AI locale vs Cloud: scelta di governance e controllo strategico
La scelta sull'AI, locale o cloud, non è tecnica ma di governance: quanta capacità decisionale e controllo su dati e costi vuoi cedere a fornitori esterni e server non controllati?
AI locale o cloud: la scelta è di governance
Fino a qualche mese fa la domanda era “quale modello AI usiamo?”. Quella giusta, oggi, è un’altra: quanta capacità decisionale sei disposto a collocare fuori dalla tua azienda, su server che non controlli, con costi che cambiano ogni volta che il fornitore aggiorna i prezzi?
In sintesi
- I costi delle API, ovvero interfacce di collegamento tra il tuo software e il modello AI del fornitore, a consumo crescono in modo non lineare quando si usano agenti AI, sistemi che eseguono sequenze di azioni automatizzate senza intervento umano passo per passo.
- Il Regolamento UE 2024/1689, noto come AI Act, già impone tracciabilità delle decisioni automatizzate e identificazione del responsabile umano.
- Restrizioni geopolitiche USA sulle esportazioni di tecnologia possono limitare l’accesso ai modelli più avanzati per aziende in certi settori o paesi.
- Un modello self-hosted, installato sui propri server o su un cloud privato dedicato, elimina i costi variabili ma richiede infrastruttura e competenze.
- La scelta non è tecnica. È una decisione di governance su chi controlla dati, costi e continuità operativa.
Il costo a consumo degli agenti AI: cosa cambia davvero
Finché l’AI serviva a generare testi o rispondere a domande isolate, il modello di prezzo a consumo era gestibile. Un hotel che usava un chatbot (assistente conversazionale automatico) per rispondere alle FAQ dei clienti poteva stimare i costi con discreta precisione: tante domande, tanti crediti, conto prevedibile.
Gli agenti AI cambiano la matematica. Un agente non risponde a una singola domanda.
Esegue una sequenza di passi: legge un documento, decide cosa fare, chiama un altro strumento, verifica il risultato, corregge, riprova. Ogni passo consuma crediti API. Un agente che gestisce una pratica di rimborso in uno studio assicurativo può generare decine di chiamate per completare un’operazione che all’utente sembra un singolo click. Stesso discorso per uno studio commercialista che usa un agente per riconciliare fatture: l’agente non “legge” una fattura, esegue cinque, sei, a volte dieci passi per verificarla, archiviarla e aggiornare il registro.
Il risultato è che il costo mensile non scala con il numero di utenti. Scala con la complessità dei flussi. Aziende che hanno introdotto agenti senza mappare prima quei flussi si sono trovate con fatture tre o quattro volte superiori alle stime iniziali. Non è un caso limite.
Cosa fai oggi: prima di attivare qualsiasi agente su API esterna, mappa il numero medio di passi per operazione e moltiplica per il volume mensile reale. Quel numero è il tuo consumo minimo stimato. Confrontalo con il costo fisso di un’alternativa self-hosted.
Tracciabilità e responsabilità: cosa chiedono le norme
Il Regolamento UE 2024/1689, l’AI Act europeo, è in vigore. I decreti attuativi nazionali che traducono gli obblighi generali in requisiti operativi concreti per chi opera in Italia sono in corso di definizione. Due obblighi emergono già con chiarezza.
Il primo è la tracciabilità. Devi poter dimostrare quale sistema ha prodotto quale output, in quale momento, su quali dati. Uno studio medico che usa un sistema AI per supportare la classificazione delle cartelle cliniche deve conservare un registro delle decisioni assistite e sapere esattamente quale versione del modello era attiva in quel momento. Non “usavamo ChatGPT”: quale versione, quale data, quale configurazione.
Il secondo è l’identificazione del responsabile. La norma non accetta “l’AI ha deciso”. Un essere umano deve restare il decisore finale su ogni azione che produce effetti giuridici o significativi per le persone.
Usare API di un fornitore esterno non esime dall’obbligo: sei tu, come operatore, a rispondere. Resta il fatto che se il fornitore aggiorna il modello senza preavviso, cosa che accade regolarmente, il comportamento del sistema cambia e la tua tracciabilità si incrina. Un modello self-hosted rimane nella versione che hai scelto finché non decidi tu di aggiornarlo.
Cosa fai oggi: verifica con il tuo fornitore API se il contratto garantisce il cosiddetto versioning stabile, ovvero la garanzia che la versione del modello non cambi senza preavviso, e se fornisce log (registri automatici delle operazioni) esportabili in formato leggibile. Se la risposta è no, è un dato da pesare.
Restrizioni geopolitiche: un rischio concreto, non teorico
I modelli AI più potenti, quelli offerti via API dalle grandi aziende tecnologiche americane, sono soggetti ai controlli sulle esportazioni degli Stati Uniti. Questi controlli, storicamente applicati a chip e hardware, si estendono progressivamente ai servizi software quando coinvolgono tecnologie considerate strategiche.
Non è uno scenario remoto. Alcune categorie di aziende, difesa, infrastrutture critiche, certi settori della ricerca, già oggi incontrano restrizioni nell’accesso a determinati modelli o devono accettare condizioni contrattuali che limitano i casi d’uso. Il quadro normativo internazionale in questo ambito si sta restringendo, non allargando.
Per la maggior parte delle aziende italiane, un’agenzia immobiliare, uno studio commercialista, una catena di ristoranti, il rischio immediato è basso. Ma chi opera in settori regolamentati o ha clienti in ambiti sensibili dipende, per una funzione diventata operativamente critica, da un singolo fornitore estero. È un rischio di continuità che merita valutazione con la stessa logica con cui valuti i fornitori critici in qualsiasi altra area.
Cosa fai oggi: identifica quali funzioni aziendali dipendono da API esterne e classifica il livello di criticità operativa se quel servizio diventasse inaccessibile per 48 ore. Non è un esercizio teorico.
Self-hosted: quando ha senso e quando no
Un modello self-hosted, installato su server propri o su un’istanza cloud privata dedicata e non condivisa, elimina i costi variabili e mantiene i dati all’interno del perimetro aziendale. Non è la soluzione giusta per tutti.
Ha senso considerarlo quando il volume di utilizzo è alto e prevedibile, quando i dati trattati sono sensibili, cartelle cliniche, contratti, dati finanziari dei clienti, quando la continuità operativa dipende dalla disponibilità del sistema, o quando la normativa applicabile richiede controllo diretto sui log.
Non ha senso quando il volume è basso e discontinuo, quando non si dispone di personale tecnico interno o di un partner esterno affidabile, o quando si ha bisogno di aggiornamenti frequenti ai modelli più recenti senza voler gestire l’infrastruttura.
Il modello ibrido è spesso la risposta più equilibrata. Una clinica privata, per esempio, può tenere i flussi che toccano le cartelle cliniche su infrastruttura propria e usare API esterne per attività di marketing o comunicazione interna. Funzioni critiche e dati sensibili self-hosted, funzioni accessorie su API. La separazione non è complicata da implementare, ma richiede una mappa chiara di cosa gira dove.
Cosa fai oggi: fai una lista delle funzioni AI attive o pianificate. Per ognuna, scrivi accanto: volume mensile stimato, sensibilità dei dati trattati, impatto operativo se il servizio si interrompe. Quella lista è il punto di partenza per una decisione informata, non una scelta fatta sul piano tariffario del fornitore.
La decisione resta tua: il punto che le demo non mostrano
I fornitori di API mostrano demo fluide, prezzi di ingresso bassi, integrazioni rapide. Non mostrano cosa succede quando il modello cambia comportamento dopo un aggiornamento silenzioso, quando i prezzi vengono rivisti, quando una clausola contrattuale limita i casi d’uso che avevi in mente.
Impressionante come tecnologia, e per certi versi ancora opaco come mercato.
La scelta tra AI locale e API esterna è una decisione di governance aziendale: riguarda chi controlla i dati, chi risponde delle decisioni assistite, chi gestisce la continuità. Non si delega al reparto IT o al fornitore. Appartiene a chi guida l’azienda.
Il punto di partenza non è il modello più potente disponibile oggi. È capire quale parte della tua capacità operativa sei disposto a collocare fuori dal tuo controllo, e a quali condizioni.
Domande correlate
Quali dati non dovrei mai inviare a un’API esterna? Dati coperti da segreto professionale, pratiche legali e cartelle cliniche in testa, dati finanziari identificativi dei clienti, e qualsiasi informazione che il GDPR (Regolamento Generale sulla Protezione dei Dati, il regolamento europeo sulla privacy) classifica come dato sensibile. In questi casi si usa un sistema self-hosted, oppure si anonimizzano i dati prima dell’invio, con tutto ciò che questo comporta rispetto all’utilità dell’output finale.
Un modello open source self-hosted è sicuro quanto un’API commerciale? Dipende da come viene installato e gestito. Un modello open source, ovvero a codice aperto e liberamente scaricabile, mal configurato è meno sicuro di un’API commerciale con certificazioni adeguate. La variabile non è il modello: è la qualità dell’infrastruttura e della gestione. Senza competenze interne o un partner tecnico affidabile, il self-hosted introduce rischi propri.
Quanto costa passare da API a self-hosted? Per un’azienda con volumi medi, un setup self-hosted su server dedicati parte da qualche migliaio di euro di hardware o cloud privato, più i costi di configurazione e manutenzione. Il confronto va fatto sul totale annuo, non sul costo mensile iniziale dell’API.
L’AI Act obbliga a usare AI locale? No. Il Regolamento non prescrive dove deve girare il modello. Prescrive obblighi di tracciabilità, responsabilità e trasparenza. Si possono soddisfare anche con API esterne, a condizione che il contratto garantisca log stabili, versioning del modello e condizioni d’uso compatibili con la normativa del tuo settore.
Come valuto se il mio uso attuale di API è sostenibile nel tempo? Calcola il costo mensile attuale delle API AI e proiettalo su uno scenario di utilizzo tre volte superiore, ordine di crescita realistico se l’adozione interna aumenta. Se quel numero inizia a pesare sul conto economico, è il momento giusto per valutare alternative, non quando il costo è già un problema.
Fonti:
- Agenda Digitale — AI locale: perché diventa una scelta strategica per imprese e PA — https://www.agendadigitale.eu/industry-4-0/ai-locale-perche-diventa-una-scelta-strategica-per-imprese-e-pa/ — accesso luglio 2025
- Regolamento UE 2024/1689 (AI Act) — testo ufficiale EUR-Lex — https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689 — accesso luglio 2025
Vuoi capire come applicarlo alla tua azienda?