Per scegliere un fornitore di intelligenza artificiale non basta confrontare funzioni e prezzi. Una PMI dovrebbe verificare almeno cinque aspetti: utilità concreta della soluzione, trattamento dei dati, sicurezza tecnica, condizioni contrattuali e possibilità di cambiare fornitore senza perdere informazioni o continuità operativa.
Prima di caricare dati aziendali, documenti interni o informazioni sui clienti è quindi opportuno chiedere risposte scritte e comprensibili. Se il fornitore non chiarisce dove finiscono i dati, per quanto tempo vengono conservati e se possono essere usati per addestrare i modelli, la prudenza è più importante della promessa commerciale.
La prima verifica riguarda il problema da risolvere. Occorre definire quali attività dovrà svolgere il sistema, chi lo userà e quali conseguenze potrebbe avere un errore. Un assistente che prepara una bozza interna presenta rischi diversi da uno strumento che risponde autonomamente ai clienti, analizza dati personali o suggerisce decisioni commerciali.
È utile descrivere un caso d’uso circoscritto e stabilire in anticipo alcuni criteri di valutazione: qualità delle risposte, tempo risparmiato, frequenza degli errori, necessità di controllo umano e costi complessivi. Questo riduce il rischio di acquistare una piattaforma ricca di funzioni ma poco adatta al lavoro reale. Per impostare il progetto può essere utile partire dalla guida su quali processi automatizzare con l’AI in una PMI.
Il fornitore dovrebbe spiegare con precisione il percorso delle informazioni inserite nel sistema. Le domande principali sono:
La presenza di server nell’Unione europea può essere rilevante, ma non è l’unico elemento da considerare. Devono essere valutati anche il soggetto che controlla i dati, gli eventuali trasferimenti internazionali e il ruolo assunto dalle parti ai sensi della normativa applicabile. Quando vengono trattati dati personali, il contratto e l’eventuale accordo sul trattamento dovrebbero essere esaminati da chi segue privacy e aspetti legali dell’azienda.
Va inoltre distinta una soluzione interamente online da un’installazione privata o locale. Non esiste una scelta sempre migliore: dipende dalla sensibilità delle informazioni, dalle integrazioni richieste e dalle risorse disponibili. Un confronto è disponibile nella pagina dedicata a AI online e AI in locale.
Le dichiarazioni generiche come “sistema sicuro” o “dati protetti” non sono sufficienti. È preferibile chiedere informazioni documentate sulle misure adottate, mantenendo verifiche proporzionate alla criticità del progetto.
Certificazioni e audit indipendenti possono offrire elementi utili, ma non sostituiscono l’analisi del servizio acquistato. Bisogna verificare che la documentazione riguardi effettivamente il prodotto, l’infrastruttura e i processi coinvolti nel progetto.
Il contratto dovrebbe essere coerente con quanto promesso durante la vendita. In particolare, una PMI dovrebbe chiarire:
È importante anche capire se il fornitore utilizza modelli e piattaforme di terze parti. In questo caso alcune condizioni potrebbero dipendere da soggetti diversi da quello con cui la PMI firma il contratto.
Il controllo umano dovrebbe essere definito in base al rischio. Per attività creative o bozze interne può bastare una revisione ordinaria. Per comunicazioni ai clienti, preventivi, analisi di documenti o decisioni con conseguenze economiche è opportuno stabilire chi verifica gli output e chi può autorizzarne l’uso.
Il fornitore dovrebbe indicare limiti conosciuti, fonti utilizzate e modalità con cui il sistema gestisce incertezza ed errori. Una demo convincente non dimostra che la soluzione sia affidabile sui dati reali dell’azienda.
La scelta più prudente è un progetto pilota limitato. Nella fase iniziale si possono usare dati fittizi, anonimizzati o selezionati per evitare la diffusione di segreti commerciali, credenziali, dati personali non necessari e documenti strategici.
Il test dovrebbe includere casi normali, eccezioni ed errori intenzionali. Bisogna osservare non solo la qualità media, ma anche cosa succede quando mancano informazioni o la richiesta è ambigua. Se la soluzione deve consultare documenti interni, è utile approfondire il funzionamento di una RAG aziendale per PMI e verificare autorizzazioni, fonti e aggiornamento della base documentale.
Tra i principali segnali di allarme ci sono risposte evasive sul trattamento dei dati, assenza di documentazione, impossibilità di esportare le informazioni, promesse di accuratezza assoluta, costi difficili da prevedere e rifiuto di definire responsabilità e assistenza. Anche la pressione a caricare immediatamente dati reali, prima di una verifica tecnica e contrattuale, richiede cautela.
La decisione finale non dovrebbe dipendere da un solo reparto. Direzione, responsabili del processo, IT, privacy e consulenti legali possono avere ruoli diversi a seconda del progetto. L’obiettivo non è eliminare ogni rischio, ma conoscerlo, ridurlo e assegnare responsabilità chiare prima che l’AI entri nel lavoro quotidiano.