Questa contraddizione sta alla base del modo in cui, in questo momento, decine di migliaia di piccole e medie imprese stanno gestendo i propri dati senza saperlo.
Secondo l’Osservatorio Innovazione Digitale nelle PMI del Politecnico di Milano, il 76% delle piccole e medie imprese italiane non ha investito né prevede di investire in intelligenza artificiale. Sembrerebbe una fotografia di prudenza. Ma un altro dato, raccolto dallo stesso ecosistema di ricerca, racconta una storia diversa: gran parte dell’utilizzo reale di strumenti AI nelle PMI avviene fuori dal perimetro aziendale, attraverso account personali, chatbot gratuiti, strumenti scelti dal singolo dipendente per risparmiare tempo. Il fenomeno ha un nome tecnico, “shadow AI”, e una sostanza molto concreta: l’azienda crede di non avere ancora deciso nulla sull’intelligenza artificiale, mentre i suoi stessi collaboratori hanno già deciso per lei. Hanno scelto quali strumenti usare, quali dati condividere, quanto fidarsi di una risposta generata automaticamente.
Perché “governance AI” non significa solo “rincorrere l’AI Act”
Quando si parla di AI governance, il primo riflesso è guardare al Regolamento UE 2024/1689, l’AI Act, e alle sue scadenze. È comprensibile: le sanzioni previste sono severe, fino a 35 milioni di euro o al 7% del fatturato globale per le violazioni più gravi, anche se il regolamento prevede espressamente che per PMI e startup si applichi l’importo minore tra la cifra fissa e la percentuale di fatturato. Ma concentrarsi solo sulle scadenze normative porta a un errore di prospettiva, ed è un errore che il 2026 ha reso ancora più evidente.
Il 7 maggio 2026 Parlamento europeo e Consiglio UE hanno raggiunto un accordo provvisorio sul cosiddetto Digital Omnibus, che rinvia di oltre un anno l’applicazione degli obblighi sui sistemi ad alto rischio: la nuova scadenza indicativa è il 2 dicembre 2027 per i sistemi elencati nell’Allegato III, con un termine ancora più lungo per quelli integrati in prodotti regolamentati da normative settoriali. Chi avesse costruito la propria strategia di adeguamento solo in funzione del calendario rischia ora di scoprire che il calendario è cambiato, e cambierà probabilmente ancora. Restano invece fermi, perché già in vigore dal febbraio 2025, due obblighi che riguardano ogni impresa indipendentemente dalla dimensione: il divieto di alcune pratiche a rischio inaccettabile e l’obbligo, previsto dall’articolo 4 del Regolamento, di garantire al personale un livello sufficiente di alfabetizzazione sull’intelligenza artificiale.
Questo significa una cosa semplice: l’unico obbligo dell’AI Act che oggi riguarda davvero ogni PMI italiana, comprese le più piccole, si gioca su una domanda di cultura interna più che su una checklist tecnica da consegnare a un consulente. È il terreno su cui Walter Tripi, AI Manager e formatore specializzato in intelligenza artificiale per le imprese, lavora abitualmente con realtà di piccole e medie dimensioni: chi, in azienda, sa davvero leggere criticamente una risposta generata da un modello linguistico, e chi si limita a copiarla?
Il rischio che la normativa, da sola, non racconta
Rincorrere la conformità futura senza occuparsi del presente è un po’ come installare un sistema antincendio sempre più sofisticato in un edificio dove, nel frattempo, qualcuno lascia entrare chiunque dalla porta sul retro. La normativa europea, con i suoi rinvii e le sue soglie di rischio, presidia la porta principale. Ma il rischio concreto che una PMI corre oggi passa quasi sempre da un’altra porta: quella della “shadow AI” di cui parlavamo in apertura.
Un dipendente che inserisce in un chatbot pubblico un’offerta commerciale riservata per migliorarne il tono, o un listino fornitori per farsi suggerire un confronto, sta semplicemente facendo quello che sembra più comodo, nell’assenza di un’alternativa aziendale chiara: tecnicamente non viola l’AI Act, ma apre comunque una falla. Il problema, come ha sintetizzato di recente un’analisi pubblicata su Agenda Digitale, va oltre la responsabilità del singolo: è il sintomo che la tecnologia è abbastanza utile da essere adottata anche senza un piano strutturato, e che l’uso non governato diventa, quasi per definizione, un rischio non misurato. I tre fronti su cui questo rischio si manifesta sono sempre gli stessi: la dispersione di dati sensibili verso server esterni non controllati, l’assenza di verifica sulla qualità di output che finiscono in documenti, email o decisioni reali, e una responsabilità che, in caso di problema, l’azienda si ritrova comunque addosso, anche se non ha scelto lei lo strumento.
Cosa significa, in pratica, governare l’AI in una PMI
A livello internazionale, il riferimento più solido per pensare alla gestione del rischio AI è l’AI Risk Management Framework del NIST, l’istituto statunitense per gli standard tecnologici. È un framework volontario, nato dal lavoro di oltre 240 organizzazioni, pensato per essere applicabile a qualsiasi tipo di organizzazione e qualsiasi livello di maturità tecnologica. Proprio per questo, però, è anche un framework pensato per essere adattato: nella sua versione integrale, con le sue funzioni di governance, mappatura, misurazione e gestione del rischio, risulta spesso troppo articolato per una piccola impresa che non ha un ufficio compliance dedicato.
La domanda giusta, allora, non è “come applico il NIST AI RMF nella mia PMI”, ma “quali principi di quel framework posso tradurre in pratiche che la mia struttura può davvero sostenere”. E qui il punto centrale del ragionamento si rovescia rispetto al modo in cui viene di solito presentato: la governance AI funziona come l’infrastruttura decisionale che rende l’adozione stessa sicura, misurabile e, in ultima analisi, più rapida, più che come un livello di burocrazia che si aggiunge sopra la tecnologia. Le aziende che procedono senza alcuna struttura non vanno più veloci: accumulano un debito di rischio che prima o poi presenta il conto, sotto forma di una violazione dei dati, di una decisione presa su un output sbagliato, o semplicemente di un progetto AI che si blocca perché nessuno sa più chi ha accesso a cosa.
Un framework pratico in quattro mosse
Per una PMI italiana, tradurre questi principi in pratica significa lavorare su quattro livelli concreti, ciascuno realizzabile senza un budget da grande impresa.
Primo: l’inventario. Prima di scrivere qualsiasi regola, occorre sapere cosa si sta già usando: gli strumenti acquistati dall’azienda, ma anche quelli che i collaboratori usano di propria iniziativa, dagli assistenti per la scrittura ai generatori di immagini, fino ai chatbot per l’analisi dati. Senza questa mappa, qualsiasi policy successiva è costruita su un terreno che non si conosce davvero.
Secondo: la classificazione dei dati. Gli usi dell’AI comportano livelli di rischio molto diversi tra loro. Riassumere un articolo pubblico è un’operazione di tutt’altra natura rispetto a incollare un contratto con clausole di riservatezza in un chatbot generico. Una PMI non ha bisogno di una tassonomia complessa: bastano due o tre categorie chiare (dati pubblici, dati interni, dati riservati o personali) e una regola semplice su quali strumenti possono trattare quali categorie.
Terzo: la supervisione umana sulle decisioni che contano. Ogni output generato da un sistema AI che influisce su un cliente, un dipendente o un fornitore dovrebbe passare da una verifica umana esplicita. Questo non significa rallentare ogni processo: significa stabilire, caso per caso, dove il controllo umano è un passaggio irrinunciabile e dove invece l’automazione può procedere senza supervisione puntuale.
Quarto: la formazione, intesa come processo e non come evento. L’AI Office della Commissione europea ha chiarito, nei suoi chiarimenti applicativi sull’articolo 4 dell’AI Act, che la conformità non si raggiunge facendo leggere ai dipendenti le istruzioni di un sistema, ma promuovendo attivamente competenze reali. Per una PMI, questo significa formazione periodica, non un corso a sé stante: un aggiornamento ogni volta che cambia uno strumento, una sessione dopo ogni errore significativo, un responsabile interno (anche part-time) che funga da riferimento per le domande quotidiane.
Il vantaggio di chi parte prima
C’è un ultimo elemento che vale la pena considerare, ed è forse il più controintuitivo. Le grandi imprese italiane, secondo l’Osservatorio del Politecnico di Milano, hanno raggiunto un’adozione dell’AI superiore al 53%, contro il 15,7% delle PMI: un divario in crescita negli ultimi dodici mesi. Ma l’adozione, da sola, non equivale alla governance: soltanto una minoranza delle grandi aziende italiane dispone oggi di un modello strutturato di gestione del rischio AI, e tra le PMI la quota è ancora più bassa.
Questo significa che la finestra per costruire una governance solida, oggi, resta aperta per tutti nello stesso momento, grandi e piccole imprese insieme. Una PMI che oggi mappa i propri strumenti, classifica i propri dati e forma davvero le proprie persone sta costruendo, con un investimento minimo rispetto a quello richiesto da una grande organizzazione, la stessa solidità decisionale che le imprese più grandi faticano a raggiungere proprio per la loro complessità interna, ben oltre il semplice rincorrere un adempimento. La domanda da porsi riguarda allora il costo reale di restare, nel frattempo, l’unica funzione aziendale che nessuno governa davvero.
Informazioni fornite in modo indipendente da un nostro partner nell’ambito di un accordo commerciale tra le parti. Contenuti riservati a un pubblico maggiorenne.