La governance dell'IA prende forma: cosa cambia per la vostra trasformazione

In pochi anni, l'intelligenza artificiale è passata dallo status di innovazione a disciplina minima a quello di ambito regolamentato. Il simbolo di questo passaggio è l'AI Act europeo, primo quadro orizzontale al mondo: classifica i sistemi per livello di rischio, vieta alcuni usi e impone obblighi graduati, dalla trasparenza per i modelli a uso generale fino ai requisiti stringenti per i sistemi ad alto rischio, con un calendario di applicazione che si estende su più anni.

Per un'organizzazione che utilizza l'IA, anche solo come semplice utilizzatrice di strumenti presenti sul mercato, la conseguenza è concreta: la governance dell'IA diventa un dispositivo a sé stante, con ruoli, controlli, documentazione, evidenze proprie. Un dispositivo che, come tutti gli altri, può essere maturo o ancora embrionale.

Ridurre il tema a Bruxelles sarebbe un errore di prospettiva. I regolatori settoriali declinano le proprie aspettative: supervisori finanziari sui modelli decisionali, autorità sanitarie sui dispositivi medici, autorità per la protezione dei dati sui trattamenti algoritmici. Altre giurisdizioni procedono con quadri normativi propri, il che complica la vita a qualsiasi esportatore.

E la pressione più rapida non è nemmeno normativa, è commerciale: i grandi committenti inseriscono clausole sull'IA nei contratti, le compagnie assicurative iniziano a porre domande, le gare d'appalto pubbliche richiedono garanzie. Il questionario fornitori che ieri chiedeva la vostra politica di sicurezza oggi chiede la vostra governance dell'IA.

Concretamente, un dispositivo degno di questo nome copre alcuni elementi invariabili: un inventario dei sistemi e degli usi dell'IA, compresi quelli che entrano dalla porta secondaria degli strumenti SaaS; una qualificazione dei rischi per ciascun uso; ruoli e responsabilità definiti con chiarezza; controlli proporzionati, dalla revisione umana al monitoraggio delle derive; e una documentazione che permetta di dimostrare tutto ciò a un revisore, un cliente o un regolatore.

Niente di tutto questo è esotico: sono i gesti classici della conformità, applicati a un oggetto nuovo e in continua evoluzione. La difficoltà non è concettuale, è esecutiva: sapere a che punto si è, per ciascuna entità, e mantenere la rotta nel tempo.

Tutti i percorsi seri iniziano dallo stesso punto: l'inventario dei sistemi e degli usi. Ed è quasi sempre uno shock: tra i moduli di IA integrati negli strumenti SaaS, gli usi non ufficiali di assistenti generativi da parte dei team e i progetti pilota dimenticati, il perimetro reale supera ampiamente quello noto alla direzione.

Governare un perimetro fittizio non protegge da nulla. L'inventario onesto, invece, permette di fare una selezione: quali usi sono innocui, quali riguardano decisioni su persone, quali rientreranno nell'alto rischio. È questa selezione che determina l'entità dello sforzo, e cambia tutto in termini di budget.

L'esperienza delle normative precedenti, dalla protezione dei dati alla cybersicurezza, insegna una cosa: le organizzazioni che se la cavano meglio sono quelle che trasformano presto il requisito in un dispositivo misurato, invece di aspettare la scadenza per improvvisare. Chi ha vissuto l'entrata in vigore del GDPR sa esattamente di cosa si parla.

Il percorso si articola in quattro passaggi: mappare i propri usi dell'IA, valutare la maturità della propria governance su un quadro di riferimento strutturato, individuare gli scostamenti rispetto agli obblighi che la riguardano realmente, e definire un piano d'azione datato, da rivalutare a ogni ciclo. Il nostro catalogo conta 19 quadri di riferimento su dati e IA per supportare questo percorso, dal quadro di governance generico ai requisiti normativi specifici.