Come scegliere a chi affidare la digitalizzazione dell’impresa

Affida la digitalizzazione a chi, prima di parlarti di tecnologia, vuole capire come lavori, ti mette per iscritto fasi, tempi e costi e ti fa vedere un primo pezzo funzionante prima dell’impegno pieno. Poi controlla tre cose: che codice, dati e accessi restino tuoi; che sappia dimostrare con documenti come rispetta GDPR e AI Act; che sia chiaro chi ti assiste dopo la consegna.

Quali criteri contano davvero?

Contano i criteri che puoi verificare, non le promesse. Ecco quelli che fanno la differenza per una piccola o media impresa, e come controllarli:

Un esempio: un’impresa di impianti con 20 tecnici vuole un’app per i rapportini e un assistente AI che risponda ai clienti. Il partner giusto chiede per prima cosa come nasce oggi un intervento, chi lo chiude e dove si perdono le informazioni. Solo dopo parla di app e di AI.

Proposta a fasi e prova funzionante sono i due criteri che ti proteggono dal rischio più comune: scoprire a progetto avanzato che il risultato non è quello che avevi in mente. Con le fasi puoi fermarti o correggere la rotta dopo ogni tappa, pagando solo quello che hai approvato. Con una prova, anche piccola, vedi come lavora il partner: come comunica, come gestisce le correzioni. Chiedi che usi dati veri, o esempi realistici, e che la provino le persone che useranno il software ogni giorno. È il modo in cui lavoriamo anche noi: cinque passi dall’ascolto alla consegna, pagati a fasi approvate. Per capire come si forma il prezzo di ogni fase c’è la guida su quanto costa un gestionale su misura.

Di chi saranno codice, dati e accessi?

Devono essere tuoi, e il contratto lo deve dire. La legge sul diritto d’autore dà all’impresa, salvo patto contrario, i diritti economici sul software scritto dai propri dipendenti per lavoro (art. 12-bis della legge 633/1941). Quando lo scrive un fornitore esterno una regola così netta non c’è: la cessione dei diritti e la consegna del codice sorgente vanno scritte.

Controlla anche gli accessi, che spesso contano più del codice:

• dominio del sito e caselle email intestati alla tua impresa;
• account di server e servizi cloud a tuo nome, con il partner come utente autorizzato;
• l’archivio del codice (il «repository») accessibile anche a te;
• i dati esportabili in un formato aperto, leggibile senza il software del partner.

Così, se cambi partner, porti via tutto senza trattative.

Come si verifica la conformità a GDPR e AI Act?

Si verifica chiedendo documenti, non rassicurazioni. Se il partner tratterà dati personali per tuo conto (di clienti, dipendenti, fornitori), il GDPR ti chiede di rivolgerti solo a chi offre «garanzie sufficienti» e di regolare il rapporto con un contratto scritto: è la nomina a responsabile del trattamento dell’art. 28. Chiedi di vederne una bozza, insieme alle misure di sicurezza previste (art. 32) e all’elenco dei fornitori su cui si appoggia: senza la tua autorizzazione scritta non può affidare i tuoi dati ad altri.

Se il progetto usa l’AI, la tua impresa è quasi sempre un «deployer», cioè chi usa un sistema di AI sotto la propria autorità (art. 3 dell’AI Act). L’AI Act è stato modificato dal regolamento «Omnibus digitale» sull’intelligenza artificiale (Regolamento UE 2026/1744, in vigore dal 27 luglio 2026), che ha spostato più avanti gli obblighi per i sistemi ad alto rischio. Restano due punti pratici: le misure per preparare chi usa l’AI (art. 4) e, dal 2 agosto 2026, l’obbligo che un sistema che parla con le persone faccia capire che è un’AI (art. 50). Un buon partner ti mostra come il progetto li rispetta e come registra ogni azione dell’AI, perché una persona possa controllare e fermare le decisioni che contano. I dettagli sono nella guida sull'AI Act per le PMI e in quella su cosa fanno davvero gli agenti AI.

Dove stanno i dati e chi risponde quando qualcosa si blocca?

I dati devono stare in luoghi che conosci, e l’assistenza deve avere nomi e tempi scritti. Chiedi in quale Paese si trovano server e backup: se i dati personali escono dall’Unione europea, il GDPR richiede condizioni precise per il trasferimento (capo V). Chiedi anche quali certificazioni di sicurezza ci sono e di chi sono. La ISO/IEC 27001, per esempio, certifica il sistema con cui un’organizzazione gestisce la sicurezza delle informazioni: spesso ce l’ha il fornitore dell’infrastruttura, non chi sviluppa il software, ed è giusto che ti venga detto. Anche noi lavoriamo su infrastruttura in UE di fornitori certificati ISO 27001: la certificazione è loro.

Per l’assistenza, fatti dire:

• chi risponde, con quale canale e in quali orari;
• in quanto tempo prende in carico un guasto e in quanto lo risolve, distinguendo il blocco totale dal problema minore;
• ogni quanto si fanno i backup e quanto tempo serve per ripristinarli;
• chi è il tuo referente unico, e chi lo sostituisce quando è assente.

La documentazione chiude il cerchio: un manuale per chi usa il software e una documentazione tecnica per chi dovrà farlo crescere, anche se non sarà lo stesso partner.

Quali segnali meritano attenzione?

Nessuno di questi segnali basta da solo a escludere qualcuno, ma ognuno merita una domanda in più:

• il preventivo è un’unica cifra, senza fasi né elenco di ciò che è escluso;
• la soluzione arriva prima delle domande sul tuo lavoro;
• non è prevista nessuna prova prima del contratto completo;
• dominio, server o account restano intestati al fornitore;
• alla domanda «dove stanno i dati?» la risposta resta vaga;
• si promettono risultati precisi senza aver misurato la situazione di partenza;
• l’AI «decide da sola» e nessuno sa dirti come si controlla o si ferma;
• ti si chiede di firmare in fretta, prima di aver letto il contratto con calma.

Quali domande fare al primo incontro?

Copia questa lista e portala con te. Le risposte, meglio se scritte, ti permettono di confrontare i candidati sulle stesse basi.

1. Cosa vi serve sapere del mio lavoro prima di proporre una soluzione?
2. Mi date una proposta scritta divisa in fasi, con tempi e costi per ciascuna?
3. Cosa potrò usare alla fine della prima fase?
4. Posso vedere un primo pezzo funzionante prima di impegnarmi su tutto?
5. Codice sorgente, dati, accessi e marchio saranno miei? Dove lo scriviamo?
6. In quale Paese staranno server e backup, e con quali fornitori?
7. Mi fate vedere una bozza di nomina a responsabile del trattamento (art. 28 GDPR)?
8. Se usiamo l’AI, come si registrano le sue azioni e chi approva le decisioni importanti?
9. Chi sarà il mio referente unico?
10. Chi fa assistenza dopo la consegna, in che orari e con quali tempi?
11. Quale documentazione mi consegnate?
12. Se un giorno volessi cambiare partner, cosa mi consegnate e in quanto tempo?

Cosa scrivere nel contratto?

Il contratto deve dire chi possiede cosa, come sono protetti i tuoi dati, che servizio ricevi dopo la consegna e come ne esci. Fallo leggere a un legale di fiducia prima di firmare, e cerca queste clausole:

• Proprietà intellettuale. Cessione a te dei diritti sul software sviluppato per te, con consegna del codice sorgente e della documentazione. Se il partner usa componenti suoi o di terzi già esistenti, il contratto deve dire con quale licenza potrai continuare a usarli.
• Riservatezza. L’impegno a non divulgare informazioni sulla tua impresa, sui tuoi clienti e sui tuoi processi, anche dopo la fine del rapporto.
• Nomina a responsabile del trattamento (art. 28 GDPR). Va fatta per iscritto, anche in formato elettronico. Deve prevedere, tra l’altro, che il partner tratti i dati solo su tue istruzioni documentate, vincoli alla riservatezza chi li tratta, adotti misure di sicurezza adeguate, non coinvolga altri fornitori senza la tua autorizzazione scritta e ti permetta verifiche, ispezioni comprese. A fine servizio, a tua scelta, cancella o ti restituisce tutti i dati personali, salvo che la legge ne imponga la conservazione.
• Livelli di servizio. Tempi di presa in carico e di risoluzione, orari di assistenza, frequenza dei backup, disponibilità del servizio, e cosa succede se non vengono rispettati.
• Uscita e restituzione dei dati. Formato, tempi e costi con cui ti vengono restituiti tutti i dati, non solo quelli personali; passaggio degli accessi; un periodo di affiancamento per chi subentra, se serve.

Da dove partire domani

Parti dal problema, non dal fornitore. Tre passi bastano per cominciare bene:

1. Scrivi una pagina sul problema. Cosa non funziona oggi, quanto ti costa in tempo o in errori, cosa vorresti vedere fra sei mesi. Niente soluzioni: quelle sono il lavoro del partner.
2. Incontra almeno due candidati con la stessa lista di domande. Annota chi fa più domande a te.
3. Chiedi a ciascuno una proposta a fasi e una prova piccola. Se una prova non è possibile, chiedi perché: la risposta ti dice molto su come andrà il progetto.

Se vuoi mettere alla prova la lista qui sopra, portala alla nostra analisi iniziale di 30 minuti: scrivici e rispondiamo a ogni domanda.