Negli anni della prima ondata di AI enterprise (2015-2020), il tono dominante era l’entusiasmo e la sperimentazione senza troppe briglie. Le discussioni su etica e rischi erano relegate a contesti accademici o idealistici. Ma con la diffusione dell’AI in applicazioni sensibili e la consapevolezza degli impatti (pensiamo a bias algoritmici, decisioni automatizzate su credito/lavoro, deepfake, ecc.), i rischi connessi all’AI sono emersi prepotentemente.
Incidenti ed errori noti (un’AI recruiting che discriminava candidati donne, un sistema di guida autonoma coinvolto in incidenti mortali, chatbot trasformati in veicoli di disinformazione, ecc.) hanno acceso spie rosse.
Parallelamente, i regolatori hanno iniziato a muoversi: l’Unione Europea ha approvato nel 2024 l’AI Act, la prima cornice regolatoria completa sull’AI, con entrata in applicazione scaglionata entro il 2026 (da agosto 2025 alcune parti, e dal 2 agosto 2026 le disposizioni principali per sistemi ad alto rischio). Ciò significa che qualunque azienda operante in Europa e coinvolta in AI, soprattutto in applicazioni critiche, dovrà ottemperare a requisiti di gestione del rischio, trasparenza, documentazione, e sarà soggetta a controlli di autorità competenti.
Tutto questo ha portato i leader aziendali a rendersi conto che l’AI non è solo un’opportunità, ma anche una fonte di rischio aziendale da governare come si fa per rischi finanziari, operativi o reputazionali. Nel 2026 vediamo concretizzarsi un cambiamento notevole: i board of directors e i comitati di controllo interne se ne stanno occupando direttamente.
Secondo un report EY analizzato dal Forum di Harvard:
- Il 48% delle aziende ha indicato pubblicamente nelle relazioni societarie che il board supervisiona i rischi legati all’AI, triplo rispetto all’anno precedente (dove era ~16%).
- Circa il 40% ha assegnato esplicitamente una responsabilità a un comitato del CdA per l’AI (spesso l’audit committee), quadruplicando dal 2024 (11%).
- Il 36% include nei documenti finanziari un fattore di rischio specifico sull’AI (contro 14% anno prima).
Questi numeri dicono che l’AI è entrata nel lessico formale della corporate governance. Aggiungere un rischio AI nel 10-K o nel bilancio significa dichiarare agli investitori: “siamo consapevoli che l’AI può impattare la nostra attività e stiamo prendendo misure”. E quando il board se ne occupa, implica che i top executive verranno interrogati regolarmente: “cosa state facendo per assicurare che i nostri sistemi AI siano sicuri, conformi e allineati agli interessi aziendali?”.
L’ingresso dell’AI nei comitati audit/nominating/governance comporta ad esempio:
- Aggiornare le competenze del board: il 44% delle aziende ora vanta almeno un consigliere con competenze AI nella skills matrix del CdA, su su dal 26% del 2024. Ciò significa attivamente cercare membri con background in tecnologia/AI o formare i membri esistenti. Alcune aziende organizzano sessioni di education per il board sull’AI (indicazione citata nel rapporto: diverse aziende hanno menzionato nel 2025 sessioni di “AI education” come parte della valutazione del board).
- Modificare i mandati dei comitati: se l’audit committee (o risk committee) assume formalmente l’oversight dell’AI, potrà aggiornare la sua charter includendo ad esempio “esaminare periodicamente le politiche e i controlli relativi all’uso dell’AI nell’azienda, inclusi aspetti etici, di compliance e cybersecurity”. Quindi nelle riunioni quell’ordine del giorno comparirà. Quando un comitato ne discute, spesso richiede report dalla direzione: ecco nascere AI risk report trimestrali consegnati all’audit committee, analoghi ad esempio ai report sulla cybersecurity che già avvengono.
- Tone at the top: la direzione aziendale deve comunicare internamente che l’AI va usata in modo responsabile e conforme. Se il board la considera materia importante, i manager operativi seguiranno. Ad esempio, un CEO potrebbe inviare un memo a tutti i dipendenti dichiarando l’impegno dell’azienda a un’AI etica e conforme alle normative, sostenuto dal board, e annunciare misure come policy e training. Questo segnale è fondamentale per spingere la cultura giusta.
Indice degli argomenti:
Architettura di governance interna per l’AI
A livello gestionale, molte imprese stanno costruendo strutture di governance AI. Dalle ricerche condotte emergono pratiche come:
- Istituzione di un AI Steering Committee interno, spesso multi-funzionale, con partecipanti da IT, data science, legale, compliance, HR, business unit, ecc. Questo comitato può riportare al Chief Risk Officer o direttamente a un executive sponsor e ha il compito di definire linee guida, valutare progetti AI con implicazioni rischiose ed eventualmente approvarli o chiedere mitigazioni. Ad esempio, se il marketing vuole lanciare un chatbot AI per i clienti, deve presentare il caso a questo comitato che ne valuta rischi reputazionali, bias, aderenza normative prima del via libera.
- Creazione del ruolo di Chief AI Officer o simili (talora il CDO – Chief Data Officer evolve in Chief Data & AI Officer). Questo dirigente ha responsabilità di coordinare l’implementazione dell’AI assicurando che segua le regole di casa e produca risultati voluti. Nel settore bancario, il case citato nel testo: molte banche hanno creato ruoli dedicati per implementare l’AI governance nelle strutture di controllo (es. manager AI in risk management).
- Sviluppo di politiche e linee guida AI interne: documenti ufficiali che stabiliscono principi (es. “l’AI non deve discriminare su base di categorie protette; deve sempre prevedere supervisione umana in decisioni critiche; dev’essere trasparente a clienti quando interagiscono con un sistema AI”, ecc.), processi (es. “ogni modello AI ad alto impatto deve passare per una checklist di risk assessment prima del deploy”).
- Implementazione di strumenti di audit e controllo: alcune aziende investono in tecnologie di monitoring specifiche per l’AI (ad esempio strumenti che misurano il drift dei modelli, rilevano possibili bias emergenti nel tempo, log delle decisioni AI per consentire audit trail). Visto che l’AI Act richiederà registri delle attività dei sistemi AI ad alto rischio, le imprese proattive stanno predisponendo queste capacità ora.
- Addestramento interno su etica e uso responsabile: come accennato, board e dipendenti vengono formati. Un sondaggio citato nel forum Harvard indicava che 78% dei dipendenti USA dice di usare tool AI al lavoro e 58% ammette di aver fornito dati sensibili a LLM esterni, un dato preoccupante. Così molte aziende nel 2025 hanno emanato linee guida immediate tipo “Non inserire dati aziendali riservati in ChatGPT o servizi simili” per protezione. Nel 2026, questo si formalizza in training strutturali: corsi obbligatori su come usare l’AI generativa in modo sicuro, su cosa fare in caso di output inappropriati, su come escalare eventuali problematiche. In banca, come citato, si sta seguendo l’approccio delle tre linee di difesa: ogni linea (operativa, risk, audit) incorpora l’AI nei propri scopi.
In pratica, l’AI governance sta diventando simile a come si governa la cybersecurity o la compliance regolamentare: con strutture dedicate, politiche, e coinvolgimento top-down.
La spinta regolatoria: EU AI Act e dintorni
Un motore potentissimo di tutto quanto sopra è la regolamentazione emergente. Il caso più avanzato è l’Europa: l’AI Act imporrà per i sistemi AI ad alto rischio (es. quelli usati in ambito sanitario, trasporti, istruzione, occupazione, credito, forze dell’ordine, ecc) obblighi di:
- Gestione del rischio e qualità: mantenere un sistema di risk management durante il ciclo di vita dell’AI, includendo valutazioni e mitigazioni.
- Documentazione tecnica: preparare un fascicolo tecnico dettagliato del sistema AI, con descrizione modello, dati, performance, ecc, a disposizione delle autorità.
- Data governance: assicurare set di dati di training appropriati, rilevanti, senza bias sproporzionati.
- Trasparenza: ad esempio, i sistemi di AI generativa dovranno dichiarare che l’output è stato generato da AI, e i sistemi che interagiscono con umani devono segnalarsi come tali.
- Sorveglianza umana: garantire che esista supervisione o possibilità di intervento umano quando necessario, per prevenire esiti dannosi.
- Registrazione attività: log delle operazioni per poter risalire a decisioni e analizzare eventuali incidenti.
E tantissimi altri dettagli. La data di piena applicazione delle parti cruciali è agosto 2026, quando le aziende dovranno essere conformi o incorrere in sanzioni (che arrivano fino a 30 milioni di euro o 6% fatturato mondiale, simili a GDPR come ordine grandezza). Nel 2025 sono usciti codici di condotta volontari e linee guida su General Purpose AI, e molti si sono portati avanti.
Quindi il 2026 per le aziende che operano in UE (e di riflesso molte multinazionali globali) è un anno di compliance intensiva. Ci si aspetta che i revisori interni ed esterni inizino a chiedere conto: “abbiamo mappato i nostri sistemi AI e valutato quali rientrano nell’AI Act? Abbiamo predisposto le misure richieste per quelli ad alto rischio entro la scadenza?”.
Le banche, per esempio, sanno che se usano AI per credit scoring, quell’uso è chiaramente high-risk e dovranno implementare sistemi di controllo stringenti (tra l’altro, le autorità di vigilanza come Banca d’Italia e BaFin hanno già emanato aspettative sulla governance dell’AI in banca, fondendo requisiti AI Act con regolamenti esistenti di IT risk).
Una manager di AI in un contesto bancario osservava come nel 2025 già si notava che “AI governance, compliance e risk management sono diventati sempre più critici nel settore”, portando banche a creare linee guida speciali, ruoli come CAIO e ad integrare l’AI nei modelli “three lines of defense”.
Cosa succede fuori dall’Europa
Fuori dall’Europa, anche USA e altri si muovono, sebbene in modo meno centralizzato. Negli USA nel 2025 la Casa Bianca ha emanato l’AI Bill of Rights (linee guida etiche) e un Executive Order (ott 2023) sulle AI sicure, e ci sono state audizioni e impegni volontari di big tech su sicurezza e watermarking. Probabilmente arriveranno normative settoriali (es. FDA per AI in dispositivi medici, FTC per trasparenza verso consumatori) che de facto costringeranno compliance.
Anche la Cina ha regolamenti su deepfake e modelli generativi (richiedono licenze e censura integrata). Insomma ovunque un’azienda operi, dovrà considerare qualche regola sull’AI.
Ciò spinge i board a trattare il tema come questione di compliance legale oltre che etica. E quando c’è di mezzo compliance, l’attenzione sale sempre: sanzioni e cause legali colpiscono nel portafoglio. Notare ad esempio come il 2024 ha visto cause legali e contenziosi su AI: class action contro aziende per AI generativa che viola copyright, denunce per bias in sistemi automatici di assunzione, ecc.
Non ultime, cause di investitori se un incidente legato all’AI causasse perdite o crolli di reputazione. Gli amministratori devono proteggersi anche dalla responsabilità legale: un domani, se un’AI mal governata crea danni, si potrebbe accusare il board di negligenza nel dovere fiduciario.
Questa paura è un forte incentivo a predisporre procedure di oversight oggi (in gergo legale, “build a record” che il board ha discusso e chiesto conto dell’AI).
AI e reputazione: l’AI entra nei valori aziendali
Oltre a rischi concreti, c’è la dimensione etica e reputazionale. Molte aziende hanno definito principi etici per l’AI. Nel 2025 ad esempio più big tech hanno rilasciato aggiornamenti ai loro “AI principles” e li applicano anche ai servizi offerti ai clienti. Ora anche aziende utenti finali si dotano di propri “principi guida”. Questo spesso è un compito assegnato a comitati etici interni, che includono magari esperti esterni o rappresentanti di stakeholder.
Qualcuno li chiama AI Ethics Board. Ad esempio, società nel settore sanitario che usano AI per diagnosi hanno coinvolto associazioni di pazienti e bioeticisti per definire come e dove usare l’AI in modo responsabile e comunicarlo pubblicamente.
Il board aziendale vuole evitare uno scandalo da AI incontrollata (pensiamo allo shock se un’auto a guida autonoma di un produttore facesse un incidente per un bug: il danno reputazionale e finanziario potrebbe essere enorme, come fu per il Dieselgate delle emissioni, per dire). Quindi preferiscono imporre rigore in anticipo. Alcuni stanno anche includendo l’AI nei framework ESG: ad esempio, presentando agli investitori attività sull’AI responsabile nelle sezioni di governance del report sostenibilità, o includendo metriche come numero di audit su fairness dei modelli effettuati.
Questo fa capire che la governance AI viene venduta come vantaggio competitivo – “Siamo un’azienda attenta ai rischi di AI, fidatevi di noi”.
Ci si attende che il 2026 vedrà le prime certificazioni o audit esterni di sistemi AI. Organismi come ISO lavorano a standard (es. ISO 42001 per AI Management System). Le aziende pionieristiche potrebbero volersi far certificare come “AI trustable” per rassicurare clienti e partner. Questo processo sarà sicuramente supervisionato a livello di governance.
L’AI sotto controllo (o almeno ci si prova)
Con l’AI sui tavoli dei comitati, si entra in una fase di maturità e normalizzazione. L’AI diventa come la finanza o l’IT: va governata con policy, controlli, ruoli chiari. Non è più il Far West. Ciò potrebbe rallentare qualche sviluppo (burocrazia e controlli introducono lentezza), ma è inevitabile per far crescere la fiducia di utenti e società.
Alcuni potrebbero temere che troppa regolazione e governance soffochi l’innovazione: è dibattito aperto. E infatti i board dovranno bilanciare: mitigare rischi senza bloccare i benefici dell’AI. L’approccio sensato è quello del “responsible AI”: innovare ma con paracadute e in maniera trasparente. Le aziende che sapranno incarnare questo motto avranno un vantaggio nel navigare regole e opinione pubblica. Per contro, imprese negligenti potrebbero trovarsi colpite da scandali o multe pesanti.
Il segnale forte del 2026 è proprio questo: l’AI è presa sul serio ai piani alti. Non è più gadget per smanettoni, è fonte di valore e di rischio come ogni asset strategico. Quindi merita la stessa attenzione. In prospettiva, tra qualche anno potremmo vedere metriche di “AI risk” discusse nei bilanci come oggi si discute di debito o di cybersecurity. Ad esempio, indicare quanti incidenti AI si sono avuti e come sono stati risolti, o qual è la percentuale di decisioni automatizzate e con che outcome.
In definitiva, l’AI entra nei comitati per restarci: come parte integrante della governance d’impresa nel XXI secolo. E questa è una svolta positiva per assicurare che lo sviluppo dell’AI avvenga in modo allineato agli obiettivi aziendali e ai valori sociali, riducendo la possibilità di brutte sorprese.
