Domande frequenti

Il mercato viene testato per primo, fattibilità commerciale, legale/normativa, adeguatezza del prodotto, poi Mario esegue personalmente: operazioni di vendita, compliance locale, gestione delle gare e sviluppo dei canali, prima che tu ti impegni con un'entità legale o un'assunzione locale. Lo stesso senior operator che conduce il test fa il lavoro, dall'inizio alla fine, con reportistica trasparente lungo tutto il percorso. Il GCC è il mercato principale; Brasile, Italia, Spagna e Portogallo sono ora aperti per un numero limitato di incarichi.

La porta d'ingresso della pratica. Un test a perimetro fisso di fattibilità commerciale, legale e normativa, e adeguatezza del prodotto, condotto sul tuo prodotto reale, il tuo prezzo e i tuoi account target negli EAU e in KSA. Ricevi un verdetto scritto e datato con le prove allegate: cosa è stato testato, cosa ha detto il mercato, e se impegnare un'entità o un'assunzione è giustificato. La parcella è fissa e comunicata chiaramente nella prima conversazione, niente tariffe giornaliere, nessun contatore che gira. Se il terreno regge, l'esecuzione prosegue con la stessa persona, senza passaggi di consegne. Il verdetto può essere negativo. Un no documentato, con le prove allegate, vale metà del valore: la parcella è la stessa in entrambi i casi, quindi non c'è incentivo a trovare un sì che non c'è. Un no documentato è la cosa più economica che comprerai mai nel Golfo: libera il budget per l'entità, l'assunzione locale, e un anno di attenzione del founder per il mercato che se lo merita.

Un virtual CISO (vCISO) è un leader senior della cybersecurity ingaggiato su base frazionale o di consulenza invece che come assunzione a tempo pieno. Probabilmente ne hai bisogno se affronti scrutinio normativo (NIS2, PDPL, LGPD, ISO 27001), vendi ad account enterprise che chiedono prove di sicurezza, o entri in un nuovo mercato dove le regole sulla protezione dei dati non ti sono familiari. Un vCISO ti dà una governance della sicurezza a livello di board senza il costo o i tempi di un'assunzione permanente.

La consulenza di AI governance copre le policy, i controlli e la documentazione di cui un'azienda ha bisogno per usare l'IA in modo responsabile e conforme. In pratica: censire i sistemi di IA in uso, classificarli per livello di rischio (soprattutto sotto l'EU AI Act), definire le procedure di supervisione umana per gli usi ad alto rischio, verificare i contratti dei fornitori rispetto agli obblighi dell'AI Act, e aiutare il management a spiegare le decisioni dell'IA a regolatori, revisori e buyer enterprise.

L'AI governance è l'insieme di policy, controlli e processi di supervisione che determinano come l'IA viene sviluppata, distribuita e monitorata all'interno di un'organizzazione. Conta per le vendite enterprise perché i grandi buyer, banche, assicurazioni, telco, enti pubblici, chiedono sempre più spesso: "puoi dimostrare che la tua IA è equa, verificabile e sicura?". Sotto l'EU AI Act, parte di questo diventa obbligatorio. Ma anche dove non è ancora legge, le aziende che possono dimostrare un'IA governata chiudono i deal più rapidamente e con meno attrito di quelle che non possono.

The Tek Atelier è una pratica guidata dal principal. Mario Pucciarelli fa il lavoro, non un team junior. Il focus è ristretto: ingresso nel mercato tech, governance della sicurezza e compliance IA nel Golfo, in America Latina e in Europa. Non ci sono grandi strutture di overhead da sostenere, quindi gli incarichi sono più mirati, più rapidi da avviare, e la parcella riflette il lavoro reale. I clienti trattano direttamente con qualcuno che ha operato all'intersezione di tech, sicurezza e deal commerciali in questi mercati per 25 anni.

Aziende tech, SaaS, cybersecurity e AI guidate dal founder, post-revenue, al primo ingresso nel GCC, senza ancora un'entità locale. Il buyer è direttamente il founder o il CEO. Se hai già un'entità nel Golfo e un team locale operativo, hai bisogno di supporto all'esecuzione più che di un test di mercato, e te lo dirò nella prima conversazione.

Gli incarichi sono strutturati come retainer a perimetro definito o progetto a parcella fissa. Un incarico di consulenza per l'ingresso nel mercato dura in genere 3–6 mesi. Una valutazione della postura di sicurezza o una revisione di AI governance è di solito un progetto a perimetro fisso. Le parcelle riflettono la seniority del lavoro e il valore creato. La prima conversazione è sempre gratuita e senza impegno.

Mario lavora in inglese, italiano, spagnolo e portoghese. Consulenza, proposte e comunicazioni con i clienti possono essere fornite in una qualsiasi di queste lingue, rilevante per gli incarichi in America Latina e in Europa.

È la scelta giusta se: sei un'azienda tech o SaaS che entra nel GCC o in LatAm, hai bisogno di governance della sicurezza per chiudere deal enterprise, stai affrontando la compliance IA (EU AI Act, PDPL, LGPD), oppure vuoi una consulenza senior e diretta invece di un deck patinato da un grande team. Il modo più semplice per scoprirlo è una chiamata di 30 minuti, senza impegno, senza pitch. Non è la scelta giusta se: hai già un'entità nel GCC con un team locale operativo, hai un prodotto pre-revenue, o cerchi il prezzo più basso.

The Tek Atelier opera principalmente nel GCC (EAU, Arabia Saudita, Qatar, Bahrein, Kuwait, Oman), in Europa continentale (con un focus sull'Italia e sul perimetro normativo UE), e in America Latina (Brasile, Messico, Colombia, Cile, Argentina). Mario Pucciarelli vive e lavora nel Golfo da 12 anni e porta una conoscenza diretta del contesto commerciale e normativo di ogni regione.

Un tempo realistico per un'azienda tech o SaaS che entra negli EAU partendo da zero è 6–18 mesi per il primo fatturato significativo. I primi 90 giorni si spendono in genere in costituzione dell'entità legale, baseline di compliance, identificazione dei primi partner e costruzione delle relazioni chiave. Gli EAU premiano la costanza e la presenza in loco: le aziende che si presentano trimestralmente chiudono molto più rapidamente di quelle che lavorano solo da remoto.

Non sempre, ma in pratica sì per un'attività commerciale seria. I contratti governativi e le vendite in settori regolati (banche, telco, salute) richiedono quasi sempre un'entità locale o almeno un partner locale con licenza commerciale valida. Le entità in free zone (RAKEZ, DIFC, ADGM, DMCC) sono rapide da costituire e permettono il 100% di proprietà straniera. Le entità mainland richiedono più interazione normativa ma danno accesso più ampio al mercato.

Tre cose contano più di tutto: le relazioni prima delle transazioni (le decisioni si prendono con persone di cui ci si fida), la gerarchia e l'autorità (le proposte funzionano meglio se indirizzate al vero decisore), e la pazienza (i tempi nel Golfo sono più lunghi dei cicli tech occidentali, e un rallentamento dopo segnali positivi è normale, non un rifiuto). Anche il calendario del Ramadan, le approvazioni governative e il weekend venerdì–sabato richiedono pianificazione.

DIFC (Dubai International Financial Centre) e ADGM (Abu Dhabi Global Market) sono entrambe free zone finanziarie di common law, con proprie corti, regolatori e framework di protezione dei dati allineati in larga parte al GDPR. Il DIFC è basato a Dubai ed è generalmente preferito per i servizi finanziari e la consulenza professionale. L'ADGM è basato ad Abu Dhabi ed è sempre più rilevante per fintech e veicoli d'investimento. Entrambe sono riconosciute dall'UE ai fini del trasferimento dati.

Sì. The Tek Atelier lavora con aziende europee che entrano nel GCC, aziende latinoamericane che affrontano gli obblighi di compliance UE, e aziende del GCC che si espandono in Europa o in LatAm. Aziende basate ovunque possono richiedere consulenza normativa (EU AI Act, GDPR, NIS2, LGPD, PDPL) indipendentemente da dove hanno sede.

Il Federal Decree-Law No. 45 del 2021 (PDPL) è il principale framework di protezione dei dati degli EAU. Si applica a qualsiasi organizzazione che tratta dati personali di individui negli EAU, indipendentemente da dove ha sede l'organizzazione. Gli obblighi principali includono la nomina di un data controller o processor, l'implementazione di misure di sicurezza, e la gestione dei trasferimenti transfrontalieri di dati. Le entità DIFC e ADGM hanno proprie normative parallele.

La PDPL dell'Arabia Saudita, applicata da SDAIA, riguarda ogni trattamento di dati personali relativi a individui in Arabia Saudita. Condivide l'architettura generale della legge degli EAU, consenso, limitazione delle finalità, controlli sui trasferimenti transfrontalieri, ma è applicata da un'autorità diversa con sanzioni e tempistiche distinte. Le aziende attive in entrambi i Paesi hanno bisogno di percorsi di compliance separati.

Sì. L'EU AI Act ha portata extra-territoriale: si applica a qualsiasi azienda i cui sistemi di IA siano immessi sul mercato UE o i cui output di IA siano usati da persone nell'UE, indipendentemente da dove l'azienda sia costituita. Un'azienda degli EAU o del Brasile che distribuisce IA a utenti europei deve conformarsi. Gli obblighi ad alto rischio si applicano dal 2 dicembre 2027 e dal 2 agosto 2028, secondo il tipo di sistema.

La Lei Geral de Proteção de Dados (LGPD) è la legge nazionale sulla protezione dei dati applicata da ANPD. Si applica a qualsiasi organizzazione che tratta dati personali di individui in Brasile, incluse le aziende con sede fuori dal Brasile. I requisiti principali includono una base giuridica per il trattamento, la nomina di un Data Protection Officer (DPO) in molti casi, i diritti dell'interessato, e la notifica delle violazioni di dati. ANPD applica attivamente la legge dal 2023.

Il NIS2 (Direttiva UE 2022/2555) richiede alle entità essenziali e importanti nei settori critici di implementare misure di gestione del rischio, segnalare incidenti significativi entro 24–72 ore, e garantire la sicurezza della supply chain. Il management senior può essere ritenuto personalmente responsabile in caso di non conformità. Le aziende con 50+ dipendenti o fatturato oltre 10 milioni di euro attive nell'UE nei settori in ambito sono in genere coperte. L'applicazione nazionale è attiva in tutti gli Stati membri UE.

SDAIA (Saudi Data and AI Authority) è l'ente governativo saudita responsabile sia della protezione dei dati (applicando la PDPL saudita) sia della strategia nazionale sull'IA. Ha pubblicato la National AI Strategy e gli AI Ethics Principles, e ci si attende che emetta regolamenti specifici per l'IA allineati agli standard internazionali. L'Arabia Saudita ha designato il 2026 come il suo "Anno dell'IA". Le aziende che entrano nel mercato saudita con prodotti IA dovrebbero confrontarsi presto con i framework pubblicati da SDAIA.

Il PL 2338 è la proposta di regolamento IA del Brasile, un framework basato sul rischio ispirato in larga parte all'EU AI Act. Ha superato il Senato e sta avanzando alla Camera dei Deputati a metà 2026. Anche prima che diventi legge, le aziende che trattano dati con l'IA in Brasile sono già soggette agli obblighi della LGPD sulle decisioni automatizzate. Le aziende con una base utenti brasiliana significativa dovrebbero iniziare ora la classificazione del rischio IA: lo sforzo di compliance è minore se si parte prima che la legge venga approvata.

I team di procurement enterprise, soprattutto in banche, assicurazioni, telco e settore pubblico, inviano ormai di routine questionari sulla sicurezza dei fornitori come condizione di valutazione. Sotto il NIS2 e gli equivalenti GCC, i buyer sono legalmente responsabili della sicurezza dei propri fornitori. Una postura debole ti relega in fondo alle shortlist o ti esclude del tutto. La tua postura di sicurezza fa ormai parte della conversazione commerciale.

Una valutazione della postura di sicurezza è una revisione strutturata dei tuoi controlli attuali, delle lacune e dell'esposizione al rischio rispetto a un framework (ISO 27001, NIST CSF, DORA, o il questionario di un buyer). Per un'azienda tech mid-market con un ambiente ragionevolmente documentato, una valutazione iniziale richiede 2–4 settimane e produce un'analisi delle lacune, risultati classificati per rischio e una roadmap di remediation. Il risultato è pensato per essere presentabile al board e difendibile nelle conversazioni di procurement.

La ISO 27001 è lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni. È sempre più attesa, non solo preferita, quando si vende a enti governativi, grandi telco e banche negli EAU. SDAIA e diversi enti governativi sauditi la citano nei requisiti di procurement. Prepararsi alla certificazione richiede in genere 6–18 mesi a seconda della postura attuale.

Usa il modulo di contatto o scrivi direttamente a mario@tek-atelier.com. Descrivi brevemente cosa vuoi ottenere, ingresso nel mercato, postura di sicurezza, AI governance, o una combinazione. Mario risponderà entro un giorno lavorativo e proporrà una breve chiamata introduttiva per stabilire se e come la pratica può aiutarti.