Quasi tutte le aziende italiane che incontriamo hanno gi\u00e0 l’AI, in un modo o nell’altro. Pochissime, per\u00f2, hanno una strategia AI aziendale vera e propria. La differenza non \u00e8 tecnologica. Nel primo caso le decisioni sono state prese dai singoli collaboratori, spesso sotto pressione e con una scadenza vicina, scegliendo lo strumento pi\u00f9 pratico. Nel secondo \u00e8 l\u2019organizzazione a decidere: quali dati possono essere utilizzati, chi pu\u00f2 fare cosa, quali controlli servono e come dimostrare che tutto funziona come dovrebbe.<\/p>\n\n\n\n
Questa guida raccoglie il metodo che usiamo per costruire una strategia AI aziendale<\/strong> che funzioni anche quando si passa dalla teoria alla pratica: sei passi in ordine, i prerequisiti di ciascuno, gli errori che vediamo ripetersi e un piano concreto per i primi novanta giorni. \u00c8 pensata per chi deve portare il progetto all\u2019approvazione e poi realizzarlo: CIO e CTO, direzione operativa, HR, Legal e, pi\u00f9 in generale, chi si \u00e8 ritrovato questo tema sulla scrivania senza averlo scelto.<\/p>\n\n\n\n Una strategia di adozione dell’AI non \u00e8 un documento di intenti, n\u00e9 coincide con una lista di casi d’uso interessanti, n\u00e9 corrisponde con la scelta di un fornitore. \u00c8 l’insieme delle decisioni che rende l’uso delle AI nel lavoro quotidiano ripetibile, controllabile e difendibile<\/strong>: quali dati possono essere trattati e dove, chi pu\u00f2 usare cosa, come verificare un output prima che influenzi una decisione, chi interviene quando qualcosa non va, come si misura se tutto questo sta producendo valore.<\/p>\n\n\n\n Il test \u00e8 semplice. Se un revisore, un cliente in fase di due diligence o un’autorit\u00e0 vi chiedesse domani “quali sistemi di AI usate, su quali dati, con quali controlli”, una strategia vi permette di rispondere in mezza giornata, documenti alla mano. Senza, servono settimane.\u00a0E gran parte della risposta dipende da ci\u00f2 che le persone riescono a ricordare.<\/p>\n\n\n\n C\u2019\u00e8 poi un punto che merita attenzione, perch\u00e9 \u00e8 dove pi\u00f9 spesso le aziende partono male. La sequenza corretta \u00e8 misurare, decidere, abilitare<\/strong>. L’ordine che vediamo nella maggior parte dei casi \u00e8 l’opposto: si parte da una policy scritta senza aver misurato nulla, e si ottengono regole che non hanno alcun rapporto con quello che succede davvero in azienda.<\/p>\n\n\n\n Prima di entrare nel metodo serve una mappa. \u201cAdottare l\u2019AI\u201d pu\u00f2 voler dire cose molto diverse, con livelli di impegno, rischio e ritorno altrettanto diversi. Per questo conviene distinguere tre livelli.<\/p>\n\n\n\n Non \u00e8 obbligatorio seguire questa scala in modo rigido. Un\u2019azienda con un contact center sotto forte pressione pu\u00f2 partire dal terzo livello. \u00c8 per\u00f2 una scala di prerequisiti: il secondo livello \u00e8 molto pi\u00f9 semplice se il primo ha gi\u00e0 fatto emergere casi d\u2019uso reali; il terzo richiede la governance che si consolida lavorando sul secondo.<\/p>\n\n\n\n Il primo passo non \u00e8 scegliere uno strumento, \u00e8 osservare. <\/p>\n\n\n\n Secondo i dati 2025 dell’Osservatorio Artificial Intelligence del Politecnico di Milano<\/a>, in Italia il 47% dei lavoratori usa strumenti di AI in azienda<\/strong> e solo il 19% degli utilizzatori si limita a strumenti forniti dall’organizzazione. La vostra azienda, con ogni probabilit\u00e0, non fa eccezione: la domanda non \u00e8 se<\/em> l’AI venga gi\u00e0 usata, ma quanto<\/em>, per fare cosa<\/em> e con quali dati<\/em>.<\/p>\n\n\n\n Ma quindi, cosa serve raccogliere? In due settimane, non in due mesi, dovreste raccogliere alcune informazioni essenziali: le attivit\u00e0 che oggi passano da strumenti di AI, reparto per reparto; il tipo di dati coinvolti in ciascuna; gli strumenti usati e con quale tipo di account; e il tempo che le persone dichiarano di risparmiare. Quest’ultimo dato vi servir\u00e0 dopo, come base di confronto per il business case.<\/p>\n\n\n\n Conta molto anche il modo in cui viene condotta la rilevazione. Va presentata come un censimento, non come un\u2019ispezione. \u00c8 bene dirlo apertamente all\u2019inizio di ogni confronto. Se le persone pensano che dichiarare un utilizzo possa trasformarsi in un richiamo, tenderanno a omettere informazioni. Il risultato sar\u00e0 un dato incompleto e una strategia costruita su presupposti sbagliati. Abbiamo approfondito fenomeno, cause e rischi nell\u2019articolo dedicato alla Shadow AI<\/a>.<\/p>\n\n\n\n \ud83d\udea9 Red flag:<\/strong> se dal censimento emergono meno di cinque casi d’uso per reparto, probabilmente non avete misurato l’uso reale, ma quanto le persone si fidano di voi.<\/p>\n<\/blockquote>\n\n\n\n A questo punto entrano in gioco le decisioni su cui si regger\u00e0 tutto il resto. Sono meno complesse di quanto sembri: in sostanza, sono tre.<\/p>\n\n\n\n Servono due o tre categorie, non venti.<\/p>\n\n\n\n Una classificazione che funziona davvero pu\u00f2 distinguere tra informazioni pubbliche o gi\u00e0 divulgabili, informazioni interne non critiche e informazioni riservate: dati personali, dati particolari, segreti industriali, informazioni price sensitive.<\/p>\n\n\n\n Per ogni categoria bisogna indicare in quali ambienti pu\u00f2 essere trattata. \u00c8 una regola semplice, che le persone possono ricordare e applicare. Molto pi\u00f9 efficace di una lista di strumenti approvati, destinata a invecchiare nel giro di pochi trimestri.<\/p>\n\n\n\n Riassumere un documento pubblico e generare la risposta a un bando non hanno lo stesso profilo di rischio, anche se passano dalla stessa interfaccia. <\/p>\n\n\n\n Separate le attivit\u00e0 a basso rischio, che potete liberalizzare subito e che rappresentano la maggioranza, da quelle in cui serve una verifica umana prima che l’output esca dall’azienda o diventi una decisione.<\/p>\n\n\n\n Serve anche un elenco breve degli usi esclusi, accompagnato dalla relativa motivazione.<\/p>\n\n\n\n La motivazione non \u00e8 un dettaglio formale. Una regola spiegata viene rispettata pi\u00f9 facilmente di una regola calata dall\u2019alto. Inoltre, dura meglio nel tempo: se il contesto cambia, \u00e8 pi\u00f9 semplice capire se quel divieto ha ancora senso. <\/p>\n\n\n\n Sul perch\u00e9 un divieto generalizzato sia invece la strada peggiore abbiamo scritto un articolo dedicato<\/a>.<\/p>\n\n\n\n Solo a questo punto ha senso parlare di strumenti. La scelta pu\u00f2 essere ricondotta a quattro domande, valide per qualunque fornitore stiate valutando, noi compresi.<\/p>\n\n\n\n C’\u00e8 poi una scelta di architettura che pesa pi\u00f9 delle singole funzionalit\u00e0: un perimetro unico contro molti strumenti separati<\/strong>. Quando ogni funzione risolve il problema per conto proprio, si accumulano contratti diversi, accessi gestiti in modo diverso e nessuna possibilit\u00e0 di riutilizzare ci\u00f2 che funziona in altre parti dell\u2019azienda. La frammentazione tende a non vedersi nel primo anno. Nel secondo, spesso diventa il problema principale. <\/p>\n\n\n\n Per i criteri di valutazione in dettaglio abbiamo pubblicato una checklist per CTO e Operations<\/a>.<\/p>\n\n\n\n \u00c8 il passaggio che separa un pilota riuscito da un’adozione capace di durare negli anni, ed \u00e8 anche quello in cui l’Italia \u00e8 pi\u00f9 indietro. Secondo l’Osservatorio del Politecnico, solo il 9% delle grandi imprese ha una governance strutturata dell’AI<\/strong>, con responsabilit\u00e0 delineate, mentre il 54% si sta muovendo per costruirla. <\/p>\n\n\n\n Il minimo indispensabile comprende quattro elementi.<\/p>\n\n\n\n Identit\u00e0 e permessi.<\/strong> Si accede con le credenziali aziendali. Questo risolve in un colpo solo tracciabilit\u00e0, revoca quando una persona cambia ruolo o esce, e attribuzione delle responsabilit\u00e0.<\/p>\n\n\n\n Approvazioni sulle azioni sensibili.<\/strong> Quando l’AI non si limita a rispondere ma agisce sui sistemi, servono regole che fermino le azioni oltre una certa soglia e chiedano il via libera a una persona, con traccia della decisione.<\/p>\n\n\n\n Registro di audit.<\/strong> Chi ha usato cosa, su quali documenti, con quale esito. Serve per la conformit\u00e0 e, in modo meno ovvio, per capire dove l’AI sta producendo valore.<\/p>\n\n\n\n Responsabilit\u00e0 assegnate.<\/strong> Un referente unico per l’AI, con Legal, IT e HR al tavolo. Senza un nome accanto alle decisioni, la governance resta un documento.<\/p>\n\n\n\n Sul fronte normativo, due obblighi riguardano gi\u00e0 oggi chi usa l’AI e non solo chi la sviluppa. L’art. 4 dell’AI Act sull’alfabetizzazione<\/strong> \u00e8 applicabile dal 2 febbraio 2025 e chiede misure documentabili di formazione del personale: il Regolamento (UE) 2026\/1744<\/a>, il Digital Omnibus sull’IA in vigore da fine luglio 2026, lo ha reso un obbligo di mezzi anzich\u00e9 di risultato, ma non lo ha tolto. L’art. 50 sulla trasparenza<\/strong> si applica dal 2 agosto 2026 e riguarda chiunque faccia interagire persone con un sistema di AI: ne abbiamo tratto una checklist dedicata<\/a>, e il quadro completo \u00e8 nel nostro approfondimento sull’AI Act<\/a>. Il quadro si sta muovendo: verificate le scadenze aggiornate alla data in cui prendete le decisioni.<\/p>\n\n\n\n Qui si decide se la strategia esiste davvero o se rimane un documento.<\/p>\n\n\n\n Il fattore critico non \u00e8 tecnico. Se l\u2019alternativa governata \u00e8 pi\u00f9 scomoda dello strumento personale, le persone la abbandonano<\/strong>: bastano due click in pi\u00f9, trenta secondi di attesa o un accesso che scade troppo spesso.<\/p>\n\n\n\n Nella pratica, nessuno sceglie lo strumento pi\u00f9 conforme solo perch\u00e9 \u00e8 conforme. Si sceglie quello che consente di arrivare alla fine della giornata.<\/p>\n\n\n\n Quattro cose che funzionano meglio di una comunicazione aziendale: partire da un reparto con casi d’uso gi\u00e0 chiari<\/strong> invece che da tutta l’azienda insieme; individuare due o tre persone di riferimento per reparto<\/strong>, scelte tra chi l’AI la usava gi\u00e0 di nascosto, perch\u00e9 sono i vostri migliori formatori; fare formazione sui casi d’uso reali emersi dal censimento<\/strong>, non sulla teoria dei modelli linguistici; e pubblicare esempi concreti, inclusi quelli in cui l’AI ha sbagliato, perch\u00e9 insegnano a verificare meglio di qualsiasi avvertimento generico.<\/p>\n\n\n\n Sull’ultimo punto insistiamo con tutti i clienti: una strategia che racconta solo i successi produce persone che si fidano troppo. La competenza vera su questi strumenti \u00e8 saper riconoscere quando l’output va controllato, ed \u00e8 un’abilit\u00e0 che si costruisce con gli esempi, non con le slide.<\/p>\n\n\n\n Una strategia AI aziendale senza misura si ferma qui: dopo sei mesi la domanda “sta funzionando?” riceve risposte aneddotiche e il budget dell’anno dopo si decide a sensazione. Per iniziare possiamo partire da questi indicatori.<\/p>\n\n\n\n Quando questi numeri esistono, il business case si scrive quasi da solo. Per la struttura da portare in direzione finanziaria abbiamo pubblicato una guida su come costruire il business case dell’AI da portare al CFO<\/a>.<\/p>\n\n\n\n Il metodo visto fin qui pu\u00f2 essere concentrato in un trimestre. \u00c8 un\u2019impostazione adatta a un\u2019azienda di qualche centinaio di persone: al variare delle dimensioni cambiano i tempi, non l\u2019ordine dei passaggi.<\/p>\n\n\n\n Censimento dell\u2019uso reale dell\u2019AI e classificazione dei dati in due o tre categorie.<\/p>\n\n\n\n Nomina del referente AI e costituzione del gruppo di lavoro con Legal, IT e HR.<\/p>\n\n\n\n Definizione del perimetro: dati, attivit\u00e0 libere, attivit\u00e0 soggette a verifica e usi esclusi.<\/p>\n\n\n\n Scelta dell\u2019infrastruttura sulla base delle quattro domande del passo 3. Prima bozza della policy: due pagine, non venti.<\/p>\n\n\n\n Avvio di un pilota in un reparto. Accessi tramite identit\u00e0 aziendale, casi d\u2019uso emersi dal censimento, formazione sulle attivit\u00e0 concrete e persone di riferimento gi\u00e0 individuate.<\/p>\n\n\n\n In questa fase si raccolgono anche i primi dati di utilizzo.<\/p>\n\n\n\n Misurazione, correzioni e decisione sull\u2019estensione.<\/p>\n\n\n\n La policy definitiva viene pubblicata insieme allo strumento, non prima. Si definisce poi il piano per il trimestre successivo, dedicato al secondo livello di adozione: agenti e automazioni di reparto.<\/p>\n\n\n\n Una raccomandazione sul calendario: pubblicate la policy insieme allo strumento, mai settimane prima.<\/strong> Ogni giorno che passa tra la regola e un\u2019alternativa concreta \u00e8 un giorno in cui l\u2019uso continua fuori dal perimetro e la regola perde credibilit\u00e0.<\/p>\n\n\n\n Abbiamo messo in un unico pacchetto gli strumenti operativi di questa guida: la checklist per il censimento dell’uso reale, lo schema di classificazione dei dati e un piano di AI policy aziendale con il dettaglio esecutivo dei primi 90 giorni. Lasciate la mail e ve lo mandiamo.<\/p>\n\n\n\nChe cos’\u00e8 una strategia AI aziendale (e cosa non \u00e8)<\/h2>\n\n\n\n
I tre livelli di adozione<\/h2>\n\n\n\n
\n
Passo 1. Misurare l’uso che esiste gi\u00e0<\/h2>\n\n\n\n
\n
Passo 2. Definire il perimetro: dati, attivit\u00e0, livelli di rischio<\/h2>\n\n\n\n
Quali dati possono essere trattati, e dove<\/h3>\n\n\n\n
Quali attivit\u00e0 sono libere e quali richiedono una verifica<\/h3>\n\n\n\n
Che cosa non si fa, e perch\u00e9<\/h3>\n\n\n\n
Passo 3. Scegliere l’infrastruttura<\/h2>\n\n\n\n
\n
Passo 4. Costruire la governance<\/h2>\n\n\n\n
Passo 5. Mettere le persone nelle condizioni di usare l\u2019AI<\/h2>\n\n\n\n
Passo 6. Misurare adozione e valore<\/h2>\n\n\n\n
\n
Il piano dei primi 90 giorni<\/h2>\n\n\n\n
Settimane 1-3<\/h4>\n\n\n\n
Settimane 4-6<\/h4>\n\n\n\n
Settimane 7-10<\/h4>\n\n\n\n
Settimane 11-13<\/h4>\n\n\n\n
I cinque errori che vediamo pi\u00f9 spesso<\/h2>\n\n\n\n
\n
\ud83d\udce5 Il kit per partire<\/h2>\n\n\n\n