Hai introdotto qualche strumento AI in azienda. Magari Copilot integrato in Microsoft 365 per rispondere alle email, un CRM che suggerisce i follow-up, un modulo AI nel tuo gestionale che genera bozze di offerte. Funziona. I tuoi colleghi lo usano. Qualcuno ha iniziato a farlo anche con l’account personale.
E tu non sai esattamente cosa gira, su quali dati, con quali regole.
Questo è il punto in cui la governance smette di essere una parola da convegno e diventa un problema reale. Non perché l’AI Act sia già bussato alla tua porta. Ma perché senza un minimo di sistema, quello che hai costruito può diventare un rischio — commerciale, legale, operativo — molto prima che tu te ne accorga.
La buona notizia: non serve un team IT. Serve chiarezza su quattro cose.
In breve
Governare l’AI nel tempo senza un team dedicato richiede quattro elementi: sapere quali strumenti AI sono in uso, documentare quali dati trattano, stabilire regole operative scritte, e identificare una persona responsabile. Questi quattro elementi possono essere documentati in un foglio di calcolo, rivisto ogni trimestre. Non è un progetto da sei mesi: è un pomeriggio di lavoro iniziale e poi un’ora ogni tre mesi.
Perché la governance non è per le grandi aziende
C’è un’idea diffusa nelle PMI: la compliance è roba da multinazionale. Hanno i team, gli avvocati, i consulenti. Noi siamo piccoli, ci adattiamo.
È un ragionamento che ha una logica. Ma si basa su un presupposto sbagliato: che le regole siano scritte per chi ha le risorse per rispettarle.
L’AI Act funziona diversamente. Come chiarisce Giacomo Piva, consulente e docente universitario, il regolamento si applica a chi usa l’AI, non solo a chi la costruisce. La stragrande maggioranza delle PMI italiane è deployer — cioè usa sistemi AI sviluppati da altri. E gli obblighi per i deployer esistono già, almeno in parte.
Il calendario è questo, secondo la fonte ufficiale del portale della Commissione Europea:
- 2 febbraio 2025: applicazione delle disposizioni generali e obbligo di alfabetizzazione AI (art. 4). Già in vigore.
- 2 agosto 2026: entrata in vigore della maggior parte delle regole e avvio dell’enforcement, incluse le regole di trasparenza dell’art. 50.
- 2 dicembre 2027: regole per i sistemi ad alto rischio (Allegato III).
Il Digital Omnibus del maggio 2026 ha posticipato solo le scadenze per i sistemi ad alto rischio. Non l’intero calendario. Come scrive Piva: "L’AI omnibus non ha rimandato tutto. Ha posticipato specificamente le scadenze per i sistemi ad alto rischio, che non riguardano la quotidianità operativa della maggior parte delle PMI."
L’obbligo di formare il personale sull’uso corretto dell’AI esiste dal 2 febbraio 2025. Non è una raccomandazione. Come riporta Roberto Cazzaro di Unique: "L’obbligo di formazione AI del personale (articolo 4 del Regolamento UE 2024/1689) è in vigore dal 2 febbraio 2025. Non è una best practice: è un obbligo che le autorità possono già contestare oggi."
Il problema che nessuno vede: la Shadow AI
Prima ancora di pensare a policy e documenti, c’è una cosa che vale la pena guardare in faccia.
In quasi ogni azienda che lavora con noi, quando chiediamo "quali strumenti AI usate?", la risposta copre circa la metà di quello che succede davvero. L’altra metà sono strumenti usati con account personali, tool provati da un collaboratore "per velocizzare", funzionalità AI embedded in software già in uso — il CRM che suggerisce testi, la piattaforma email che ottimizza gli orari di invio, il gestionale che auto-classifica i documenti.
Questa è la Shadow AI: "l’uso non autorizzato e non monitorato di strumenti di intelligenza artificiale da parte dei collaboratori aziendali", come la definisce Cazzaro.
Il punto non è vietare. È sapere. Perché se non sai cosa gira, non puoi sapere quali dati stanno uscendo dall’azienda, attraverso quali canali, verso quali provider. E questo vale molto prima dell’AI Act: vale per i tuoi disegni tecnici, i tuoi listini, le tue procedure di produzione.
I quattro elementi del sistema minimo
Un framework pubblicato da The AI Consultancy su Medium (aprile 2026) propone un approccio che trovo onestamente utile per le PMI, perché non richiede né un team né un consulente permanente. Richiede chiarezza su quattro cose: cosa stai usando, quali dati tocca, quali regole deve seguire, e chi è responsabile.
In pratica:
1. Inventario AI
Un registro — anche solo un foglio di calcolo — con ogni strumento AI in uso in azienda. Incluse le funzionalità AI embedded in strumenti che usi già. Per ogni strumento: chi lo usa, per cosa, con quale account (aziendale o personale), da quanto tempo.
In una manifattura, questa lista ha sfumature che un’azienda di servizi non ha. Il Copilot integrato in Microsoft 365 che il commerciale usa per le email è una cosa. Il modulo AI del MES che stima i tempi ciclo partendo dai dati di produzione — cadenze, scarti, fermi macchina — è un’altra. Il secondo tocca dati di processo riservati, potenzialmente sensibili per la tua capacità produttiva e i tuoi margini. Tenerli nello stesso cassetto, senza distinzione, è il modo più rapido per perdere il controllo di cosa esce dall’azienda e cosa no.
Non serve essere esaustivi al millimetro. Serve avere una lista che puoi mostrare, aggiornare e discutere. Una lista che non esiste nella testa di nessuno.
2. Mappatura dei dati
Per ogni strumento, una riga che risponde a tre domande: quali dati ingerisce, da dove vengono, dove vanno gli output.
In produzione, questa mappatura cambia di peso a seconda di cosa stai trattando. Un’offerta generata con un assistente AI basato su Claude di Anthropic: contiene le specifiche tecniche di un componente? Le tolleranze richieste dal cliente? I prezzi di lavorazione? Questi dati, se finiscono su un’infrastruttura esterna senza accordo scritto, non sono più sotto il tuo controllo. Lo stesso vale per un sistema AI che analizza le distinte base per ottimizzare gli acquisti: se ingerisce la struttura del prodotto, stai di fatto esponendo il know-how costruttivo che hai sviluppato in anni.
Questo non è terrorismo. È sapere cosa stai firmando ogni volta che usi uno strumento senza leggere i termini. Per le valutazioni legali specifiche su GDPR e trasferimento dati, la cosa giusta è coinvolgere il DPO o un consulente privacy: non è roba da gestire con un articolo sul blog.
3. Regole operative scritte
Non un documento astratto di valori. Regole pratiche, operative, che ogni collaboratore può leggere e applicare.
Esempi concreti, dal framework citato: "Le comunicazioni generate da AI devono essere revisionate da un umano prima dell’invio." "Gli strumenti AI non devono accedere a dati finanziari senza approvazione del responsabile." "Questi strumenti sono approvati. Per usarne altri, chiedi prima."
In un contesto manifatturiero, le regole più critiche riguardano spesso tre aree specifiche: i file CAD e i disegni tecnici (che non dovrebbero mai finire in input a strumenti non approvati), i capitolati di qualità e le procedure di processo (che contengono il know-how operativo dell’azienda), e i dati di offerta con prezzi e margini (che in mani sbagliate diventano un vantaggio per il concorrente). Una regola scritta su queste tre aree vale più di dieci riunioni sul tema.
Come sintetizza Cazzaro: "Una policy AI aziendale è un documento di 5-10 pagine che risponde a una domanda operativa: nella nostra azienda, come si usa l’intelligenza artificiale?"
Cinque pagine. Non un manuale. Non un capitolato. Cinque pagine che dicono cosa sì, cosa no, e chi decide quando non è chiaro.
4. Una persona responsabile
Non serve un team. Serve una persona. Tipicamente chi già gestisce le decisioni tecnologiche in azienda — il responsabile operativo, il titolare, un collaboratore di fiducia con sensibilità tecnica.
Questa persona non deve essere un esperto di AI. Deve essere quella che aggiorna l’inventario ogni trimestre, che approva i nuovi strumenti prima che vengano usati, e che sa a chi rivolgersi quando arriva una domanda che non sa rispondere.
In una manifattura con ERP, MES e strumenti verticali di settore — CAD, gestione qualità, pianificazione della produzione — questa figura deve almeno sapere che esistono queste categorie e che ognuna può avere moduli AI integrati. Non per configurarli: per sapere quando alzare la mano e chiamare qualcuno di competente.
Il punto è che la governance diventa un sistema, non una cosa che succede (o non succede) a caso.
Maturità AI non significa usare più strumenti
C’è un paper interessante uscito su arXiv nel marzo 2026 (Sawang, Edinburgh Napier University; Sornlertlamvanich, Musashino University) che studia la maturità AI nelle PMI. La conclusione che trovo più utile da portare in questa conversazione è questa: "La maturità AI non può essere misurata nel numero o nella sofisticazione degli strumenti AI in uso. Un’organizzazione che usa molte applicazioni AI senza allineamento strategico, personale formato o meccanismi di governance può avere una maturità AI inferiore a quella di un’azienda che usa meno strumenti ma li integra efficacemente nei processi core."
In altre parole: non è quanti strumenti usi. È se riesci a orchestrarli con consapevolezza.
E per le PMI, questa consapevolezza non significa formalizzazione aziendale in stile corporate. Significa — come scrivono gli stessi autori — "meccanismi di controllo e accountability proporzionati al contesto."
Il framework operativo a quattro elementi — inventario, mappatura dati, regole scritte, persona responsabile — è proposto da The AI Consultancy come punto di partenza pratico per le PMI. Il paper di Sawang e Sornlertlamvanich supporta la premessa di fondo: che la maturità si misura nella consapevolezza, non nel numero di strumenti. Il percorso per arrivarci è una scelta operativa, non una derivazione accademica.
Perché vale anche commercialmente, non solo per la compliance
C’è un aspetto che vale la pena tenere sul radar nelle trattative B2B: alcuni clienti enterprise stanno iniziando a chiedere quali strumenti AI vengono usati nelle forniture e nei servizi. Non è ancora una prassi consolidata nel manifatturiero italiano — The AI Consultancy (aprile 2026) lo segnala come fenomeno emergente nelle PMI B2B in generale, non come dato specifico per il nostro contesto. Ma il rischio è reale: non avere una risposta pronta su come gestite i dati dei clienti nei vostri strumenti AI potrebbe diventare un punto di attrito in una trattativa, prima ancora che un problema normativo.
Non avere una risposta pronta non è neutro. Come lo chiama il framework di The AI Consultancy: la governance è "una forma di assicurazione che migliora anche il modo in cui l’AI funziona davvero."
Noi stessi, prima di proporre un sistema AI a un’azienda manifatturiera, mappiamo i dati coinvolti e progettiamo i controlli insieme. Non perché sia obbligatorio in ogni caso. Perché è il modo in cui un progetto regge nel tempo senza sorprese.
Il passo che puoi fare questa settimana
Non ti sto chiedendo di scrivere una policy da zero o di fare un audit completo.
Ti chiedo una cosa sola: apri un foglio di calcolo e scrivi i nomi degli strumenti AI che la tua azienda usa. Per ognuno, tre colonne: chi lo usa, per quale attività, con quale account (aziendale o personale).
Quindici minuti. Poi mostra il foglio a un collaboratore e chiedi: "Ne manca qualcuno?"
Quella lista è il punto zero della governance. Senza di essa, tutto il resto — regole, policy, formazione — è un documento che galleggia nel vuoto.
Quando la lista esiste, hai già qualcosa su cui ragionare: quali strumenti toccano dati di produzione, quali toccano dati cliente, quali girano con account personali che non controlli. Da lì puoi decidere il passo successivo.
Se vuoi capire quali dati trattano quegli strumenti, se qualcosa è a rischio e da dove ha senso partire con un primo progetto controllato, l’AI Opportunity Sprint è un incontro gratuito, online o in azienda, con restituzione sintetica su dove stai e cosa fare.
→ Prenota l’AI Opportunity Sprint gratuita
Domande frequenti
Cos'è la governance AI per una PMI senza team IT?
È un sistema minimo composto da quattro elementi: un inventario degli strumenti AI in uso, la mappatura dei dati che trattano, regole operative scritte su come usarli, e una persona responsabile di aggiornarli. Non richiede un team dedicato né un consulente permanente: richiede chiarezza e una revisione trimestrale.
L'AI Act si applica già alle PMI italiane nel 2026?
Sì, in parte. L'obbligo di alfabetizzazione AI (art. 4 del Reg. UE 2024/1689) è in vigore dal 2 febbraio 2025. Dal 2 agosto 2026 entrano in vigore la maggior parte delle regole e inizia l'enforcement. I sistemi ad alto rischio hanno scadenze posticipate al 2027-2028 dal Digital Omnibus, ma gli obblighi di trasparenza e formazione restano attivi.
Cos'è la Shadow AI e perché è un problema nelle fabbriche?
È l'uso non autorizzato e non monitorato di strumenti AI da parte dei collaboratori, spesso con account personali. In un'azienda manifatturiera questo può significare che disegni tecnici, listini prezzi o procedure interne vengono inseriti in strumenti esterni senza che l'azienda lo sappia. Il problema non è l'uso in sé: è la mancanza di controllo su quali dati escono e verso dove.
Serve una certificazione per la formazione AI del personale?
No. Come chiarisce Giacomo Piva, non serve una certificazione formale. È sufficiente un percorso formativo documentato, anche breve, che dimostri che il personale sa cosa può sbagliare uno strumento AI, quando non fidarsi del risultato e come gestire i dati in modo corretto.
Quante pagine deve avere una policy AI aziendale?
Cinque-dieci pagine sono sufficienti. Una policy efficace risponde a domande operative: quali strumenti sono approvati, quali dati non possono uscire dall'azienda, chi approva nuovi strumenti e chi è responsabile della governance. Non serve un documento astratto: servono regole pratiche che ogni collaboratore possa leggere e applicare.
Un'azienda manifatturiera che usa pochi strumenti AI deve preoccuparsi della governance?
Sì, anche se usa pochi strumenti. La ricerca sulla maturità AI nelle PMI (Sawang e Sornlertlamvanich, 2026) mostra che la maturità non dipende dal numero di strumenti ma dalla capacità di integrarli con consapevolezza. Un'azienda che usa due strumenti con regole chiare e dati mappati è in una posizione migliore — normativamente e operativamente — di una che ne usa dieci senza controllo.
