presso lo studio o l'azienda, divisibili in due mezze giornate, con registro della formazione e bozza di policy consegnati al termine. In presenza presso lo studio in Veneto, Lombardia e Canton Ticino, oppure online.