Perché la GenAI non basta per la compliance: il vero problema è la qualità dei dati

1. La Compliance a Estrazione Manuale e il Suo Costo Nascosto

Partiamo da come funziona concretamente la compliance nelle PMI manifatturiere oggi.

Il ciclo tipico di un report CSRD o di una scheda di dati di sicurezza REACH non inizia con un sistema. Inizia con una email. Qualcuno in procurement, o in HSE, o nella funzione legale, raccoglie dati da fornitori diversi, in formati diversi, con frequenza variabile. Li consolida in un foglio di calcolo. Il foglio cresce (dipende dalla persona che lo gestisce). Quando quella persona cambia, il processo ricomincia da capo.

Questo approccio — definibile come compliance a estrazione manuale — ha un costo visibile (il tempo dedicato alla raccolta) e un costo nascosto (l’errore che si accumula, la non-riusabilità del dato prodotto, la non-confrontabilità tra periodi). In presenza di processi manuali e dati frammentati, i costi di compliance tendono ad aumentare nel tempo — non per il singolo adempimento, ma per lo sforzo ripetuto di ricostruire evidenza documentale a ogni ciclo, per portali istituzionali e richieste di filiera. Si tratta di una deduzione organizzativa, non di un dato uniforme e generalizzabile a tutti i settori e framework.

Il punto teorico è semplice ma spesso trascurato: il costo della compliance a estrazione manuale non è il costo del singolo report. È il costo di non avere un processo — perché senza processo ogni report reimposta il punto di partenza.

Va però detto con altrettanta chiarezza che i tool digitali standard, Excel in primo luogo, continuano a dominare la compliance nelle PMI non per inerzia o ignoranza, ma per razionalità economica:

• Il costo iniziale di adozione è trascurabile;
• La flessibilità immediata è alta e,
• in assenza di pressioni esterne sufficientemente cogenti — un cliente di filiera che esige dati strutturati, un’authority che richiede un formato specifico — il foglio di calcolo è spesso la scelta efficiente nel breve periodo.

Questo non è un errore di valutazione che si corregge con la formazione. È spesso la scelta razionalmente ottimale data la struttura degli incentivi — e resta tale fino a quando la pressione di filiera non diventa sufficientemente cogente e ricorrente da rendere il costo del cambiamento inferiore al costo del recupero emergenziale.

Questo dato non contraddice la tesi: la conferma. Mostra che il problema non è tecnico ma sistemico. Le imprese non adottano infrastrutture dati perché gli incentivi a farlo sono deboli o differiti, non perché la soluzione sia inaccessibile.

2. Due Regimi, Difetto Funzionalmente Comparabile

REACH e CSRD sembrano regimi distinti — uno chimico-industriale, l’altro di rendicontazione ESG — e in effetti lo sono, per perimetro applicativo, categorie di soggetti obbligati e frequenza dei cicli.

REACH (Registration, Evaluation, Authorisation and Restriction of Chemicals) è il regolamento europeo che disciplina la produzione, l’immissione sul mercato e l’uso delle sostanze chimiche, imponendo obblighi di registrazione e comunicazione lungo l’intera supply chain.

CSRD (Corporate Sustainability Reporting Directive) è la direttiva europea che richiede alle imprese di rendicontare informazioni strutturate sulla sostenibilità, estendendo la domanda di dati anche alle PMI tramite le richieste dei soggetti in scope.

Il difetto strutturale che li attraversa è funzionalmente comparabile — con le differenze che contano — sul piano specifico del mismatch tra la domanda di dati verificabili e riusabili e la capacità delle imprese di produrli.

REACH è il regime giuridico diretto: compliance tecnico-operativa di filiera, con obblighi diretti e output standardizzati.

CSRD è oggi, per la maggior parte delle PMI, soprattutto pressione indiretta: è il vettore che legittima e intensifica la domanda di dati a valle della filiera.

La PMI non risponde alla CSRD in quanto soggetto obbligato; risponde alle richieste di chi vi è soggetto e che le chiede i dati per adempiervi. Trattarle come manifestazioni dello stesso problema è una semplificazione narrativa utile, non un’equivalenza giuridica.

REACH poggia su un sistema di comunicazione lungo la filiera. Il perno operativo è la scheda di dati di sicurezza (SDS) e i relativi scenari di esposizione: il fabbricante o importatore trasmette informazioni adeguate ai destinatari a valle, e quei destinatari comunicano verso l’alto quando identificano usi non previsti. L’ECHA (European Chemicals Agency) descrive esplicitamente la modernizzazione di questo scambio come una priorità: la comunicazione elettronica standardizzata riduce gli errori, abbassa i costi di compliance e migliora la tracciabilità lungo la catena.

In pratica, il settore chimico europeo conta oltre 31.000 imprese — il 14% del manifatturiero totale — con supply chain che spesso attraversano quattro o cinque livelli di subfornitura. Quando il dato di input arriva in formati non standardizzati, con metadati assenti o incoerenti, il costo di riconciliazione si accumula a ogni passaggio.

La CSRD pone un problema analogo sul piano della domanda informativa che genera. Gli ESRS (European Sustainability Reporting Standards) prevedono datapoint riusabili tra framework di reporting diversi — ma la riusabilità rimane teorica se i sistemi interni non producono i dati nei formati richiesti. La PMI che non struttura i propri dati di sostenibilità si troverà a rispondere a richieste eterogenee da clienti diversi, ciascuno con il proprio formato, la propria frequenza, il proprio livello di dettaglio.

Il VSME (Voluntary Sustainability Reporting Standard for SMEs), lo standard volontario pensato per le PMI fuori scope CSRD, risponde a questa pressione proponendo un sottoinsieme proporzionato di indicatori — ma è uno strumento di perimetrazione, non di architettura. Definisce quanti datapoint una PMI deve rendicontare, senza affrontare la domanda su come vengano generati in modo affidabile e riusabile.

L’asimmetria di fondo è questa: la norma richiede output strutturati; le PMI producono input destrutturati. La GenAI può ridurre una parte di questo gap — classificazione documentale, estrazione da fonti sparse, normalizzazione preliminare. Non può sostituire la costruzione della struttura da cui quei dati dovrebbero provenire.

3. Il Digital Product Passport Come Indicatore di Direzione

Il Digital Product Passport (DPP) — attualmente in fase di consultazione da parte della Commissione — è usato qui come indicatore di tendenza regolatoria, non come prova matura di un modello già funzionante. È però il caso in cui la logica che attraversa questo articolo viene portata alle sue conseguenze più estreme, e per questo vale la pena analizzarlo.

Il DPP non è solo un documento: è un artefatto informativo dentro un’infrastruttura più ampia, in cui ciò che rileva non è il contenuto del passaporto in sé, ma come i dati vengono conservati, gestiti, certificati e resi accessibili lungo cicli di vita che attraversano più attori e più giurisdizioni.

L’ecosistema Catena-X — l’applicazione più avanzata di questa logica nell’industria automotive europea — mostra cosa significa nella pratica: scambio di dati sovrano, standardizzato e sicuro, con connettori tecnici che permettono a ogni attore della filiera di condividere dati senza cederne la custodia. Non è un sistema di reportistica; è un’infrastruttura di interoperabilità che abilita la reportistica come funzione secondaria.

Ma qui emerge la prima tensione seria con la tesi. Catena-X non è un sistema puramente gerarchico: ha governance multi-attore, standard condivisi, architettura federata. Funziona, però, perché esiste una massa critica di soggetti — gli OEM (Original Equipment Manufacturer)— con sufficiente potere di standardizzazione da rendere credibile lo standard e l’adozione non opzionale nella pratica. Anche gli ecosistemi apparentemente collaborativi richiedono, per funzionare, che qualcuno abbia il peso specifico necessario a rendere lo standard abbastanza vincolante da innescare la rete. Non è solo una questione di potere contrattuale: è una questione di dinamica di rete — e la dinamica di rete richiede una massa critica iniziale che nelle filiere frammentate difficilmente si forma spontaneamente.

Questo è il problema dell’azione collettiva nella sua forma più nitida. La PMI che investe nell’architettura dati in assenza di pressione di filiera sta sostenendo un costo per un beneficio che dipende dalle scelte di soggetti che non controlla.

Il DPP, se adottato nelle forme previste, potrebbe diventare quel coordinatore esterno. Ma la consultazione è ancora aperta, gli standard semantici non sono definiti, e le imprese si trovano a dover scegliere architetture tecniche in un contesto regolatorio non ancora consolidato. La Commissione stima risparmi significativi dalla semplificazione del reporting digitale — una stima che ha senso a regime, su scala aggregata. Per la singola PMI che decide oggi, il calcolo è diverso.

4. La GenAI Come Acceleratore del Problema Sbagliato

La GenAI ha generato un’aspettativa specifica nel dibattito sulla compliance: che sia possibile automatizzare la produzione dei report senza cambiare la struttura dei dati sottostanti. Che sia sufficiente descrivere bene ciò che l’impresa fa, invece di strutturare in modo affidabile ciò che l’impresa sa di se stessa.

Questa aspettativa è comprensibile. La GenAI abbassa drasticamente il costo di produrre testo ben strutturato a partire da input grezzi. Un modello linguistico può prendere note interne, email, schede tecniche e produrre una bozza di report ESG leggibile in pochi minuti. Per la PMI che ha sempre affidato quella funzione a un consulente esterno a tariffa oraria, il guadagno immediato è reale.

Il problema non è l’utilizzo della GenAI. Il problema è quando diventa il presidio primario, invece dell’acceleratore finale di un processo già strutturato. E il problema specifico non è che produca testi inaccurati: è che produce output convincenti indipendentemente dalla qualità dell’input. Un report CSRD generato a partire da dati frammentati, non verificati, non governati, sarà leggibile, ben strutturato, e potenzialmente inaccurato in modo non rilevabile a prima vista dall’auditor o dal cliente di filiera.

L’efficacia dei sistemi automatizzati dipende in modo diretto dalla qualità e disponibilità dei dati sottostanti. Una scarsa data governance erode rapidamente i guadagni di efficienza. E in assenza di verifica sui dati di input, il rischio di affermazioni fattuali non ancorate a dati reali non è teorico: è documentato in contesti anche lontani dalla compliance industriale, con effetti giuridicamente rilevanti in sede di contenzioso.

I modelli attualmente disponibili per applicazioni enterprise integrano meccanismi di grounding su fonti documentali interne — Retrieval Augmented Generation — che riducono significativamente la probabilità di output non ancorati ai dati aziendali. Ma questo punto merita una calibrazione precisa: il grounding funziona bene quando i documenti interni sono strutturati, aggiornati e recuperabili. Quando non lo sono — che è esattamente la configurazione di partenza che questo articolo analizza — il RAG non risolve il problema a monte. Lo rende meno visibile. I sistemi generativi possono rendere opaca la fragilità del processo proprio perché ne migliorano l’output apparente.

La questione non è se usare la GenAI. È con quale struttura del dato a monte, con quale architettura di controllo, e con quale traccia verificabile del processo che produce l’output.

5. Tre Livelli, Non Una Formula

Supponiamo che una PMI superi la barriera del costo iniziale e adotti un sistema integrato — ERP con modulo di compliance, connettori verso la piattaforma del cliente, export standardizzato per ESRS. Ha risolto una parte del problema — quella tecnica dell’accesso. Non ha risolto la parte organizzativa, né quella semantica.

Vale la pena disaggregare il concetto che questo articolo usa come punto di convergenza. Quella che viene chiamata “qualità del dato” o “infrastruttura del dato” non è una formula unica: è almeno tre cose distinte, che si rinforzano ma non si sostituiscono.

Il primo livello è l’accesso tecnico: sistemi che parlano tra loro, connettori, formati standardizzati. È il livello più visibile e quello su cui si concentra la maggior parte delle soluzioni di mercato.

Il secondo livello è la governance organizzativa: chi è responsabile di quale dataset, con quale mandato, con quale frequenza di aggiornamento, con quale procedura per gestire le anomalie. Questo livello non emerge dall’adozione di una piattaforma. Richiede decisioni che qualcuno nell’organizzazione deve prendere e mantenere nel tempo — e richiede che a quel qualcuno sia assegnato un mandato esplicito, non una responsabilità residuale.

Il terzo livello è la coerenza semantica: definizioni condivise degli indicatori, tassonomie allineate tra attori e regolatori. Due imprese possono scambiare dati in un formato tecnicamente interoperabile e produrre informazioni non comparabili perché usano definizioni diverse per gli stessi indicatori. “Emissioni Scope 3” può includere o escludere categorie diverse a seconda di chi compila il dato. “Consumo di acqua” può riferirsi a prelievi, a utilizzo netto, a utilizzo lordo. Finché le tassonomie semantiche non sono allineate tra regolatori, piattaforme e attori di filiera, l’attrito nella comunicazione permane anche in presenza di sistemi tecnicamente avanzati.

Un sistema tecnicamente interoperabile con governance assente produce dati accessibili ma non affidabili. Una governance solida su dati semanticamente incoerenti produce responsabilità senza comparabilità. L’ordine in cui questi tre livelli vanno costruiti non è neutro — e confonderli è uno dei motivi per cui molti investimenti in digitalizzazione della compliance non producono i risultati attesi.

La logica della semplificazione normativa — che il Digital Omnibus persegue esplicitamente — non elimina il bisogno di governance del dato: lo presuppone. Ridurre gli obblighi formali non riduce la necessità che il dato sia accurato, coerente e tracciabile; sposta semplicemente il presidio dall’adempimento burocratico alla qualità sostanziale dell’informazione.

C’è infine una tensione che vale la pena nominare senza risolverla artificialmente. L’adozione di piattaforme integrate riduce la frammentazione dei dati, ma spesso sostituisce una dipendenza con un’altra: formati proprietari, integrazioni personalizzate, ecosistemi chiusi. Il Data Act rafforza la portabilità, ma uno strumento di mercato non è una soluzione di governance — sposta il potere negoziale, non stabilisce chi governa il dato.

6. Segnali Convergenti, Non Traiettoria Univoca

C’è una linea di tendenza nell’evoluzione del diritto digitale europeo che vale la pena rendere esplicita, perché orienta le scelte che le PMI devono fare oggi — pur con la cautela che si deve a letture teleologiche di normative nate con logiche spesso diverse.

Il GDPR ha introdotto la logica della privacy by design: le misure di protezione non si aggiungono al processo, si incorporano nell’architettura del sistema. L’AI Act introduce una logica analoga per i sistemi ad alto rischio: documentazione tecnica, log operativi, supervisione umana non sono presidi aggiuntivi; devono essere integrati sin dalla progettazione. Il DPP, se adottato nelle forme previste, porterà la stessa logica ai dati di prodotto: il passaporto non si produrrà a valle del processo manifatturiero; sarà il risultato naturale di un processo già strutturato per generare i dati richiesti.

Ci sono segnali convergenti — non ancora una traiettoria univoca — verso un modello in cui il regolatore europeo tende a presupporre che il dato sia strutturato prima della richiesta, non prodotto in risposta ad essa. Va però detto che questa lettura ha i suoi limiti: il legislatore europeo non si muove sempre in modo coerente, e spesso continua a scaricare nuovi oneri documentali su sistemi produttivi eterogenei, lasciando al mercato il costo della traduzione operativa.

Il Digital Omnibus non tira nella direzione opposta in senso pieno: mira anch’esso a ridurre la frammentazione e abbassare gli oneri burocratici. Ma semplificazione normativa e compliance strutturale non si sovrappongono: la prima riduce alcuni obblighi formali; la seconda presuppone che il dato sia già strutturato in modo affidabile. Le due pressioni non si elidono; si stratificano, lasciando alle PMI il compito di navigare tra segnali che puntano in direzioni parzialmente diverse — senza una bussola che indichi quale prevarrà, e quando.

L’incertezza regolatoria sulla GenAI applicata alla compliance è un ulteriore elemento di frizione. La tecnologia evolve più velocemente della legislazione, e le imprese non sanno ancora con certezza come i regolatori tratteranno i report generati o co-generati da LLM. La prudenza suggerisce di trattare la GenAI come acceleratore documentabile — con traccia dell’input umano, del dato fonte, e del processo di verifica — piuttosto che come sistema autonomo di reportistica.

Conclusioni: L’Infrastruttura Prima della Narrazione

La tesi di questo articolo è più stretta di come potrebbe apparire dal titolo.

Non sostiene che la GenAI sia inutile nella compliance. Non sostiene che le PMI debbano costruire architetture dati enterprise-grade prima di rispondere ai propri obblighi normativi. Non sostiene che CSRD e REACH siano equivalenti come problema.

Sostiene che, in presenza di una specifica configurazione di condizioni diagnosticabili — dato frammentato e non governato, cicli di reporting a estrazione manuale, GenAI come presidio primario invece che acceleratore terminale — il costo della compliance non scende. Si nasconde nel costo del recupero emergenziale che precede ogni ciclo, nel rischio di output non auditabili, nella non-comparabilità dei dati tra periodi.

Quella configurazione non è visibile nella singola iterazione del report. Diventa visibile quando un cliente di filiera richiede dati granulari che non esistono in forma strutturata, quando un auditor chiede la tracciabilità delle fonti che nessuno ha conservato, quando un’authority richiede un formato che presuppone un’architettura che non c’è.

Le tre tensioni che strutturano questo articolo non si risolvono con un tool.

Il costo iniziale dell’infrastruttura dati non si abbassa dicendo che il costo marginale futuro si riduce — anche se è vero. Si abbassa quando la pressione di filiera è sufficiente a creare incentivi reali all’adozione coordinata, oppure quando il regolatore definisce standard semantici abbastanza precisi da rendere l’investimento prevedibile nel suo perimetro.

Il problema dell’azione collettiva non si risolve con architetture tecniche — anche se le architetture tecniche sono condizione necessaria. Si risolve con incentivi, con potere contrattuale, con coordinamento. In assenza di questi, l’interoperabilità rimane una promessa simmetrica: tutti vogliono che gli altri la adottino per primi.

L’incertezza sulla GenAI in contesti regolatori non si risolve aspettando che la legislazione raggiunga la tecnologia — il gap è strutturale, non temporaneo. Si gestisce con governance documentata del processo di produzione dell’output: chi ha verificato cosa, su quale base, con quale frequenza.

La tesi centrale non è che le PMI debbano costruire architetture dati enterprise-grade prima di rispondere ai propri obblighi. È più stretta: oltre una certa soglia di complessità documentale e di pressione di filiera, il modello manuale smette di essere efficiente — e in quel momento la GenAI, senza mandato organizzativo sul dato, rischia di rendere più persuasivo un processo che resta fragile.

Quella soglia non è astratta. È diagnosticabile: numero di clienti che richiedono dati strutturati in modo ricorrente, varietà di formati richiesti, presenza di audit o assurance, frequenza delle richieste di filiera. Sotto quella soglia, il modello manuale resta razionale. Sopra, ogni ciclo di reporting diventa un costo di recupero travestito da processo.

La domanda vera non è se strutturare il dato prima della narrazione. È chi, nella PMI, ha il mandato di farlo — e con quale frequenza, su quali dataset, verso quali interlocutori. Quando quel mandato è assente, rimane un report ben scritto su basi non verificabili. Che non è un problema fino a quando qualcuno inizia a verificarle.