La compliance è un software, non un PDF

Per anni la compliance ha avuto una forma precisa: un documento. Il modello organizzativo, la policy, il registro, la valutazione d'impatto. Firmato, archiviato, dimenticato fino alla prossima ispezione.

Funzionava quando le organizzazioni cambiavano lentamente. Oggi un'azienda adotta, modifica o abbandona strumenti digitali ogni mese. Il documento invecchia il giorno stesso in cui viene approvato.

Il caso dell'AI Act

Il Regolamento (UE) 2024/1689, l'AI Act, rende il problema evidente. Dal 2 febbraio 2025 si applicano i divieti sulle pratiche inaccettabili e l'obbligo di alfabetizzazione dell'articolo 4: chi fornisce o utilizza questi sistemi deve adottare misure per garantire che il proprio personale abbia un livello sufficiente di competenza.

Per rispettare l'articolo 4 bisogna sapere, prima di tutto, quali sistemi l'azienda usa. Sembra banale. Non lo è. In molte organizzazioni nessuno ha un inventario completo. Gli strumenti entrano dal basso: un abbonamento pagato con la carta di un reparto, un'estensione del browser, una funzione attivata dentro un software che c'era già.

Un PDF non può inseguire questa realtà. Un software sì.

Fuori dall'Unione la direzione è simile, anche senza un regolamento unico. Nel Regno Unito il tema è affidato ai regolatori di settore, negli Stati Uniti a leggi statali e linee guida federali. Cambia la fonte, non il problema: dimostrare cosa si usa e come lo si governa.

Cosa cambia se la compliance gira

Pensare la compliance come software significa tre cose concrete.

Primo: la regola diventa una domanda che il sistema pone al momento giusto. Non "leggi la policy", ma "stai attivando uno strumento nuovo: a cosa serve, chi lo usa, quali dati tratta?".

Secondo: la prova si produce mentre si lavora, non dopo. Ogni risposta lascia una traccia datata. Quando arriva l'ispezione, la documentazione esiste già.

Terzo: il giurista smette di essere l'autore di un testo e diventa il progettista di un processo. È un cambio di mestiere, non solo di strumento.

È la logica con cui abbiamo costruito AI READY per l'AI Act, Presidio 231 per i modelli organizzativi, Auriga NIS2 per la cybersicurezza. Non sostituiscono il giudizio legale. Lo portano dove serve, quando serve.

Il rischio da evitare

C'è un rischio speculare, e va detto. Trasformare la compliance in una sequenza di caselle da spuntare può produrre la stessa finzione che critico nei moduli di consenso: tutto spuntato, niente capito.

La differenza la fa il design. Un buon sistema di compliance non chiede alle persone di dichiarare di aver capito. Le mette in condizione di capire, e lo verifica. Se il software di compliance replica le interfacce che dovrebbe combattere, abbiamo solo digitalizzato il problema.

Il diritto che funziona è il diritto che si usa. E per essere usato deve stare dentro gli strumenti, non accanto.