AI Governance: cosa significa davvero governare l'AI in azienda

In breve

Riassunto di Userbot

• L'AI governance è l'insieme delle decisioni e dei controlli su sette elementi: modelli, dati, accessi, audit, policy, costi e responsabilità. Una policy scritta è solo una degli elementi necessari.
• Per ciascuna area servono tre cose: una domanda a cui occorre saper rispondere, una decisione da prendere e un errore da evitare. Per esempio, un tetto di spesa senza limiti oppure un agente con permessi più ampi di quelli dell’utente che lo utilizza.
• Userbot aiuta a tradurre queste decisioni in pratiche operative attraverso Regole, Approvazioni, Registro di audit, accesso ai modelli per gruppo e tetti di spesa. L’attribuzione delle responsabilità resta invece una scelta organizzativa; al momento non sono disponibili ruoli personalizzati.
• AI Act e GDPR richiedono questa base: formazione adeguata, supervisione umana e protezione dei dati fin dalla progettazione e per impostazione predefinita. Definirla all’inizio richiede poche riunioni; farlo dopo può significare rivedere processi già consolidati.

Nelle aziende che seguiamo arriviamo al punto in cui ci chiedono: «Abbiamo una policy sull'AI, quindi siamo a posto?». Ecco, purtroppo, di solito no. Una policy dice cosa le persone dovrebbero fare. La governance decide cosa l'azienda può consentire, vedere e fermare, anche quando nessuno ha letto la policy.

In questa guida definiamo l'AI governance su sette elementi: modelli, dati, accessi, audit, policy, costi e responsabilità. Per ognuno trovate la domanda da farsi, cosa decidere e l'errore più frequente.

Che cos'è l'AI governance e in cosa differisce da una policy?

L'AI governance è il sistema con cui un'azienda decide, applica e controlla l'uso dell'AI. La policy ne è una parte: il documento che stabilisce le regole d’uso. Il resto comprende strumenti che rendono effettive queste scelte, persone responsabili e un registro che le rende verificabili.

Allo stesso modo, l'AI Governance non coincide con una serie di divieti: vietare gli strumenti infatti non spegne l'uso, lo sposta dove nessuno lo vede (vietare l'AI in azienda non è una strategia). E non coincide nemmeno con la strategia di adozione: quella dice dove portare l'AI e in che ordine, la governance, invece, definisce entro quali limiti. Per la prima c'è la guida alla strategia di AI adoption.

Quali sono i sette elementi dell'AI governance?

I sette elementi dell'AI governance sono modelli, dati, accessi, audit, policy, costi e responsabilità. Trasformano un tema vago in sette domande concrete a cui si rispondere con risposte certe, misurabili e senza ambiguità.

1. Modelli

La domanda: quali modelli possiamo usare, e per quali attività? Cosa decidere: i modelli approvati, dove sono ospitati, chi usa quelli più costosi, chi accende un modello nuovo. L'errore tipico: lasciare che ogni reparto scelga l'abbonamento che conosce. Dopo sei mesi nessuno sa quali fornitori trattano quali dati.

2. Dati

La domanda: quali dati possono entrare in una richiesta all'AI, e dove vanno? Cosa decidere: le classi di dati (pubblici, interni, personali, riservati), dove sono elaborati, per quanto restano le conversazioni, se il fornitore può addestrare i modelli con essi. L'errore tipico: scrivere «vietato caricare dati sensibili» senza dire quali sono: l'ufficio acquisti non sa se un listino riservato lo sia. Approfondimento: data residency UE e agenti AI.

3. Accessi

La domanda: chi entra, con quale identità, e fin dove arriva l'AI quando agisce al posto di una persona? Cosa decidere: il metodo di accesso, i ruoli, i gruppi per reparto, e se un agente lavora con i permessi di chi lo usa o con un account suo. L'errore tipico: dare all'agente un account con accessi larghi «per farlo funzionare in fretta»: da quel momento vede più cose delle persone che lo usano.

4. Audit

La domanda: sappiamo ricostruire chi ha fatto cosa e chi ha approvato cosa? Cosa decidere: quali eventi si registrano, per quanto tempo, chi legge il registro. Serve a tracciare azioni e decisioni, non a leggere le chat dei colleghi: per l'uso dell'AI ragionate per team e area di lavoro, mai per persona. L'errore tipico: credere di avere un audit perché le conversazioni sono salvate. Un archivio di chat non dice chi ha cambiato un permesso o dato il via libera a un'azione.

5. Policy

La domanda: cosa è permesso, cosa è vietato, cosa richiede un sì? Cosa decidere: regole diverse per reparto, le soglie oltre cui serve un'approvazione, chi approva. L'errore tipico: una policy di venti pagine in PDF che nessuno apre e nessuno strumento applica.

6. Costi

La domanda: quanto può costare l'AI in un mese, nel caso peggiore? Cosa decidere: un budget per team, un tetto complessivo, cosa succede al superamento (blocco o modello più economico), chi può chiedere di più. L'errore tipico: scoprire il consumo dalla fattura, o spegnere l'AI ai team che la usano di più, cioè a quelli che ne ricavano valore. Approfondimento: il business case dell'AI per il CFO.

7. Responsabilità

La domanda: se l'AI sbaglia, chi risponde e chi decide cosa cambiare? Cosa decidere: un responsabile della governance, un approvatore per area, chi aggiorna le regole, chi riceve le segnalazioni. L'errore tipico: lasciare tutto all'IT perché lo strumento è tecnico. Le scelte su dati e persone sono di HR, legale e funzioni di business: l'IT le applica, non le prende.

Come risponde Userbot ai sette elementi della governance?

Su sei elementi Userbot ha funzioni già dentro la piattaforma. Sulla responsabilità fornisce gli strumenti, non la decisione. Vediamoli in dettaglio: ecco cosa trovate e cosa resta a voi.

In sintesi: la piattaforma applica le decisioni, ma le decisioni restano vostre. Il quadro completo è in Governance e sicurezza e nel Trust Center.

Che cosa c'entrano AI Act e GDPR con l'AI governance?

AI Act e GDPR non sostituiscono la governance, la presuppongono: chiedono di sapere cosa si usa, formare le persone, proteggere i dati e poter dimostrare cosa si è fatto.

Quanto segue è una lettura di orientamento, non una consulenza legale.

Sull'AI Act (Regolamento (UE) 2024/1689) tre punti riguardano chi usa l'AI in azienda. Uno: l'articolo 4, nella versione sostituita dal Regolamento (UE) 2026/1744, chiede a fornitori e deployer di adottare misure per sostenere l'alfabetizzazione in materia di IA del personale, senza imporre un livello specifico a ogni persona. Due: gli articoli 14 e 26 ci dicono che per i sistemi ad alto rischio la sorveglianza umana va affidata a persone con competenza, formazione e autorità. Tre: l'allegato III include tra gli usi ad alto rischio alcuni impieghi nel lavoro, come la selezione dei candidati (l'HR deve verificare caso per caso). Per questi sistemi il Regolamento 2026/1744 indica il 2 dicembre 2027 come data di applicazione.

A questi punti se ne aggiunge un ultimo sulla trasparenza verso chi parla con un sistema di AI: trasparenza e AI Act per i chatbot. Formalmente non riguarda l'uso in azienda, ma è un obbligo verso l'esterno di un'azienda, nella pratica va governato da chi in azienda si occupa di quel sistema AI.

Sul GDPR (Regolamento (UE) 2016/679) quattro articoli parlano alla governance: l'articolo 5 sui principi, il 25 sulla protezione dei dati fin dalla progettazione e per impostazione predefinita, il 30 sul registro dei trattamenti, il 35 sulla valutazione d'impatto per i trattamenti ad alto rischio. Il quadro di Userbot è nella pagina GDPR.

Quale metodo seguire: NIST AI RMF o ISO/IEC 42001?

Nessuno dei due è obbligatorio: servono come impalcatura per non dimenticare pezzi.

Il NIST AI Risk Management Framework è un riferimento volontario, pubblicato nella versione 1.0 nel gennaio 2023, organizzato in quattro funzioni: Govern, Map, Measure, Manage. Accanto ai sette elementi si legge così (è una nostra lettura): Govern è policy e responsabilità, Map è modelli e dati, Measure è audit e costi, Manage è il ciclo di correzione. La ISO/IEC 42001:2023 specifica i requisiti di un sistema di gestione dell'AI in un'organizzazione: è la strada se vi serve una verifica di terza parte o se i clienti la chiedono. Il NIST è gratuito, la ISO è a pagamento.

Perché la governance va decisa all'inizio e non dopo?

Sicuramente perché all'inizio costa poco e dopo costa molto (e non stiamo parlando solo di soldi).

Prima che le persone inizino ad usare l'AI, decidere modelli, dati e permessi richiede qualche riunione. Dopo qualche mese bisogna scoprire cosa è successo, recuperare gli account personali e spiegare a un team che ciò che faceva da mesi non si può più fare o si deve fare in modo diverso.

I costi purtoppo si misurano in problemi.

1. I dati già usciti non tornano indietro.
2. Gli agenti creati con permessi larghi vengono usati da altri, e restringerli rompe processi costruiti nel frattempo.
3. Le abitudini si fissano: una regola introdotta dopo è vissuta come un divieto, una presente dal primo giorno come il modo di lavorare.

È il principio dei tre livelli di adozione dell'AI: identità, perimetro dei dati, registro e modelli si decidono una volta, prima di salire di livello.

Da dove si parte nel primo mese?

Si parte da cinque passi, in quest'ordine, con un responsabile per ciascuno.

1. Censire l'uso reale: quali strumenti usano oggi i team, con quali account, su quali attività.
2. Classificare i dati: quattro classi, ciascuna con esempi presi dai documenti veri di acquisti, HR e ufficio tecnico.
3. Fissare modelli e accessi: modelli approvati, un gruppo per reparto, amministratori con il nome scritto.
4. Scrivere le soglie di approvazione: poche voci concrete, come gli ordini sopra un importo.
5. Fissare il tetto di spesa e una revisione a trenta giorni per correggere le regole che scattano troppo o troppo poco.

La governance non si chiude con questi passi, ma sicuramente è necessario partire da qui. Se volete confrontarvi sul vostro caso, ne parliamo in una demo.

Antonio Giarrusso, Founder di Userbot e Head of AI del Gruppo Smeup

Ha fondato Userbot nel 2017 per portare gli Agenti AI dentro i processi delle aziende. Si occupa di sviluppo AI, design del prodotto e go-to-market. Dal 2024 fa parte del Forbes Technology Council.