AI Portfolio & Governance Sprint: in 6 settimane sapete cosa autorizzare, bloccare e finanziare
Le persone usano già ChatGPT, Copilot e strumenti verticali, ma nessuno sa quali dati vengano inseriti, quali casi d'uso abbiano valore e chi ne risponda. In sei settimane trasformo l'AI che entra dal basso in un portfolio governato: usi mappati, policy applicabile, priorità e KPI. Perimetro, durata e prezzo definiti prima di iniziare.
Nonostante l'AI sia già in azienda, nessuno la governa
L'adozione dell'AI non parte più da una decisione di vertice: entra dal basso, uno strumento alla volta. Le persone usano già ChatGPT, Copilot e verticali di settore per scrivere, analizzare, decidere. Il risultato è che nessuno sa quali dati vengano inseriti, quali casi d'uso portino valore reale e chi ne risponda quando qualcosa va storto.
La domanda giusta non è "come blocchiamo l'AI per non prendere sanzioni" — le scadenze più temute sull'alto rischio sono state rinviate. La domanda è: come adottiamo l'AI senza perdere controllo, dati e denaro? È a questa che risponde lo sprint.
Il segnale arriva anche dal settore più maturo: secondo il Questionario Banca d'Italia (2024) oltre il 70% delle banche italiane utilizza già sistemi AI in produzione, ma meno della metà ha un framework di governance formalizzato. EIOPA (2025) ha pubblicato un'opinione di supervisione specifica sull'AI nel settore assicurativo. Se il divario tra uso e governo è così ampio dove la vigilanza è forte, altrove lo è di più.
Quattro ostacoli che tengono l'AI in terra di nessuno
Non è un problema di tecnologia. È un problema di governo: chi decide, con quali regole, misurando cosa.
Shadow AI
Ognuno usa il suo strumento, spesso con account personali. Nessuno lo sa, nessuno ha detto sì o no, e i dati aziendali finiscono in servizi che non avete mai valutato.
Portfolio invisibile
Nessuno sa quali strumenti AI siano in uso, quanto costino in totale e quali portino valore. Si paga in ordine sparso e si continua a comprare licenze che restano ferme.
Paralisi normativa
L'AI Act viene usato come pretesto per bloccare tutto, invece che come criterio per decidere cosa autorizzare. La compliance diventa un "no" generalizzato, non uno strumento di governo.
POC senza fine
Pilot che partono con entusiasmo e non arrivano mai a un valore misurato. Nessuna baseline, nessun KPI, nessuna decisione di scalare o fermare. Restano in limbo per mesi.
L'AI si governa su tre livelli
Una policy da sola non basta e un divieto nemmeno. Servono ruoli chiari dal CdA alla singola persona che apre ChatGPT.
Direzione e CdA
Steering, policy e propensione al rischio. Decidono cosa è autorizzato, cosa è vietato e chi risponde. Ricevono un cruscotto, non slide.
Team operativi
Casi d'uso e processo di approvazione dei nuovi strumenti. Propongono, valutano valore e fattibilità, portano avanti i pilot con KPI concordati.
Popolazione aziendale
Uso quotidiano dell'AI e piano di AI literacy per ruoli. Sanno cosa possono fare, con quali dati, e riconoscono i limiti degli strumenti che usano.
I deliverable dello sprint
Documenti operativi, non un rapporto da archiviare. Tutto pronto per decidere e per essere usato dal vostro team.
Alla fine sapete quali utilizzi AI autorizzare, quali bloccare, quali finanziare e come misurarli.
Sei settimane, tre blocchi da due
Inventario e classificazione
Mappo gli usi AI reali, incluso lo shadow AI, e classifico dati, strumenti, fornitori e rischi. Alla fine del blocco sapete cosa c'è davvero in azienda.
Policy e processo
Scrivo la policy d'uso accettabile e il processo di approvazione dei nuovi strumenti. Regole applicabili, non un divieto generico.
Scoring, roadmap e steering
Costruisco il registro dei casi d'uso con scoring, seleziono le 2 priorità con KPI, definisco lo steering model e consegno la roadmap a 90 giorni.
Il contesto normativo, senza allarmismi
Le regole ci sono e vanno conosciute, ma servono a decidere, non a bloccare. Nello sprint le uso come criterio: cosa è vietato, cosa richiede cautela, cosa si può autorizzare subito.
AI Act
Trasparenza e obbligo di AI literacy (art. 4 e art. 50) già rilevanti. Le scadenze più pesanti sull'alto rischio sono state rinviate: motivo in più per governare adesso senza panico.
NIS2
Obblighi di cybersecurity per soggetti essenziali e importanti in manifattura critica, energia, sanità, ICT e managed services. L'AI aggiunge nuova superficie di dati da presidiare.
DORA e dati personali
Per Finance e InsurTech DORA è operativo dal gennaio 2025; per tutti restano gli obblighi GDPR sui dati inseriti nei modelli. La classificazione dei dati è parte dello sprint.
Non sai se l'AI Act ti riguarda? Scoprilo in 3 minuti.
L'AI Act Readiness Check e' un assessment interattivo che classifica la tua esposizione al Regolamento UE 2024/1689, elenca gli obblighi applicabili e ti consegna un report PDF con le azioni prioritarie. Nessuna registrazione. Un buon punto di partenza prima dello sprint.
Per chi è lo sprint
Aziende tra i 50 e i 1000 dipendenti — manifattura e filiere industriali, ICT e managed services, logistica, energia e utility, sanità privata, Finance e InsurTech — in cui:
- l'AI è già usata dalle persone, ma senza regole condivise
- la direzione vuole decidere su dati, non su impressioni
- manca una figura interna che governi il tema a tempo pieno
Quando si parte
Lo sprint di solito parte quando succede una di queste cose:
- il CdA chiede una posizione chiara sull'AI
- emergono usi non autorizzati con dati sensibili
- un cliente enterprise chiede come governate l'AI
- i pilot si accumulano senza mai arrivare a valore
La regia può restare
Lo sprint chiude sempre con un handover: policy, registro, steering model e roadmap restano vostri e utilizzabili dal vostro team, anche se ci fermiamo qui.
Se però serve continuità — governare l'esecuzione dei casi d'uso, far rispettare la policy, aggiornare il portfolio — il mandato può proseguire come Fractional IT Director part-time rinnovabile. È una scelta vostra, non un presupposto: perimetro e durata restano definiti.
In prima persona, e senza conflitti.
Parlate sempre con me: vent'anni di direzione IT enterprise, responsabilità unica, nessun junior a cui delegare e nessun team da rivendere. Non rivendo licenze né sviluppo, quindi non ho alcun interesse a spingervi verso un fornitore piuttosto che un altro. La scelta degli strumenti AI resta vostra, sui dati vostri.
E non sono un avvocato: lavoro a fianco del consulente legale, non al posto suo. La mia parte è operativa-tecnica — capire che modelli AI usate, come, dove, con quali dati, e tradurre la norma in policy che le persone riescono davvero ad applicare. Per i pareri legali vi accompagno dal mio network di studi specializzati in AI law.
FAQ
Perché in sei settimane si arriva a decisioni concrete: cosa autorizzare, cosa bloccare, cosa finanziare. Perimetro, deliverable e prezzo sono definiti prima di iniziare. Se poi serve continuità nel governo dell'AI, il mandato può proseguire come Fractional IT Director part-time, ma è una vostra scelta, non un presupposto.
Alcune scadenze sui sistemi ad alto rischio sono state posticipate, ma il problema vero non è la sanzione: è che l'AI è già in azienda e nessuno sa quali dati vengano inseriti, quali usi abbiano valore e chi ne risponda. Lo sprint serve ad adottare l'AI senza perdere controllo, dati e denaro. La compliance viene messa in ordine di conseguenza, non come spauracchio.
Sì: parli sempre con me. Nessun junior a cui delegare, nessun team da rivendere. Porto vent'anni di direzione IT enterprise e ne rispondo in prima persona, con ingaggio in giorni e zero costo di struttura.
Alla fine avete un portfolio dei casi d'uso con priorità, una policy applicabile, un modello di steering e una roadmap a 90 giorni. Da lì potete procedere in autonomia con il vostro team, oppure farmi proseguire come Fractional IT Director part-time per governare l'esecuzione. L'handover è previsto in ogni caso.
Sì. Lo shadow AI e i pilot senza valore misurato riguardano qualunque azienda tra i 50 e i 1000 dipendenti: manifattura, ICT e managed services, logistica, energia, sanità privata. I dati bancari sono citati come esempio maturo, non come limite di settore.
Dipende dai clienti che servite. Se vendete a grandi gruppi che la richiedono in gara, lo sprint prepara il terreno con inventario, policy, registro dei casi d'uso e steering. Per molte realtà tra i 50 e i 1000 dipendenti si valuta in funzione del rapporto costo/beneficio: la mettiamo nella roadmap solo se ha senso.
Mettiamo ordine nell'AI che avete già in casa
In sei settimane sapete cosa autorizzare, bloccare e finanziare — e come misurarlo. Perimetro, durata e prezzo definiti prima di iniziare.
Parliamone 30 minuti