C'è una domanda che ogni imprenditore italiano si è fatto negli ultimi due anni e a cui quasi nessuno ha ricevuto una risposta utile: «tutta questa roba sull'intelligenza artificiale e sulla privacy, mi riguarda?»
L'ho fatta anch'io. L'ho fatta al mio commercialista, l'ho fatta a un paio di consulenti, l'ho cercata su internet. Ho ricevuto tre risposte diverse, tutte vaghe, nessuna sbagliata. E nel frattempo continuavo a usare l'AI in azienda ogni giorno, come tutti.
Questo articolo racconta come da quella domanda senza risposta è nato uno strumento che stiamo per mettere online. Non è un articolo tecnico sull'AI Act — se cerchi quello, l'ho scritto qui. È il racconto di un vuoto che ho trovato sul mio percorso e che, parlando con altri imprenditori, ho capito essere il vuoto di tutti.
Ho iniziato quando le regole non c'erano ancora
Nel 2023 dirigevo — e dirigo ancora — un'azienda manifatturiera che produce prodotti per la finitura della pelle ed esporta in mezzo mondo. Avevo un gestionale pieno di dati e nessun modo semplice per farmi rispondere: ogni domanda richiedeva di chiedere a qualcuno, aspettare un export, aprire un Excel.
Poi è arrivata l'AI generativa e ho iniziato a usarla. Prima per curiosità, poi per lavoro vero: analisi, traduzioni, email ai clienti esteri, tentativi di far parlare i miei dati. Da quel percorso è nata MAITIME OPERA, la piattaforma che collega l'AI al gestionale di una PMI e le permette di interrogare i propri dati in linguaggio naturale.
Ma c'è un dettaglio di quella stagione che vale la pena guardare in faccia, perché riguarda migliaia di imprese italiane esattamente come la mia.
Chi ha iniziato a usare l'intelligenza artificiale nel 2023 l'ha fatto quando l'AI Act era ancora in scrittura. Non c'era niente da rispettare, perché non c'era ancora niente. Le regole sono arrivate dopo — e sono arrivate su un utilizzo già in corso, consolidato, entrato nelle abitudini di lavoro senza che nessuno avesse mai preso una nota di cosa stava facendo.
È una differenza importante rispetto a come funzionano di solito gli adempimenti. Con la fatturazione elettronica c'era una data, un obbligo chiaro e un consulente che ti chiamava. Qui il processo è stato l'opposto: prima l'adozione spontanea, poi la norma. E quando la norma arriva su qualcosa che fai già da due anni, il primo problema non è adeguarsi. È capire cosa stai facendo.
Il problema di chi dovrebbe dirtelo
Qui c'è il punto che secondo me pesa più di tutti, e che raramente viene detto ad alta voce.
Un imprenditore di una PMI italiana ha intorno a sé una rete di consulenti di cui si fida: il commercialista, il consulente del lavoro, magari uno studio legale. Sono le persone a cui chiede «devo fare qualcosa?» quando arriva una norma nuova. È il meccanismo che ha sempre funzionato.
Su AI Act e GDPR quel meccanismo, oggi, non funziona. Non per malafede: perché sono materie giovani, tecniche, in movimento continuo, e le persone davvero aggiornate sono ancora pochissime. Un commercialista, oggi, difficilmente può dirti se il tuo assistente conversazionale ha un obbligo di dichiarazione. Non è il suo mestiere e non lo è mai stato.
Il risultato è che l'imprenditore chiede, riceve un «non credo che ti riguardi», e va avanti tranquillo. Nel frattempo gli obblighi decorrono lo stesso.
Non è che le PMI italiane abbiano deciso di ignorare l'AI Act. È che non esiste ancora la figura il cui compito è avvisarle. Il commercialista non ce l'ha nel mandato, il consulente informatico non conosce la norma, il legale interviene quando il problema è già arrivato. Nel mezzo c'è un vuoto in cui gli obblighi maturano da soli.
E gli obblighi maturano davvero. Il rinvio che ha fatto notizia a luglio — il cosiddetto Digital Omnibus — ha spostato in avanti la disciplina dei sistemi ad alto rischio, al 2 dicembre 2027 e al 2 agosto 2028. Ma non ha toccato niente di quello che riguarda la piccola impresa media: i divieti si applicano dal 2 febbraio 2025, l'obbligo di formare chi usa l'AI dal 2 febbraio 2025, gli obblighi di trasparenza dal 2 agosto 2026.
Tre cose in vigore adesso, e nessuno che te lo dica.
Quando ho misurato il vuoto, ho scoperto che erano fogli
A un certo punto ho smesso di chiedere e ho provato a costruirmi io la risposta. Ho messo in fila tutto quello che AI Act e GDPR chiedono a un'azienda che usa sistemi di intelligenza artificiale — non a chi li sviluppa, che è un mestiere diverso con obblighi diversi — e ne ho ricavato quarantadue domande, divise in sette aree.
Quello che mi ha sorpreso, quando ho visto l'elenco completo, non è stata la quantità. È stata la natura delle cose mancanti.
Mi aspettavo progetti costosi: audit, consulenze, software di controllo, forse una certificazione. Invece la maggior parte di quello che serve a un'impresa di venti, cinquanta o duecento persone sono documenti. Un elenco dei sistemi AI in uso. Una nota che dice se sei fornitore o utilizzatore. Una policy di tre pagine su cosa si può e non si può mettere in un prompt. Un registro dei trattamenti aggiornato. Una riga sull'assistente automatico del sito. Il verbale di due ore di formazione.
Cose da ore, non da mesi. Con una caratteristica in comune: nessuna di esse produce valore visibile. Nessun cliente in più, nessun euro di margine. Servono solo il giorno in cui qualcuno ti chiede di dimostrare qualcosa — che è precisamente il motivo per cui non le fa nessuno.
Il regolamento europeo sulla protezione dei dati, all'articolo 24, non chiede alle aziende di essere conformi. Chiede di poterlo dimostrare. È una differenza che sembra formale e non lo è affatto: sposta tutto il peso dai comportamenti alla documentazione. Puoi lavorare in modo impeccabile per anni e non avere niente da mostrare.
Quelle quarantadue domande le abbiamo messe online, gratuite e senza registrazione fino al risultato. In circa venticinque minuti ottieni un punteggio, il dettaglio delle sette aree e un piano a 90 giorni costruito sulle tue risposte. Serve a capire dove sei, che è il punto da cui parte tutto il resto.
Fai il check-up gratuitoDa qui nasce MAITIME SECRETUM
Il check-up risolve metà del problema. Ti dice cosa ti manca, e già solo quello è più di quanto la maggior parte degli imprenditori sappia oggi. Ma poi ti lascia lì, con un elenco di documenti da scrivere e nessuno strumento per scriverli.
La distanza tra «so cosa mi manca» e «ce l'ho» è esattamente il punto in cui le persone si fermano. Non per pigrizia: perché quella distanza, oggi, si copre solo in due modi. O ti paghi una consulenza, con costi che una piccola impresa spesso non giustifica per produrre dei fogli. O scarichi template da internet e li compili come puoi, ottenendo documenti generici che nel momento del bisogno valgono poco.
SECRETUM è il terzo modo. È lo strumento che prende le risposte che hai già dato e genera i documenti che ti servono: l'inventario dei sistemi, il registro dei trattamenti, le informative, la policy sull'uso dell'AI, le nomine. Con una dashboard che ti dice cosa è a posto e cosa no, e — la parte che secondo me conta più di tutte — l'aggiornamento nel tempo.
Perché il problema vero della conformità non è farla. È tenerla. Un pacchetto di documenti comprato a gennaio, dopo un movimento normativo come quello di luglio, è carta da rifare. Chi lo ha comprato non lo sa, e lo scopre nel momento peggiore.
Su come questo arriva alle imprese ho una convinzione precisa, e viene dalla mia esperienza da cliente. Il vuoto di cui ho scritto sopra non si colma sostituendo i consulenti. Si colma attrezzandoli. Un commercialista che può dare al proprio cliente una risposta operativa sull'AI Act, invece di un «ci informiamo», è più utile di qualsiasi piattaforma. Uno strumento serve a mettere il professionista nella condizione di rispondere, non a fare finta che il professionista non serva.
Per commercialisti, avvocati e consulenti. Con la gestione di più clienti dalla stessa piattaforma: inventari, documenti e scadenze di tutti i clienti in un posto solo, e la traccia di chi ha rivisto cosa. È il modo per colmare quel vuoto dalla parte giusta — dare ai professionisti che le imprese già consultano lo strumento per rispondere a una domanda che oggi sono costretti a rimandare.
Per l'impresa che vuole partire dai propri documenti. Rispondi, ottieni la documentazione, la tieni aggiornata — con la possibilità di farla validare dal tuo consulente, che è ciò che le dà valore il giorno in cui serve.
Da settembre partiamo con un primo gruppo ristretto di aziende e di studi professionali. Non è un lancio generale: preferiamo lavorare con pochi, sistemare quello che non funziona e allargare dopo. Il prezzo lo comunicheremo insieme alla disponibilità.
Tre cose che puoi fare intanto, senza aspettare nessuno
Non serve un prodotto per iniziare. Queste tre le puoi chiudere questa settimana.
1. L'elenco. Un foglio, quattro colonne: quale strumento AI, chi lo usa, per cosa, con quali dati. Mezza giornata, e la parte più lunga è girare tra le scrivanie a chiedere — perché quasi sempre emerge qualcosa che nessuno aveva dichiarato, introdotto da una persona che aveva trovato un modo più veloce di lavorare. Senza questo elenco ogni altro adempimento è un'ipotesi.
2. La casella fornitore o utilizzatore. Per ogni voce dell'elenco, scrivi in che veste usi quel sistema. Nella quasi totalità dei casi una PMI è utilizzatore, e questo taglia via la maggior parte di quello che si legge sull'AI Act — che è scritto per chi sviluppa. Un'ora di lavoro che ti dice quali obblighi ti riguardano davvero.
3. La frase sull'assistente automatico. Se sul tuo sito c'è un chatbot, chi ci scrive deve capire subito che non è una persona. È l'obbligo entrato in applicazione il 2 agosto 2026, si soddisfa con una riga, e chiunque può verificarlo dall'esterno semplicemente aprendo il tuo sito. Dieci minuti.
Tre azioni, meno di un giorno complessivo. Non ti mettono in regola, ma ti tolgono dalla condizione peggiore: quella in cui non sai nemmeno cosa non sai.
Domande frequenti
L'AI Act riguarda anche le piccole imprese?
Sì. Il regolamento non prevede una soglia dimensionale sotto la quale non si applica. Cambia molto quali obblighi ti riguardano — soprattutto in base al fatto che tu sviluppi sistemi AI o semplicemente li usi — ma non se ti riguarda. Un'azienda di dieci persone con un assistente conversazionale sul sito ha obblighi di trasparenza come una multinazionale.
Non è stato tutto rinviato al 2027?
No, ed è l'equivoco più diffuso. Il Digital Omnibus ha spostato in avanti solo la disciplina dei sistemi ad alto rischio: al 2 dicembre 2027 per quelli dell'Allegato III, al 2 agosto 2028 per quelli integrati nei prodotti. I divieti e l'obbligo di alfabetizzazione si applicano dal 2 febbraio 2025, gli obblighi di trasparenza dal 2 agosto 2026. Per la PMI media, il rinvio non cambia niente.
Quali documenti servono davvero a una PMI che usa l'AI?
L'inventario dei sistemi AI in uso, la qualificazione del ruolo per ciascuno, una policy interna sull'utilizzo, il registro dei trattamenti aggiornato con i trattamenti che passano dall'AI, le informative allineate, gli accordi con i fornitori e la traccia della formazione erogata. La lista esatta dipende da cosa usi e come, ed è quello che il check-up serve a stabilire.
Serve un consulente o posso fare da solo?
Il criterio è questo: più il tuo uso dell'AI incide su decisioni che riguardano persone, più ti serve qualcuno che ci metta la firma. Uno strumento può produrre la documentazione e tenerla aggiornata, e questo elimina la parte più noiosa e più costosa del lavoro. Ma è la revisione di un professionista che rende quei documenti difendibili nel momento in cui qualcuno li contesta — e su alcune cose, come lo sviluppo di sistemi propri, la selezione del personale, la valutazione creditizia o le valutazioni d'impatto, non è un'opzione. Il modo in cui vediamo le cose noi: lo strumento fa il lavoro, il professionista risponde.
Il check-up online ha valore legale?
No, ed è scritto sul referto. È uno strumento di autovalutazione a scopo informativo: le risposte sono dichiarazioni di chi compila e non vengono verificate. Non sostituisce un audit di conformità e non produce un attestato. Serve a capire dove sei e da cosa conviene partire.
Parti da dove sei
Il check-up AI Act e GDPR è online, gratuito, venticinque minuti: quarantadue domande, un punteggio e un piano a 90 giorni costruito sulle tue risposte. È il punto da cui partirà anche SECRETUM.
Fai il check-up gratuitoSei un commercialista, un avvocato o un consulente e vuoi capire come funziona per il tuo studio? Scrivici: da settembre partiamo con un primo gruppo ristretto.