L’88% delle organizzazioni usa già l’AI in almeno una funzione aziendale. Circa un terzo ha avviato programmi di scaling strutturato. Il resto sperimenta, pilota, prova. I dati vengono dall’ultimo McKinsey State of AI, pubblicato nel novembre 2025, ma il punto non è McKinsey.
Il punto è che tra “usare” e “governare” c’è una distanza che nessun vendor di software è disposto a quantificare, perché quella distanza è esattamente il territorio in cui si decide chi costruisce qualcosa di difendibile e chi, invece, affitta capacità cognitive a qualcun altro.
Questa riflessione riguarda tre dimensioni che continuano a essere trattate separatamente nelle agende delle organizzazioni italiane:
- la normativa (AI Act e Legge 132/2025),
- la gestione sistemica (ISO 42001)
- e il patrimonio cognitivo che ogni azienda produce, inconsapevolmente, ogni volta che interagisce con un sistema AI.
La tesi è che queste tre dimensioni non sono parallele. Convergono in un unico punto operativo, e quel punto è il luogo in cui un’azienda scopre, spesso con sorpresa, che nessuno dei tre framework è sufficiente da solo: l’AI Act senza una struttura di management produce documentazione senza sistema; ISO 42001 senza la governance della conoscenza produce sistema senza contenuto; il capitale cognitivo senza il presidio normativo e gestionale produce valore che non può essere difeso né dimostrato.
Indice degli argomenti
Il quadro italiano: dati che raccontano un ritardo strutturale
Partiamo dai numeri, perché qui i numeri fanno lavoro.
La Ricerca 2025-2026 dell’Osservatorio Innovazione Digitale nelle PMI del Politecnico di Milano dice che il 76% delle piccole e medie imprese italiane non ha investito nell’AI né lo prevede. Solo il 7% ha avviato programmi strutturati di formazione. Nello stesso periodo, il mercato italiano dell’AI vale 1,8 miliardi di euro, in crescita del 50% in dodici mesi (dati Osservatorio Artificial Intelligence, Polimi, febbraio 2026).
I due dati sembrano contraddirsi. Non si contraddicono.
La crescita di mercato è reale, ma riflette quasi interamente l’acquisto di licenze software e l’attivazione di tool GenAI già pronti. Le PMI comprano strumenti; raramente costruiscono sistemi. ISTAT (dicembre 2025) conferma la direzione: il 15,7% delle PMI usa almeno una tecnologia AI nel 2025, percentuale quasi doppia rispetto al 7,7% del 2024. Ma tra queste, quasi il 60% di quelle che avevano valutato investimenti strutturati ha indicato la mancanza di competenze come ragione principale per non procedere. Non era il costo. Era la capacità di governare ciò che si acquistava. Tra le grandi imprese, la situazione non è sostanzialmente diversa: l’Osservatorio Artificial Intelligence del Politecnico di Milano (febbraio 2026) ha rilevato che il 71% ha almeno un progetto AI attivo, ma solo una su cinque la utilizza in modo pervasivo in diverse funzioni aziendali.
Quello che i dati di adozione non mostrano è ciò che emerge ogni volta che si conduce un audit su un’azienda di medie dimensioni: tra venti e quaranta strumenti AI attivi in simultanea, dei quali il management conosce, mediamente, meno della metà. Il problema non è la proliferazione in sé. È che ciascuno di quegli strumenti processa informazioni aziendali, genera output decisionali, costruisce logiche operative: e nessuno di questi flussi è mappato, classificato, governato.
Questo è il nucleo del problema, e non è un problema piccolo. Le PMI rappresentano circa il 5% delle imprese attive in Italia, ma generano il 42% del fatturato complessivo del settore privato e il 38% del valore aggiunto. Quando queste imprese adottano l’AI in modo non strutturato, il rischio non resta confinato all’azienda singola: si trasferisce sull’intera filiera.
L’AI Act non è un adempimento: è un obbligo di struttura
Chi ancora legge l’AI Act come una questione di procedure da gestire nell’ultimo trimestre utile ha frainteso sia il regolamento sia il contesto in cui opera.
I dati sulla readiness europea sono, a dir poco, preoccupanti. Cloud Security Alliance, nel suo rapporto di marzo 2026 sull’EU AI Act High-Risk Deadline, ha misurato che oltre il 50% delle organizzazioni non dispone ancora di un inventario dei propri sistemi AI, nonostante il regolamento sia in vigore dall’agosto 2024. L’analisi Vision Compliance dell’aprile 2026 indica che il 78% delle aziende non ha intrapreso passi significativi verso la conformità. L’indagine Deloitte su 500 manager rileva che solo il 26,2% ha avviato concretamente attività di adeguamento.
Per le aziende italiane, il quadro è ulteriormente definito dalla Legge 132/2025, entrata in vigore il 10 ottobre 2025: sanzioni fino a 774.685 euro, misure interdittive ai sensi del D.Lgs. 231/2001 nei casi più gravi, e una nuova fattispecie penale per i contenuti AI-generated o alterati non dichiarati (da uno a cinque anni di reclusione). L’Italia è, tra i paesi UE, quello con il profilo sanzionatorio operativo più sviluppato.
Le scadenze principali del Regolamento europeo si sono già parzialmente attivate: le obbligazioni relative ai modelli general-purpose sono operative dal 2 agosto 2025, e i requisiti di alfabetizzazione AI erano già in vigore dal febbraio dello stesso anno. Per i sistemi ad alto rischio, il Regolamento identifica nell’Allegato III otto categorie: infrastrutture critiche, istruzione e formazione professionale, occupazione e gestione dei lavoratori, accesso a servizi essenziali privati e pubblici, applicazione della legge, gestione della migrazione e del controllo delle frontiere, amministrazione della giustizia, processi democratici. Il Digital Omnibus, con l’accordo provvisorio Parlamento-Consiglio del 7 maggio 2026, ha differito la scadenza per questi sistemi al 2 dicembre 2027. Il differimento non è una sospensione degli obblighi: è tempo per costruire la struttura che chi ha rinviato non ha ancora costruito.
Il requisito sostanziale dell’AI Act, per i sistemi ad alto rischio, non riguarda la performance dei modelli ma la loro governabilità: tracciabilità del processo decisionale, supervisione umana verificabile, documentazione tecnica aggiornata, classificazione del rischio formalmente attestata. Soddisfare questi requisiti presuppone che l’organizzazione abbia già fatto cose molto concrete: elencare i sistemi AI in uso, attribuire responsabilità su ciascuno di essi, costruire un processo di monitoraggio che non dipenda dalla buona volontà del singolo responsabile di funzione.
La maggior parte delle organizzazioni non le ha fatte.
ISO 42001: quando la gestione diventa infrastruttura
Lo standard ISO/IEC 42001:2023 introduce qualcosa che non aveva precedenti nel panorama degli standard internazionali: un sistema di management specificamente costruito per l’AI, con la stessa logica già sperimentata per la qualità (ISO 9001), la sicurezza delle informazioni (ISO 27001) e la continuità operativa (ISO 22301).
Il salto concettuale è preciso. Prima di ISO 42001, l’AI nelle organizzazioni era trattata come un insieme di strumenti: si acquistavano, si distribuivano, si usavano. Lo standard introduce una prospettiva diversa: l’AI è un dominio da governare, con policy, controlli, audit, responsabilità esplicite, revisione periodica dei rischi. Non una cosa che si compra. Un ambito che si presidia.
Le connessioni con l’AI Act sono dirette. Gran parte dell’architettura di gestione prevista dallo standard fornisce l’ossatura per soddisfare i requisiti normativi europei: la mappatura dei sistemi, la classificazione del rischio, la documentazione tecnica, i meccanismi di supervisione umana. Un’organizzazione che ha implementato seriamente ISO 42001 ha già costruito la maggior parte di ciò che l’AI Act richiede. Non perché sia un’astuta strategia di compliance, ma perché i due framework, pur con origini diverse, insistono sullo stesso punto: il valore dell’AI non si misura nell’output, ma nella capacità di governare il processo che lo genera.
C’è però un livello che né il Regolamento né lo standard raggiungono nella loro formulazione tecnica. Qualcosa che rimane implicito e che, in assenza di un’attenzione specifica, non viene governato da nessuno.
Il capitale cognitivo: l’asset che l’azienda produce senza accorgersene
McKinsey stima che i lavoratori della conoscenza trascorrano in media 1,8 ore al giorno a cercare informazioni all’interno della propria organizzazione, ovvero quasi un quarto dell’intera giornata lavorativa. Le sole aziende Fortune 500, secondo IDC, perdono almeno 31,5 miliardi di dollari annui per effetto di una condivisione inefficace della conoscenza. Il 57% dei lavoratori, secondo CIO Insight, dichiara che la mancanza di accesso alle informazioni riduce concretamente la propria capacità di lavoro.
Questi numeri descrivono un problema che precede l’AI. Con l’AI, però, il problema acquisisce una dimensione nuova e specifica.
Ogni interazione con un sistema AI in cui si costruisce un’offerta complessa, si interpreta un dato ambiguo, si risolve un problema che richiedeva ragionamento e contesto, contiene al proprio interno una logica. Una sequenza. Un criterio. Qualcosa che, se estratto e formalizzato, varrebbe come asset metodologico dell’organizzazione: replicabile, trasmissibile, migliorabile. Quello che invece succede, nella quasi totalità dei casi, è che quella logica resta distribuita nella conversazione che l’ha generata. Nessuno la classifica, nessuno la archivia, nessuno ne misura il valore. Quando la persona che ha costruito quella sequenza lascia l’azienda, o cambia ruolo, o semplicemente smette di usare quello strumento, la logica svanisce.
Un caso ricorrente nell’esperienza di audit: una società di servizi professionali ha utilizzato per diciotto mesi un sistema GenAI per l’analisi contrattuale. Il team legale aveva sviluppato, nel tempo, una serie di sequenze di interrogazione molto raffinate: criteri per identificare clausole rischiose, logiche per valutare la simmetria delle obbligazioni, schemi per classificare la gestione delle penali. Tutto questo era nei prompt, nelle abitudini operative dei singoli, nelle conversazioni non salvate. Quando il responsabile del team è stato sostituito, nessuna di quelle logiche è sopravvissuta. L’azienda aveva usato l’AI per diciotto mesi e non aveva costruito nulla di strutturato.
McKinsey lo misura da un’angolatura diversa: solo un terzo delle organizzazioni che usano l’AI riesce a scalare le tecnologie in modo strutturale. La barriera non è tecnologica. È organizzativa: le aziende non hanno ricostruito i propri processi intorno all’AI, e non hanno costruito le condizioni per trattenere la conoscenza che l’AI genera nelle interazioni quotidiane.
Il risultato è un paradosso operativo che molti CEO iniziano a percepire, pur senza avere ancora il linguaggio per descriverlo: l’AI aumenta la produttività individuale, ma non produce necessariamente valore organizzativo cumulato. La velocità di esecuzione cresce. La capitalizzazione di ciò che si impara, no.
Le implicazioni operative: quattro passi concreti
La convergenza tra questi tre livelli, normativo, gestionale e cognitivo, non è un concetto da convegno. Si traduce in azioni precise che un’organizzazione deve intraprendere per non trovarsi esposta simultaneamente a un rischio di compliance, a un rischio di governance e a un rischio competitivo.
La mappatura sistematica dei sistemi AI
Il primo passo è la mappatura sistematica di tutti i sistemi AI in uso nell’organizzazione: quelli acquistati, quelli integrati nelle piattaforme esistenti, quelli adottati autonomamente dai singoli reparti senza che la direzione ne fosse a conoscenza. Questa mappatura, che l’AI Act rende obbligatoria e che ISO 42001 formalizza come punto di partenza del sistema di management, è spesso la scoperta più scomoda del percorso. Perché quello che emerge, quasi sempre, è che i sistemi AI attivi sono molti più di quanti il management sappia, e che una quota rilevante di essi processa informazioni sensibili senza alcun presidio formale.
L’estrazione del capitale cognitivo
Il secondo passo riguarda direttamente il capitale cognitivo, ed è quello su cui le organizzazioni hanno il ritardo più profondo. Non tutte le interazioni AI contengono logiche che meritano strutturazione, ma alcune sì: quelle in cui si costruisce un metodo (come si valuta il rischio di un fornitore, come si interpreta una clausola contrattuale, come si imposta una negoziazione complessa), quelle in cui si risolve un problema ricorrente con una sequenza replicabile, quelle in cui emerge un criterio decisionale che potrebbe essere insegnato a un nuovo collaboratore. Identificare queste interazioni, estrarle dal flusso conversazionale e formalizzarle come patrimonio metodologico dell’organizzazione è il passo che trasforma l’AI da strumento individuale a infrastruttura cognitiva aziendale.
Un modello unico di responsabilità
Il terzo passo è la costruzione di un modello di responsabilità che non sia parallelo alla struttura organizzativa esistente, ma integrato in essa. L’AI Act richiede che per ogni sistema ad alto rischio sia identificato un soggetto responsabile della supervisione. ISO 42001 richiede che il sistema di management abbia un presidio con mandato esplicito. La governance del capitale cognitivo richiede che qualcuno abbia la responsabilità di classificare, strutturare e proteggere la conoscenza prodotta attraverso l’AI. Questi tre mandati si sovrappongono: la soluzione è un modello unico, non tre strutture parallele costruite da tre funzioni in tre momenti diversi.
La classificazione dei dati e della sovranità
Il quarto passo è una politica di classificazione dei dati che distingua non soltanto per categoria di informazione, ma per livello di sovranità richiesta. Ciò che può transitare su infrastrutture cloud pubbliche e ciò che, per ragioni di governance cognitiva oltre che di compliance, richiede ambienti controllati o on-premise. Questa distinzione non è un dettaglio tecnico: è la scelta che determina quanto dell’intelligenza operativa dell’azienda rimane sotto il suo controllo e quanto migra, irreversibilmente, verso infrastrutture di terzi.
La differenza competitiva che si sta costruendo adesso
Le aziende che entro il prossimo ciclo regolatorio avranno completato questo percorso si troveranno in una posizione strutturalmente diversa da quelle che non lo avranno fatto. Non necessariamente più efficienti nel senso stretto, ma strutturalmente più difendibili: perché avranno costruito un modo di pensare che può essere trattenuto, migliorato e, se necessario, protetto.
La differenza non è di efficienza. È di posizione.
Chi usa l’AI come amplificatore delle proprie capacità esistenti produce valore che non capitalizza. Chi la usa come infrastruttura del proprio modo di pensare costruisce nel tempo un patrimonio cognitivo che può essere scalato, trasmesso e difeso. La conformità normativa e la maturità organizzativa si incontrano esattamente in questo punto: nel momento in cui un’organizzazione diventa capace di riconoscere il proprio modo di produrre conoscenza, di governarlo consapevolmente e di difenderlo da chi tenta di eroderne le basi. Non come obiettivo astratto, ma come prerequisito operativo per competere in un mercato in cui l’intelligenza artificiale ha già smesso di essere un vantaggio differenziale ed è diventata la condizione minima per restare in gioco.
Fonti
Digital Omnibus, accordo provvisorio 7 maggio 2026: insideprivacy.com/artificial-intelligence/eu-ai-act-update-timeline-relief-targeted-simplification-and-new-prohibitions/
Osservatorio Artificial Intelligence, Politecnico di Milano, febbraio 2026: osservatori.net/comunicato/artificial-intelligence/intelligenza-artificiale-italia/
ISTAT, Imprese e ICT – Anno 2025, 15 dicembre 2025: istat.it/comunicato-stampa/imprese-e-ict-anno-2025/ — PDF: istat.it/wp-content/uploads/2025/12/Statreport_ICT2025.pdf
McKinsey, The State of AI in 2025, novembre 2025: mckinsey.com/capabilities/quantumblack/our-insights/the-state-of-ai
McKinsey, The Social Economy, 2012 (stima 1,8 ore/giorno knowledge worker): mckinsey.com/industries/technology-media-and-telecommunications/our-insights/the-social-economy
Cloud Security Alliance, EU AI Act High-Risk Deadline: Enterprise Readiness Gap, 13 marzo 2026: labs.cloudsecurityalliance.org/research/csa-research-note-eu-ai-act-high-risk-compliance-deadline-20/
Deloitte Legal Germany, AI Act Readiness Survey, settembre 2024 (500 manager): citato in FluxForce — fluxforce.ai/statistics/ai-act-compliance-readiness
IDC, stima perdite Fortune 500 per scarsa condivisione della conoscenza. CIO Insight, indagine accesso informazioni e produttività (57% lavoratori): dati verificabili tramite le rispettive pubblicazioni originali.
Legge 23 settembre 2025, n. 132, Gazzetta Ufficiale n. 232: gazzettaufficiale.it/eli/gu/2025/09/25/223/sg/pdf — Normattiva: normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2025-09-23;132
Regolamento (UE) 2024/1689 (AI Act): eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689
Partecipa alla community