I primi 90 giorni di adozione AI in una PMI: una tabella di marcia

Una PMI che ha deciso di adottare l'AI si trova quasi sempre davanti alla stessa domanda mal posta: «quale strumento compro?». È la domanda sbagliata, o meglio: è la terza, non la prima. Prima di uno strumento serve un percorso — e il percorso, quando funziona, ha una forma riconoscibile e una durata precisa. I playbook di adozione più solidi in circolazione — quello pubblico di GitHub è il più leggibile — la scandiscono tutti nello stesso modo: primi 30 giorni per le fondamenta, primi 90 giorni per lo slancio, poi il regime continuo per la scala. Questo articolo prende quella struttura e la tara su una piccola impresa italiana: cosa fare, in che ordine, e con quali controlli, nei primi tre mesi.

Vale la pena partire da un dato scomodo, perché spiega perché la tabella di marcia conta più dello strumento. Le analisi di settore concordano su due numeri: la grande maggioranza degli agenti AI non arriva mai in produzione, e circa il 29% dei progetti viene abbandonato entro 90 giorni. Non per limiti tecnici — gli strumenti funzionano — ma perché sono partiti senza sapere dove andavano, senza un responsabile e senza controlli. I 90 giorni non sono un conto alla rovescia arbitrario: sono esattamente la finestra in cui un'adozione mal impostata muore. Impostarla bene è tutto il gioco.

Settimane 1–2: sapere dove sei, prima di comprare qualsiasi cosa

Il primo errore è comprare uno strumento prima di aver misurato il punto di partenza. La prima cosa che un percorso serio produce non è un software, ma una fotografia onesta di dove si trova l'azienda. I modelli di maturità che il mercato usa per farla — da Gartner a Deloitte — restituiscono una risposta in una riga: «sei allo stadio X di 5». Ma la versione utile per una PMI non dà un solo numero: separa il punteggio in due domini — le Fondamenta (dati, tecnologia, competenze) e la Strategia (governance, rischio, obiettivi, cultura) — così da spiegare perché sei fermo, non solo quanto. È una distinzione che cambia le mosse: buone fondamenta ma nessuna strategia è un problema opposto a chi ha le idee chiare ma i dati in disordine.

Qui c'è un punto che vale in modo particolare per l'Italia. Gli indici di readiness più noti (Cisco, per dire) pesano molto l'infrastruttura e i dati — riflesso di un mondo di grandi imprese. Per la maggior parte delle PMI italiane il collo di bottiglia non è l'infrastruttura: è la strategia e il processo. Sanno di dover fare qualcosa con l'AI, non sanno cosa né da dove. Una valutazione tarata sulla PMI, quindi, sposta il peso su strategia, governance e cultura, e da lì indica quale reparto è davvero pronto a partire per primo. È il lavoro che abbiamo reso self-serve e gratuito: la nostra valutazione di AI-readiness dà in due minuti quella fotografia — a che stadio sei per dominio e quale reparto conviene aprire per primo. È il chilometro zero della tabella di marcia; senza, ogni passo successivo è una scommessa.

Settimane 3–6: un solo caso d'uso, con un responsabile

Con la fotografia in mano, la tentazione è partire su tre fronti insieme. È l'errore che produce quel 29% di abbandoni. La regola dei primi 90 giorni è l'opposto: un solo caso d'uso, nel reparto che la valutazione ha indicato come più pronto, portato fino in produzione. Non una prova parcheggiata in un angolo — un flusso che qualcuno usa davvero ogni giorno, con un prima e un dopo misurabili. Vincere una volta, in piccolo e sul serio, vale più di cinque piloti abbandonati.

Il secondo ingrediente è quello che fa la differenza tra un progetto che dura e uno che evapora appena finisce l'entusiasmo: un responsabile. I playbook enterprise lo chiamano Center of Excellence e gli assegnano cinque funzioni distinte — chi decide le priorità, chi ha l'ultima parola, chi forma le persone, chi tiene gli standard e i modelli riutilizzabili, chi guarda i segnali di valore. Una PMI non ha cinque squadre per queste cose, e non le servono: le servono una o due persone che coprano tutte e cinque quelle funzioni. Non il grado gerarchico, ma la titolarità: qualcuno il cui nome è accanto al caso d'uso. Senza un responsabile con un nome, il flusso non è di nessuno, e ciò che non è di nessuno viene abbandonato per primo.

Questo primo caso d'uso non è un episodio isolato: è la prima voce di un playbook che cresce. Ogni voce porta con sé una fase — pilota, poi scala, poi regime — così che a metà percorso si possa filtrare per «cosa viene dopo» invece di rileggere piloti già chiusi. Come è fatta dentro una voce di playbook — la struttura, il responsabile, i controlli agganciati — l'abbiamo scomposta nell'anatomia di un AI Workflow Design.

Dal giorno 1, non dal giorno 90: i controlli minimi

L'errore più costoso dei primi 90 giorni è rimandare la governance alla fine — «prima facciamo funzionare la cosa, poi mettiamo i controlli». È esattamente al contrario: i controlli minimi vanno messi il giorno in cui il caso d'uso parte, perché aggiungerli dopo significa ridisegnare il flusso, non ritoccarlo. Non serve un apparato pesante — servono quattro mosse, tutte verificabili prima di andare in produzione:

• Classifica il rischio. In che fascia dell'AI Act cade il caso d'uso? La maggior parte degli usi da PMI — un copilota interno, la generazione di contenuti, un bot di primo livello — vive nella fascia minima o limitata, dove l'onere è leggero. La macchina pesante scatta solo per gli usi ad alto rischio (selezione del personale, credito, dati biometrici): se il tuo primo caso d'uso è uno di questi, sai già che serve più cautela.
• Verifica se serve una DPIA. Se il flusso prende decisioni automatiche con effetti sulle persone, o tratta dati particolari su larga scala, la valutazione d'impatto GDPR è dovuta — e una DPIA «standard» non basta, perché manca i rischi propri dell'AI (opacità del modello, deriva, memorizzazione, diritto all'oblio). È una domanda da farsi al giorno 1, non da scoprire a un controllo.
• Metti un umano nel processo. Nessun output che tocca un cliente, un candidato o il denaro dovrebbe partire senza un passaggio umano. È il controllo che vale più di tutta la policy scritta, e va disegnato nel flusso, non appeso a lato.
• Tieni traccia. Chi ha fatto cosa, quando, con quale input. Per i casi ad alto rischio l'AI Act chiede di conservare i log per almeno sei mesi; per tutti gli altri la tracciabilità è comunque ciò che ti permette di rispondere a un revisore, ricostruire un errore e difendere una decisione.

Sono le stesse quattro mosse che il nostro overlay di conformità aggancia a ogni workflow che progettiamo — non come adempimento a valle, ma come parte del disegno. Il ragionamento completo, con la tassonomia del rischio e il perché di ciascun controllo, è nell'articolo sui controlli che rendono un caso d'uso difendibile.

Il traguardo dei 90 giorni: da pilota a metodo

Se le prime sei settimane sono andate bene, al giorno 90 non hai «uno strumento in più»: hai un caso d'uso in produzione, un responsabile con un nome, i controlli agganciati e — la cosa che conta di più — un metodo che si può ripetere sul secondo reparto senza ripartire da zero. Vale la pena fissare tre punti di controllo lungo la strada:

• Giorno 30 — fondamenta. La fotografia di readiness è fatta, il reparto di partenza è scelto, il responsabile è nominato, i controlli minimi sono definiti. Nessuno strumento comprato ancora per forza: prima il perché e il chi, poi il cosa.
• Giorno 60 — slancio. Il primo caso d'uso è vivo e qualcuno lo usa ogni giorno. Si raccolgono i primi numeri onesti e la prima «storia di successo» interna — quella che convince il secondo reparto a provarci.
• Giorno 90 — scala. Il caso d'uso regge da solo, il secondo è in coda con la stessa struttura, e il playbook ha ora due voci invece di una. Da qui l'adozione non è più un progetto: è un modo di lavorare.

Un'ultima cosa sui numeri, perché è il punto dove le adozioni si illudono. Misurare il successo con «quanti lo usano» è il primo gradino, non l'ultimo: dopo l'ampiezza d'uso viene la profondità (chi lo usa davvero, e per cosa) e solo alla fine l'impatto sul business — il tempo risparmiato, gli errori evitati, i ricavi toccati. Un pilota che tutti hanno «provato» ma nessuno usa in profondità non è un successo: è un abbandono che non si è ancora dichiarato. I 90 giorni servono a portare almeno un caso d'uso fino al terzo gradino.

La differenza tra chi ai 90 giorni ha un metodo e chi ha un altro strumento inutilizzato non sta nella tecnologia — sta nell'aver fatto le cose nell'ordine giusto: prima sapere dove sei, poi un solo caso d'uso con un responsabile, i controlli dal giorno 1, e la scala solo dopo. È esattamente l'ordine con cui innestiamo l'AI in un'azienda.

Il primo passo, però, è sempre lo stesso e lo puoi fare ora: sapere dove sei. La valutazione gratuita ti dà in due minuti la fotografia di partenza e il reparto da cui conviene aprire i tuoi 90 giorni. Se poi vuoi capire come si passa dal capire al fare, ne parliamo — senza impegno.

Questo articolo ha scopo orientativo. Le percentuali di abbandono e i tempi citati provengono da analisi di mercato e da fonti di settore, non verificate in modo indipendente, e vanno lette come indicazioni di direzione, non come garanzie. Le fasce di rischio, gli obblighi DPIA e i tempi di conservazione dei log dipendono dal caso d'uso e dalla normativa vigente — l'EU AI Act è in evoluzione — e vanno sempre verificati sul contesto della singola azienda prima di agire.