Vai al contenuto
Sam AkbariFractional CXO
Prenota una call di 30 minuti

Strumento gratuito · Italia

Scorecard di due diligence sui fornitori di AI

Valutate fino a tre fornitori di AI su 27 domande che decidono se uno strumento è sicuro da acquistare e se ripagherà l’investimento. Le vostre risposte restano nel vostro browser, a meno che non richiediate il report.

In breve: prima di firmare con un fornitore di AI, ottenete risposte scritte su questi punti: se i vostri dati addestrano i suoi modelli, dove sono conservati, come dimostra la propria sicurezza, cosa impedisce che risposte sbagliate arrivino ai clienti, a chi appartengono gli output e come si esce dal contratto. Un «No» su uno qualsiasi di questi punti è una red flag, qualunque cosa il fornitore faccia bene altrove.

1. Indicate i fornitori che state confrontando

In valutazione:

2. Rispondete per Fornitore A

Rispondete in base a ciò che il fornitore vi ha mostrato per iscritto. Se non lo sapete ancora, lasciate «Da verificare»: la domanda finirà nell’elenco di quelle da inviargli.

Coerenza con il business e valore

Il fornitore sa indicare quale risultato di business migliorerà, e come verrà misurato?

Una buona risposta: Una metrica precisa (ore risparmiate, tasso di errore, tempi di ciclo) con un valore di partenza e un obiettivo, concordati prima della firma.

La soluzione ha già dato prova di sé in organizzazioni simili alla vostra, per dimensioni e settore?

Una buona risposta: Clienti di riferimento che potete contattare, idealmente in Italia o in Europa, che la usano in produzione e non in un progetto pilota.

Il fornitore è disposto a un pilota di durata definita sui vostri dati, prima di un impegno di lungo periodo?

Una buona risposta: Criteri di successo concordati in anticipo, e una via d’uscita se il pilota non li raggiunge.

Dati e privacy

I vostri input, output e file resteranno esclusi dall’addestramento e dal miglioramento dei loro modelli?Critica

Una buona risposta: Sì per impostazione predefinita, per iscritto, con l’eventuale adesione (opt-in) sotto il vostro controllo.

Sapete dove vengono conservati e trattati i vostri dati, e se escono dall’Unione Europea?Critica

Una buona risposta: Regioni e sub-responsabili indicati per nome. Se i dati escono dallo Spazio economico europeo, il trasferimento poggia su una garanzia prevista dal GDPR (decisione di adeguatezza o clausole contrattuali tipo).

È previsto un periodo di conservazione definito, e potete esportare e cancellare i vostri dati quando uscite?

Una buona risposta: Conservazione fissata nel contratto, esportazione in un formato utilizzabile e conferma della cancellazione al termine.

Conoscete tutti i terzi che ricevono i vostri dati (sub-responsabili, fornitori di modelli, funzioni di ricerca)?

Una buona risposta: Un elenco aggiornato dei sub-responsabili, un preavviso sulle modifiche e la possibilità di disattivare le funzioni che inviano dati a terzi.

Sicurezza

Il fornitore può esibire un’attestazione di sicurezza indipendente e aggiornata?Critica

Una buona risposta: Un certificato ISO/IEC 27001 o un report SOC 2 Type II, oltre ai risultati di penetration test recenti.

La soluzione supporta il vostro single sign-on, gli accessi per ruolo e i log di audit?

Una buona risposta: Single sign-on con il vostro identity provider, ruoli con privilegi minimi e log esportabili.

Il contratto obbliga il fornitore a notificarvi un incidente di sicurezza entro un termine definito?Critica

Una buona risposta: Un termine espresso in ore, abbastanza breve da permettervi di notificare una violazione dei dati personali al Garante privacy nei tempi previsti dal GDPR.

Accuratezza e prestazioni

Potete verificare l’accuratezza sui vostri dati e sui casi limite prima dell’avvio in produzione?

Una buona risposta: I risultati delle loro valutazioni, più un test su un campione dei vostri casi reali.

Esiste un controllo che impedisce a risposte errate o inventate di arrivare ai clienti o alle decisioni?Critica

Una buona risposta: Soglie di confidenza, rimandi alla fonte e revisione umana per tutto ciò che ha conseguenze rilevanti.

Sarete avvisati prima che un aggiornamento del modello ne cambi il comportamento?

Una buona risposta: Note di rilascio, preavviso delle modifiche sostanziali e la possibilità di ripetere i test prima.

AI responsabile e governance

Il fornitore sa spiegare cosa fa il sistema, i suoi limiti e i dati su cui si basa, in termini che il vostro board accetterebbe?

Una buona risposta: Documentazione chiara, senza gergo tecnico, su come vengono prodotti gli output e dove il sistema non va usato.

Hanno verificato che il sistema non produca esiti discriminatori rilevanti per i vostri clienti e il vostro personale?

Una buona risposta: Risultati dei test per i gruppi rilevanti nel vostro caso d’uso, e un processo per segnalare e correggere i problemi.

Potete mantenere una persona al controllo delle decisioni importanti?

Una buona risposta: Passaggi di approvazione che configurate voi, e un modo semplice per annullare o disattivare le azioni automatiche.

Vi forniranno ciò che serve per il vostro registro dei sistemi di AI, la valutazione d’impatto e la policy interna?

Una buona risposta: Le informazioni che l’AI Act e il GDPR si aspettano che abbiate come utilizzatori del sistema, fornite senza resistenze.

Condizioni economiche e lock-in

Il costo resterà prevedibile al crescere dell’utilizzo?

Una buona risposta: Prezzi unitari chiari, avvisi o tetti di consumo, e un costo stimato a due o tre volte i volumi attuali.

Dati, output, prompt e configurazioni restano di vostra proprietà?Critica

Una buona risposta: Titolarità indicata nel contratto, compreso tutto ciò che viene sviluppato o personalizzato per voi.

Potete uscire senza penali e senza dover ricostruire tutto?

Una buona risposta: Un percorso di uscita documentato, l’esportazione dei dati e nessuna durata minima punitiva o rinnovo automatico.

Le clausole di responsabilità sono commisurate al rischio, comprese le contestazioni sui contenuti generati?

Una buona risposta: Un tetto di responsabilità adeguato all’esposizione, e una manleva sulla proprietà intellettuale degli output dove conta.

Solidità e supporto del fornitore

Il fornitore è finanziariamente solido, e c’è un piano se viene acquisito o chiude?

Una buona risposta: Evidenze di finanziamenti o di redditività, e un piano di uscita o di escrow per ciò che è critico.

Il supporto è disponibile nei vostri orari, con livelli di servizio nel contratto?

Una buona risposta: Almeno un supporto in orario lavorativo italiano, con obiettivi di disponibilità e di risposta che potete far valere.

Ciò che vi serve esiste già oggi, e non solo nella roadmap?

Una buona risposta: Acquistate ciò che funziona adesso. Le promesse della roadmap sono un vantaggio in più, non il motivo per firmare.

Integrazione e adozione

La soluzione si collega ai vostri sistemi principali tramite API o connettori supportati?

Una buona risposta: Integrazioni documentate per i sistemi che avete indicato, testate durante il pilota.

Sapete quanto impegno richiederà l’implementazione al vostro team?

Una buona risposta: Un piano che indica tempi e ruoli delle vostre persone, non solo quelli del fornitore.

Formazione e supporto al cambiamento sono inclusi, perché le persone usino davvero lo strumento?

Una buona risposta: Formazione per ruolo, metriche di adozione e un referente customer success indicato per nome.

3. Il vostro confronto

FornitorePunteggioRed flagDa verificareEsito
Rispondete ad alcune domande per vedere il confronto.
    Richiedete il report completo

    Il report completo di confronto, via email

    Un report Word, in italiano, con i punteggi ponderati, tutte le risposte a confronto, le red flag da risolvere e le domande da inviare a ciascun fornitore.

    Userò i vostri dati per inviarvi il report e, solo se spuntate la casella, per inviarvi le mie note. Consultate l’informativa privacy.

    Metodo

    Come funziona la scorecard

    Ogni risposta vale 2 punti per «Sì», 1 per «In parte» e 0 per «No» o «Da verificare». Ogni area riceve un punteggio su 100%, poi ponderato in base a quanto conta per voi (normale, alta o critica) per ottenere il punteggio complessivo.

    Sei domande sono segnate come critiche: addestramento sui vostri dati, luogo in cui risiedono i dati, attestazioni di sicurezza, notifica degli incidenti, controlli sulle risposte errate e proprietà degli output. Un «No» su una qualsiasi di queste è una red flag, perché un punteggio alto altrove non rende sicura la firma.

    Le domande sulla privacy seguono il Regolamento generale sulla protezione dei dati (GDPR). Le domande sulla governance si allineano all’AI Act europeo (Regolamento (UE) 2024/1689) e alla legge italiana sull’intelligenza artificiale (legge 132/2025). Sono informazioni di carattere generale, non una consulenza legale.

    Fractional Chief AI Officer Checklist di governance dell’AI AI Readiness Scorecard

    Volete un parere indipendente prima di firmare?

    Trenta minuti sui fornitori che state valutando, sulle domande da porre e sulla solidità del business case. La call si svolge in inglese.

    Prenota una callScrivetemi