L’intelligenza artificiale in azienda non muore di tecnologia. Muore di governance.

A dicembre 2025 ISTAT ha pubblicato il rapporto annuale “Imprese e ICT”. Il titolo che ha fatto rimbalzare il dato sulla stampa di settore è stato semplice e ottimistico: l’adozione dell’intelligenza artificiale nelle imprese italiane è raddoppiata in dodici mesi, dall’8,2% al 16,4%.

Il numero da solo racconta una verità incompleta.

Nello stesso anno in cui l’adozione raddoppiava, il divario tra grandi imprese e PMI passava da 25 punti percentuali a 37. Le grandi imprese sono passate al 53,1% di adozione. Le PMI sono ferme al 15,7%. La forbice non si chiude: si apre.

Tradotto: l’Italia non sta abbracciando l’intelligenza artificiale. Si sta dividendo in due Italie. E quella che resta indietro non è quella che importa meno. È quella che produce la maggior parte del PIL manifatturiero.

Il problema non è “adottare”, è “portare a regime”

C’è un secondo dato che nessuno ha messo in copertina, ma è quello che pesa di più sul tavolo del CEO. Tra le imprese che hanno valutato un investimento in AI e non lo hanno realizzato, il 58,6% indica come ostacolo principale la mancanza di competenze e il 47,3% la carenza di chiarezza legislativa.

Sono due frasi diverse per dire la stessa cosa. Le aziende non sanno chi, dentro l’organizzazione, dovrebbe occuparsene. Non sanno secondo quali regole. Non sanno come misurarne il ritorno. E in mancanza di una risposta a queste tre domande, il progetto AI resta sospeso. Oppure parte ma muore dopo sei mesi, dopo aver bruciato budget e fiducia.

Uno studio europeo riportato da Digitalic ha analizzato 106 sistemi AI in produzione in imprese del continente e ha rilevato che il 40% aveva una classificazione del rischio non chiara o non documentata. Quattro sistemi su dieci, in aziende che li avevano già messi in produzione, non sapevano se erano “ad alto rischio” o no secondo la classificazione europea. Nessuno aveva ancora fatto quella valutazione.

Non è un problema di codice. È un problema di chi siede al tavolo quando si decide.

Cosa cambia il 2 agosto 2026

Il 2 agosto 2026 il Regolamento UE 2024/1689 — l’AI Act — entra nel suo regime pieno per i sistemi ad alto rischio. Da quella data, le imprese che usano sistemi AI classificabili come “ad alto rischio” devono avere pronti, documentati e riferibili a una persona specifica: la classificazione del rischio del sistema, le istruzioni d’uso seguite, i registri di supervisione umana, la valutazione di impatto, la formazione del personale.

Le sanzioni per non conformità sui sistemi ad alto rischio arrivano a 15 milioni di euro o al 3% del fatturato. Per pratiche vietate si sale fino al 7% del fatturato mondiale. C’è una clausola di proporzionalità per le PMI, ma la sanzione esiste comunque e la sua entità è discrezionale.

Il vero rischio per la PMI italiana non è la multa.

Il vero rischio è la perdita del cliente enterprise che chiede al fornitore di essere AI-Act compliant come prerequisito contrattuale. Questo non è uno scenario futuro. Sta già accadendo nelle gare 2026 indette da grandi aziende industriali e da pubbliche amministrazioni.

La PMI manifatturiera che a luglio 2026 si presenta a una gara senza avere documentato il proprio uso di AI — anche solo Microsoft Copilot, anche solo un chatbot sul sito, anche solo un sistema di analisi predittiva del magazzino — perderà la gara prima ancora di discutere il prezzo.

La trappola della “demo perpetua”

C’è un modo in cui la maggior parte delle PMI italiane sta già usando l’intelligenza artificiale, e nessuno l’ha autorizzata formalmente. Si chiama “uso ombra”.

Il responsabile commerciale che incolla un’offerta su ChatGPT per farsela rivedere. L’ufficio acquisti che usa Copilot per estrarre dati dai contratti dei fornitori. Il responsabile produzione che ha collegato un modello di previsione domanda a un foglio Excel condiviso. Ognuna di queste scelte, presa individualmente, sembra ragionevole e innocua. Sommate, danno una sola cosa: un’azienda che usa AI senza saperlo, senza governarla, senza poterla rendicontare.

È in questo terreno che il 2 agosto 2026 cambia tutto. Da quel giorno, ogni uso di AI nell’organizzazione — autorizzato o meno — è soggetto agli obblighi del regolamento. E il datore di lavoro è responsabile.

La maggior parte delle aziende manifatturiere italiane non ha mai fatto una mappatura di quali strumenti AI siano effettivamente in uso, da chi, con quali dati, per quali decisioni. Non perché non sappia farla. Perché nessuno ha mai detto che doveva essere fatta. E perché in azienda manca, oggi, la figura che dovrebbe presidiarla.

Cosa significa “governance dell’AI” in pratica

L’errore concettuale più diffuso è pensare che “governare l’AI” sia un compito tecnico. È un compito di organizzazione e di processi, di cui la tecnologia è una conseguenza.

Una governance minima per una PMI manifatturiera italiana nel 2026 prevede tre livelli.

Il primo è la mappatura. Sapere, in modo aggiornato, quali sistemi AI sono in uso in azienda, da chi, su quali dati, per quali decisioni. Questa mappatura non si fa una volta. Si fa, si tiene viva, si aggiorna quando entra un nuovo strumento.

Il secondo è la classificazione. Per ogni sistema mappato, capire in quale categoria di rischio rientra secondo l’AI Act. La maggior parte degli usi correnti nelle PMI manifatturiere — assistenti di scrittura, analisi documentale, previsione domanda, gestione fornitori — è classificabile come “rischio limitato” o “rischio minimo”, e gli obblighi sono leggeri. Ma esiste una zona grigia (recruiting con screening AI dei CV, scoring di affidabilità di clienti, sistemi che decidono su priorità di interventi che hanno impatto sulla sicurezza) che è “alto rischio”. In quella zona grigia, gli obblighi diventano pesanti. E in quella zona grigia c’è più di una PMI manifatturiera senza saperlo.

Il terzo è la responsabilità. Identificare, nominare e formare la persona che in azienda risponde della governance AI. Non serve una figura nuova: spesso può essere il responsabile IT, oppure il DPO se l’azienda ne ha uno, oppure — in aziende più piccole — un membro del management con responsabilità trasversali. Serve però che qualcuno abbia formalmente quel ruolo, con una delega scritta. Non un nome detto in riunione e poi dimenticato.

Tre livelli. Nessuno dei tre richiede tecnologia. Tutti e tre richiedono organizzazione.

Perché molte aziende non ci arriveranno in tempo

Mancano poco più di due mesi al 2 agosto 2026. Per una PMI manifatturiera italiana che parta oggi da zero — senza mappatura, senza classificazione, senza responsabilità formalizzata — il percorso completo richiede, secondo le stime di operatori del settore, sei-dieci settimane di lavoro consulenziale strutturato, più il tempo interno di adeguamento.

Tradotto: per arrivare pronti al 2 agosto serve iniziare entro la prima settimana di giugno. Chi inizia a luglio non arriva. Chi inizia ad agosto è fuori tempo massimo, e dovrà gestire un’esposizione che non ha ancora pesato.

C’è una correlazione che pochi hanno notato fra il dato ISTAT sul gap dimensionale e la scadenza AI Act. Le grandi imprese sono già pronte o quasi: hanno DPO, hanno strutture compliance, hanno consulenti dedicati. Le PMI no. Il 2 agosto 2026 non sarà solo l’attivazione di un regime sanzionatorio. Sarà il momento in cui il gap competitivo tra Italia grande e Italia piccola, già allargatosi di 12 punti in un anno sull’AI, riceverà una formalizzazione normativa. Sarà più difficile per le PMI fare AI. E sarà più costoso non averla fatta.

La domanda da fare al proprio management

Per il CEO che legge fin qui c’è una sola domanda utile, e da porre in consiglio di amministrazione entro la prossima riunione utile.

Chi, nella nostra azienda, ha oggi la responsabilità formale della governance dell’intelligenza artificiale?

Se la risposta è “nessuno”, o “non lo so”, o “ce ne occuperemo dopo l’estate”, l’azienda ha un problema. Non un problema tecnologico. Un problema di governance.

E i problemi di governance non si risolvono con la tecnologia. Si risolvono con le decisioni.