AI nel retail: chi decide, con quali dati e chi risponde degli errori

Perché la governance dell'AI riguarda anche i negozi piccoli

Un algoritmo ritocca i prezzi, un assistente suggerisce acquisti in base alla cronologia del cliente, un sistema predittivo decide cosa riordinare. Sono decisioni che incidono su margini, disponibilità della merce e rapporto con i consumatori. Una guida di EconomyUp sulla governance dell'AI nel retail parte da qui: governare questi sistemi significa stabilire chi può usarli, con quali dati, entro quali limiti e sotto la responsabilità di chi.

I numeri citati mostrano una distanza. Nel report NVIDIA sul retail e sui beni di largo consumo, il 91% degli intervistati dice che la propria organizzazione usa o sta valutando l'AI e il 90% prevede più budget nel 2026. Sono dati raccolti da un fornitore tecnologico e riferiti al suo campione. La ricerca Deloitte di giugno 2026, su 200 dirigenti, dice che il 75% considera l'AI una priorità strategica, ma solo il 16,5% riesce a quantificarne il ritorno.

Adottare uno strumento non vuol dire saperne controllare i risultati. Per una PMI il punto è semplice: se non si sa cosa fa uno strumento, con quali dati e a quale scopo, non si può nemmeno dire se funziona.

Il punto di partenza: un inventario e cinque pilastri

La guida suggerisce di censire tutti i sistemi e i casi d'uso, inclusi quelli che arrivano dentro software di terzi: gestionale di magazzino, piattaforme pubblicitarie, programmi per il personale, strumenti scelti dai singoli dipendenti. Per ciascuno si annotano finalità, responsabile interno, fornitore, dati trattati, utenti autorizzati e decisioni influenzate.

Una distinzione conta più delle altre: un sistema che suggerisce non è un sistema che esegue. Cambiare un listino, autorizzare un rimborso o trasmettere un ordine sono azioni, e richiedono più cautela di una bozza di testo. Anche l'approvazione va proporzionata: uno strumento che prepara descrizioni di prodotto non richiede gli stessi controlli di uno che valuta candidati o usa immagini raccolte in negozio.

Come cornice, la fonte richiama l'AI Risk Management Framework del NIST e lo traduce in cinque pilastri operativi:

• Obiettivi misurabili: quale problema risolve il progetto e rispetto a quale situazione di partenza si valuta.
• Qualità e liceità dei dati: provenienza, aggiornamento, autorizzazioni e limiti d'uso.
• Responsabilità definite: chi sviluppa, approva, utilizza e controlla.
• Limiti all'automazione: quali azioni sono consentite e quando serve una persona.
• Tracciabilità e revisione: versioni, verifiche, anomalie e modifiche rilevanti documentate.

Lo standard ISO/IEC 42001 può aiutare a costruire procedure e ruoli, ma una certificazione del sistema di gestione non dimostra da sola che ogni applicazione in uso sia conforme alla normativa.

AI Act, GDPR e shadow AI: dove si concentrano i rischi

Per l'AI Act conta il singolo utilizzo e il ruolo dell'impresa. Un retailer che usa un servizio acquistato è di norma un utilizzatore professionale, il cosiddetto deployer. Non tutte le applicazioni commerciali sono ad alto rischio: una previsione della domanda non è nella stessa posizione di un software per selezionare il personale. Le tecnologie biometriche vanno esaminate caso per caso.

Il calendario, dopo le modifiche dell'AI Omnibus, è questo: gli obblighi di trasparenza dell'articolo 50 si applicano dal 2 agosto 2026, con disposizioni transitorie. Le regole sui sistemi ad alto rischio dell'allegato III valgono dal 2 dicembre 2027, quelle per i sistemi incorporati in prodotti regolamentati dell'allegato I dal 2 agosto 2028. Un esempio immediato sono i chatbot: il cliente deve sapere che sta interagendo con un sistema di AI.

Il rinvio di alcune norme non ferma il resto. GDPR, tutela dei consumatori e normativa sul lavoro restano già applicabili.

Poi ci sono i dati. Casse, e-commerce, programmi fedeltà, magazzini e piattaforme dei fornitori sono collegati, e un'informazione raccolta per uno scopo può finire usata per un altro. Le domande da porsi sono concrete: il dato è aggiornato? Chi può consultarlo? Può andare a un servizio esterno? Il fornitore lo conserva o lo usa per addestrare i modelli? Per quanto tempo restano disponibili documenti e conversazioni?

La shadow AI, cioè l'uso di strumenti fuori dalla visibilità e dalle regole aziendali, nel retail ha forme quotidiane. Un responsabile di negozio carica il foglio dei turni su un servizio personale; un addetto inserisce in uno strumento esterno la conversazione con un cliente. Nessuno agisce in malafede, ma i dati escono dal perimetro aziendale.

Cosa fare adesso

Una PMI non ha bisogno di una struttura pesante. Ha bisogno di sapere cosa usa e chi risponde. Un percorso realistico:

• Fate un elenco di tutti gli strumenti con funzioni di AI, compresi quelli dentro gestionale, CRM, pubblicità e software del personale, e quelli usati dai dipendenti per conto proprio.
• Per ogni strumento scrivete scopo, responsabile interno, fornitore, dati trattati e decisioni che influenza. Segnate quali suggeriscono e quali eseguono azioni.
• Definite una regola semplice su cosa non si può inserire in strumenti non approvati, per esempio dati dei clienti, turni e documenti interni, e comunicatela a negozi e uffici.
• Chiedete ai fornitori se conservano i dati, se li usano per addestrare modelli e per quanto tempo. Coinvolgete il DPO, se presente, o il consulente privacy.
• Verificate se avete chatbot o assistenti verso i clienti: l'informativa sull'uso dell'AI va prevista in vista del 2 agosto 2026.
• Per ogni progetto scegliete un indicatore e un punto di partenza, come rotture di stock o richieste risolte, per capire dopo qualche mese se serve a qualcosa.

Se state automatizzando processi o introducendo agenti AI, anche con un partner come Flowline, conviene fissare fin dall'inizio responsabile, dati usati e limiti all'azione autonoma. Aggiungerli dopo costa di più e si fa con meno informazioni.