Quasi tutte le aziende italiane che incontriamo hanno già l’AI, in un modo o nell’altro. Pochissime, però, hanno una strategia AI aziendale vera e propria. La differenza non è tecnologica. Nel primo caso le decisioni sono state prese dai singoli collaboratori, spesso sotto pressione e con una scadenza vicina, scegliendo lo strumento più pratico. Nel secondo è l’organizzazione a decidere: quali dati possono essere utilizzati, chi può fare cosa, quali controlli servono e come dimostrare che tutto funziona come dovrebbe.
Questa guida raccoglie il metodo che usiamo per costruire una strategia AI aziendale che funzioni anche quando si passa dalla teoria alla pratica: sei passi in ordine, i prerequisiti di ciascuno, gli errori che vediamo ripetersi e un piano concreto per i primi novanta giorni. È pensata per chi deve portare il progetto all’approvazione e poi realizzarlo: CIO e CTO, direzione operativa, HR, Legal e, più in generale, chi si è ritrovato questo tema sulla scrivania senza averlo scelto.
Che cos’è una strategia AI aziendale (e cosa non è)
Una strategia di adozione dell’AI non è un documento di intenti, né coincide con una lista di casi d’uso interessanti, né corrisponde con la scelta di un fornitore. È l’insieme delle decisioni che rende l’uso delle AI nel lavoro quotidiano ripetibile, controllabile e difendibile: quali dati possono essere trattati e dove, chi può usare cosa, come verificare un output prima che influenzi una decisione, chi interviene quando qualcosa non va, come si misura se tutto questo sta producendo valore.
Il test è semplice. Se un revisore, un cliente in fase di due diligence o un’autorità vi chiedesse domani “quali sistemi di AI usate, su quali dati, con quali controlli”, una strategia vi permette di rispondere in mezza giornata, documenti alla mano. Senza, servono settimane. E gran parte della risposta dipende da ciò che le persone riescono a ricordare.
C’è poi un punto che merita attenzione, perché è dove più spesso le aziende partono male. La sequenza corretta è misurare, decidere, abilitare. L’ordine che vediamo nella maggior parte dei casi è l’opposto: si parte da una policy scritta senza aver misurato nulla, e si ottengono regole che non hanno alcun rapporto con quello che succede davvero in azienda.
I tre livelli di adozione
Prima di entrare nel metodo serve una mappa. “Adottare l’AI” può voler dire cose molto diverse, con livelli di impegno, rischio e ritorno altrettanto diversi. Per questo conviene distinguere tre livelli.
- AI personale governata. Ogni collaboratore usa l’AI per il proprio lavoro (scrivere, sintetizzare, analizzare, cercare nei documenti aziendali), dentro un perimetro che l’azienda controlla. Il rischio è basso, mentre il ritorno è immediato e distribuito. Nella maggior parte dei casi, è il punto da cui conviene iniziare.
- Agenti e automazioni di reparto. Qui l’AI smette di limitarsi a rispondere e comincia a svolgere azioni: apre ticket, aggiorna record, prepara documenti, lavora su più sistemi. Il rischio cresce, perché l’AI non si limita a leggere ma scrive e interviene sui processi. Anche il ritorno, però, può essere molto più alto: non migliora soltanto una singola attività, ma modifica il processo nel suo insieme.
- AI rivolta ai clienti. Rientrano qui l’assistenza e le conversazioni con l’esterno, su tutti i canali. È il livello più visibile e richiede standard più severi in termini di qualità e trasparenza, perché gli errori arrivano direttamente al cliente.
Non è obbligatorio seguire questa scala in modo rigido. Un’azienda con un contact center sotto forte pressione può partire dal terzo livello. È però una scala di prerequisiti: il secondo livello è molto più semplice se il primo ha già fatto emergere casi d’uso reali; il terzo richiede la governance che si consolida lavorando sul secondo.
Passo 1. Misurare l’uso che esiste già
Il primo passo non è scegliere uno strumento, è osservare.
Secondo i dati 2025 dell’Osservatorio Artificial Intelligence del Politecnico di Milano, in Italia il 47% dei lavoratori usa strumenti di AI in azienda e solo il 19% degli utilizzatori si limita a strumenti forniti dall’organizzazione. La vostra azienda, con ogni probabilità, non fa eccezione: la domanda non è se l’AI venga già usata, ma quanto, per fare cosa e con quali dati.
Ma quindi, cosa serve raccogliere? In due settimane, non in due mesi, dovreste raccogliere alcune informazioni essenziali: le attività che oggi passano da strumenti di AI, reparto per reparto; il tipo di dati coinvolti in ciascuna; gli strumenti usati e con quale tipo di account; e il tempo che le persone dichiarano di risparmiare. Quest’ultimo dato vi servirà dopo, come base di confronto per il business case.
Conta molto anche il modo in cui viene condotta la rilevazione. Va presentata come un censimento, non come un’ispezione. È bene dirlo apertamente all’inizio di ogni confronto. Se le persone pensano che dichiarare un utilizzo possa trasformarsi in un richiamo, tenderanno a omettere informazioni. Il risultato sarà un dato incompleto e una strategia costruita su presupposti sbagliati. Abbiamo approfondito fenomeno, cause e rischi nell’articolo dedicato alla Shadow AI.
🚩 Red flag: se dal censimento emergono meno di cinque casi d’uso per reparto, probabilmente non avete misurato l’uso reale, ma quanto le persone si fidano di voi.
Passo 2. Definire il perimetro: dati, attività, livelli di rischio
A questo punto entrano in gioco le decisioni su cui si reggerà tutto il resto. Sono meno complesse di quanto sembri: in sostanza, sono tre.
Quali dati possono essere trattati, e dove
Servono due o tre categorie, non venti.
Una classificazione che funziona davvero può distinguere tra informazioni pubbliche o già divulgabili, informazioni interne non critiche e informazioni riservate: dati personali, dati particolari, segreti industriali, informazioni price sensitive.
Per ogni categoria bisogna indicare in quali ambienti può essere trattata. È una regola semplice, che le persone possono ricordare e applicare. Molto più efficace di una lista di strumenti approvati, destinata a invecchiare nel giro di pochi trimestri.
Quali attività sono libere e quali richiedono una verifica
Riassumere un documento pubblico e generare la risposta a un bando non hanno lo stesso profilo di rischio, anche se passano dalla stessa interfaccia.
Separate le attività a basso rischio, che potete liberalizzare subito e che rappresentano la maggioranza, da quelle in cui serve una verifica umana prima che l’output esca dall’azienda o diventi una decisione.
Che cosa non si fa, e perché
Serve anche un elenco breve degli usi esclusi, accompagnato dalla relativa motivazione.
La motivazione non è un dettaglio formale. Una regola spiegata viene rispettata più facilmente di una regola calata dall’alto. Inoltre, dura meglio nel tempo: se il contesto cambia, è più semplice capire se quel divieto ha ancora senso.
Sul perché un divieto generalizzato sia invece la strada peggiore abbiamo scritto un articolo dedicato.
Passo 3. Scegliere l’infrastruttura
Solo a questo punto ha senso parlare di strumenti. La scelta può essere ricondotta a quattro domande, valide per qualunque fornitore stiate valutando, noi compresi.
- I nostri contenuti vengono usati per addestrare i modelli? È il primo elemento che distingue molti piani consumer dalle soluzioni pensate per le organizzazioni. In diversi casi dipende anche da impostazioni che il singolo utente può modificare.
- Dove risiedono i dati e per quanto tempo? La localizzazione non è formalismo: determina quali autorità possono accedervi e con quali procedure. Il tema è approfondito in Data residency e data sovereignty in UE.
- Possiamo cambiare modello senza ricostruire tutto? I modelli si superano ogni pochi mesi, su qualità, costo e disponibilità. Legare i processi a un singolo fornitore è una scelta che invecchia in fretta.
- Possiamo dimostrare cosa è successo? Log, tracciabilità delle richieste, possibilità di ricostruire su quali documenti si basa una risposta. Senza questo, ogni obbligo documentale resta sulla carta.
C’è poi una scelta di architettura che pesa più delle singole funzionalità: un perimetro unico contro molti strumenti separati. Quando ogni funzione risolve il problema per conto proprio, si accumulano contratti diversi, accessi gestiti in modo diverso e nessuna possibilità di riutilizzare ciò che funziona in altre parti dell’azienda. La frammentazione tende a non vedersi nel primo anno. Nel secondo, spesso diventa il problema principale.
Per i criteri di valutazione in dettaglio abbiamo pubblicato una checklist per CTO e Operations.
Passo 4. Costruire la governance
È il passaggio che separa un pilota riuscito da un’adozione capace di durare negli anni, ed è anche quello in cui l’Italia è più indietro. Secondo l’Osservatorio del Politecnico, solo il 9% delle grandi imprese ha una governance strutturata dell’AI, con responsabilità delineate, mentre il 54% si sta muovendo per costruirla.
Il minimo indispensabile comprende quattro elementi.
Identità e permessi. Si accede con le credenziali aziendali. Questo risolve in un colpo solo tracciabilità, revoca quando una persona cambia ruolo o esce, e attribuzione delle responsabilità.
Approvazioni sulle azioni sensibili. Quando l’AI non si limita a rispondere ma agisce sui sistemi, servono regole che fermino le azioni oltre una certa soglia e chiedano il via libera a una persona, con traccia della decisione.
Registro di audit. Chi ha usato cosa, su quali documenti, con quale esito. Serve per la conformità e, in modo meno ovvio, per capire dove l’AI sta producendo valore.
Responsabilità assegnate. Un referente unico per l’AI, con Legal, IT e HR al tavolo. Senza un nome accanto alle decisioni, la governance resta un documento.
Sul fronte normativo, due obblighi riguardano già oggi chi usa l’AI e non solo chi la sviluppa. L’art. 4 dell’AI Act sull’alfabetizzazione è applicabile dal 2 febbraio 2025 e chiede misure documentabili di formazione del personale: il Regolamento (UE) 2026/1744, il Digital Omnibus sull’IA in vigore da fine luglio 2026, lo ha reso un obbligo di mezzi anziché di risultato, ma non lo ha tolto. L’art. 50 sulla trasparenza si applica dal 2 agosto 2026 e riguarda chiunque faccia interagire persone con un sistema di AI: ne abbiamo tratto una checklist dedicata, e il quadro completo è nel nostro approfondimento sull’AI Act. Il quadro si sta muovendo: verificate le scadenze aggiornate alla data in cui prendete le decisioni.
Passo 5. Mettere le persone nelle condizioni di usare l’AI
Qui si decide se la strategia esiste davvero o se rimane un documento.
Il fattore critico non è tecnico. Se l’alternativa governata è più scomoda dello strumento personale, le persone la abbandonano: bastano due click in più, trenta secondi di attesa o un accesso che scade troppo spesso.
Nella pratica, nessuno sceglie lo strumento più conforme solo perché è conforme. Si sceglie quello che consente di arrivare alla fine della giornata.
Quattro cose che funzionano meglio di una comunicazione aziendale: partire da un reparto con casi d’uso già chiari invece che da tutta l’azienda insieme; individuare due o tre persone di riferimento per reparto, scelte tra chi l’AI la usava già di nascosto, perché sono i vostri migliori formatori; fare formazione sui casi d’uso reali emersi dal censimento, non sulla teoria dei modelli linguistici; e pubblicare esempi concreti, inclusi quelli in cui l’AI ha sbagliato, perché insegnano a verificare meglio di qualsiasi avvertimento generico.
Sull’ultimo punto insistiamo con tutti i clienti: una strategia che racconta solo i successi produce persone che si fidano troppo. La competenza vera su questi strumenti è saper riconoscere quando l’output va controllato, ed è un’abilità che si costruisce con gli esempi, non con le slide.
Passo 6. Misurare adozione e valore
Una strategia AI aziendale senza misura si ferma qui: dopo sei mesi la domanda “sta funzionando?” riceve risposte aneddotiche e il budget dell’anno dopo si decide a sensazione. Per iniziare possiamo partire da questi indicatori.
- Utilizzo: quante persone usano lo strumento approvato, con quale frequenza, su quali attività. Se non cresce, il problema non è la policy: è che l’alternativa non è abbastanza buona.
- Efficienza: tempo risparmiato sulle attività censite al passo 1, che è il motivo per cui quel dato andava raccolto all’inizio.
- Qualità: quanta parte degli output richiede correzioni sostanziali, e su quali tipi di attività si concentra.
- Rischio: quota di uso che resta fuori dal perimetro governato. È l’indicatore che dice se la strategia sta vincendo contro la Shadow AI, e l’unico che deve scendere.
Quando questi numeri esistono, il business case si scrive quasi da solo. Per la struttura da portare in direzione finanziaria abbiamo pubblicato una guida su come costruire il business case dell’AI da portare al CFO.
Il piano dei primi 90 giorni
Il metodo visto fin qui può essere concentrato in un trimestre. È un’impostazione adatta a un’azienda di qualche centinaio di persone: al variare delle dimensioni cambiano i tempi, non l’ordine dei passaggi.
Settimane 1-3
Censimento dell’uso reale dell’AI e classificazione dei dati in due o tre categorie.
Nomina del referente AI e costituzione del gruppo di lavoro con Legal, IT e HR.
Settimane 4-6
Definizione del perimetro: dati, attività libere, attività soggette a verifica e usi esclusi.
Scelta dell’infrastruttura sulla base delle quattro domande del passo 3. Prima bozza della policy: due pagine, non venti.
Settimane 7-10
Avvio di un pilota in un reparto. Accessi tramite identità aziendale, casi d’uso emersi dal censimento, formazione sulle attività concrete e persone di riferimento già individuate.
In questa fase si raccolgono anche i primi dati di utilizzo.
Settimane 11-13
Misurazione, correzioni e decisione sull’estensione.
La policy definitiva viene pubblicata insieme allo strumento, non prima. Si definisce poi il piano per il trimestre successivo, dedicato al secondo livello di adozione: agenti e automazioni di reparto.
Una raccomandazione sul calendario: pubblicate la policy insieme allo strumento, mai settimane prima. Ogni giorno che passa tra la regola e un’alternativa concreta è un giorno in cui l’uso continua fuori dal perimetro e la regola perde credibilità.
I cinque errori che vediamo più spesso
- Partire dalla policy. Produce regole scollegate dalla realtà e un documento che nessuno applica.
- Partire dalla tecnologia. Si sceglie una piattaforma prima di sapere quali dati e quali attività deve servire, e la decisione viene presa su una demo invece che su un requisito.
- Il pilota eterno. Sei mesi di sperimentazione senza criteri di uscita. Un pilota deve avere, dal primo giorno, la soglia che decide se si estende o si chiude.
- Delegare tutto all’IT. Metà delle decisioni (quali dati, quali attività, chi approva) sono decisioni di business e Legal. Se le prende l’IT da solo, vengono riaperte sei mesi dopo.
- Misurare solo il rischio. Un cruscotto che riporta solo incidenti e violazioni descrive un costo. Senza i numeri sull’adozione e sul tempo risparmiato, il progetto non si difende al prossimo budget. Lo stesso vale per i progetti più ambiziosi: Gartner stima che oltre il 40% dei progetti di AI agentica verrà cancellato entro la fine del 2027, tra costi in crescita e valore di business poco chiaro.
📥 Il kit per partire
Abbiamo messo in un unico pacchetto gli strumenti operativi di questa guida: la checklist per il censimento dell’uso reale, lo schema di classificazione dei dati e un piano di AI policy aziendale con il dettaglio esecutivo dei primi 90 giorni. Lasciate la mail e ve lo mandiamo.
Domande frequenti sulla strategia AI aziendale
Da dove si comincia se non abbiamo ancora niente?
Dal censimento dell’uso reale, che richiede due settimane e nessun investimento. È anche il passaggio che produce il materiale per convincere la direzione: una lista di attività che stanno già passando dall’AI è un argomento molto più solido di qualsiasi presentazione sul potenziale della tecnologia.
Quanto tempo serve per vedere risultati?
Sul primo livello di adozione, settimane: è lavoro quotidiano che migliora subito. Sul secondo, cioè agenti e automazioni che attraversano i sistemi, il tempo dipende quasi interamente dalle integrazioni e dallo stato della documentazione interna, non dall’AI. Diffidate di chi promette tempi certi prima di aver visto i vostri sistemi.
Serve una strategia anche a una PMI?
Serve, ma più corta. In un’azienda di cinquanta persone il censimento dura tre giorni, la classificazione dei dati sta in una pagina e il referente per l’AI è una persona che ha anche altri ruoli. Quello che non cambia è l’ordine dei passi, e il fatto che gli obblighi normativi non scalano con il fatturato.
Chi dovrebbe guidare il progetto?
Un referente unico con mandato esplicito della direzione, affiancato da IT, Legal e HR. Il profilo conta meno della condizione: deve poter decidere, non solo coordinare. Le adozioni che si impantanano hanno quasi sempre un gruppo di lavoro senza potere di spesa e senza potere di dire di no.
E se i nostri dati sono disordinati?
È la norma, non l’eccezione, e non è un motivo per rimandare. Riordinare tutto prima di partire è un progetto che non finisce mai. Conviene invece partire da un sottoinsieme di documenti che conta davvero per un reparto, verificare la qualità delle risposte su quello e allargare da lì.
Conclusione
Una strategia AI aziendale non serve a decidere se adottare l’intelligenza artificiale: quella decisione, nella maggior parte delle organizzazioni, è già stata presa dai collaboratori, una scheda del browser alla volta. Serve a riprendere in mano le decisioni che contano, che sono poche e quasi tutte non tecniche: quali dati, quali attività, chi approva, come si dimostra.
La buona notizia è che il punto di partenza è migliore di quanto sembri. In un’azienda dove le persone usano già l’AI di nascosto esiste già una mappa dei casi d’uso che funzionano, validata sul campo da chi quel lavoro lo fa ogni giorno. Il lavoro della strategia è farla emergere e metterla in un posto dove l’azienda la possa vedere, governare e, finalmente, migliorare.
