Contenuto tratto dal numero di ottobre 2026 di Forbes Italia. Abbonati!

L’intelligenza artificiale è ormai insostituibile: lo dicono gli investimenti e la caccia, spesso infruttuosa, ai tecnici che hanno le conoscenze per governarla. Una crescita senza regole, però, non è credibile: dove le decisioni sembrano delegate alle macchine la responsabilità si disperde; e di un mercato in cui nessuno risponde, nessuno si fida. Il rinvio europeo di fine luglio ha spostato al dicembre 2027 (agosto 2028 per l’IA nei prodotti) solo gli obblighi sui sistemi ad alto rischio. Tutto il resto corre: dal 2 agosto vigilanza e sanzioni sono operative, chatbot dichiarati, contenuti sintetici etichettati, formazione documentata e verificabile. Nell’osservatorio di Als Project – 26 anni di gestione integrata dei rischi nel nord Italia – queste date sono piani di lavoro.

L’Italia ha fatto i compiti e completato la cornice: l’Agenzia per la cybersicurezza nazionale (Acn) vigila e sanziona, il codice penale punisce chi omette misure di sicurezza o sorveglianza umana nei sistemi ad alto rischio e chi diffonde deepfake illeciti, i nuovi reati entrano nel 231 con sanzioni in fascia alta – fino a mille quote – più le interdittive. Il punto che molte aziende sottovalutano è che la responsabilità copre l’intera filiera, fino a chi utilizza professionalmente sistemi sviluppati da terzi nella selezione del personale, nel credito, nei dispositivi connessi. E riguarda tutti, non solo chi sviluppa: anche il semplice uso professionale delle piattaforme generaliste – ChatGPT, Copilot, Gemini, Claude – rientra nel perimetro della norma.

La posizione di garanzia non si esternalizza con il contratto di fornitura. La difesa si costruisce prima: censire i sistemi, anche se incorporati nei servizi acquistati, formare gli utilizzatori, alimentare i flussi verso l’organismo di vigilanza. Davide Formentini, guida della practice AI, Nis2 e privacy di Als Project, è tra i pochi auditor qualificati in Italia sullo standard Iso 42001 AI.

Dall’11 settembre chi fabbrica hardware o software connessi deve segnalare le vulnerabilità sfruttate in 24 ore e notificarle in 72; dal dicembre 2027, senza requisiti essenziali e marcatura Ce non si venderà più nell’Unione. La cybersicurezza diventa requisito di prodotto, al pari della sicurezza meccanica ed elettrica. E non si risolve con le policy, ma con l’ingegneria: sviluppo sicuro, distinta dei componenti software, infrastrutture di aggiornamento. Il piano tecnico di Als Project è affidato ad Andrea Scrimieri, 25 anni di cybersecurity e programmi per grandi gruppi bancari e governativi. Il regolamento parla anche a chi compra: la conformità del fornitore va pretesa in contratto.

La Nis2 guarda alle organizzazioni, il Cra ai prodotti, l’AI Act ai sistemi: lessici diversi, richieste identiche. Governance in capo ai vertici, responsabili fino alla sospensione dalle funzioni; censimenti e registrazioni; rischio esteso alla catena di fornitura; notifiche in 24 e 72 ore. E un’unica autorità al centro: Acn. Rincorrere ogni norma con un progetto separato moltiplica costi e comitati; la scelta razionale è un sistema di gestione integrato – Iso 27001 come spina dorsale, 42001 per l’IA, 22301 per la continuità, 27701 per la privacy – che alimenta insieme Nis2, AI Act, Cra, Gdpr e modello 231. È l’architettura disegnata in Als Project da Marco e Davide Formentini.

Un altro elemento chiave verso lo sviluppo è quello dei consumi, che ha aperto un dibattito. Nel 2025 i data center dedicati all’IA hanno assorbito, secondo le stime internazionali, circa 450 terawattora: quanto il fabbisogno elettrico della Germania, con raddoppio possibile in cinque anni. Il singolo prompt costa frazioni di wattora e poche gocce d’acqua; i volumi aziendali trasformano i decimali in megawattora.

Dall’altro lato esistono algoritmi che rendono più efficienti le reti elettriche, scovano le perdite di metano, ottimizzano logistica ed edifici. L’IA divora energia, ma sa restituirne, se governata. Per chi la acquista come servizio è un’emissione Scope 3, oggi quasi invisibile: ancora poche imprese monitorano il consumo delle proprie piattaforme digitali. Il metodo Als nei bilanci di sostenibilità: stimare moltiplicando i volumi d’uso per i coefficienti pubblicati dai provider e pretendere in contratto la colonna che manca – chilowattora, litri, CO2 per account. E c’è una carta italiana: piccoli data center al Sud, crocevia dei cavi sottomarini del Mediterraneo, per l’esecuzione dei modelli, alimentati dall’energia pulita che i clienti IA pretendono per ragioni esg.

La sola soluzione praticabile è governare lo sviluppo. Le regole subite come recinti restano un costo; iscritte in una direzione diventano architettura e l’architettura diventa strategia. Le imprese che ridisegneranno per prime la propria mappa dei rischi non staranno facendo compliance, ma costruendo vantaggio competitivo. I benefici sono concreti: il patrimonio informativo dell’impresa – dati, know-how, progetti – resta tutelato invece di essere esposto nelle piattaforme; con sistemi governati la velocità d’azione aumenta, perché i dati sono affidabili e si elaborano rapidamente, le responsabilità sono chiare.

Il Cyber Resilience Act premia chi mette in commercio software più sicuri, che diventano un argomento di reputazione verso clienti e mercato. E quando un incidente diventa pubblico la differenza è tra un fermo operativo e una crisi reputazionale. Che è da 26 anni il mestiere di Als.

Als Project, pmi innovativa del gruppo Als (Ambiente Lavoro Salute), affianca le imprese nella gestione integrata dei rischi, con sedi a Milano, Reggio Emilia e Modena. Il metodo è il frutto di un lavoro di un team dalle competenze complementari: Marco Formentini, dpo certificato Uni 11697, auditor di terza parte Iso 27001 e affini, specialista Nis2, componente di organismi di vigilanza ex D.Lgs. 231/2001; Davide Formentini, specialista IA, Nis2 e privacy, tra i pochi auditor di terza parte Iso/Iec 42001 in Italia oltre a esserlo per la Iso 27001 e schemi affini; Andrea Scrimieri, che porta sul piano tecnico Nis2 e Cyber Resilience Act la sua esperienza in cybersecurity. Insieme accompagnano le imprese su Nis2 e referente Csirt esterno, AI governance e Iso/Iec 42001, modelli 231, protezione dei dati, certificazioni Iso e rendicontazione di sostenibilità.

L’articolo Da 26 anni aiuta le imprese a gestire i rischi: ora la sfida di questa pmi è trasformare le regole sull’IA in strategia è tratto da Forbes Italia.