da 3 a 5 milioni

AI4SME paga chi costruisce strumenti di cybersecurity basati sull’intelligenza artificiale e li porta dentro le PMI: software house, fornitori di sicurezza gestita, startup e centri di ricerca, da soli o in consorzio. Se invece sei una PMI che vuole comprare servizi cloud o di sicurezza, questa call non ti finanzia l’acquisto: la misura che cerchi è il Voucher Cloud e Cybersecurity del MIMIT.

Il topic DIGITAL-ECCC-2027-DEPLOY-CYBER-11-AI4SME mette 20 milioni di euro su progetti che sviluppano o adattano soluzioni di cybersecurity con IA per le PMI e le validano. Il contributo atteso è da 3 a 5 milioni a progetto, a costi reali: 75% dei costi ammissibili dei beneficiari che sono PMI, 50% per tutti gli altri. Lo gestisce il Centro europeo di competenza per la cybersicurezza (ECCC). Presentano le persone giuridiche stabilite e controllate nell’Unione o nello Spazio economico europeo, anche senza partner, entro le 17:00 del 14 gennaio 2027. Per gli altri programmi europei c’è la nostra guida ai bandi europei.

La tabella si può citare indicando la fonte: Incentivimpresa, AI4SME, call document DIGITAL-ECCC-2027-DEPLOY-CYBER-11 versione 1.0, verifica del 2 ottobre 2026.

Che cosa deve fare un progetto AI4SME

Nel programma Europa Digitale, AI4SME serve a diffondere sul mercato soluzioni di cybersecurity basate sull’IA, soprattutto nelle PMI, anche partendo da risultati di Horizon Europe. Se un progetto rientra lo decide una frase: «Proposals should cover the development or adaptation of the software/hardware and the validation of the solutions». Servono sviluppo o adattamento e la prova che lo strumento funziona. Il solo acquisto di licenze da distribuire non basta.

La forma attesa è un kit SaaS costruito su misura per le PMI, per gestire il rischio, rilevare le minacce, rispondere agli incidenti e notificarli. Il progetto deve comprendere almeno una di tre attività: l’adozione di strumenti con IA in organizzazioni che non li usano ancora; lo sviluppo di un kit che automatizzi valutazione del rischio, allerte su vulnerabilità e collegamento a un Cyber Hub per segnalare gli incidenti; un’interfaccia con cui la PMI segnala un incidente e riceve istruzioni da assistenti basati sull’IA. Fra i risultati attesi ci sono l’adozione di soluzioni pronte per il mercato e strumenti aggiornati «to organisations (in particular SMEs) to prepare, protect and respond to cybersecurity threats».

Il progetto si misura anche sul numero di PMI raggiunte. Fra gli indicatori obbligatori c’è il «Number of entities benefitting from project activities, in particular SMEs», accanto a quello sugli strumenti e servizi sviluppati, testati e validati per le PMI. Nella nostra lettura una proposta solida sullo sviluppo ma vaga su quante PMI useranno lo strumento parte svantaggiata, perché il criterio Impact valuta proprio il raggiungimento dei risultati attesi. Sui sistemi di IA c’è anche una revisione etica, su supervisione umana, equità e trasparenza. Se il tuo progetto è di intelligenza artificiale ma la sicurezza non ne è il centro, guarda i nostri bandi per l’intelligenza artificiale.

Chi presenta, chi incassa, chi beneficia

Presentano le persone giuridiche, pubbliche o private, stabilite nell’Unione o in Norvegia, Islanda e Liechtenstein; fra le persone fisiche, solo le ditte individuali. Grandi imprese, università ed enti pubblici sono ammessi, al 50%. Il consorzio non è obbligatorio: basta un solo soggetto, che diventa coordinatore, anche se il call document incoraggia la collaborazione. L’elenco dei destinatari della scheda (PMI, startup, ricerca, settore pubblico, soggetti NIS 2, altri attori industriali compresi i fornitori di funzioni basate sull’IA) è indicativo, non un requisito. Ogni proposta riguarda un solo topic.

Tutti i pagamenti vanno al coordinatore, che li ripartisce secondo l’accordo di consorzio. Il «European SMEs» del nome ufficiale del topic trae in inganno: una PMI che vuole il contributo deve entrare nel progetto, come beneficiaria o entità affiliata, con rendicontazione e controlli. Per chi vende sicurezza alle PMI il precedente più vicino è CYSSDE, la call per chi eroga penetration test, chiusa il 28 aprile 2026. AI4SME chiede un passo in più: sviluppare o adattare uno strumento con IA, e validarlo.

La restrizione di sicurezza: chi resta fuori anche con sede in Italia

Vale l’art. 12, par. 5, del regolamento (UE) 2021/694 nel testo consolidato su EUR-Lex: per la cibersicurezza gli inviti possono essere riservati ai soggetti «stabiliti o considerati stabiliti negli Stati membri e controllati da Stati membri o da cittadini di Stati membri». Il call document lo applica nella forma più rigida: entra solo chi è stabilito e controllato nell’Unione, i Paesi associati al programma restano fuori, lo Spazio economico europeo è equiparato agli Stati membri. La guida della Commissione sulle restrizioni di proprietà e controllo, versione 2.0 del 1° gennaio 2026, e il call document stesso ne fissano la portata:

• la regola copre ogni ruolo, subappaltatori e partner associati compresi, e ogni entità, salvo gli enti pubblici validati, presenta la dichiarazione di proprietà e controllo;
• conta la possibilità di un’influenza determinante, diretta o tramite società intermedie, di diritto o di fatto, fino ai titolari ultimi;
• lo stato si fotografa alla scadenza e va mantenuto per tutto il progetto: un partecipante controllato da fuori va sostituito, altrimenti può cadere l’intera proposta;
• attività e lavoro subappaltato si svolgono nei Paesi ammissibili, e lì vanno sfruttati i risultati, con limiti a cessioni e licenze.

Quanto si ottiene: il 75% vale solo sui costi delle PMI beneficiarie

La sovvenzione AI4SME è a costi reali e non può generare utile: l’ECCC rimborsa una percentuale delle spese effettivamente sostenute (personale, subappalti, viaggi, attrezzature, altri beni e servizi) e riconosce i costi indiretti con un forfait del 7% dei costi diretti. Il tasso segue il beneficiario, non il progetto.

Rovesciando il conto, una PMI da sola che chiede 3 milioni deve rendicontare 4 milioni di costi e coprirne 1 con risorse proprie; per 5 milioni servono 6.666.667 euro di costi. Un’università o una grande impresa da sola ha bisogno di 6 milioni di costi per ottenerne 3, di 10 per ottenerne 5. Tre scenari, con ipotesi dichiarate: 36 mesi, tutti i costi accettati, nessun ricavo, anticipo ripartito in proporzione al contributo (importi in euro).

L’anticipo, normalmente l’80% del contributo massimo, arriva entro 30 giorni dall’entrata in vigore della convenzione, oppure 10 giorni prima dell’avvio o dopo l’eventuale garanzia, se una di queste date è più tarda. Prima del saldo i pagamenti si fermano al 90%. Con la firma indicata per ottobre 2027 e un avvio ipotetico il 1° gennaio 2028, la PMI dello scenario A incassa 2,4 milioni entro dicembre 2027 e l’ultimo 10% solo dopo la relazione finale, nel 2031. Senza contare le imposte, il suo saldo di cassa tocca 1,3 milioni negativi a fine 2030: più della quota a carico.

La nostra posizione: tra quota a carico e cassa da sostenere fino al saldo, presentare da sola è una scelta da PMI strutturata. Una startup al primo prodotto ha più senso come beneficiaria in un consorzio, dove prende il 75% sui propri costi senza reggere da sola la quota a carico e le responsabilità del coordinatore.

Fisco e bilancio del contributo AI4SME per un’impresa italiana

Il call document non tratta il fisco nazionale e la prassi dell’Agenzia delle Entrate non parla in modo espresso dei contributi dell’ECCC: quello che segue si ricava da norme e prassi su contributi europei con la stessa struttura, nel testo vigente al 2 ottobre 2026.

Che contributo è. Per quasi tutto il suo importo è un contributo in conto esercizio: rimborsa una percentuale dei costi e va nella voce A5 del conto economico man mano che i costi si sostengono (OIC 12, par. 56, lett. f). Su un finanziamento Orizzonte 2020 costruito in modo analogo l’Agenzia ha escluso conto capitale e conto impianti: è un ricavo dell’art. 85, c. 1, lett. g) TUIR, contributo spettante in base a contratto (Risposta n. 188 del 15 giugno 2020). Fanno eccezione le attrezzature a costo pieno, il cui contributo segue gli ammortamenti (OIC 16; art. 88, c. 3, lett. b) TUIR), e i costi di sviluppo capitalizzati, per cui vale l’OIC 24. Trattarlo come conto capitale vorrebbe dire pagare le imposte sull’80% di anticipo l’anno in cui arriva.

Quando si tassa. È imponibile IRES al 24% (art. 77 TUIR) e IRAP con l’aliquota ordinaria del 3,9% (art. 16 D.Lgs. 446/1997), per competenza. Con la derivazione rafforzata dell’art. 83 TUIR conta l’anno in cui entra in A5; per la micro impresa senza opzione, quello in cui il diritto è certo e l’importo determinabile (art. 109 TUIR). Il diritto nasce con la convenzione e matura con i costi ammissibili dell’anno. L’anticipo non si tassa all’incasso, e il saldo pagato dopo la fine del progetto si tassa negli anni dei costi. Una startup in perdita non paga subito, ma consuma perdite riportabili. Sull’IRAP resta un punto aperto. L’art. 5, c. 3 esclude i contributi erogati in base a norma di legge correlati a costi indeducibili, ma su un contributo da convenzione UE non c’è prassi. La scelta prudente è includerlo tutto nella base.

Le imposte sul contributo non abbassano la copertura, se l’impresa è capiente e i costi coperti sono deducibili, come il personale a tempo indeterminato anche ai fini IRAP: il contributo si tassa, ma i costi si deducono, e la quota che resta a carico dopo le imposte è il 25% dei costi al netto delle imposte (il 50% per chi non è PMI). Il 54% che si ottiene togliendo IRES e IRAP dal solo contributo (il 36% per il tasso del 50%) è il confronto con un aiuto non tassato, non il numero da mettere nel piano finanziario. Le imposte sul contributo pesano davvero solo sui costi coperti che non si deducono.

Ritenuta e IVA. Sul pagamento dell’ECCC la ritenuta del 4% (art. 28, c. 2, DPR 600/1973; dal 2027 art. 43, c. 2, D.Lgs. 33/2025) non si applica. La Ris. 108/E del 4 agosto 2004 l’ha esclusa per i contributi della Commissione europea che passano da intermediari di pagamento, e a maggior ragione non scatta sul pagamento diretto, che nessun documento di prassi tratta in modo espresso. Controverso è il caso del coordinatore italiano che gira le quote ai partner. La lettura che regge meglio esclude la ritenuta, perché il coordinatore fa da tramite; quella prudente richiama la Risposta n. 586 del 15 settembre 2021, che l’ha imposta al capofila di un contributo nazionale. Se il coordinatore la applica, per il partner è un acconto da scomputare in dichiarazione, non un costo. La scelta va scritta nell’accordo di consorzio, e sui grandi importi conviene un interpello. Ai fini IVA il contributo è fuori campo, perché l’ECCC non acquista nulla e non diventa proprietario dei risultati (Circ. 34/E del 21 novembre 2013).

Anticipo e rischio di restituzione. L’anticipo resta di proprietà dell’Unione fino al pagamento finale (convenzione tipo, art. 22.3.1), quindi non è un ricavo. Si può esporre come debito verso l’ECCC (voce D.14) o come risconto passivo, con lo stesso effetto economico e fiscale; nessun principio OIC tratta il caso, e noi consigliamo il debito, spiegato in nota integrativa. A fine anno va in A5 il maturato e, se supera l’incassato, nasce un credito verso l’ECCC: nello scenario A il bilancio 2027 chiude con 2,4 milioni di debito e nessun ricavo, quello 2030 con un credito di 300.000 euro. Se a fine anno un taglio al saldo è probabile e stimabile, meglio rilevare meno contributo che accantonare, perché l’accantonamento non è deducibile (art. 107, c. 4 TUIR), mentre la restituzione certa è una sopravvenienza passiva deducibile. Controlli e audit sono possibili fino a 5 anni dal saldo.

Effetti sui parametri dell’impresa. Il contributo in A5 entra nel valore della produzione e, per una startup innovativa, pesa sul limite dei 5 milioni annui dal secondo anno di attività (art. 25, c. 2, lett. d, DL 179/2012). Non entra invece nel fatturato che decide la dimensione d’impresa, la voce A1 (DM 18 aprile 2005, art. 2, c. 5), mentre l’anticipo in cassa gonfia il totale di bilancio, l’altro parametro. Lo status di PMI, calcolato con le imprese associate e collegate, si perde solo dopo due esercizi consecutivi sopra le soglie; se cambia, però, cambia anche il tasso applicato ai costi dell’impresa. Dal 1° gennaio 2027 cambiano i numeri degli articoli, non le regole: l’art. 85 TUIR diventa l’art. 94 del D.Lgs. 117/2026, l’art. 83 il 92 e l’art. 109 il 118.

Cumulo, aiuti di Stato e RNA

Il contributo dell’ECCC non è un aiuto di Stato. La Disciplina della Commissione sugli aiuti a ricerca, sviluppo e innovazione (2022/C 414/01, punto 10 e nota 15) esclude i finanziamenti UE gestiti a livello centralizzato, «compresi i finanziamenti concessi nell’ambito di Orizzonte Europa o del programma Europa digitale». Quindi non consuma il plafond de minimis, il tetto di 300.000 euro di aiuti per impresa unica nell’arco di tre anni, su base mobile (Reg. (UE) 2023/2831, art. 3, par. 2). Non va nel Registro nazionale degli aiuti (L. 234/2012, art. 52) e non richiede un articolo del GBER. Proprio perché l’RNA non lo mostra, va dichiarato quando chiedi un aiuto nazionale.

Sul GBER c’è anche una lettura estensiva, che prende come tetto il massimo del programma, fino al 100% dei costi (Reg. 2021/694, art. 19), e lascerebbe spazio sulla quota a carico. Finché manca una posizione ufficiale conviene la prudente, che non espone l’aiuto nazionale alla revoca, da rileggere sul nuovo GBER atteso per la fine del 2026. Per la trasparenza della L. 124/2017, l’ECCC non è fra i soggetti eroganti italiani e sul pagamento diretto l’obbligo non scatta. Se il denaro passa da un coordinatore pubblico italiano la lettura è incerta, e con una sanzione dell’1% e un minimo di 2.000 euro conviene pubblicare.

Costo del personale: tariffa giornaliera, esoneri e titolari senza stipendio

Il personale si rendiconta a giornate: la tariffa giornaliera è il costo annuo della persona diviso 215, per le giornate lavorate sul progetto, con un massimo di 215 giornate l’anno sommando tutte le sovvenzioni UE (convenzione tipo, art. 6.2.A.1). Nel costo annuo entrano retribuzione con tredicesima e mensilità aggiuntive, contributi obbligatori, INAIL, TFR e previdenza complementare da contratto collettivo. Restano fuori bonus discrezionali, dividendi, retribuzioni rimborsate dall’ente previdenziale e la parte di costo che l’impresa non ha sostenuto grazie a esoneri e sgravi contributivi.

Un’ipotesi di calcolo, non un caso reale: dipendente a tempo pieno e indeterminato con un costo annuo in contabilità di 54.000 euro, di cui 6.000 di contributi non versati per un esonero, 150 giornate sul progetto, PMI al 75%.

Lo scarto è di 4.479,07 euro di costo e 3.359,30 euro di contributo, per una persona e un anno: un costo non sostenuto, che in un controllo viene respinto.

Titolari che non sono dipendenti. Chi possiede direttamente la PMI beneficiaria e non ne è dipendente non dichiara il proprio compenso ma un costo unitario per giornata, anche quando è pagato con un contratto diverso da quello di lavoro dipendente o con gli utili. Vale quindi anche per il socio amministratore di una srl remunerato con il compenso da amministratore. Per le call aperte dal 16 dicembre 2025 la tariffa è 9.271 euro diviso 18, cioè 515,06 euro al giorno (allegato 2a della Commissione, versione 1.11), moltiplicata per il coefficiente del Paese. Con il 93,8% indicato per l’Italia nel programma di lavoro Horizon Europe delle azioni Marie Skłodowska-Curie (tabella 1) sono circa 483 euro. Il coefficiente in vigore all’apertura della call non abbiamo potuto confermarlo: va verificato prima di chiudere il budget. I tempi si provano con timesheet mensili firmati, mai ricostruiti a fine progetto.

Gli errori che costano

Prima e dopo la firma: gli obblighi da mettere in agenda

• Accordo di consorzio prima della firma, se i beneficiari sono più di uno, con ripartizione dei pagamenti, tutela del coordinatore e scelta sulla ritenuta.
• Verifica della capacità finanziaria, che di norma non si fa per enti pubblici, organizzazioni internazionali e chi chiede fino a 60.000 euro, ed eventuale garanzia sull’anticipo in euro, emessa da una banca o da un istituto finanziario approvato e stabilito in uno Stato membro.
• Centro di costo del progetto, anticipo registrato a debito, timesheet mensili.
• Piano di diffusione entro sei mesi, relazioni sugli indicatori ai mesi 12, 24 e 36, relazione periodica entro 60 giorni dalla fine di ogni periodo.
• Certificato sui rendiconti al saldo per chi chiede almeno 325.000 euro di contributo.
• Doppio logo UE ed ECCC, stato di controllo mantenuto, sfruttamento dei risultati nei Paesi ammissibili fino a 4 anni dopo la fine, documenti conservati 5 anni dal saldo.

Valutazione, documenti e calendario

La valutazione è in un solo passaggio, da parte di un comitato con esperti indipendenti, con graduatoria per topic. I criteri sono Relevance, Implementation e Impact, senza pesi: ciascuno da 0 a 5 con soglia 3, e un totale minimo di 10 su 15. Per AI4SME non si valutano la capacità di superare la mancanza di finanziamento di mercato e il contributo al Green Deal; resta invece il rafforzamento della catena di fornitura digitale europea. Tassi di successo e dati delle call precedenti il call document non li riporta: l’unico riferimento è il numero indicativo di 5 progetti che si legge sulla pagina del topic.

Si caricano la Parte A online, la Parte B sul modello del sistema di presentazione (massimo 70 pagine; quello specifico della call si vede solo con EU Login, e da fuori non abbiamo potuto leggerlo) e, come unico allegato obbligatorio, le dichiarazioni di proprietà e controllo. CV e tabelle di budget dettagliate non servono. Ogni partecipante ha il suo codice PIC, il numero di identificazione che si ottiene registrandosi sul portale, la proposta si può modificare fino alla scadenza e vale solo se arriva l’e-mail di conferma.

Due cautele sul budget. Il call document avverte che la disponibilità delle risorse «still depends on the final adoption of the 2025-2027 Work Programme amendment». L’emendamento 3 risulta adottato a luglio 2026 con la decisione n. 2026/7 del Governing Board dell’ECCC, ma non abbiamo potuto stabilire se la frase sia ancora attuale. L’ECCC si riserva poi di non assegnare tutti i fondi o di spostarli fra i topic. Rimandare è una scommessa: nel programma di lavoro vigente AI4SME ha 20 milioni solo nel 2026, salvo emendamenti futuri, e per il 2027 ci sono 15 milioni su un topic diverso per le PMI, «Uptake of innovative cybersecurity solutions for SMEs». Le altre scadenze sono nel nostro calendario dei bandi europei 2026.

A chi chiedere in Italia

La call indica come primo contatto il centro nazionale di coordinamento del proprio Paese. Per l’Italia è l’Agenzia per la cybersicurezza nazionale, che opera come NCC Italia ai sensi del DL 82/2021 e del Reg. (UE) 2021/887, all’indirizzo [email protected], e fra i suoi compiti ha l’assistenza tecnica ai proponenti. Poi c’è l’ECCC, [email protected], indicando call e topic. I punti di contatto nazionali di Europa Digitale per l’Italia non siamo riusciti a verificarli: alla verifica del 2 ottobre 2026 il sito di APRE dedicato al programma rispondeva con un errore del server e l’elenco sul portale della Commissione era vuoto. Alla stessa data la pagina del topic contava oltre quaranta annunci di ricerca partner e nessuna FAQ.

Domande frequenti su AI4SME

Come muoverti

Prima di scrivere la Parte B servono tre verifiche: la catena di controllo di tutti i soggetti coinvolti, subappaltatori compresi; i ruoli, decisi guardando al tasso effettivo e alla quota a carico di ciascuno; il piano finanziario, costruito sul fabbisogno di cassa e sulla quota a carico dopo le imposte, non sul solo 75% nominale. Per le misure nazionali e regionali da affiancare su costi diversi c’è il nostro elenco aggiornato dei bandi a fondo perduto aperti in Italia.

Stai valutando se presentare AI4SME da solo o in consorzio? Compila il form in alto: noi di Incentivimpresa ti ricontattiamo e facciamo con te queste tre verifiche prima della scadenza del 14 gennaio 2027.

Fonti ufficiali verificate il 2 ottobre 2026. ECCC, call document DIGITAL-ECCC-2027-DEPLOY-CYBER-11, versione 1.0 del 1° settembre 2026, per ambito, importi, tassi, requisiti e calendario; Commissione europea, pagina del topic AI4SME sul Funding & Tenders Portal, per stato, dotazione, progetti indicativi e anno di bilancio; modello di convenzione del programma Europa Digitale, versione 1.0 del 1° novembre 2024, per anticipo, pagamenti e certificati. Fisco e bilancio si basano sulle norme e sulla prassi citate nel testo, nella versione vigente al 2 ottobre 2026.