# AI Governance: cosa significa davvero governare l'AI in azienda

Governare l’AI non è solo fare una policy: significa decidere su modelli, dati, accessi, audit, costi e responsabilità, e poterli applicare. Una guida in 7 elementi per capire cosa fa Userbot e cosa spetta all'azienda.

- URL: https://userbot.ai/blog/ai-governance-aziendale
- Autore: Antonio Giarrusso, Founder di Userbot e Head of AI del Gruppo Smeup
- Pubblicato: 2026-11-05
- Tema: Governance e sicurezza
- Editore: Userbot (https://userbot.ai)

## In breve

- L'AI governance è l'insieme delle decisioni e dei controlli su sette elementi: modelli, dati, accessi, audit, policy, costi e responsabilità. Una policy scritta è solo una degli elementi necessari.
- Per ciascuna area servono tre cose: una domanda a cui occorre saper rispondere, una decisione da prendere e un errore da evitare. Per esempio, un tetto di spesa senza limiti oppure un agente con permessi più ampi di quelli dell’utente che lo utilizza.
- Userbot aiuta a tradurre queste decisioni in pratiche operative attraverso Regole, Approvazioni, Registro di audit, accesso ai modelli per gruppo e tetti di spesa. L’attribuzione delle responsabilità resta invece una scelta organizzativa; al momento non sono disponibili ruoli personalizzati.
- AI Act e GDPR richiedono questa base: formazione adeguata, supervisione umana e protezione dei dati fin dalla progettazione e per impostazione predefinita. Definirla all’inizio richiede poche riunioni; farlo dopo può significare rivedere processi già consolidati.

Nelle aziende che seguiamo arriviamo al punto in cui ci chiedono: «Abbiamo una policy sull'AI, quindi siamo a posto?». Ecco, purtroppo, di solito no. Una policy dice cosa le persone dovrebbero fare. La governance decide cosa l'azienda può consentire, vedere e fermare, anche quando nessuno ha letto la policy.

In questa guida definiamo l'AI governance su sette elementi: modelli, dati, accessi, audit, policy, costi e responsabilità. Per ognuno trovate la domanda da farsi, cosa decidere e l'errore più frequente.

**AI governance**: L'insieme di decisioni, regole e controlli con cui un'azienda stabilisce quali modelli AI usa, con quali dati, chi può usarli, cosa può fare l'AI da sola e chi risponde dei risultati.

## Che cos'è l'AI governance e in cosa differisce da una policy?

L'AI governance è il sistema con cui un'azienda decide, applica e controlla l'uso dell'AI. La policy ne è una parte: il documento che stabilisce le regole d’uso. Il resto comprende strumenti che rendono effettive queste scelte, persone responsabili e un registro che le rende verificabili.

Allo stesso modo, l'AI Governance non coincide con una serie di divieti: vietare gli strumenti infatti non spegne l'uso, lo sposta dove nessuno lo vede ([vietare l'AI in azienda non è una strategia](https://userbot.ai/blog/vietare-ai-in-azienda-non-e-una-strategia)). E non coincide nemmeno con la strategia di adozione: quella dice dove portare l'AI e in che ordine, la governance, invece, definisce entro quali limiti. Per la prima c'è la [guida alla strategia di AI adoption](https://userbot.ai/blog/strategia-ai-aziendale-la-guida).

## Quali sono i sette elementi dell'AI governance?

I sette elementi dell'AI governance sono modelli, dati, accessi, audit, policy, costi e responsabilità. Trasformano un tema vago in sette domande concrete a cui si rispondere con risposte certe, misurabili e senza ambiguità.

### 1. Modelli

**La domanda:** quali modelli possiamo usare, e per quali attività? **Cosa decidere:** i modelli approvati, dove sono ospitati, chi usa quelli più costosi, chi accende un modello nuovo. **L'errore tipico:** lasciare che ogni reparto scelga l'abbonamento che conosce. Dopo sei mesi nessuno sa quali fornitori trattano quali dati. 

### 2. Dati

**La domanda:** quali dati possono entrare in una richiesta all'AI, e dove vanno? **Cosa decidere:** le classi di dati (pubblici, interni, personali, riservati), dove sono elaborati, per quanto restano le conversazioni, se il fornitore può addestrare i modelli con essi. **L'errore tipico:** scrivere «vietato caricare dati sensibili» senza dire quali sono: l'ufficio acquisti non sa se un listino riservato lo sia. Approfondimento: [data residency UE e agenti AI](https://userbot.ai/blog/data-residency-ue-agenti-ai).

### 3. Accessi

**La domanda:** chi entra, con quale identità, e fin dove arriva l'AI quando agisce al posto di una persona? **Cosa decidere:** il metodo di accesso, i ruoli, i gruppi per reparto, e se un agente lavora con i permessi di chi lo usa o con un account suo. **L'errore tipico:** dare all'agente un account con accessi larghi «per farlo funzionare in fretta»: da quel momento vede più cose delle persone che lo usano.

### 4. Audit

**La domanda:** sappiamo ricostruire chi ha fatto cosa e chi ha approvato cosa? **Cosa decidere:** quali eventi si registrano, per quanto tempo, chi legge il registro. Serve a tracciare azioni e decisioni, non a leggere le chat dei colleghi: per l'uso dell'AI ragionate per team e area di lavoro, mai per persona. **L'errore tipico:** credere di avere un audit perché le conversazioni sono salvate. Un archivio di chat non dice chi ha cambiato un permesso o dato il via libera a un'azione.

### 5. Policy

**La domanda:** cosa è permesso, cosa è vietato, cosa richiede un sì? **Cosa decidere:** regole diverse per reparto, le soglie oltre cui serve un'approvazione, chi approva. **L'errore tipico:** una policy di venti pagine in PDF che nessuno apre e nessuno strumento applica. 

### 6. Costi

**La domanda:** quanto può costare l'AI in un mese, nel caso peggiore? **Cosa decidere:** un budget per team, un tetto complessivo, cosa succede al superamento (blocco o modello più economico), chi può chiedere di più. **L'errore tipico:** scoprire il consumo dalla fattura, o spegnere l'AI ai team che la usano di più, cioè a quelli che ne ricavano valore. Approfondimento: [il business case dell'AI per il CFO](https://userbot.ai/blog/business-case-ai-cfo).

### 7. Responsabilità

**La domanda:** se l'AI sbaglia, chi risponde e chi decide cosa cambiare? **Cosa decidere:** un responsabile della governance, un approvatore per area, chi aggiorna le regole, chi riceve le segnalazioni. **L'errore tipico:** lasciare tutto all'IT perché lo strumento è tecnico. Le scelte su dati e persone sono di HR, legale e funzioni di business: l'IT le applica, non le prende.

## Come risponde Userbot ai sette elementi della governance?

Su sei elementi Userbot ha funzioni già dentro la piattaforma. Sulla responsabilità fornisce gli strumenti, non la decisione. Vediamoli in dettaglio: ecco cosa trovate e cosa resta a voi.

| Elementi chiave | Cosa trovate in Userbot | Cosa non c'è o resta a voi |
| --- | --- | --- |
| Modelli | Catalogo con un interruttore per modello; per ognuno un amministratore sceglie chi lo usa (tutta l'area di lavoro, gruppi e persone scelti, solo amministratori, nessuno). 
Modelli di default tutti ospitati in UE; i Global solo se li abilitate. 
Un modello nuovo entra spento. 
BYOK (Bring Your Own Key) incluso. | Quali modelli approvare. 
Con un modello proprio (BYOK) valgono le condizioni del suo fornitore. |
| Dati | Infrastruttura in UE, regione tedesca. 
I contenuti non devono essere conservati né usati per addestrare dai fornitori dei modelli.  | Classificare i dati e decidere cosa può entrare. 
Nessun cestino: le eliminazioni sono definitive. |
| Accessi | Ruoli Member, Editor, Admin con matrice dei permessi. 
Organizzazione per gruppi.
SSO Google e Microsoft, passkey.
Restrizioni IP (solo IPv4).
Integrazioni dipendenti dalla connessione personale: l'AI non va oltre ciò a cui la persona ha già accesso. | Non esistono ruoli personalizzati. |
| Audit | Registro di audit di 90 giorni: accessi, impostazioni, membri e ruoli, integrazioni, chiavi API, agenti creati ed eliminati, decisioni sulle richieste di approvazione. | Il registro di Audit non salva il contenuto delle conversazioni, per privacy. |
| Policy | Regole scritte in italiano, per gruppo, utente o tutta l'area di lavoro, valide anche per agenti e automazioni. 
Le Approvazioni sono un vincolo: il compito non parte senza il sì dell'approvatore.
Le linee guida orientano l'AI, non la costringono. | Documento di policy formale e legale (regolamento aziendale)
Adozione della policy aziendale.
Formazione su richiesta. |
| Costi | Tetti di spesa dell'area di lavoro, per tipo di posto e per Workflow + Wallet prepagato. 
Superato l'incluso, nelle chat le risposte passano a un modello economico invece di bloccarsi. | Il tetto dell'area di lavoro lo impostate voi.
Superato l'incluso, nei workflow e negli agenti cosa succede dopo lo decidete voi (blocco o modello economico o sforamento dei costi). |
| Responsabilità | Un approvatore per regola (di norma un Admin).
Le regole le scrive solo chi è Admin. | Chi risponde dell'AI in azienda lo decidete voi. 
Non c'è un ruolo Auditor. |

In sintesi: la piattaforma applica le decisioni, ma le decisioni restano vostre. Il quadro completo è in [Governance e sicurezza](https://userbot.ai/governance-e-sicurezza) e nel [Trust Center](https://userbot.ai/trust-center).

## Che cosa c'entrano AI Act e GDPR con l'AI governance?

AI Act e GDPR non sostituiscono la governance, la presuppongono: chiedono di sapere cosa si usa, formare le persone, proteggere i dati e poter dimostrare cosa si è fatto. 

*Quanto segue è una lettura di orientamento, non una consulenza legale.*

Sull'AI Act ([Regolamento (UE) 2024/1689](https://eur-lex.europa.eu/eli/reg/2024/1689/oj)) tre punti riguardano chi usa l'AI in azienda. Uno: l'articolo 4, nella versione sostituita dal [Regolamento (UE) 2026/1744,](https://eur-lex.europa.eu/eli/reg/2026/1744/oj) chiede a fornitori e deployer di adottare misure per sostenere l'alfabetizzazione in materia di IA del personale, senza imporre un livello specifico a ogni persona. Due: gli articoli 14 e 26 ci dicono che per i sistemi ad alto rischio la sorveglianza umana va affidata a persone con competenza, formazione e autorità. Tre: l'allegato III include tra gli usi ad alto rischio alcuni impieghi nel lavoro, come la selezione dei candidati (l'HR deve verificare caso per caso). Per questi sistemi il Regolamento 2026/1744 indica il 2 dicembre 2027 come data di applicazione.   
  
A questi punti se ne aggiunge un ultimo sulla trasparenza verso chi parla con un sistema di AI: [trasparenza e AI Act per i chatbot](https://userbot.ai/blog/trasparenza-ai-act-chatbot). Formalmente non riguarda l'uso in azienda, ma è un obbligo verso l'esterno di un'azienda, nella pratica va governato da chi in azienda si occupa di quel sistema AI.

Sul GDPR ([Regolamento (UE) 2016/679](https://eur-lex.europa.eu/eli/reg/2016/679/oj)) quattro articoli parlano alla governance: l'articolo 5 sui principi, il 25 sulla protezione dei dati fin dalla progettazione e per impostazione predefinita, il 30 sul registro dei trattamenti, il 35 sulla valutazione d'impatto per i trattamenti ad alto rischio. Il quadro di Userbot è nella pagina [GDPR](https://userbot.ai/privacy).

## Quale metodo seguire: NIST AI RMF o ISO/IEC 42001?

Nessuno dei due è obbligatorio: servono come impalcatura per non dimenticare pezzi.

Il [NIST AI Risk Management Framework](https://www.nist.gov/itl/ai-risk-management-framework) è un riferimento volontario, pubblicato nella versione 1.0 nel gennaio 2023, organizzato in quattro funzioni: Govern, Map, Measure, Manage. Accanto ai sette elementi si legge così (è una nostra lettura): *Govern *è policy e responsabilità, *Map* è modelli e dati, *Measure* è audit e costi, *Manage* è il ciclo di correzione. La [ISO/IEC 42001:2023](https://webstore.iec.ch/publication/90574) specifica i requisiti di un sistema di gestione dell'AI in un'organizzazione: è la strada se vi serve una verifica di terza parte o se i clienti la chiedono. Il NIST è gratuito, la ISO è a pagamento.

## Perché la governance va decisa all'inizio e non dopo?

Sicuramente perché all'inizio costa poco e dopo costa molto (e non stiamo parlando solo di soldi). 

Prima che le persone inizino ad usare l'AI, decidere modelli, dati e permessi richiede qualche riunione. Dopo qualche mese bisogna scoprire cosa è successo, recuperare gli account personali e spiegare a un team che ciò che faceva da mesi non si può più fare o si deve fare in modo diverso.

I costi purtoppo si misurano in problemi.

1. I dati già usciti non tornano indietro. 
2. Gli agenti creati con permessi larghi vengono usati da altri, e restringerli rompe processi costruiti nel frattempo. 
3. Le abitudini si fissano: una regola introdotta dopo è vissuta come un divieto, una presente dal primo giorno come il modo di lavorare. 

È il principio dei [tre livelli di adozione dell'AI](https://userbot.ai/blog/tre-livelli-adozione-ai-in-azienda): identità, perimetro dei dati, registro e modelli si decidono una volta, prima di salire di livello.

## Da dove si parte nel primo mese?

Si parte da cinque passi, in quest'ordine, con un responsabile per ciascuno.

1. **Censire l'uso reale:** quali strumenti usano oggi i team, con quali account, su quali attività.
2. **Classificare i dati:** quattro classi, ciascuna con esempi presi dai documenti veri di acquisti, HR e ufficio tecnico.
3. **Fissare modelli e accessi:** modelli approvati, un gruppo per reparto, amministratori con il nome scritto.
4. **Scrivere le soglie di approvazione:** poche voci concrete, come gli ordini sopra un importo.
5. **Fissare il tetto di spesa e una revisione a trenta giorni** per correggere le regole che scattano troppo o troppo poco.

La governance non si chiude con questi passi, ma sicuramente è necessario partire da qui. Se volete confrontarvi sul vostro caso, ne parliamo in una [demo](https://userbot.ai/demo).

## Domande frequenti

### L'AI governance è la stessa cosa della compliance?

No. La compliance risponde a «rispettiamo le norme?», la governance a «decidiamo e controlliamo come si usa l'AI?». La seconda rende più semplice dimostrare la prima e include costi e modelli.

### Chi in azienda deve occuparsi di AI governance?

Un responsabile con mandato chiaro, spesso nell'IT, e un gruppo ristretto con HR, legale e un referente di business. L'IT applica le regole, ma le scelte su dati e persone non sono solo tecniche.

### Il registro di audit permette di controllare cosa chiedono le persone all'AI?

No. Nel registro di audit di Userbot compaiono accessi, modifiche alla configurazione e decisioni, non il contenuto delle conversazioni. Per misurare l'uso guardate dati aggregati per team o area di lavoro.

### Serve la certificazione ISO/IEC 42001?

Non è obbligatoria. Ha senso se i clienti la richiedono o se volete una verifica di terza parte. Per partire bastano le sette domande di questa guida.

## Fonti

- [Regolamento (UE) 2024/1689 che stabilisce regole armonizzate sull'intelligenza artificiale (regolamento sull'intelligenza artificiale)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj), Parlamento europeo e Consiglio dell'UE, EUR-Lex
- [Regolamento (UE) 2026/1744 che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 (Omnibus digitale sull'IA)](https://eur-lex.europa.eu/eli/reg/2026/1744/oj), Parlamento europeo e Consiglio dell'UE, EUR-Lex
- [Regolamento (UE) 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (GDPR)](https://eur-lex.europa.eu/eli/reg/2016/679/oj), Parlamento europeo e Consiglio dell'UE, EUR-Lex
- [AI Risk Management Framework](https://www.nist.gov/itl/ai-risk-management-framework), NIST, National Institute of Standards and Technology
- [ISO/IEC 42001:2023 Information technology, Artificial intelligence, Management system](https://webstore.iec.ch/publication/90574), ISO/IEC, scheda sul sito IEC Webstore