Il primo pilastro dell’AI Governance: chi decide cosa fa l’AI in azienda

Primo pilastro della AI Governance - Torna alla guida completa

Chi, nella tua azienda, ha l'ultima parola su quale agente AI può entrare in produzione?

Chi decide quali rischi sono accettabili e dove si deve fermare l'autonomia della macchina?

Spesso la risposta è "l'IT" o "chi ha stanziato il budget". Sono entrambe risposte incomplete e sono il primo segnale che manca il primo, fondamentale pilastro dell'AI Governance: un comitato interfunzionale che decida con criteri chiari e condivisi. La governance inizia dalla leadership, non dall'IT.

Key Takeaway

• Le decisioni sugli agenti AI toccano sempre più funzioni: nessuna può deciderle da sola
• Lo Steering Group dell'AI Governance riunisce vertici aziendali, IT, rischio, dati, legale e DPO con cadenza mensile
• Servono soglie di rischio scritte, criteri per passare da progetto pilota ad agenti AI in produzione, vincoli sui fornitori e una policy d'uso condivisa
• Il comitato presidia anche gli obblighi concreti di EU AI Act e GDPR, non solo l'etica generale
• Un buon comitato velocizza le decisioni, non le rallenta

Perché la governance dell'AI non può essere delegata a una sola funzione

Le decisioni sugli agenti AI non sono mai decisioni puramente tecniche. Autorizzare un agente a inviare comunicazioni ai clienti in autonomia è una scelta che tocca contemporaneamente la reputazione aziendale, la compliance normativa e i costi operativi. Nessuna di queste dimensioni può essere presidiata da un'unica funzione aziendale.

Per questo il primo pilastro della governance AI è lo Steering Group: un comitato interfunzionale - non un comitato tecnico - che approva o blocca l'adozione di un agente AI e che si riunisce su base mensile, non solo quando qualcosa va storto.

Quali team coinvolgere

Un comitato di AI Governance efficace tipicamente include:

• Vertici aziendali (CEO o membri del Board): garantiscono che le decisioni sull'AI siano allineate alla strategia d'impresa, non solo alla fattibilità tecnica
• Leader tecnologici (CIO/CTO): valutano fattibilità tecnica e integrazione con i sistemi esistenti, e presidiano la selezione dei modelli fondativi
• Chief Risk Officer e rappresentanti delle aree dati: mappano il rischio complessivo e la qualità dei dati coinvolti
• DPO (Data Protection Officer): verifica gli impatti sul trattamento dei dati personali
• Legale e compliance: valuta i rischi contrattuali e regolatori

La composizione può variare in base alle dimensioni dell'azienda, ma il principio resta: nessuna decisione ad alto impatto dovrebbe passare attraverso una sola prospettiva.

Cosa deve stabilire il comitato

Un comitato interfunzionale che funziona non si limita a riunirsi: mette per iscritto una serie di ambiti di presidio.

1. La selezione e l'allineamento dei modelli fondativi alla strategia di business, non solo alle prestazioni tecniche

2. Le regole per la scalabilità dei progetti pilota: quali evidenze servono prima che un agente AI, testato in un ambiente controllato, venga esposto a clienti o processi reali?

3. Le soglie di rischio e di escalation: per ogni agente, cosa può decidere autonomamente il comitato e cosa deve invece salire al Board? Un esempio pratico: un agente che orchestra l'intero customer journey, classificato a rischio molto alto, richiede l'approvazione del Board, non solo del comitato operativo

4. I vincoli di sicurezza per i fornitori e l'utilizzo dei dati, incluse le clausole contrattuali minime richieste a chi fornisce modelli o piattaforme agentiche

5. Le procedure di escalation: quali incidenti devono arrivare al Board e in che tempistiche

6. I principi etici e le regole di scalabilità: una policy d'uso che definisca, a monte, cosa è accettabile e cosa no, indipendentemente dal singolo caso d'uso che si presenta di volta in volta.

Come classificare il profilo di rischio di un agente AI

Il comitato ha bisogno di un linguaggio comune per valutare ogni agente AI. Un criterio pratico è considerare quattro dimensioni:

• Impatto: economico, legale, reputazionale in caso di errore
• Reversibilità: quanto è facile tornare indietro se qualcosa va storto
• Sensibilità dei dati trattati dall'agente
• Livello di autonomia con cui opera

Su questa base, ogni agente può essere classificato su una scala - ad esempio Medio, Alto, Molto Alto - dove "Molto Alto" indica impatti legali/normativi o effetti che attraversano più funzioni aziendali contemporaneamente. Questa classificazione, definita dal comitato, è il criterio che guida tutte le decisioni successive: quanta autonomia concedere, quali controlli attivare, chi deve approvare cosa.

Gli obblighi normativi da controllare

Per garantire la compliance nell'implementazione degli agenti AI, lo Steering Group deve presidiare - anche senza avere un avvocato in ogni riunione - due blocchi normativi che si applicano già oggi.

Per l'EU AI Act:

• Classificazione del rischio del sistema (proibito, alto rischio, rischio limitato/trasparenza, rischio minimo)
• Esecuzione di una Fundamental Rights Impact Assessment (FRIA) quando l'agente AI rientra nei casi d'uso ad alto rischio
• Trasparenza verso gli utenti, che devono sapere di interagire con un'AI
• Sistemi di gestione della qualità e del rischio lungo tutto il ciclo di vita dell'agente
• Documentazione tecnica aggiornata e conservazione dei log
• Procedure di supervisione umana documentabili (human-in-the-loop)
• Verifica della conformità alla direttiva sul copyright, in particolare per i modelli general-purpose (GPAI) addestrati o ottimizzati internamente

Per il GDPR:

• Individuazione della base giuridica (consenso o legittimo interesse) per il trattamento di dati personali nei modelli
• Minimizzazione dei dati tramite offuscamento, redazione e anonimizzazione, per evitare memorizzazioni indebite
• Chiarezza su chi è il Titolare del trattamento nell'ecosistema agente
• Gestione dei diritti dell'interessato, incluso il diritto a non essere sottoposto a una decisione basata unicamente sull'automazione
• Valutazione del cosiddetto dilemma "fruit of the poisonous tree": un agente AI costruito su un modello addestrato con dati raccolti illecitamente eredita quel rischio, anche se in azienda nessuno ha commesso l'illecito originario
• Data Protection Impact Assessment (DPIA) integrata già nella fase di design del workflow, non aggiunta dopo

Cosa succede senza questo pilastro

Quando manca un organo decisionale interfunzionale, non è che le decisioni non vengano prese: vengono prese comunque, ma in modo frammentato. Un team decide di autonomia propria di ampliare i permessi di un agente. Un altro lo mette in produzione senza una revisione legale. Nessuno ha una visione d'insieme del rischio complessivo che l'azienda sta accumulando.

Il paradosso è che le aziende con uno Steering Group ben costruito prendono decisioni più veloci, non più lente, perché sanno già chi decide, con quali criteri, in quanto tempo. L'assenza di struttura non elimina la burocrazia: la sposta, in modo invisibile, su ogni singolo caso.

Impresoft Engage accompagna le aziende nella strutturazione dei comitati di governance AI, a partire dai casi d'uso concreti del proprio settore. Prenota una call con un esperto.