Il problema che nessuno nomina esplicitamente

OpenAI ha rilasciato GPT-5.6 con accesso differenziato per livello di piano. Anthropic ha aggiornato i termini di utilizzo commerciale di Claude tre volte negli ultimi dodici mesi. La Commissione Europea ha pubblicato le prime linee guida operative sull’AI Act. E le PMI B2B, nel frattempo, stanno costruendo processi critici sopra API che non controllano.
Questo è il punto: la dipendenza tecnologica da modelli AI chiusi non è un rischio futuro. È già dentro i processi di molte aziende, spesso senza che nessuno l’abbia deciso consapevolmente.
In questo articolo vediamo cosa sta cambiando con la regolamentazione dei modelli AI, quali rischi concreti corrono le PMI B2B che adottano LLM senza una strategia, e quando ha senso valutare alternative.

Cosa sta succedendo con la governance dei modelli AI

L’AI Act europeo è entrato in vigore nel 2024 e la sua applicazione si fa progressivamente più concreta. Per le PMI che usano modelli di terze parti come strumenti (e non come provider), gli obblighi diretti sono limitati. Però c’è una catena di responsabilità che vale la pena capire.
I provider di modelli general-purpose (OpenAI, Anthropic, Google, Meta) devono rispettare requisiti di trasparenza, documentazione tecnica e gestione dei rischi sistemici. Questo si traduce, in pratica, in due cose per chi usa quelle API: i provider aggiornano i termini di servizio con più frequenza, e alcune funzionalità vengono rimosse o limitate per conformità normativa senza preavviso.
GPT-5.6 è un esempio diretto. L’accesso al fine-tuning avanzato e ad alcune funzionalità di retrieval è stato segmentato per tier commerciale. Chi era su un piano base e aveva costruito un workflow attorno a quelle feature si è trovato a dover riscrivere l’integrazione oppure a pagare di più.
La governance dei modelli AI per le aziende, quindi, non riguarda solo “cosa dice il regolatore”. Riguarda anche come le decisioni dei provider si ripercuotono sui processi interni.

I rischi reali per chi adotta LLM senza una strategia

Partiamo dal più sottovalutato: il vendor lock-in cognitivo.
Quando un team costruisce prompt, workflow e logiche di business ottimizzati per un modello specifico (diciamo GPT-4o), migrare a un altro modello non è banale. Le risposte cambiano, i prompt vanno ricalibrati, i casi limite si ridistribuiscono. Questo costo di migrazione cresce proporzionalmente a quanto il modello è integrato nei processi.
Poi ci sono i rischi più visibili:
Cambi di prezzo. OpenAI ha modificato la struttura dei prezzi delle API più volte. Un’azienda che aveva costruito un modello di costo su una certa tariffa si è ritrovata a ricalcolare l’intera economia del progetto.
Interruzione di funzionalità. Alcune funzionalità di GPT-4 Vision sono state modificate o limitate dopo aggiornamenti di policy. Chi le usava in produzione ha dovuto adattarsi in tempi brevi.
Problemi di conformità GDPR. Se i dati dei clienti passano attraverso un’API esterna senza un Data Processing Agreement aggiornato, c’è un’esposizione legale concreta. Molte PMI lo scoprono solo quando qualcuno glielo chiede.
Questi non sono scenari ipotetici. Sono cose già successe, che succederanno ancora con frequenza crescente man mano che la regolamentazione stringe e i provider si adeguano.

Modelli open-weight: quando ha senso, quando no

L’alternativa ai modelli chiusi esiste ed è matura. Mistral, LLaMA 3, Qwen, Phi-3: ci sono modelli open-weight che per molti task aziendali performano in modo comparabile a GPT-4, con il vantaggio di poterli ospitare su infrastruttura propria.
Il punto di svolta economico, di solito, è il volume. Se un’azienda fa poche centinaia di chiamate API al giorno, le API di OpenAI o Anthropic restano più convenienti anche considerando il margine del provider. Quando si supera una certa soglia (variabile in base al task e al modello), il self-hosting diventa competitivo.
Ma c’è un costo nascosto che spesso non viene calcolato: la gestione infrastrutturale. Un modello in self-hosting richiede GPU, aggiornamenti, monitoraggio, e qualcuno che sappia cosa sta facendo. Per una PMI senza un team tecnico interno, questo può essere più costoso del risparmio sulle API.
La scelta giusta dipende da tre fattori: sensibilità dei dati trattati, volume di utilizzo, e disponibilità di competenze interne (o di un partner esterno affidabile).
Se stai valutando quale percorso fa per te, parlaci del tuo caso specifico: spesso bastano trenta minuti per capire se il self-hosting ha senso o se è una complicazione inutile.

Adozione LLM nelle PMI nel 2026: dove siamo davvero

C’è molta retorica su quante aziende “stanno adottando l’AI”. La realtà, almeno in Italia, è più frammentata.
Una parte delle PMI B2B ha integrato LLM in processi reali: qualificazione dei lead, generazione di bozze documentali, supporto interno su knowledge base, classificazione di ticket. Queste sono le applicazioni che funzionano, dove il ROI è misurabile.
Un’altra parte sta sperimentando senza una strategia chiara: tool AI usati da singoli dipendenti in modo non coordinato, nessuna governance su quali dati escono dall’azienda, nessun piano se il provider cambia le condizioni.
Il nostro punto di vista netto su questo: l’adozione non coordinata di LLM nelle PMI è più rischiosa di quanto venga comunicato. Non perché l’AI sia pericolosa in sé, ma perché crea dipendenze invisibili che emergono nel momento peggiore, cioè quando qualcosa cambia e non c’è un piano B.

Cosa fare in pratica: un approccio minimale

Non serve una strategia AI da multinazionale. Serve un approccio pratico che riduca l’esposizione senza bloccare l’adozione.
Il minimo praticabile per una PMI B2B:

1. Mappa i punti di contatto. Quali processi usano già modelli AI, anche in modo informale? Dove passano dati dei clienti?
2. Verifica i DPA. Hai un Data Processing Agreement aggiornato con ogni provider AI che usi? Se la risposta è “non lo so”, è un problema da risolvere subito.
3. Testa un’alternativa. Anche solo sapere che esiste un modello alternativo compatibile con il tuo workflow principale riduce il rischio di lock-in.
4. Documenta le dipendenze. Un foglio con “usiamo X per Y, versione/piano Z” è già governance. Non serve di più per iniziare.

Questo non richiede un reparto IT. Richiede che qualcuno in azienda se ne occupi consapevolmente.

La restrizione che potrebbe arrivare (e che molti ignorano)

C’è un aspetto della regolamentazione AI che viene poco discusso nelle PMI: le potenziali restrizioni settoriali all’uso di modelli AI per certi tipi di decisioni.
L’AI Act classifica come “alto rischio” i sistemi AI usati in ambiti come credito, selezione del personale, gestione di infrastrutture critiche. Se usi un LLM per supportare decisioni in questi ambiti, anche solo come strumento di sintesi, potresti ricadere in obblighi di audit e documentazione più stringenti.
Per molte PMI B2B che operano in settori come finanza, HR o logistica, questa non è una questione astratta. Conviene verificare adesso, prima che arrivi una richiesta di conformità.

FAQ

Q: Cosa si intende con “modelli AI regolamentati” per le aziende?
A: Sono modelli linguistici soggetti a vincoli normativi europei o nazionali che impongono requisiti di trasparenza, audit e gestione dei dati. In alcuni casi includono restrizioni sull’accesso commerciale per certi settori. Non tutti i modelli AI sono regolamentati allo stesso modo: dipende dall’uso che se ne fa e dal contesto in cui operano.
Q: L’AI Act europeo si applica già alle PMI?
A: Le norme più stringenti riguardano i provider di modelli general-purpose e i sistemi ad alto rischio. Le PMI che usano modelli di terzi come utenti finali hanno obblighi diretti più limitati, ma devono verificare che il provider rispetti le regole e che i dati trattati siano conformi al GDPR. Ignorare questo aspetto non protegge dalla responsabilità.
Q: Quali rischi concreti corre una PMI B2B che dipende da un solo provider AI?
A: Cambio unilaterale dei termini di servizio, aumenti di prezzo, interruzione di funzionalità specifiche, impossibilità di auditare il modello in caso di errori. Diversificare o valutare modelli open-weight in self-hosting riduce questi rischi, ma richiede competenze tecniche interne o un partner esterno.
Q: Conviene alle PMI usare modelli open-source invece di GPT?
A: Dipende dal volume e dalla sensibilità dei dati. I modelli open-weight permettono il controllo totale dei dati e possono costare meno ad alto volume, ma richiedono infrastruttura e manutenzione. Per task semplici e volumi bassi, le API dei grandi provider restano più pratiche. La scelta va fatta caso per caso, non per principio.
Q: Come si gestisce la governance dei modelli AI in una PMI senza un team IT dedicato?
A: Il minimo praticabile: sapere quali modelli si usano e per quali processi, verificare che i dati inviati alle API non contengano informazioni sensibili non necessarie, avere un DPA aggiornato con ogni provider, e identificare almeno un’alternativa in caso di discontinuità del servizio. Non serve un reparto dedicato per fare questo.

Se stai costruendo processi su modelli AI e vuoi capire dove sei esposto, in Press Start lavoriamo su integrazioni AI con n8n e architetture che non creano dipendenze invisibili. Raccontaci il tuo caso.

Cosa cambia davvero con il decreto AI 2026

Hai già sentito parlare dell’AI Act europeo. Forse hai anche aperto il testo ufficiale, letto tre righe e chiuso la scheda. Non sei il solo.
Il problema è che tra il regolamento UE e la realtà operativa di una PMI italiana c’è un passaggio che spesso manca: il decreto legislativo di recepimento nazionale, atteso per il 2026, che trasforma le disposizioni europee in obblighi direttamente applicabili nel nostro ordinamento, con sanzioni, autorità di vigilanza e responsabilità penali concrete.
Questo articolo non è una sintesi del testo normativo. È un’analisi di cosa cambia per chi in azienda usa, compra o sviluppa sistemi AI, con un focus sugli aspetti che le PMI tendono a sottovalutare.

La classificazione dei sistemi AI: da dove partire

Prima di capire quali obblighi si applicano, serve sapere in quale categoria rientra il sistema che usi o che stai per adottare.
La normativa costruisce una piramide a quattro livelli.
In cima ci sono i sistemi vietati: manipolazione subliminale, social scoring governativo, identificazione biometrica remota in tempo reale in spazi pubblici (con eccezioni molto limitate per le forze dell’ordine). Qui non ci sono deroghe.
Subito sotto ci sono i sistemi ad alto rischio, che è il livello che interessa la maggior parte delle PMI attive in ambito digitale. Rientrano in questa categoria i sistemi usati per:

• selezione e valutazione del personale (screening CV automatizzato, scoring dei candidati)
• concessione di credito o valutazione della solvibilità
• sistemi biometrici per controllo accessi o identificazione
• software che supporta decisioni in ambito sanitario, educativo o giudiziario
• gestione di infrastrutture critiche (energia, trasporti, acqua)

Poi ci sono i sistemi a rischio limitato, soggetti solo a obblighi di trasparenza (per esempio, un chatbot deve dichiarare di essere un AI). E infine i sistemi a rischio minimo, praticamente liberi da vincoli specifici.
Il punto su cui molte PMI si perdono: la classificazione dipende dall’uso, non dalla tecnologia. Un modello di machine learning usato per fare previsioni di magazzino è a rischio minimo. Lo stesso modello, riadattato per valutare l’affidabilità creditizia dei clienti, diventa ad alto rischio.

Gli obblighi concreti per i sistemi ad alto rischio

Se il tuo sistema rientra nella categoria ad alto rischio, la normativa impone un set di requisiti che non sono opzionali e non si esauriscono con la firma di un contratto con il fornitore.
Gestione del rischio. Serve un processo documentato e continuativo di identificazione, valutazione e mitigazione dei rischi del sistema AI. Non basta farlo una volta al lancio: va aggiornato ogni volta che il sistema cambia o che cambiano le condizioni d’uso.
Documentazione tecnica. Il sistema deve essere accompagnato da documentazione che descrive come funziona, su quali dati è stato addestrato, quali sono i limiti noti, come viene monitorato. Questa documentazione deve essere disponibile per l’autorità di vigilanza su richiesta.
Registrazione nel database UE. Prima della messa in uso, i sistemi ad alto rischio vanno registrati in un database centralizzato gestito dalla Commissione europea. Chi sviluppa il sistema è responsabile della registrazione; chi lo usa deve verificare che sia avvenuta.
Supervisione umana. I sistemi ad alto rischio devono essere progettati in modo da permettere a un operatore umano di monitorarli, intervenire e, se necessario, disattivarli. Questo non significa che ogni decisione vada confermata a mano: significa che il sistema non può essere configurato in modo da rendere impossibile l’override umano.
Trasparenza verso gli utenti finali. Se il sistema prende o supporta decisioni che riguardano persone fisiche (dipendenti, clienti, pazienti), queste persone hanno diritto a sapere che un sistema AI è coinvolto nel processo.

Il reato di omissione della sicurezza AI

Qui si apre il capitolo che la maggior parte delle guide non tratta abbastanza: le implicazioni penali.
Il decreto di recepimento italiano introduce la fattispecie del reato di omissione della sicurezza AI, che si configura quando chi gestisce un sistema ad alto rischio non adotta le misure di controllo previste dalla normativa e da questo deriva un danno a persone fisiche.
Non è un reato intenzionale: è colposo. Basta non aver fatto quello che la legge richiedeva.
Per le PMI questo significa che il responsabile tecnico o il legale rappresentante può essere esposto a responsabilità penale se un sistema AI causa un danno (per esempio, una decisione discriminatoria in fase di selezione del personale) e non esiste documentazione che dimostri che i controlli richiesti erano stati implementati.
Questa è, secondo noi, la parte più sottovalutata dell’intera normativa. Le sanzioni amministrative si pagano e si archiviano. Un procedimento penale, anche se si chiude con un’archiviazione, ha costi legali, reputazionali e di tempo che una PMI difficilmente regge.

Biometria AI: il caso specifico che merita attenzione

I sistemi di riconoscimento biometrico meritano un paragrafo separato perché il mercato li sta proponendo come soluzioni standard per il controllo accessi, la gestione presenze e persino per il monitoraggio della produttività.
La normativa è chiara: qualsiasi sistema che identifichi o categorizzi persone fisiche sulla base di caratteristiche biometriche rientra nella categoria ad alto rischio, con tutti gli obblighi che ne derivano. I sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico sono invece direttamente vietati, salvo eccezioni molto ristrette.
Se stai valutando un sistema di riconoscimento facciale per il badge d’ingresso o un sistema di analisi delle emozioni per la valutazione dei dipendenti, sappi che il secondo è probabilmente vietato tout court, e il primo richiede una documentazione tecnica e una valutazione d’impatto che il fornitore del sistema deve essere in grado di fornirti. Se non la fornisce, il problema è tuo, non suo.

Chi sviluppa AI internamente: un rischio spesso ignorato

Se la tua PMI ha un team tecnico che ha costruito o sta costruendo un sistema AI per uso interno, la normativa ti considera fornitore, non solo utilizzatore. Questo cambia tutto.
Come fornitore, sei responsabile della conformità tecnica del sistema, della documentazione, della registrazione nel database UE. Non puoi scaricare la responsabilità su un vendor esterno perché il vendor sei tu.
Questo riguarda, per fare esempi concreti: un modello di scoring interno per la gestione del credito verso i clienti, un sistema di raccomandazione per le assunzioni, un tool di analisi comportamentale degli utenti su una piattaforma digitale proprietaria.
Se hai costruito qualcosa del genere, o ci stai lavorando, è il momento di fare una mappatura onesta di cosa rientra nel perimetro normativo.
Se vuoi capire se i sistemi AI che stai sviluppando o usando rientrano nel perimetro del decreto, scrivici e vediamo insieme la situazione.

Come prepararsi: passi concreti

La compliance AI non si risolve con un documento scaricato da internet e firmato. Richiede un processo, anche se la tua PMI è piccola.
Il primo passo è la mappatura dei sistemi AI in uso o in sviluppo, classificandoli per categoria di rischio. Molte aziende si accorgono in questa fase di avere sistemi ad alto rischio che non avevano riconosciuto come tali.
Il secondo è la verifica della catena di fornitura: i vendor che ti forniscono sistemi AI hanno la documentazione tecnica richiesta? Sono registrati nel database UE? Se non sai rispondere, è un problema da risolvere prima che lo faccia un’ispezione.
Il terzo è la definizione delle procedure di supervisione umana: chi in azienda è responsabile del monitoraggio del sistema? Con quale frequenza? Cosa succede se il sistema produce un output anomalo?
Il quarto, spesso trascurato, è la formazione del personale. La normativa richiede che chi usa sistemi AI ad alto rischio abbia una competenza sufficiente per capire i limiti del sistema e intervenire quando necessario. Non basta consegnare un manuale.

FAQ

Q: Quali PMI italiane rientrano nel perimetro del decreto AI 2026?
A: Quelle che sviluppano, distribuiscono o usano sistemi AI classificati ad alto rischio: strumenti di selezione del personale, scoring del credito, sistemi biometrici, software per infrastrutture critiche. Le dimensioni aziendali contano meno del tipo di sistema impiegato.
Q: Cosa si rischia se si ignora la normativa AI?
A: Le sanzioni per le violazioni più gravi arrivano a decine di milioni di euro o a una percentuale del fatturato globale. Per le PMI il rischio più immediato è però la responsabilità civile in caso di danno causato da un sistema non conforme, e la responsabilità penale per omissione della sicurezza.
Q: I sistemi AI sviluppati internamente sono soggetti agli stessi obblighi?
A: Sì. Chi sviluppa un sistema AI per uso proprio è considerato “fornitore” ai fini della normativa, non solo “utilizzatore”. Questo è uno degli aspetti meno noti e più rilevanti per le PMI con team tecnici interni.
Q: Cosa prevede la normativa per i sistemi di riconoscimento biometrico?
A: I sistemi biometrici rientrano quasi sempre nella categoria ad alto rischio. Richiedono documentazione tecnica completa, registrazione nel database UE e, spesso, una valutazione d’impatto sui diritti fondamentali. Alcuni usi specifici, come l’identificazione biometrica remota in tempo reale in spazi pubblici, sono direttamente vietati.
Q: Esiste una procedura semplificata per le PMI?
A: L’AI Act prevede alcune misure di proporzionalità per PMI e startup, soprattutto per ridurre i costi della documentazione tecnica. Gli obblighi sostanziali però restano invariati: trasparenza, supervisione umana, gestione del rischio si applicano indipendentemente dalle dimensioni aziendali.

Se stai integrando sistemi AI nel tuo business e vuoi capire dove sei rispetto agli obblighi del decreto, in Press Start possiamo aiutarti a fare una prima mappatura tecnica. Raccontaci il tuo caso