AI Act e contenuti generati: cosa cambia dopo il watermarking di Anthropic

Un imprenditore ci ha chiamato la scorsa settimana con un dubbio concreto: il suo commerciale aveva mandato al cliente un'offerta redatta in gran parte con ChatGPT, e il cliente – una multinazionale – aveva chiesto formalmente di dichiarare quali parti del documento fossero state generate da AI. Non era una richiesta polemica: era una clausola del loro processo di procurement. L'imprenditore non sapeva rispondere, perché nessuno in azienda teneva traccia di cosa venisse scritto con AI e cosa no.

Questa scena si ripeterà sempre più spesso. E non è solo una questione di buona educazione digitale: è un tema di compliance, di rischio legale e di controllo interno che riguarda direttamente il CFO e la direzione.

Perché ne parliamo adesso

Anthropic ha introdotto sistemi di watermarking sui contenuti generati dai suoi modelli. In parole semplici: ogni testo prodotto porta con sé una firma invisibile che consente di verificarne l'origine artificiale. Non è la prima azienda a farlo, ma l'annuncio arriva in un momento preciso: l'AI Act europeo è pienamente operativo per i modelli di uso generale, e l'obbligo di rendere riconoscibili i contenuti sintetici sta passando da raccomandazione a requisito.

Per le grandi aziende questo si traduce in policy interne, sistemi di logging, audit periodici. Per le PMI italiane – che spesso usano AI in modo diffuso ma non strutturato – il rischio è di trovarsi impreparate quando un cliente, un fornitore, un revisore o un ente pubblico chiederà conto di come sono stati prodotti certi documenti.

Il punto interessante per chi fa controllo di gestione è che la tracciabilità dei contenuti generati non è solo un tema legale: è un tema di processo. Se non sai cosa produci con AI, non puoi misurarne l'impatto, non puoi valutare la produttività reale, non puoi rispondere quando qualcosa va storto.

Come si applica alle PMI

Uno studio di consulenza commerciale. Uno studio che assiste PMI nell'internazionalizzazione redige regolarmente business plan, analisi di mercato, pitch deck. Da un anno usa AI per accelerare la prima stesura. Nessuno lo dichiara al cliente. Quando un fondo di investimento estero ha chiesto per iscritto se i documenti allegati alla due diligence fossero stati generati con AI, lo studio si è trovato in difficoltà: non poteva mentire, ma non aveva neanche un processo per rispondere in modo chiaro. Ha dovuto rifare il lavoro parzialmente e introdurre in fretta una policy di disclosure.

Un'azienda che partecipa a gare pubbliche. Sempre più capitolati includono clausole che chiedono di dichiarare l'uso di strumenti generativi nella preparazione dell'offerta tecnica. Un'azienda del Nord-Est ha perso una gara non perché avesse usato AI, ma perché la sua dichiarazione era generica e contraddittoria: alcuni tecnici avevano usato ChatGPT, altri no, e il documento finale non consentiva di ricostruire il processo. La stazione appaltante ha considerato la dichiarazione non attendibile.

Una holding familiare con più società operative. In questi contesti l'AI viene adottata in modo disomogeneo tra le controllate: una la usa intensivamente per il marketing, un'altra per la reportistica interna, un'altra la vieta di fatto. Senza una governance di gruppo, il rischio è che documenti prodotti in una società circolino nelle altre senza tracciabilità, con problemi quando serve consolidare o rispondere a un revisore.

Cosa deve presidiare il controllo di gestione

Il tema della tracciabilità dei contenuti generati non è solo del legale o dell'IT: cade in modo naturale sul CFO, perché tocca processi, controlli interni e reportistica. Tre aree in particolare meritano attenzione.

Documenti a rilevanza esterna. Offerte commerciali, contratti, comunicazioni istituzionali, bilanci, relazioni sulla gestione, documenti per finanziatori. Qui la tracciabilità è critica: serve sapere chi ha scritto cosa, con quale strumento, con quali verifiche successive.

Reportistica direzionale interna. Se il controller usa AI per generare commenti alle varianze o sintesi di andamento, questo va dichiarato agli utenti interni. Non per burocrazia: perché chi legge deve sapere se sta guardando un'analisi umana o un output automatico da validare.

Comunicazione al mercato. Post, newsletter, contenuti pubblicati sul sito. Anche qui l'AI Act e le prassi emergenti spingono verso una disclosure minima. Meglio anticipare che rincorrere.

FAQ

Devo dichiarare a ogni cliente che uso ChatGPT per scrivere le email? No, l'obbligo di disclosure riguarda contenuti di rilevanza specifica: documenti contrattuali, offerte formali, comunicazioni ufficiali. Per la corrispondenza operativa non serve. Serve però una policy interna che chiarisca dove finisce il "supporto redazionale" e dove inizia il "contenuto sostanziale generato".

Chi è responsabile in azienda della governance sull'uso dell'AI? Nelle PMI dove non esiste un data protection officer strutturato, la responsabilità operativa cade spesso sul CFO o sul direttore generale. Il motivo è pratico: la governance dell'AI tocca processi, controlli interni e rischi che sono già nel perimetro del controllo di gestione.

Il watermarking di Anthropic riguarda anche i contenuti che ho già prodotto in passato? No, agisce sui contenuti prodotti dopo la sua introduzione. Ma il punto non è tecnico: il messaggio è che la tracciabilità sta diventando la norma. Chi non si organizza ora si troverà a dover ricostruire a posteriori, che è molto più difficile.

Se un mio collaboratore usa AI senza dirmelo e il cliente se ne accorge, di chi è la responsabilità? Contrattualmente, quasi sempre dell'azienda. Per questo serve una policy scritta, comunicata e sottoscritta dai collaboratori. Non protegge da tutto, ma sposta il perimetro di responsabilità e dimostra che l'azienda ha fatto quanto ragionevolmente esigibile.

In conclusione

Il watermarking annunciato da Anthropic è solo l'ultimo tassello di un cambiamento più ampio: i contenuti generati da AI stanno diventando riconoscibili, tracciabili e soggetti a obblighi di dichiarazione. Per le PMI italiane il rischio non è quello di essere multate domani mattina, ma di trovarsi impreparate quando un cliente, un fornitore o una gara chiederà conto di come sono stati prodotti certi documenti.

La risposta non è vietare l'AI, che sarebbe controproducente e in molti casi impossibile da far rispettare. La risposta è darsi una governance minima: definire dove si può usare, come dichiararlo, chi ne risponde. È un lavoro che riguarda direttamente il controllo di gestione, perché tocca processi e responsabilità interne.

Se vuoi approfondire come impostare una policy di uso dell'AI proporzionata alla dimensione della tua azienda, possiamo confrontarci su cosa serve davvero e cosa è invece sovrastruttura inutile.