L’intelligenza artificiale è entrata nelle organizzazioni molto più velocemente dei processi necessari a controllarla. È probabilmente questo, oggi, uno degli aspetti meno visibili e al tempo stesso più rilevanti della trasformazione in corso: mentre aziende e pubbliche amministrazioni sperimentano modelli generativi, introducono assistenti nei processi interni, automatizzano attività e acquistano applicazioni che incorporano funzionalità AI, la capacità di sapere esattamente dove l’intelligenza artificiale viene utilizzata, da chi, con quali dati, per quali finalità e sotto quale responsabilità procede spesso a una velocità molto diversa.

Il problema, quindi, non è più soltanto decidere se adottare l’AI. Molte organizzazioni lo hanno già fatto, talvolta senza averlo formalmente deciso. La questione strategica è capire se l’impresa stia costruendo parallelamente una capacità adeguata di governarla.

È su questa distanza tra adozione e governo che nei prossimi anni si giocherà una parte significativa della maturità digitale delle organizzazioni.

Dalla sperimentazione tecnologica alla responsabilità organizzativa

L’evoluzione normativa sta rendendo evidente qualcosa che avrebbe dovuto essere chiaro indipendentemente dall’esistenza di una legge: un sistema di intelligenza artificiale non può essere considerato semplicemente un altro software aziendale.

La sua introduzione può incidere sui processi decisionali, modificare il rapporto tra persone e informazioni, elaborare grandi quantità di dati, generare contenuti, suggerire azioni e, in alcuni contesti, contribuire direttamente a decisioni che riguardano clienti, lavoratori, cittadini o partner.

L’AI Act europeo traduce questa complessità in un modello regolatorio basato sul rischio. Dal 2 agosto 2026 sono applicabili, tra le altre, specifiche disposizioni sulla trasparenza per determinati sistemi AI; per i sistemi classificati ad alto rischio il quadro prevede obblighi che riguardano valutazione e mitigazione del rischio, documentazione, tracciabilità, supervisione umana, robustezza, cybersecurity e qualità dei dati, con un calendario applicativo differenziato che proseguirà nel 2027 e nel 2028.

Ridurre tutto questo a un progetto dell’ufficio legale sarebbe però un errore. La compliance rappresenta infatti una conseguenza della governance, non il suo punto di partenza.

Il primo problema è sapere quale AI esiste nell’organizzazione

Prima ancora di classificare i sistemi in funzione del rischio, un’organizzazione deve essere in grado di rispondere a una domanda apparentemente elementare: quali sistemi di intelligenza artificiale stiamo utilizzando?

La risposta è meno scontata di quanto sembri.

L’AI può essere presente nelle piattaforme acquistate dall’IT, nei servizi cloud, nelle applicazioni SaaS utilizzate dai singoli dipartimenti, negli strumenti di marketing, nei software HR, nei sistemi di cybersecurity, nei CRM e nelle piattaforme di analytics. A questi si aggiungono gli strumenti generativi adottati autonomamente dai dipendenti e quella Shadow AI che può svilupparsi al di fuori dei processi formali di approvvigionamento tecnologico.

Per questo un inventario dei sistemi AI non dovrebbe essere considerato un semplice adempimento documentale. È il primo strumento manageriale attraverso il quale rendere visibile un’infrastruttura che altrimenti rischia di rimanere frammentata.

Il tema è presente anche nei framework internazionali di gestione del rischio. Il NIST AI Risk Management Framework considera la governance una funzione trasversale all’intero ciclo di vita dell’AI e richiama esplicitamente la necessità di definire responsabilità, processi, documentazione, monitoraggio e meccanismi per inventariare i sistemi utilizzati.

Governare significa innanzitutto conoscere.

L’AI Governance non appartiene a un singolo dipartimento

Una delle questioni più delicate riguarda poi l’attribuzione delle responsabilità. Chi autorizza l’introduzione di un sistema AI? Chi ne valuta il rischio? Chi verifica i dati utilizzati? Chi stabilisce quando sia necessaria una supervisione umana? Chi monitora il comportamento del sistema dopo il deployment? Chi interviene quando cambia il modello sottostante oppure il fornitore modifica le caratteristiche del servizio?

Affidare tutte queste responsabilità all’IT sarebbe insufficiente. Affidarle esclusivamente al legal o alla compliance produrrebbe il problema opposto. La governance dell’intelligenza artificiale nasce necessariamente dall’intersezione tra tecnologia, cybersecurity, dati, privacy, risk management, compliance, funzioni di business e leadership.

Non significa creare necessariamente nuove strutture burocratiche. Significa costruire un modello decisionale nel quale sia chiaro chi può decidere cosa e sulla base di quali informazioni.

La stessa disciplina europea sui sistemi ad alto rischio attribuisce particolare importanza alla supervisione umana, prevedendo che questa venga affidata a persone dotate non soltanto delle competenze necessarie, ma anche dell’autorità e del supporto adeguati.

La parola decisiva, dal punto di vista organizzativo, è proprio “autorità”. Una persona formalmente incaricata di controllare un sistema ma priva della possibilità concreta di contestarne, sospenderne o modificarne l’utilizzo rappresenta una supervisione soltanto sulla carta.

Governare il ciclo di vita, non soltanto l’acquisto

Esiste inoltre un rischio particolarmente insidioso: considerare la valutazione dell’AI come un’attività da effettuare una sola volta, nel momento in cui viene acquistato o sviluppato un sistema.

L’intelligenza artificiale è invece una tecnologia dinamica. Cambiano i modelli, cambiano i dataset, cambiano i fornitori, cambiano le modalità di utilizzo e soprattutto possono cambiare i contesti nei quali una soluzione viene impiegata. Uno strumento introdotto inizialmente per supportare un’attività marginale può progressivamente diventare parte di un processo critico.

Per questo la governance deve accompagnare l’intero ciclo di vita: dalla selezione alla sperimentazione, dal deployment al monitoraggio, fino all’eventuale dismissione.

È una differenza sostanziale. La compliance tradizionale tende spesso a fotografare una situazione; l’AI Governance deve invece essere capace di osservare un sistema che evolve.

Anche il modello NIST insiste su questa continuità: Govern, Map, Measure e Manage non sono passaggi destinati a produrre semplicemente un dossier, ma funzioni che devono accompagnare nel tempo la gestione del rischio associato ai sistemi AI.

La documentazione diventa memoria decisionale

In questo scenario cambia anche il significato della documentazione.

Registrare perché un determinato sistema è stato introdotto, quali rischi sono stati individuati, quali controlli sono stati adottati, quali persone sono responsabili della supervisione e quali modifiche sono intervenute nel tempo non serve soltanto a dimostrare conformità davanti a un’autorità.

Serve all’organizzazione stessa. Una governance efficace crea infatti una sorta di memoria decisionale dell’intelligenza artificiale. Permette di ricostruire non soltanto che cosa è stato fatto, ma soprattutto perché è stato fatto.

È una capacità che acquisterà valore crescente man mano che l’AI verrà integrata nei processi aziendali e diventerà sempre più difficile distinguere nettamente tra applicazioni tradizionali e sistemi dotati di componenti intelligenti.

Senza questa memoria, ogni audit rischia di trasformarsi in un’attività investigativa interna. Con una governance strutturata, invece, la tracciabilità diventa parte naturale del funzionamento dell’organizzazione.

Prepararsi alla normativa significa migliorare l’organizzazione

Il rischio più grande sarebbe interpretare l’attuale evoluzione regolatoria come una corsa verso l’ennesimo insieme di adempimenti.

Le organizzazioni più mature possono utilizzare questo passaggio per ottenere qualcosa di più importante: costruire una disciplina interna sull’utilizzo dell’intelligenza artificiale.

Sapere quali sistemi sono presenti, classificare i casi d’uso, assegnare responsabilità, definire soglie di rischio, verificare fornitori e dati, stabilire meccanismi di escalation e mantenere un monitoraggio nel tempo significa certamente prepararsi meglio alla compliance. Ma significa anche prendere decisioni tecnologiche migliori.

E soprattutto significa evitare uno scenario che molte aziende hanno già sperimentato in altri ambiti della trasformazione digitale: intervenire soltanto quando l’infrastruttura è diventata troppo grande, frammentata e critica per essere governata facilmente.

Con l’intelligenza artificiale questo errore potrebbe essere molto più costoso.

Dalla governance come controllo alla governance come capacità competitiva

Nei prossimi anni la distinzione più significativa potrebbe quindi non essere tra aziende che utilizzano l’intelligenza artificiale e aziende che non la utilizzano. Sarà tra organizzazioni che hanno semplicemente accumulato strumenti AI e organizzazioni che hanno costruito una vera capacità di governo.

Le seconde potranno sperimentare più rapidamente proprio perché conosceranno i propri confini. Potranno introdurre nuovi sistemi sapendo come valutarli, integrare nuovi modelli senza ricostruire ogni volta il processo decisionale e affrontare l’evoluzione normativa disponendo già delle informazioni, delle responsabilità e dei controlli necessari.

È questo il paradosso più interessante dell’AI Governance: ciò che inizialmente può apparire come un sistema di vincoli può diventare un acceleratore dell’innovazione.

Perché innovare senza governo significa aumentare contemporaneamente opportunità e rischio. Governare, invece, significa costruire le condizioni perché l’organizzazione possa continuare a innovare anche quando l’intelligenza artificiale smetterà di essere una sperimentazione tecnologica e diventerà definitivamente parte dell’infrastruttura decisionale dell’impresa.

La tua organizzazione sta adottando l’AI o sta costruendo la capacità di governarla?