Domande frequenti

La dimensione non c'entra: conta se in azienda qualcuno usa già strumenti di AI, e di solito la risposta è sì anche quando nessuno lo ha deciso. Secondo Istat il 16,4% delle imprese italiane dichiara di usare l'AI, con le PMI al 15,7% contro il 53,1% delle grandi: il dato misura l'adozione dichiarata, non quella informale, che è più diffusa.

Da una rilevazione di chi usa quali strumenti su quali dati, e di quali attività si ripetono ogni settimana. Prima di comprare qualsiasi cosa. La maggior parte dei progetti di AI che falliscono nelle PMI falliscono perché si è partiti dallo strumento invece che dal processo.

Negli interventi che faccio, no: l'obiettivo è togliere ore di lavoro ripetitivo a persone che hanno altro da fare, in aziende dove quelle persone sono già poche. Se l'obiettivo fosse ridurre organico, il progetto sarebbe diverso e lo direi.

In parte. Il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026, ha rinviato le disposizioni sui sistemi ad alto rischio al 2 dicembre 2027 (Allegato III) e al 2 agosto 2028 (Allegato I). L'obbligo di alfabetizzazione del personale previsto dall'art. 4 non è stato rinviato e si applica dal 2 febbraio 2025.

Chiunque usi sistemi di AI nell'ambito della propria attività, come fornitore o come utilizzatore. Non c'è una soglia dimensionale: vale anche per un'azienda di dieci persone in cui due usano ChatGPT per scrivere offerte.

Il quadro sanzionatorio nazionale e l'autorità competente vanno verificati caso per caso, e sul punto conviene evitare le cifre a effetto che circolano. Il rischio concreto, prima della sanzione, è un altro: in un contenzioso o in un controllo, non avere alcuna misura documentata rende indifendibile qualunque posizione.

Non con un account personale e senza regole. Serve un account aziendale con condizioni contrattuali adeguate, un contratto ex art. 28 GDPR con il fornitore, l'aggiornamento del registro dei trattamenti e delle informative, e regole scritte su cosa si può caricare. Fatte queste cose, l'uso è lecito.

Nella maggior parte delle PMI manifatturiere e di servizi non è obbligatorio: l'art. 37 GDPR lo impone in casi definiti. Ma la valutazione va messa per iscritto, datata e motivata. E il referente interno non va mai chiamato "DPO" in organigrammi, firme o biglietti da visita: la denominazione può valere come designazione di fatto.

Dipende dalla finalità, non dal dato. L'ordine è: obbligo di legge, poi termine di prescrizione, poi durata del consenso, poi proporzionalità — il primo applicabile prevale. È il ragionamento che rende difendibile ogni riga di una matrice di conservazione, invece di farla sembrare arbitraria.

Dipende dal settore di attività e dalla dimensione. Qui il percorso per verificarlo.

È il motivo più frequente, e legittimo. Ma una parte del sistema serve anche senza certificato: se un cliente ti manda un questionario di fornitura o un requisito di sicurezza contrattuale, avere già analisi dei rischi, procedure e registri significa rispondere in una settimana invece che in due mesi.

Una persona. NORMA21 è il nome commerciale con cui opera Francesco Costantini, professionista individuale. Quando serve una competenza diversa, viene portata con il nome di chi la possiede.

Lombardia, Emilia-Romagna e Veneto per gli interventi in sede, con base a Sant'Angelo Lodigiano (Lodi). Da remoto ovunque.

Con trenta minuti in videochiamata, gratuiti, in cui si parla di come lavora oggi l'azienda. Se non ha senso intervenire, lo dico lì.