Negli uffici di chi si occupa di innovazione, la domanda che circola da qualche mese non è più “quale strumento di intelligenza artificiale scegliere”.
È qualcosa di più scomodo: chi decide come, dove e con quali dati quello strumento viene usato.
Un cambio di prospettiva che molte aziende italiane stanno affrontando in ritardo, spesso dopo aver già lasciato che ChatGPT, Copilot o altri assistenti entrassero nei processi quotidiani senza una cornice chiara di regole.
Il contesto normativo, del resto, non lascia molto margine di attesa. Il Regolamento europeo sull’AI, in vigore dal 2024, sta introducendo in modo scaglionato una serie di obblighi che entro il 2026 toccheranno la gran parte delle aziende che utilizzano sistemi di intelligenza artificiale, indipendentemente dal settore. A questo si sommano requisiti già noti in ambito NIS2 su gestione del rischio e continuità operativa, che di fatto includono anche i processi basati su AI. Chi rimanda la governance non sta semplicemente rimandando un’attività organizzativa: sta accumulando un debito di conformità che prima o poi andrà saldato, spesso in condizioni meno favorevoli di quelle attuali.
Il nodo, più che tecnico, è organizzativo. Chiunque abbia visto l’AI arrivare in un reparto conosce la dinamica: qualcuno la usa per velocizzare un’attività, il collega la scopre e la replica, e in pochi mesi l’azienda si ritrova con decine di utilizzi informali, nessuna visibilità su quali dati finiscono su quali piattaforme, e nessun criterio per distinguere un uso legittimo da uno rischioso.
È qui che entra in gioco la governance dell’AI. Il suo compito non è rallentare l’adozione, ma darle una struttura: stabilire chi può usare quali strumenti, per quali attività, con quali dati è permesso lavorare, e chi risponde in caso di errore. Può sembrare un esercizio burocratico, ed è invece la differenza tra un’azienda che cresce con l’AI in modo sostenibile e una che accumula rischi silenziosi — di sicurezza, di conformità, di reputazione — pronti a emergere nel momento peggiore.
Tre pilastri, non uno
Chi lavora su questi temi individua di solito tre livelli su cui muoversi in parallelo.
Il primo è la mappatura: capire concretamente dove l’AI è già entrata in azienda, comprese le forme più informali. Senza questa fotografia iniziale, qualsiasi policy resta un esercizio teorico.
Il secondo è la definizione delle regole d’uso: quali dati possono essere elaborati da strumenti esterni, quali processi richiedono sempre una supervisione umana, quali output vanno verificati prima di essere condivisi con clienti o partner. Qui entra in gioco anche la conformità normativa: il Regolamento europeo sull’AI e i requisiti già noti in ambito NIS2 stanno chiedendo alle aziende di dimostrare — non solo dichiarare — che i propri processi digitali, AI inclusa, sono sotto controllo.
Il terzo pilastro è culturale: formare le persone a riconoscere i limiti degli strumenti che usano ogni giorno. Un’AI che genera un testo convincente ma fattualmente sbagliato, o che suggerisce una decisione basata su dati parziali, rappresenta un rischio silenzioso quanto una falla di sicurezza. Qui, però, non basta un firewall: serve consapevolezza diffusa, a ogni livello dell’organizzazione.
Perché conviene muoversi ora
Le aziende che stanno affrontando questo percorso con metodo raccontano tutte la stessa cosa: prima si mette ordine, meno costoso è farlo.
Intervenire quando l’AI è già radicata in decine di processi informali significa rincorrere, correggere, spesso ripartire da zero. Costruire la governance mentre l’adozione è ancora in una fase gestibile significa invece orientare la crescita fin da subito nella direzione giusta.
È un tema tornato spesso al centro del confronto con clienti e partner, anche in occasione dei momenti di incontro che Trevigroup dedica al rapporto tra intelligenza artificiale, impresa e sicurezza. Una soluzione uguale per tutti non esiste; esiste un metodo per costruirne una a misura della propria organizzazione, che tenga insieme mappatura degli usi, regole chiare e formazione delle persone. Ed è da lì che vale la pena ripartire.
Vuoi capire a che punto è la tua azienda nell’adozione sicura dell’AI? Parla con i nostri specialisti per una valutazione della tua governance AI.
Le domande più frequenti
Chi deve occuparsi della governance dell’AI in azienda?
Non è un compito che riguarda solo l’IT. Serve un tavolo che metta insieme chi gestisce la tecnologia, chi risponde della conformità e chi conosce i processi operativi in cui l’AI viene effettivamente usata: senza questo confronto, le regole restano scollegate dalla realtà.
Serve una policy scritta anche per le piccole e medie imprese?
Sì, anche in una struttura snella. Non deve essere un documento complesso: bastano poche pagine che chiariscano quali strumenti sono autorizzati, quali dati non possono essere condivisi con l’esterno e chi va coinvolto in caso di dubbio.
Da dove si comincia, in concreto?
Dalla mappatura degli usi già in corso. È il passaggio più semplice da sottovalutare, ma è quello che permette di capire l’entità reale del fenomeno prima di scrivere qualsiasi regola.
