Il mercato italiano dell’AI ha raggiunto 1,8 miliardi di euro nel 2025, in crescita del 50% sull’anno precedente, secondo l’Osservatorio Artificial Intelligence del Politecnico di Milano. La domanda cresce più in fretta dell’offerta qualificata: nello stesso periodo, solo l’8% delle piccole e medie imprese italiane aveva avviato un progetto di AI. È il divario in cui si inseriscono sia i fornitori seri sia quelli che lo sono meno, ed è raramente evidente dal primo incontro quale sia quale.
Non esiste una classifica ufficiale delle “migliori” società di consulenza AI in Italia, e diffiderei di chi la propone come un fatto oggettivo. Esistono però criteri verificabili per distinguere un fornitore che ha portato sistemi in produzione da uno che ha portato demo, e una normativa — europea e ora anche italiana — che un fornitore competente deve saper tradurre nel vostro progetto, non solo citare.
Quattro tipologie di fornitori, non una
In Italia operano quattro famiglie di fornitori, e confonderle è il primo errore di selezione.
Le grandi società di consulenza generalista — le multinazionali della consulenza con una divisione AI — portano metodo strutturato, copertura internazionale e capacità di governance su programmi complessi. Il limite tipico è la distanza dall’esecuzione: il team che vince la gara raramente è quello che scrive il codice, e i costi riflettono la struttura, non solo il lavoro sul vostro caso specifico.
I system integrator sanno integrare un sistema di AI con l’infrastruttura IT esistente — ERP, protocollo, identity management — meglio di chiunque altro. Tendono a trattare l’AI come un componente tecnico da inserire in un’architettura già decisa, con meno attenzione a come cambia il processo e il lavoro delle persone che lo useranno.
Le boutique specializzate in AI — è la categoria in cui rientriamo — offrono competenza verticale concentrata e velocità: un nucleo ristretto che segue il progetto dall’analisi al rilascio, senza livelli di approvazione interni da attraversare. Il limite speculare è la scala: un programma con decine di iniziative parallele su più continenti richiede una struttura che una boutique, per scelta, non ha.
Le società di formazione e adoption lasciano competenza interna, non solo un sistema funzionante. Sono la scelta giusta quando l’obiettivo primario è l’autonomia del team, meno quando serve sviluppo su misura per un processo con vincoli specifici.
Nessuna delle quattro è “la migliore” in assoluto. La domanda corretta non è quale tipologia vince, ma quale risponde al vostro problema: un programma di trasformazione su larga scala chiede struttura e governance; un processo specifico con un vincolo di tempo stretto chiede velocità ed esecuzione diretta.
I segnali che contano prima di firmare
Sull’argomento abbiamo già scritto in dettaglio — che cosa chiedere a un fornitore di AI prima di firmare resta la guida più operativa. In sintesi, i segnali che discriminano un fornitore serio da uno che si presenta bene sono cinque:
Un caso realmente in produzione, non un pilota fermo da mesi, con un referente disposto a rispondere a che cosa non ha funzionato come previsto — è la domanda più informativa, perché ogni progetto ha avuto difficoltà, e la risposta rivela come si comporta il fornitore quando le cose si complicano.
Un metodo di misurazione dichiarato prima del progetto, non una percentuale isolata dopo. Se un fornitore cita un’accuratezza senza dire su quale campione, con quale definizione della metrica e con quale gestione dei casi sotto soglia, quel numero non è ancora verificabile — è un’affermazione.
Competenza normativa che entra nel progetto dall’inizio, non un capitolo aggiunto alla fine. Vale per l’AI Act quanto per la Legge italiana 132/2025, di cui parliamo sotto.
Trasparenza sul prezzo costruita sul processo — volumi, integrazioni, vincoli di sicurezza — non un listino applicato a contesti diversi.
Continuità dopo il rilascio: manutenzione, aggiornamento delle soglie, adeguamento quando cambiano i dati o la normativa. Un sistema di AI non è statico, e chi lo tratta come un progetto chiuso al collaudo sta sottostimando il lavoro reale.
AI Act e Legge 132/2025: che cosa deve saper gestire un fornitore
Il Regolamento (UE) 2024/1689 è in vigore dal 1° agosto 2024 e si applica per fasi. Il divieto delle pratiche a rischio inaccettabile è operativo dal 2 febbraio 2025. Dal 2 agosto 2025 si applicano gli obblighi per i modelli GPAI. Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza dell’articolo 50 e la piena operatività di vigilanza e sanzioni.
Il calendario per i sistemi ad alto rischio è stato modificato nel luglio 2026 dal Digital Omnibus, il pacchetto di semplificazione che ha rinviato — non cancellato — le scadenze più onerose: gli obblighi per i sistemi dell’Allegato III passano dal 2 agosto 2026 al 2 dicembre 2027, quelli per l’Allegato I dal 2 agosto 2027 al 2 agosto 2028. Per una parte dei sistemi ad alto rischio già in uso presso autorità pubbliche resta un termine più lungo, fissato al 2030. Un fornitore che non conosce questa distinzione — quali obblighi sono già operativi e quali sono stati rinviati, e a quale data — non può guidarvi nella classificazione del rischio del vostro sistema.
Le sanzioni previste dagli articoli 99 e 101 del Regolamento restano invariate: fino a 35 milioni di euro o il 7% del fatturato mondiale annuo (il maggiore dei due) per le pratiche vietate; fino a 15 milioni o il 3% per l’inosservanza degli altri obblighi, compresi quelli sui sistemi ad alto rischio; fino a 7,5 milioni o l’1% per informazioni false alle autorità. Per PMI e startup si applica sempre l’importo minore tra valore assoluto e percentuale.
A questo si aggiunge un quadro tutto italiano. La Legge 23 settembre 2025, n. 132 — in vigore dal 10 ottobre 2025 — è la prima legge nazionale in Europa che integra il Regolamento europeo con disposizioni specifiche per l’ordinamento italiano. L’articolo 22 designa due autorità competenti con ruoli distinti: l’Agenzia per l’Italia Digitale (AgID), che si occupa di notifica, valutazione e accreditamento degli organismi di conformità, e l’Agenzia per la Cybersicurezza Nazionale (ACN), che assume la vigilanza del mercato — comprese le attività ispettive e sanzionatorie — ed è il punto di contatto unico con le istituzioni europee. L’articolo 23 stanzia fino a un miliardo di euro dal fondo di sostegno al venture capital per startup e PMI che investono in AI. Il Governo ha dodici mesi di tempo dall’entrata in vigore — quindi fino al 10 ottobre 2026 — per adottare i decreti legislativi attuativi; il Consiglio dei Ministri ha approvato in via preliminare due di questi decreti il 10 giugno 2026, su governance e responsabilità.
Per un cliente che valuta un fornitore, la domanda pratica è semplice: sa spiegare come queste due normative — europea e italiana — si applicano al vostro caso specifico, con quale classificazione del rischio, quale documentazione e quale registro dei sistemi? Chi non sa rispondere lascia scoperta un’area che genera obblighi concreti, non solo un rischio reputazionale.
Perché ne parliamo qui
Trattiamo la classificazione del rischio come primo passo di ogni Assessment, non come un adempimento aggiunto a fine progetto — ne scriviamo con lo stesso livello di dettaglio nel whitepaper sull’AI Act, che aggiorniamo quando il calendario normativo cambia, come è successo con il Digital Omnibus. Se state valutando un fornitore, chiedetegli lo stesso: non che cosa dice l’AI Act in generale, ma come lo applicherebbe al vostro processo.
Se avete già un processo specifico in mente, un Assessment AI è il modo più diretto per verificarlo — due settimane per una mappatura, una valutazione di fattibilità e, se il caso non regge, una raccomandazione di non procedere.
