L’AI governance sta cambiando natura quasi con la stessa rapidità con cui evolvono le tecnologie che dovrebbe governare. Per diversi anni le imprese hanno potuto affrontare l’intelligenza artificiale attraverso progetti circoscritti, proof of concept e sperimentazioni affidate a singole funzioni. La GenAI ha già reso quel modello più difficile da sostenere, ma ora la diffusione degli agenti AI alza ulteriormente l’asticella.
Più aumentano i sistemi, i dati utilizzati, le interazioni con applicazioni aziendali e il grado di autonomia concesso all’AI, più cresce la necessità di una regia capace di tenere insieme rischio, business e tecnologia.
In questo scenario si inseriscono anche i servizi AI di GFT, pensati per supportare le aziende nel passaggio da iniziative sperimentali a modelli di adozione più strutturati e scalabili.
Anche la normativa spinge verso una maggiore strutturazione. Dal 2 agosto 2026 l’AI Act è entrato nella sua fase generale di applicazione, dopo l’avvio, negli anni precedenti, degli obblighi relativi alle pratiche vietate, all’AI Literacy e ai modelli di General-Purpose (GPAI). Da agosto, inoltre, la Commissione europea dispone anche di poteri di enforcement sui modelli GPAI. Alcune disposizioni dedicate ai sistemi ad alto rischio seguono invece scadenze successive.
È un quadro articolato, che rende ancora più importante sapere quali sistemi vengono usati, per quali scopi, con quali responsabilità e attraverso quali controlli. Limitare la governance alla conformità normativa rischia però di cogliere soltanto una parte del problema.
“Quando si parla di governance si tende quasi sempre a collegare il concetto a compliance e risk management – osserva Massimo Ippoliti, business technology development & innovation director di GFT Italia. Nel mondo dell’AI, in particolare, governance significa anche: scalabilità, time to market e capacità di far crescere i servizi usando risorse condivise”. La visione quindi si amplia. La governance entra nel processo di industrializzazione dei prodotti basati sull’intelligenza artificiale, ben prima del controllo finale.
Indice degli argomenti:
AI governance, perché anche la sperimentazione fa parte del governo dell’AI
La separazione tra una prima fase libera di sperimentazione e una seconda fase dedicata alla governance rischia di essere artificiale. Secondo Massimo Ippoliti, anche le prototipazioni servono a costruire il modello di governo, perché permettono all’organizzazione di comprendere quali risorse debbano essere condivise, quali controlli servano e dove possano nascere sinergie. Per l’AI predittiva e il machine learning, molte grandi organizzazioni hanno già accumulato esperienza, strutturato team condivisi, e risultano più consolidati i criteri sulla rischiosità dei modelli, le linee guida progettuali e le modalità di controllo.
La GenAI presenta fragilità diverse. Molta attenzione si è concentrata sui modelli linguistici, mentre è rimasto più scoperto ciò che viene fornito a quei modelli: documentazione interna, basi informative, contenuti, dati non strutturati e conoscenza aziendale. “La governance del knowledge oggi è una delle aree più deboli“, sottolinea Massimo Ippoliti. Accessibilità, qualità, provenienza e aggiornamento dei contenuti diventano determinanti quanto la qualità dei dati tradizionalmente affrontata dai programmi di data governance.
Con l’Agentic AI il problema si allarga ancora. Un agente può compiere azioni, usare strumenti aziendali, interagire con altri agenti e operare con differenti livelli di autonomia. Occorre governarne l’identità, i permessi, l’accesso ai tool e il coordinamento con altri agenti. Su ciascuno di questi passaggi ricadono questioni di sicurezza, compliance, data e knowledge governance e controllo operativo.
Dal CdA al business owner: chi risponde davvero dell’AI
La moltiplicazione dei ruoli coinvolti rende facile immaginare l’AI governance come un terreno da suddividere tra specialisti. Il CRO controlla il rischio, il Chief Compliance Officer presidia la conformità, il CDO governa i dati, il CAIO coordina la strategia AI, il CTO si occupa di infrastrutture e integrazione. Per Ippoliti la responsabilità parte però più in alto. “L’intelligenza artificiale è uno dei driver di trasformazione strategica più potenti degli ultimi decenni. L’accountability deve quindi ricadere sulla leadership aziendale e, in ultima istanza, sul consiglio di amministrazione”.
L’impostazione operativa può invece essere federata. Le competenze restano distribuite nelle diverse funzioni, coordinate da una cabina di regia forte, con responsabilità esplicite. In questo schema manca spesso un attore: il business owner, l’owner del prodotto digitale creato utilizzando l’intelligenza artificiale Guardare l’AI soltanto come tecnologia porta a concentrare il confronto su modelli, dati e infrastrutture. I sistemi basati sull’intelligenza artificiale sono però prodotti o servizi digitali inseriti dentro processi di business.
Qualcuno deve quindi rispondere del risultato che producono.
Il business owner presidia valore, investimento ed esito del servizio. Le altre funzioni mettono a disposizione competenze, standard e risorse condivise che devono ridurre il rischio e, parallelamente, accelerare la realizzazione del prodotto. La governance diventa così un sistema di responsabilità distribuite, con un punto preciso di ownership sul caso d’uso.
Risk e compliance devono entrare nei progetti prima del gate finale
Uno dei problemi più frequenti emerge quando risk management e compliance arrivano a progetto quasi concluso. Il caso d’uso è già definito, il sistema è stato costruito e un controllo tardivo rileva elementi da correggere. Il risultato può essere un rework consistente. “L’impatto sul time to market può arrivare anche a mesi”, rileva Ippoliti.
La soluzione consiste nel portare rischio e conformità a monte, dentro la definizione stessa dello use case. Il livello di rischio può essere classificato fin dall’avvio e da quella classificazione discendono requisiti, documentazione, verifiche e controlli tecnici. Non significa alleggerire indiscriminatamente le verifiche. Significa proporzionarle e inserirle nel momento in cui correggere una scelta costa meno.
Anche l’AI può contribuire ad automatizzare parte del processo: classificare un caso d’uso, identificare gli obblighi applicabili, controllare documentazione e fonti dati, raccogliere evidenze lungo il ciclo di vita. Questi strumenti, secondo Ippoliti, dovrebbero progressivamente diventare asset comuni dell’organizzazione, riutilizzabili dai diversi team. È un esempio concreto di come la governance possa favorire la scalabilità anziché rallentarla.
C’è poi una componente organizzativa spesso meno visibile: la formazione. Data scientist, AI engineer e professionisti che sviluppano agenti devono conoscere i livelli di rischio e le precauzioni richieste dai diversi casi d’uso. Più queste competenze entrano nei team tecnici, minore sarà il costo delle correzioni successive.
Dalle policy ai guardrail: quando l’AI governance entra nella tecnologia
Regole e principi aziendali producono effetti soltanto se possono essere tradotti nei sistemi. Il primo passaggio riguarda data governance e knowledge governance. Occorre sapere quali informazioni può utilizzare una soluzione, verificarne qualità e provenienza, controllare gli accessi e stabilire quali contenuti siano adatti allo scopo. Poi arrivano i guardrail, cioè i vincoli tecnologici che traducono alcune policy in comportamenti applicativi.
Con gli agenti AI la loro rilevanza cresce perché il controllo deve avvenire durante l’esecuzione. Un agente può dover essere autorizzato a usare un determinato strumento soltanto in condizioni precise. Alcune azioni possono richiedere l’intervento umano, altre devono essere bloccate. “La governance del mondo agentico deve funzionare anche in real time“, spiega Ippoliti. Non basta quindi stabilire a priori cosa sia permesso. Occorre ingegnerizzare controlli dinamici nel sistema.
Il monitoraggio continua dopo la messa in produzione. Allucinazioni e risposte incoerenti possono emergere già durante test costruiti con scenari differenti. Altri fenomeni, come il drift, si sviluppano invece nel tempo. Da qui la necessità dell’observability, particolarmente importante con i sistemi agentici. Input, output, azioni, decisioni, accessi agli strumenti e interventi umani devono poter essere tracciati. Log e audit trail consentono di ricostruire il comportamento del sistema e verificare quanto si sia discostato dagli standard definiti.
Secondo Ippoliti, molte organizzazioni “sottovalutano ancora questa componente, che dovrebbe invece essere progettata prima del rilascio”. Con la crescita del numero di sistemi, una gestione artigianale diventa difficilmente sostenibile e aumenta il bisogno di piattaforme dedicate.
Controlli proporzionati al rischio dei casi d’uso
Il risk-based approach dell’AI Act offre alle imprese un riferimento comune. Ma una classificazione normativa non esaurisce il lavoro organizzativo. “Ogni azienda dovrebbe costruire un proprio modello di classificazione coerente con la propria realtà, la strategia e il proprio risk appetite”, afferma Ippoliti.
La differenza diventa evidente confrontando casi d’uso molto diversi. Un assistente informativo interno, privo di capacità di eseguire azioni e alimentato da dati aziendali controllati, può richiedere un insieme relativamente limitato di verifiche. Un sistema che contribuisce a una decisione commerciale alza invece il livello di attenzione. Se interviene, per esempio, su prezzi o condizioni offerte a un cliente, occorre controllare con maggiore precisione la qualità dei dati, l’eventuale presenza di fattori discriminatori, la spiegabilità del risultato e le modalità di supervisione umana.
Nei processi regolamentati il presidio cresce ulteriormente. Servono valutazioni iniziali, evidenze, documentazione completa, verifiche sulla qualità delle informazioni e controlli lungo il ciclo di vita che integrino dimensione deterministica e non. L’automazione può ridurre il carico operativo anche qui, purché la supervisione umana rimanga coerente con il rischio. La logica è applicare la quantità e la profondità di controllo realmente necessarie, evitando sia verifiche insufficienti sia procedure identiche per sistemi con profili di rischio radicalmente differenti.
Misurare l’AI governance oltre il costo della compliance
Se la governance viene letta soltanto come conformità, anche i KPI finiscono per concentrarsi sulle perdite evitate: sanzioni, incidenti cyber, danni reputazionali e altre componenti del’’expected loss. Sono indicatori importanti, ma la lettura proposta da Ippoliti allarga il perimetro. Se la governance produce standard, asset riutilizzabili e automazione, può essere valutata attraverso il costo di governo per singolo sistema, la riduzione del costo di realizzazione degli use case e la produttività ottenuta a parità di risorse.
Un altro indicatore significativo è il time to governance, cioè il tempo richiesto per portare un caso d’uso già sviluppato fino all’autorizzazione. Con controlli anticipati e progressivamente automatizzati, questo intervallo dovrebbe ridursi sensibilmente. Il trust può essere osservato attraverso la tracciabilità, l’auditabilità dei sistemi, la capacità di spiegarne il funzionamento e la presenza documentata di interventi umani nei punti previsti.
Infine, c’è la scalabilità. Quanto costa governare un nuovo sistema aggiuntivo? Quanti sistemi può presidiare la stessa struttura? La domanda acquista peso con l’Agentic AI. “Anche quando si pensa di costruire un singolo agente, spesso si arriva rapidamente a una pluralità di agenti che collaborano”, osserva Ippoliti. Se ogni nuovo agente comporta un costo di governance elevato, il modello diventa difficile da sostenere su larga scala.
Da modello operativo a piattaforma: l’approccio GFT alla governance
GFT ha concentrato una parte importante del proprio lavoro sull’ingegnerizzazione dei sistemi agentici. Da questa esperienza nasce un approccio alla governance articolato su modello operativo, classificazione del rischio e implementazione tecnologica dei controlli. Ippoliti sintetizza il modello in tre passaggi.
Il primo consiste nel definire il Governance Operating Model, cioè il blueprint organizzativo: chi decide, chi controlla, quali responsabilità vengono assegnate e come interagiscono business e funzioni specialistiche.
Il secondo collega impatto, rischio e policy. La classificazione del rischio determina le regole da applicare e i controlli necessari, formalizzandoli in modo coerente.
Il terzo porta quelle regole dentro una governance platform. È il passaggio dall’indicazione organizzativa all’’esecuzione tecnologica. GFT ha sviluppato asset e agenti destinati, per esempio, alla classificazione del rischio, alla definizione del perimetro di compliance, al controllo documentale e alla raccolta delle evidenze. “Per noi l’ingegneria della governance sta diventando importante quanto l’ingegneria degli agenti”, afferma Ippoliti.
La prospettiva restituisce bene il cambiamento che le imprese stanno affrontando. Quando l’AI entra stabilmente nei processi e gli agenti cominciano a utilizzare strumenti, prendere iniziative e collaborare tra loro, governance e industrializzazione finiscono per procedere sullo stesso binario. Il vero banco di prova sarà riuscire a far crescere il numero dei casi d’uso senza moltiplicare con la stessa velocità costi, tempi di controllo e rischi. Una governance efficace si misurerà anche da quanto rende ripetibile questo processo.
Articolo realizzato in collaborazione con GFT Italia
Partecipa alla community