Secondo pilastro dell'AI Governance: il catalogo centralizzato degli Agenti AI

Secondo pilastro della AI Governance

-> Torna alla guida completa · Leggi il pilastro precedente

C'è un fenomeno che nelle organizzazioni più strutturate viene chiamato "agent sprawl", o "Shadow AI": la proliferazione silenziosa di agenti AI che nessuno ha autorizzato ufficialmente, ma che esistono e lavorano lo stesso. Magari li ha attivati un team che voleva muoversi in fretta. Magari sono integrazioni quasi accidentali diventate parte del flusso di lavoro quotidiano.

Il problema non è l'iniziativa dei team. È l'assenza di visibilità a livello aziendale.

Key Takeaway

• "Agent sprawl" e "Shadow AI" sono termini che indicano la proliferazione di agenti non censiti, non la conseguenza di malafede ma di velocità
• Un catalogo centralizzato traccia scopo, owner, modello, rischio, accessi e autorizzazioni di ogni agente
• Senza catalogo di agenti AI, un incidente non ha un responsabile identificabile
• Il censimento è una pratica continua, non un progetto una tantum

Cos'è il catalogo degli agenti AI

Il secondo pilastro della AI Governance si identifica in un registro centralizzato: uno strumento che censisce ogni agente AI attivo in azienda con attributi standard, così da poter rispondere in ogni momento a una domanda semplice ma cruciale - chi fa cosa, su quali dati, con quali poteri?

Non è un esercizio burocratico da completare una tantum. È una pratica continua, esattamente come la gestione degli accessi dei dipendenti: non daresti a un nuovo assunto le credenziali di tutti i sistemi aziendali senza sapere chi è e cosa deve fare. Lo stesso principio vale per un agente AI.

6 attributi che ogni agente AI deve avere

Un catalogo efficace registra, per ogni agente:

1. Scopo / caso d'uso - cosa fa concretamente e quale problema risolve
2. Owner, business e IT - chi risponde dei suoi esiti, sia sul piano del risultato di business sia su quello tecnico
3. Modello e versione - quale modello sottostante utilizza e quale release è in produzione
4. Classe di rischio - Medio, Alto o Molto Alto, secondo i criteri definiti dal comitato di governance
5. Dati e accessi - quali sistemi, API e dataset consulta
6. Evidenze di test e autorizzazione - esiti dei test effettuati e tracciamento delle approvazioni ricevute

Questi sei campi, aggiornati nel tempo, trasformano un elenco statico in uno strumento di governance vivo.

Cosa succede quando il catalogo manca

Le conseguenze dell'assenza di un catalogo sono concrete, non teoriche:

• Un agente accede a dati che non dovrebbe vedere, e nessuno se ne accorge fino a un incidente
• Un altro esegue azioni — invii, modifiche, transazioni — che nessuno ha mai formalmente approvato
• In caso di errore o incidente, non esiste un responsabile identificabile, perché nessuno sapeva ufficialmente che quell'agente esistesse
• I costi infrastrutturali si accumulano in modo non tracciabile, distribuiti su decine di iniziative isolate

Un agente non censito è, di fatto, un agente senza responsabile. E in un contesto normativo che chiede sempre più spesso di dimostrare tracciabilità e accountability (si pensi agli obblighi dell'EU AI Act), questa mancanza di visibilità è essa stessa un rischio di compliance.

Come costruire il catalogo: da dove partire

Un catalogo degli agenti AI non deve nascere perfetto. I passi pratici per avviarlo:

1. Fai un censimento reale, coinvolgendo non solo l'IT ma anche i responsabili di processo: molti agenti "informali" emergono solo chiedendo direttamente ai team.
2. Assegna un owner a ogni agente trovato, anche retroattivamente, prima di continuare a usarlo.
3. Classifica il rischio di ciascuno secondo i criteri già definiti dallo Steering Group.
4. Documenta accessi e sistemi collegati, così da avere già pronta la base per il pilastro successivo sulla sicurezza by design.
5. Rendi il catalogo parte del processo di rilascio: nessun nuovo agente entra in produzione senza essere prima censito.

Avere il pieno controllo dell'Intelligenza Artificiale in azienda non significa frenare l'innovazione, ma fornirle perimetri chiari e sicuri in cui prosperare. Il censimento costante e l'adozione di un catalogo degli agenti AI rappresentano il primo passo concreto per eliminare i rischi d'ombra, garantire la compliance e strutturare un'organizzazione davvero AI-ready.

Continua il percorso

Una volta sapendo quanti agenti AI esistono e cosa possono fare, il passo successivo è assicurarsi che abbiano solo gli accessi strettamente necessari.

→ Leggi il terzo pilastro: sicurezza by design e sandboxing