Audit AI per PMI: scegli prima il workflow, poi il modello

Molte PMI iniziano il progetto AI dalla domanda sbagliata: quale modello dobbiamo usare?

È una domanda comprensibile, ma spesso prematura. Prima di confrontare modelli, prezzi e benchmark conviene capire se il processo scelto è abbastanza chiaro, misurabile e reversibile da poter essere migliorato con l’AI.

Un audit AI non è una presentazione piena di promesse. È una fotografia operativa: mostra dove si trovano i dati, quali decisioni sono davvero ripetitive, quali errori costano di più e dove serve ancora una persona.

L’unità di analisi non è il modello: è il workflow

Un modello è una componente. Il valore, o il rischio, emerge dal sistema che lo circonda.

Per esempio, “usare l’AI per rispondere alle email” è troppo generico per essere un progetto. Un workflow auditabile è più preciso:

1. ricevere una richiesta da un canale definito;
2. estrarre cliente, urgenza e categoria;
3. recuperare informazioni da fonti autorizzate;
4. preparare una risposta con riferimenti verificabili;
5. chiedere approvazione quando la risposta modifica prezzi, tempi o condizioni;
6. registrare il risultato e l’eventuale correzione.

La differenza sembra piccola, ma cambia tutto. Nel secondo caso si possono definire dati di ingresso, permessi, metriche e punti di arresto.

Le cinque domande di un audit AI concreto

### 1. Qual è l’obiettivo misurabile?

“Essere più efficienti” non basta. L’obiettivo può essere ridurre il tempo di triage, diminuire i passaggi manuali o aumentare la percentuale di richieste classificate correttamente.

Senza una baseline, il progetto rischia di diventare una demo permanente: interessante da mostrare, difficile da valutare.

### 2. Quali dati può leggere il sistema?

Occorre distinguere tra dati necessari e dati semplicemente disponibili. Un agente che deve classificare una richiesta probabilmente non ha bisogno di leggere ogni documento aziendale.

L’audit dovrebbe indicare fonte, proprietario, qualità, frequenza di aggiornamento e regola di conservazione per ogni dato usato dal workflow.

### 3. Quali azioni può eseguire?

Leggere, proporre, modificare e inviare non sono lo stesso permesso. Un sistema ben progettato parte dal livello minimo e aumenta l’autonomia solo quando esistono controlli adeguati.

Per una PMI è spesso sensato iniziare con un agente che prepara un output e una persona che approva. Non è un fallimento dell’automazione: è un confine operativo esplicito.

### 4. Come verifichiamo il risultato?

La verifica non dovrebbe arrivare soltanto alla fine. Servono checkpoint intermedi: fonte utilizzata, dati modificati, regola applicata, confidenza e motivo di eventuale arresto.

Per i workflow basati su documenti, un test minimo può includere casi normali, casi incompleti e casi ambigui. Se il sistema funziona solo sul caso ideale, non è pronto per il lavoro reale.

### 5. Come torniamo indietro?

Ogni azione con conseguenze esterne deve avere una strategia di rollback o di correzione. Questo vale per CRM, cataloghi, ordini, email e documenti condivisi.

Un’automazione reversibile è più facile da approvare e da migliorare. La reversibilità non elimina il rischio, ma impedisce che un singolo errore diventi un incidente non tracciabile.

Un punteggio semplice per decidere da dove partire

Per confrontare i workflow non serve un modello matematico sofisticato. Si possono assegnare da uno a cinque punti a:

• ripetitività del lavoro;
• chiarezza dell’obiettivo;
• qualità e accessibilità dei dati;
• costo dell’errore;
• facilità di verifica;
• reversibilità dell’azione;
• disponibilità di un responsabile umano.

Un processo molto ripetitivo ma con dati confusi e conseguenze irreversibili non è necessariamente il primo candidato. Un processo più piccolo, ben documentato e facilmente controllabile può generare valore prima.

Questa è una delle ragioni per cui un audit AI serio spesso ridimensiona il progetto iniziale. Ridurre l’ambizione tecnica può aumentare la probabilità di ottenere un risultato utilizzabile.

Sicurezza e governance non sono un allegato

L’audit deve includere anche i rischi: prompt injection, accessi eccessivi, dati sensibili, output non verificati e dipendenza da un singolo fornitore.

NIST AI RMF propone un riferimento utile per organizzare identificazione e gestione del rischio. OWASP mantiene inoltre una guida specifica sui rischi delle applicazioni basate su modelli linguistici. Non sono checklist da allegare alla fine: aiutano a formulare le domande giuste già nella fase di progettazione.

La domanda pratica per una PMI è: chi si accorge dell’errore, quanto tempo ha per correggerlo e quale traccia rimane?

Dal report al primo esperimento

Un audit non dovrebbe finire in un PDF dimenticato. Il risultato migliore è un esperimento piccolo, con confini chiari:

• un solo processo;
• un set di dati controllato;
• permessi minimi;
• un gruppo di casi reali anonimizzati;
• un checkpoint umano;
• una metrica prima e dopo;
• una finestra di revisione.

Dopo il test si decide se estendere, correggere o fermare il workflow. Anche fermarsi è un risultato utile: evita di trasformare una tecnologia interessante in un costo operativo permanente.

In sintesi

Un audit AI per PMI non serve a dimostrare che l’AI può fare tutto. Serve a individuare dove può fare qualcosa di utile, con quali limiti e sotto quale responsabilità.

Prima del modello vengono il processo, i dati, i permessi e la verifica. Solo dopo ha senso scegliere la tecnologia.

Se vuoi valutare un workflow concreto nella tua azienda, contatta Studio Futuro.