AI maturity model: cos'è, come si misura e a cosa serve al board

Provate a fare questa domanda al prossimo comitato di direzione: su una scala da 0 a 5, quanto è matura la nostra azienda nell'adozione dell'AI? Nella nostra esperienza le risposte si dividono in tre famiglie, chi cita i progetti in corso (che misurano l'attività, non la capacità), chi cita il budget speso (che misura l'intenzione), e chi ammette che una misura condivisa non esiste. La terza risposta è la più utile, perché è il punto di partenza per costruirla.

Un AI maturity model serve esattamente a questo: trasformare una percezione ("siamo indietro", "stiamo andando bene") in un numero confrontabile nel tempo, tra funzioni e con il mercato. Le aziende misurano da decenni la solidità finanziaria con i rating di credito e la sicurezza informatica con framework di maturità, mentre sull'AI, dove gli investimenti crescono a doppia cifra, la maggior parte decide ancora a sensazione.

Cosa misura davvero un modello di maturità

La parola maturità inganna, perché suggerisce una classifica tecnologica, quanti modelli abbiamo, quanto sono sofisticati. Un modello serio misura una cosa diversa: la capacità dell'organizzazione di trasformare l'AI in valore in modo ripetibile e governato. Un'azienda può avere il modello linguistico più avanzato sul mercato e una maturità bassa, perché i dati sono frammentati, nessuno presidia i rischi e il board non ha mai deliberato una strategia.

Il nostro AI Rating, il framework proprietario che usiamo negli assessment ZeroFive, scompone questa capacità in quattro dimensioni. AI Readiness misura la preparazione: strategia, governance, qualità dei dati, infrastrutture, competenze e cultura. AI Delivery misura l'esecuzione: processi di sviluppo, MLOps, integrazione con i sistemi, scalabilità e monitoraggio. AI Risk misura il presidio: compliance con l'EU AI Act e con ISO/IEC 42001, etica, bias, sicurezza, privacy. AI Confidence misura l'adozione: commitment del board, fiducia degli utenti, robustezza percepita delle soluzioni.

La quarta dimensione è quella che sorprende di più i clienti, perché sembra soft e invece è predittiva: un sistema tecnicamente eccellente che gli utenti non usano, o che il board non difende al primo intoppo, ha lo stesso valore di un sistema che non esiste.

Scale, classi e la logica dei gate critici

La misurazione produce un punteggio da 0 a 5 per ciascuna dimensione e un rating globale, sintetizzato in quattro classi di merito, dalla A (leader, score sopra 4.0 con nessuna area sotto 3.5) alla D (stadio iniziale, score sotto 2.0, approccio opportunistico, prerequisiti mancanti). In mezzo, la classe B degli avanzati e la classe C di chi ha capacità presenti ma debolezze significative, tipicamente pilot mai scalati.

Il meccanismo che rende il modello credibile, e che manca in molti self-assessment scaricabili online, è quello dei gate critici non compensabili. Un punteggio alto su strategia e delivery non può compensare l'assenza di un registro dei sistemi AI o una gestione dei dati personali fuori controllo: certe carenze bloccano la classe di merito a prescindere dalla media, esattamente come nei rating di credito un covenant violato pesa più di dieci indicatori in ordine. Senza gating, il modello premia chi è bravo a raccontarsi.

C'è poi un requisito di metodo che vale per qualunque framework scegliate: la valutazione deve combinare evidenze quantitative (documenti, architetture e metriche reali) con interviste qualitative a più livelli dell'organizzazione, perché il divario tra ciò che il management dichiara e ciò che i team operativi vivono è, quasi sempre, il dato più informativo dell'intero assessment.

Il numero che il board dovrebbe pretendere

Per un consiglio di amministrazione il rating di maturità AI risolve tre problemi concreti. Il primo è la comparabilità nel tempo: ripetere la misurazione a dodici mesi trasforma una fotografia in un filmato, e permette di chiedere conto dei progressi con la stessa disciplina con cui si seguono i KPI finanziari. Il nostro obiettivo dichiarato, nei progetti che seguiamo, è portare il rating AI nella dashboard direzionale come indicatore strutturale monitorato dal board.

Il secondo è la difendibilità verso l'esterno. Con l'EU AI Act in vigore dall'agosto 2024 e le sue scadenze applicative in arrivo, con ISO/IEC 42001:2023 che definisce lo standard per i sistemi di gestione dell'AI, board, comitati rischi e auditor hanno bisogno di dimostrare di aver valutato lo stato dell'arte con metodo. Un rating documentato, con evidenze e riferimenti normativi puntuali per ogni area, è la base di quella dimostrazione (parliamo di preparazione e gap analysis, non di conformità certificata, che è un percorso diverso).

Il terzo problema è l'allocazione del capitale. Sapere che l'azienda è una classe C con Readiness a 3.1 e Risk a 1.8 cambia la conversazione sul budget: prima di finanziare il terzo pilot si finanzia la chiusura dei gap che hanno bloccato i primi due. La maturità bassa non è una condanna, è un'informazione, e chi la possiede spreca meno.

Da dove iniziare, in pratica

Il primo assessment richiede tipicamente da quattro a sei settimane e produce deliverable per ogni livello: una sintesi strategica per il board, un report analitico dei gap per i team, una roadmap con quick win a 30 giorni e progetti prioritizzati, i dati grezzi per governance e audit. Il costo è una frazione di un pilot medio, e nella nostra esperienza ne evita almeno uno sbagliato.

Se volete capire come funzionerebbe sulla vostra organizzazione, trovate il tempo per una call su calendly.com/fabiolalli/zerofive o scrivete a hello@zerofive.ai. Prima però vale la pena rifare al vostro comitato la domanda dell'inizio, quella sulla scala da 0 a 5, e osservare non tanto le risposte quanto quanto divergono tra loro: quella distanza è la prima misura della vostra maturità.