Nota: questa è una guida pratica, non consulenza legale. Per una decisione di compliance specifica, coinvolgi il tuo DPO o un avvocato qualificato in protezione dei dati.
Passo 1 — Il test decisionale: ti serve davvero?
L'on-premise ha senso se rispondi sì ad almeno una di queste. Se sono tutti no, parti da una API cloud UE conforme.
- Tratti dati personali, sanitari, legali, finanziari o segreti industriali che legalmente o contrattualmente non possono lasciare il tuo controllo?
- Inviare i tuoi documenti a un provider AI statunitense creerebbe un problema di trasferimento internazionale che i tuoi clienti o le regole di settore non accettano?
- Il tuo volume di query è alto e costante (migliaia al giorno) — il regime in cui le bollette API per-token superano l'hardware?
- Ti serve disponibilità garantita, funzionamento offline, o piena verificabilità del modello e dei suoi dati?
Il trade-off più profondo cloud-vs-locale — incluso lo schema ibrido su cui la maggior parte delle aziende atterra davvero — è nella nostra guida on-premise vs cloud.
Passo 2 — Il quadro di compliance: GDPR + EU AI Act
A un'azienda italiana che usa l'AI si applicano due normative. Il GDPR regola i dati personali che passano nel modello: l'on-premise non ti rende automaticamente conforme, ma tenendo i dati dentro le tue mura elimina le questioni più spinose — i trasferimenti all'estero, i responsabili del trattamento esterni e la domanda su dove finiscano esattamente i dati dei tuoi clienti. È per questo che le PMI con dati sensibili ci puntano: riduce l'area di rischio da presidiare invece di ampliarla.
L'EU AI Act aggiunge un livello basato sul rischio, in applicazione graduale tra il 2026 e il 2027. Gran parte degli usi tipici di una PMI (redazione, riassunti, ricerca interna, un assistente di supporto) ricade nel rischio minimo o limitato — l'obbligo principale è la trasparenza: dire alle persone quando stanno parlando con un'AI. Rientri negli obblighi ad alto rischio solo in ambiti specifici (selezione del personale, credit scoring e simili). Eseguire il modello in locale non cambia la tua fascia di rischio, ma rende molto più semplici la tenuta dei registri e la verificabilità richieste, perché tutto ciò che il sistema ha fatto è avvenuto su hardware che controlli. Il quadro completo e una checklist sono nella nostra guida all'EU AI Act.
Passo 3 — Le tre fasce di budget realistiche
| Fascia | Hardware | Serve | Adatta a |
|---|---|---|---|
| ~€3k — Pilota | Una workstation, GPU 24GB (RTX 4090/3090 usata) | 1–5 utenti, un modello 27–32B | Dimostrare il valore su un caso d'uso reale |
| ~€8–12k — Team | Server dedicato, GPU 48GB o 2×24GB | 10–30 utenti concorrenti via vLLM | Un assistente per tutto un reparto + RAG |
| ~€25–30k+ — Produzione | Multi-GPU (classe 80GB), ridondanza, UPS | Intera azienda, modelli 70B+, SLA | L'AI come infrastruttura centrale |
Queste sono le cifre dell'hardware. Aggiungi installazione e gestione — un pilota può stare nelle ore dell'IT interno; un sistema di produzione richiede qualche giorno di configurazione specialistica più la manutenzione nel tempo. Le scelte dietro ogni fascia sono nella nostra guida alle GPU, e il costo di possesso completo nella guida ai costi.
Passo 4 — Build vs API: dove si incrociano
Lasciando da parte per un attimo la conformità e guardando solo al costo: una API cloud costa meno finché i tuoi volumi non salgono al punto da far ripagare l'hardware. Il punto di pareggio dipende dall'uso reale, ma l'andamento è semplice — una macchina pilota da €3k si ripaga rispetto alla spesa API in circa un anno con qualche centinaio di migliaia di token al giorno d'uso costante, e molto prima a volumi più alti. Sotto quella soglia vince il cloud sul costo; sopra, vince il locale e i vantaggi sulla conformità te li porti a casa gratis.
La regola onesta per decidere: lascia che sia la conformità a dire se andare on-premise, e che sia il volume a dire quando tornano anche i conti. Quando puntano entrambi nella stessa direzione — dati sensibili e volumi costanti — la scelta si fa da sola.
Passo 5 — Dove le PMI italiane trovano valore reale per prime
- Ricerca interna nella documentazione aziendale — contratti, manuali, procedure (RAG sui tuoi documenti): alto valore, basso rischio.
- Stesura e riscrittura di preventivi, email e report in italiano — un buon 27B se la cava in locale senza far uscire un solo dato.
- Un assistente di supporto ancorato alla documentazione di prodotto — smaltisce le domande ripetitive senza esporre i dati dei clienti.
- Estrazione di dati strutturati da fatture, PDF e moduli — un lavoro di routine in cui un piccolo modello locale dà il meglio.
Lo schema di costruzione per i primi due è il nostro tutorial sul chatbot RAG; l'architettura enterprise è in ChatGPT privato per l'azienda.