Il tessuto produttivo italiano, storicamente caratterizzato da una prevalenza di piccole e medie imprese, sta affrontando la transizione verso l’Intelligenza Artificiale Generativa (IAGen) con un atteggiamento profondamente polarizzato. Da un lato vi è una convergenza quasi unanime sui vantaggi competitivi offerti da questa tecnologia; dall’altro, l’effettiva integrazione operativa risulta caratterizzata da una marcata frammentazione e da un ritardo strutturale rispetto alle grandi organizzazioni.
Il paradosso dell’innovazione: adozione frammentata e paralisi da eccessiva cautela nelle PMI italiane
Mentre il 40% delle grandi aziende e delle società quotate nel FTSE MIB ha già avviato un’integrazione sistematica e strutturata dell’IAGen all’interno dei propri processi interni, solo un ristretto 9% delle PMI è riuscito a compiere il medesimo passaggio. Per la stragrande maggioranza delle piccole e medie realtà commerciali e industriali, l’utilizzo dello strumento rimane episodico, destrutturato e privo di una cornice di governance formale. Questa discrepanza risiede nella diversa disponibilità di risorse finanziarie, nella presenza di competenze specialistiche interne e nel livello complessivo di digitalizzazione già consolidato dall’azienda.
Questo scenario di parziale immobilismo è alimentato da una vera e propria “paralisi da eccessiva cautela“. In mancanza di direttive chiare ed esperienze pregresse, la preoccupazione per i potenziali rischi tecnologici e legali tende a superare il desiderio di innovazione. Il timore principale riguarda la sicurezza e la riservatezza dei dati sensibili: le imprese temono che l’immissione di informazioni aziendali riservate all’interno di modelli linguistici di terze parti ne provochi la de-privatizzazione o che tali dati possano essere impiegati per addestrare algoritmi esterni.
In assenza di policy interne strutturate, circa la metà delle PMI ha optato per un approccio puramente difensivo, vietando esplicitamente l’inserimento di dati critici negli strumenti di IA. Sebbene questa scelta preservi la riservatezza delle informazioni nel breve termine, essa finisce per declassare l’IA Generativa a un ruolo marginale, relegando la tecnologia a compiti generici e scarsamente impattanti sulla catena del valore.
Il collo di bottiglia organizzativo: la carenza di competenze tecniche e la governance centralizzata
La transizione verso l’IA ha smesso di essere una sfida puramente tecnologica per trasformarsi in una complessa questione di gestione delle risorse umane e di organizzazione interna. Le analisi condotte sul tessuto imprenditoriale evidenziano che il principale ostacolo all’adozione non è la disponibilità dello strumento software, bensì l’assenza di competenze interne necessarie per utilizzarlo in totale sicurezza ed efficacia.
La distribuzione delle abilità tecniche all’interno delle aziende rivela una piramide fortemente squilibrata :
L’80% del personale aziendale possiede una conoscenza dell’IA classificabile unicamente come di livello base o intermedio.
Solo il 2% dei professionisti è considerato “esperto“, ovvero in grado di progettare flussi di lavoro complessi, automazioni strutturate e architetture di integrazione sicure.
Concetto Strategico | Situazione Attuale nelle PMI italiane | Obiettivo Strategico per la Compliance |
Integrazione Operativa | Uso occasionale o inesistente nel 50% dei casi; integrazione strutturata e regolamentata confinata ad appena il 9% delle imprese. | Introduzione sistematica della tecnologia attraverso procedure chiare, processi definiti e formazione continua. |
Competenza Tecnica | Profilo esperto limitato ad appena il 2% del personale interno; forte dipendenza da soluzioni esterne. | Elevazione delle competenze digitali diffuse e introduzione di ruoli specialistici interni. |
Sicurezza dei Dati | Diffuso timore di perdita di controllo sulla privacy (65%); approccio restrittivo privo di una logica di gestione del rischio. | Definizione di regolamenti interni, adozione di filtri di sicurezza e implementazione di audit periodici. |
Valutazione dell’Efficienza | Percezione diffusa di un incremento di produttività, ma totale assenza di strumenti per monitorarla e quantificarla. | Misurazione dell’impatto strategico della tecnologia mediante l’adozione di KPI chiari e misurabili. |
Il 56% delle aziende non ha ancora allocato investimenti per definire o assumere nuove figure professionali deputate allo sviluppo o alla gestione della tecnologia.
Questa carenza strutturale confina l’IA in un ruolo accessorio. Per ovviare a questo limite, le aziende che hanno avviato piani di inserimento prediligono profili di raccordo strategico. Le figure più ricercate sono gli esperti di strategia IA applicata ai processi di business (20%), seguiti dagli analisti di automazione (13%) e dai formatori interni (12%).
La carenza di competenze si riflette direttamente sulle dinamiche di governance dell’IA, intesa come l’insieme di regole, processi e strutture decisionali volti a garantire un uso etico, sicuro e allineato agli obiettivi di business. Nelle PMI italiane le decisioni strategiche risultano fortemente accentrate: la Direzione Generale guida i processi decisionali nel 43% dei casi, supportata dal dipartimento IT (40%) e dalle Risorse Umane (28%).
Nonostante questa catena gerarchica, il 39% delle organizzazioni ammette l’assoluta mancanza di una politica o di un regolamento interno formalizzato. L’assenza di linee guida condivise costringe le imprese a operare in un vuoto regolamentare che aumenta l’esposizione a rischi di violazione della privacy e d’uso improprio delle tecnologie.
Un vuoto che, con l’entrata in vigore dell’EU AI Act, espone molte aziende a gravi rischi.
Le Risorse Umane come laboratorio dell’IA Generativa nelle PMI
La funzione delle Risorse Umane (HR) è diventata il principale laboratorio operativo per la sperimentazione dell’IA Generativa all’interno delle PMI. Grazie alla sua natura trasversale e alla forte dipendenza da attività ad alta intensità documentale e comunicativa, questo dipartimento si presta a testare i reali vantaggi in termini di efficienza produttiva prima che la tecnologia venga estesa agli altri settori aziendali.
Le applicazioni pratiche dell’IA nell’area HR mostrano una diffusione significativa in diverse attività chiave:
Comunicazione interna (69%): Utilizzata per la redazione rapida di avvisi, newsletter e comunicati diretti al personale.
Ricerca e selezione dei candidati: Impiegata per la stesura dei profili di ruolo e degli annunci di lavoro (59%), per la formulazione di domande personalizzate per i colloqui (45%) e per lo screening preliminare dei curricula (31%).
Gestione documentale e contrattualistica: Testata per la redazione di bozze di accordi, contratti standardizzati (42%) e per il disbrigo delle normali pratiche amministrative (34%).
People Analytics (31%): Sfruttata per analizzare i dati storici dei dipendenti, supportando decisioni relative all’organizzazione e alle promozioni basate su indicatori oggettivi.
Tuttavia, l’implementazione dell’IA senza il coordinamento strategico del dipartimento HR comporta rischi rilevanti per la cultura aziendale e la coesione interna. Gli specialisti avvertono la minaccia di una deumanizzazione dei processi e della cultura organizzativa nel 51% dei casi, temendo che l’efficienza degli algoritmi possa sacrificare l’empatia e il giudizio soggettivo.
Ulteriori preoccupazioni riguardano la conformità legale e le violazioni normative (23%), nonché il rischio che algoritmi non adeguatamente monitorati possano amplificare pregiudizi storici (bias), ostacolando l’inclusione e la diversità sul posto di lavoro (6%). Si rileva inoltre il timore che i professionisti della selezione si trasformino in meri esecutori di decisioni automatizzate, perdendo il proprio ruolo consultivo strategico.
Nonostante tali riserve, la visione prospettica degli operatori rimane orientata a un cauto ottimismo: il 58% ritiene che una corretta integrazione dell’IA valorizzerà la figura del professionista, consentendo di delegare la burocrazia ripetitiva per concentrarsi sullo sviluppo del talento e sulle strategie organizzative. Il 31% prevede un assorbimento delle attività di supporto, spingendo la professione verso un ruolo più analitico e relazionale, mentre solo un ristretto 11% teme una contrazione drastica o la perdita di rilevanza della propria funzione.
L’intersezione con l’EU AI Act: la griglia del rischio e la compliance obbligatoria
La diffusione spontanea e frammentata dell’IA nelle PMI italiane deve ora fare i conti con l’entrata in vigore del Regolamento Europeo sull’Intelligenza Artificiale (EU AI Act). Questa normativa introduce un quadro giuridico uniforme basato su una classificazione dei sistemi di IA in quattro livelli di rischio, imponendo adempimenti rigorosi proporzionali al potenziale danno arrecato ai diritti fondamentali e alla sicurezza dei cittadini.
La correlazione tra l’uso dell’IAGen descritto nel Rapporto Etalentum e la classificazione del rischio dell’AI Act mette in luce una vulnerabilità critica per le PMI italiane. Molte attività ad oggi gestite in modo destrutturato o informale ricadono infatti all’interno di categorie regolate in modo severo dal legislatore europeo.
Il prossimo 29 settembre si terrà a Milano un incontro, promosso da Etalentum e dallo Studio Legale Giovannelli e Associati, che ha l’obiettivo di fare chiarezza sulla normativa ma, soprattutto, sulle opportunità che essa apre alle PMI per dotarsi di una roadmap che unisca la compliance a un approccio strategico per sostenere produttività e competitività.
In particolare, le pratiche vengono suddivise in base al rischio:
Rischio inaccettabile (Pratiche vietate)
La normativa europea vieta tassativamente determinati sistemi di IA a partire dal 2 febbraio 2025. Per le PMI che gestiscono personale, è fondamentale sapere che rientrano in questa categoria i sistemi volti a rilevare o inferire le emozioni dei lavoratori sul posto di lavoro, i sistemi di categorizzazione biometrica basati su caratteristiche sensibili e i sistemi di classificazione sociale (social scoring). L’utilizzo di tali tecnologie espone l’azienda a sanzioni massime immediate.
Rischio elevato (Sistemi ad alto rischio – Allegato III)
I sistemi di IA impiegati nell’ambito dell’occupazione, della gestione dei lavoratori e dell’accesso al lavoro autonomo sono classificati come “ad alto rischio”. Questa categoria comprende gli strumenti utilizzati per la selezione, lo screening e la classificazione automatica dei curricula dei candidati (come il 31% di utilizzo rilevato nel Rapporto Etalentum), i software per la pianificazione automatica dei turni basata su segnali comportamentali e i sistemi di monitoraggio e valutazione delle prestazioni che influenzano le decisioni di carriera o di licenziamento.
Per questi sistemi, l’AI Act impone severi obblighi tecnici e procedurali sia ai produttori (provider) sia agli utilizzatori professionali (deployer), tra cui la tenuta dei log di sistema per almeno sei mesi, la garanzia di una supervisione umana effettiva, la gestione della qualità dei dati per evitare bias discriminatori e la conduzione di valutazioni d’impatto sui diritti fondamentali. La scadenza per l’adeguamento di tali sistemi, originariamente prevista per il 2026, è stata rinviata dal pacchetto Digital Omnibus al 2 dicembre 2027.
Rischio limitato (Obblighi di trasparenza)
I sistemi di IA destinati a interagire direttamente con le persone, come i chatbot utilizzati per rispondere alle domande dei candidati o dei clienti, e le applicazioni che generano contenuti testuali, visivi o audio sintetici sono soggetti a requisiti di trasparenza. I fornitori e gli utilizzatori devono assicurarsi che l’utente sia chiaramente e preventivamente informato del fatto che sta interagendo con un sistema automatizzato.
Tali obblighi sono entrati in vigore il 2 agosto 2026, mentre l’obbligo di marcatura leggibile dalle macchine (watermarking) dei contenuti sintetici decorrerà dal 2 dicembre 2026.
Le PMI che sviluppano o integrano sistemi rientranti nell’Allegato III hanno la facoltà di invocare la clausola di esenzione prevista dall’Articolo 6(3) dell’AI Act. Tale deroga consente di escludere un sistema dalla classificazione ad “alto rischio” qualora esso non presenti un pericolo significativo di danno per i diritti fondamentali, svolgendo compiti puramente procedurali o limitandosi a migliorare il risultato di un’attività umana già completata.
Tuttavia, il fornitore ha l’obbligo di documentare analiticamente la propria valutazione prima dell’immissione sul mercato del prodotto. È fondamentale sottolineare che questa esenzione decade automaticamente qualora il sistema effettui una profilazione degli individui, rientrando in tal caso senza eccezioni nell’alveo delle severe disposizioni sull’alto rischio.
Categoria di Rischio (AI Act) | Esempio Applicazione nelle PMI | Requisiti di Conformità Richiesti | Decorrenza degli Obblighi |
Inaccettabile | Riconoscimento emozioni in azienda. | Divieto assoluto di utilizzo e commercializzazione. | 2 Febbraio 2025. |
Elevato | Screening automatico CV. | Log obbligatori, supervisione umana, bias testing, accuratezza. | 2 Dicembre 2027 (Standalone All. III). |
Limitato | Chatbot, generatori di testo. | Obbligo informativa all’utente, marcatura contenuti. | 2 Agosto 2026 (Trasparenza) / 2 Dicembre 2026 (Watermarking). |
Minimo | Filtri antispam, cataloghi interni. | Adesione facoltativa a codici di condotta di buona pratica. | Già applicabile (volontario). |
La mappa dell’adozione dell’IA: funzioni, dipartimenti aziendali e impatto dell’AI Act
L’adozione dell’IA Generativa all’interno delle PMI non avviene in modo uniforme, ma si distribuisce tra i diversi dipartimenti aziendali in base alle specifiche esigenze operative e ai processi di business. Questa differenziazione dipartimentale si riflette direttamente sulla classificazione del rischio definita dall’EU AI Act, determinando obblighi normativi radicalmente diversi a seconda della funzione d’uso:
Marketing e Customer Care: è una delle aree a più rapida diffusione, in cui l’IAGen viene impiegata per la redazione di testi pubblicitari, la creazione di contenuti visivi sintetici o l’automazione del supporto clienti tramite chatbot intelligenti. Sotto il profilo dell’AI Act, la maggior parte di queste applicazioni ricade nella categoria a Rischio Limitato. Ciò comporta principalmente severi obblighi di trasparenza: le imprese sono tenute a informare chiaramente l’utente che sta interagendo con una macchina (nel caso dei chatbot) e ad applicare una marcatura digitale leggibile dall’elaboratore (watermarking) a tutte le immagini, i video o i testi sintetici generati dall’algoritmo.
Risorse Umane (HR): come analizzato nel dettaglio nel prosieguo del report, questo dipartimento sfrutta l’IA per lo screening dei curricula, la formulazione di annunci mirati e la valutazione dei candidati. Poiché queste attività incidono direttamente sulle opportunità di carriera e sui mezzi di sussistenza delle persone, l’AI Act classifica questi sistemi nell’area ad Alto Rischio. Questa classificazione impone adempimenti complessi come la supervisione umana obbligatoria (human-in-the-loop), la prevenzione dei bias discriminatori nei dati e la registrazione costante dei log di sistema. Inoltre, l’uso di sistemi biometrici per rilevare le emozioni dei lavoratori in ufficio è totalmente vietato (Rischio Inaccettabile).
Dipartimento Legale e Amministrazione: utilizzato principalmente per la stesura assistita di contratti, l’estrazione di informazioni da testi complessi (text and data mining) e la classificazione documentale. Sebbene l’uso interno per facilitare compiti burocratici o di back-office tenda a rientrare nel Rischio Minimo (non soggetto a obblighi stringenti se non a buone pratiche volontarie) , l’addestramento di questi modelli e lo scraping non autorizzato di dati protetti espone l’azienda a severi rischi di violazione del diritto d’autore e della proprietà intellettuale, con risvolti amministrativi e penali per la società.
Finanza e Controllo di Gestione: l’IA viene adottata per l’analisi predittiva dei flussi di cassa, l’ottimizzazione del magazzino o la valutazione del merito creditizio dei clienti. Qualora l’algoritmo venga utilizzato per automatizzare l’assegnazione di punteggi di credito (credit scoring) o per calcolare tariffe assicurative sulla vita o sulla salute, il sistema si configura come ad Alto Rischio, costringendo le PMI a implementare complessi piani di gestione del rischio lungo l’intero ciclo di vita del software.
L’obbligo di alfabetizzazione (Art. 4) come leva di trasformazione organizzativa
La carenza di competenze interne evidenziata dal Rapporto Etalentum — con l’80% del personale dotato di nozioni solo elementari e una percentuale di esperti limitata al 2% — rappresenta un ostacolo competitivo e una fonte di elevato rischio legale alla luce delle nuove disposizioni europee. L’Articolo 4 dell’EU AI Act introduce infatti l’obbligo di alfabetizzazione in materia di intelligenza artificiale (AI Literacy) a carico di tutti i fornitori e gli utilizzatori di sistemi di IA.
La norma prescrive che le organizzazioni adottino misure concrete per garantire che il proprio personale e i soggetti terzi che operano per loro conto (inclusi consulenti, appaltatori e agenzie esterne) acquisiscano un livello sufficiente di competenze, conoscenze e consapevolezza nell’uso degli algoritmi.
Tali misure devono tenere conto delle competenze pregresse del personale, del livello di istruzione e del contesto specifico in cui i sistemi di IA vengono applicati. Sebbene la disposizione sia entrata in vigore il 2 febbraio 2025, la sua effettiva applicazione e l’avvio delle sanzioni per mancato adeguamento decorreranno a livello europeo dal 3 agosto 2026.
Per le PMI italiane, l’adeguamento all’Articolo 4 costituisce un’opportunità strategica per sanare il proprio deficit organizzativo. L‘alfabetizzazione del personale riduce sensibilmente i rischi associati all’uso non guidato della tecnologia:
evita la fuga accidentale di segreti commerciali o dati sensibili dovuta all’inserimento di informazioni riservate in applicativi esterni;
previene l’accettazione acritica di decisioni errate o viziate da bias prodotte dall’algoritmo, migliorando la capacità di supervisione umana dei sistemi ad alto rischio;
riduce il fenomeno del “Shadow AI”, ovvero l’adozione spontanea e non autorizzata di strumenti software da parte dei singoli dipendenti in assenza di controllo IT.
Roadmap strategica e operativa per la compliance e il successo delle PMI
Il superamento delle debolezze rilevate dal Rapporto Etalentum e la garanzia di una conformità rigorosa all’AI Act e alle leggi nazionali richiedono l’adozione di un piano d’azione strutturato in cinque fasi operative:
Fase 1: inventario e classificazione dei sistemi (AI Mapping)
Il management della PMI deve avviare una mappatura completa di tutti gli applicativi software che utilizzano algoritmi o moduli di IA, sia in uso all’interno dei dipartimenti (con particolare attenzione all’area HR e amministrazione) sia integrati nei prodotti offerti sul mercato. Per ogni sistema rilevato deve essere redatta una scheda descrittiva che ne specifichi la finalità d’uso, i flussi di dati trattati e il livello di rischio associato ai sensi del Regolamento Europeo.
Fase 2: redazione dell’AI Governance Plan e delle policy interne
Ove si riscontri l’assenza di regole formalizzate (il 39% delle aziende esaminate), l’impresa deve adottare un codice di condotta interno (AI Policy). Il regolamento deve stabilire:
quali tipologie di dati aziendali, segreti commerciali o dati personali sia vietato inserire in sistemi di IAGen a libero accesso;
le procedure di approvazione per l’adozione di nuovi strumenti tecnologici, prevenendo l’insorgenza di fenomeni di “Shadow AI”;
i ruoli e le responsabilità decisionali e di controllo interno, definendo i flussi informativi verso l’Organismo di Vigilanza e la Direzione Generale.
Fase 3: presidio delle attività ad alto rischio e adozione di sistemi di controllo umano
Qualora l’azienda utilizzi sistemi di IA per attività di screening dei curricula dei candidati o per la valutazione delle prestazioni dei dipendenti, è obbligatorio implementare misure atte a:
garantire che la decisione finale in merito ad assunzioni, sanzioni o licenziamenti sia sempre riservata a un operatore umano qualificato e dotato della necessaria autorità interna (human-in-the-loop).
informare preventivamente le rappresentanze sindacali e i dipendenti dell’utilizzo di tali tecnologie, fornendo indicazioni trasparenti in merito al funzionamento dell’algoritmo;
verificare che i software acquistati da fornitori esterni siano dotati di marcatura CE, certificato di conformità e di una documentazione tecnica esaustiva che ne descriva le capacità e le limitazioni.
Fase 4: avvio del piano di formazione e alfabetizzazione obbligatoria (Art. 4)
In conformità all’Articolo 4 dell’AI Act e in coordinamento con le riforme nazionali del 2026, l’impresa deve programmare corsi di alfabetizzazione digitale per tutto il personale:
sessioni base destinate a tutti i dipendenti sui principi di funzionamento dell’IA, sulla prevenzione delle fughe di dati e sul rispetto del copyright.
sessioni avanzate per gli amministratori e gli specialisti IT, focalizzate sulle tecniche di supervisione umana, sulla gestione dei bias e sulla cybersicurezza dei modelli.
Fase 5: monitoraggio continuo e aggiornamento del Modello 231
La conformità all’AI Act non si esaurisce con l’adeguamento iniziale, ma richiede un’attività di monitoraggio periodico. L’azienda deve disporre verifiche di sicurezza informatica sui sistemi intelligenti adottati e provvedere, tramite il proprio Organismo di Vigilanza, all’aggiornamento costante del Modello Organizzativo 231 per intercettare tempestivamente l’insorgenza di nuove condotte di reato connesse all’evoluzione tecnologica dei software applicati.