Gartner ha diffuso il 26 maggio 2026 un’analisi netta sulla governance dei sistemi di intelligenza artificiale in azienda: applicare un controllo uniforme a tutti gli agenti di IA porterà al fallimento. La società di ricerca sostiene che le imprese stanno trattando la governance dell’IA in modo binario, o tutto bloccato o tutto consentito, e che proprio questo è all’origine degli incidenti. È una diagnosi che vale ben oltre gli agenti autonomi e che fotografa il problema centrale di chi deve mettere in piedi la compliance all’AI Act.
Governare l’IA in azienda non significa né vietarla né lasciarla correre. Significa costruire un’architettura che distingua.
Partire dall’inventario, non dalla policy
L’errore più comune è cominciare scrivendo un documento di policy.
Prima del documento serve la conoscenza. Un’impresa non può governare ciò che non sa di avere, e l’intelligenza artificiale è già dentro molte organizzazioni in forme che nessuno ha mappato: un modello generativo usato dal marketing, un sistema di scoring nel credito, uno strumento di selezione del personale, un assistente integrato in un software gestionale. Il primo passo della governance è l’inventario: censire dove l’IA è presente, chi la usa, per quali decisioni, con quali dati.
Senza inventario, ogni policy è scritta al buio.
Il censimento rivela quasi sempre più sistemi di quanti il management immaginasse. È il momento in cui l’IA cessa di essere un tema astratto e diventa una mappa concreta di processi da governare.
Il fenomeno ha anche un nome che gli addetti ai lavori usano da tempo: l’IA ombra, l’insieme di strumenti che i dipendenti adottano di propria iniziativa, senza passare da un’autorizzazione. Un addetto che incolla dati aziendali in un servizio di IA generativa per farsi aiutare a scrivere un documento introduce, senza accorgersene, un rischio di fuga di informazioni che nessuna policy ufficiale ha previsto. L’inventario serve proprio a fare emergere questi usi sommersi, che sfuggono al controllo non perché qualcuno li nasconda, ma perché nessuno ha mai chiesto. Una governance che parte da una mappa parziale lascia scoperte proprio le zone più rischiose.
Classificare il rischio sistema per sistema
Una volta noti i sistemi, vanno distinti.
L’AI Act è costruito su una logica di rischio graduato. Alcuni usi sono vietati, altri sono ad alto rischio e soggetti a obblighi stringenti, altri ancora comportano solo doveri di trasparenza, la maggior parte ricade in una fascia di rischio minimo. Un’impresa deve collocare ciascuno dei propri sistemi in questa scala, perché gli obblighi cambiano radicalmente. Un assistente che aiuta a scrivere email non richiede lo stesso presidio di un sistema che valuta il merito creditizio di un cliente o seleziona candidati a un posto di lavoro.
Qui torna utile la lezione di Gartner. La governance proporzionata, calibrata sul livello di autonomia e di impatto del sistema, è più efficace di un controllo uniforme. Applicare a un chatbot interno le stesse cautele di un sistema decisionale ad alto rischio spreca risorse e, paradossalmente, abbassa la guardia dove serve davvero.
La società di ricerca propone di classificare gli agenti di IA per livelli di autonomia, ciascuno con un diverso grado di fiducia e quindi di controllo. Un agente che si limita a leggere dati e a restituire un riassunto, con output visibile solo a chi lo ha richiesto, richiede controlli di base: accesso ai dati ben delimitato, autenticazione, registrazione degli usi. Un agente che agisce in autonomia, scrive in sistemi aziendali o prende decisioni che producono effetti esterni, richiede invece presidi molto più stringenti. Trattare entrambi allo stesso modo, sostiene Gartner, è la radice del fallimento: o si soffoca l’utilità del primo, o si lascia troppo spazio al secondo.
La distinzione tra autonomia e impatto è la chiave. Non conta solo quanto un sistema agisce da solo, ma su cosa.
I tre strumenti che l’AI Act mette a disposizione
Per costruire la compliance, l’impresa non parte da zero.
Il Regolamento UE 2024/1689 ha generato tre strumenti di supporto. Le linee guida della Commissione che chiariscono l’ambito di applicazione, in particolare per i modelli per finalità generali. Il Codice di condotta GPAI, che descrive come i fornitori dimostrano la conformità su trasparenza, copyright e sicurezza. Il template del riepilogo dei dati di addestramento, che apre la provenienza dei dati. Un’impresa che adotta sistemi di IA può usare questi strumenti per valutare i propri fornitori e documentare le proprie scelte.
Scegliere fornitori che hanno aderito al Codice di condotta, ad esempio, sposta parte dell’onere di conformità a monte e riduce l’esposizione del deployer.
Conviene non confondere la conformità del fornitore con la propria. Un modello conforme all’AI Act non rende automaticamente conforme l’uso che l’impresa ne fa. Un sistema di selezione del personale può essere fornito da un produttore impeccabile e diventare comunque uno strumento ad alto rischio nel momento in cui l’azienda lo usa per scartare candidati. La responsabilità del deployer riguarda il contesto d’uso, non la qualità intrinseca dello strumento. Per questo l’inventario e la classificazione del rischio vanno fatti sull’uso concreto che l’organizzazione fa di ciascun sistema, non sulle dichiarazioni di chi lo ha venduto.
La supervisione umana come architrave
Il principio che tiene insieme tutta la governance è la supervisione umana.
L’AI Act lo chiama human oversight e lo impone per i sistemi ad alto rischio. Ma come principio organizzativo vale ovunque. Significa che per ogni sistema di IA che incide su decisioni rilevanti deve esistere una persona in grado di comprendere l’output, di metterlo in discussione e, se necessario, di scavalcarlo. Non un controllo formale, una firma apposta in automatico, ma una supervisione effettiva.
È qui che l’analisi di Gartner diventa monito. La società prevede che entro il 2027 il 40% delle imprese sarà costretto a ridimensionare o disattivare agenti di IA autonomi a causa di carenze di governance emerse solo dopo incidenti in produzione. La tentazione di ridurre la supervisione umana man mano che cresce l’autonomia dei sistemi è forte, perché la supervisione costa tempo. Ma è proprio dove la supervisione si allenta che maturano gli incidenti.
La previsione si lega a un altro dato della stessa società di ricerca: entro il 2026 una quota intorno al 40% delle applicazioni aziendali integrerà agenti specializzati, contro una percentuale minima fino a poco prima. La diffusione corre più veloce della capacità di governarla. È lo schema classico delle adozioni tecnologiche entusiaste, in cui prima si installa e poi, dopo il primo incidente, si scopre che mancavano i controlli. Il ridimensionamento di quel 40% non sarà il segno che gli agenti non funzionano, ma che molte imprese li avranno introdotti senza la disciplina necessaria, scoprendo a proprie spese che l’autonomia senza supervisione è un rischio, non un risparmio.
Human in the loop non significa rallentare ogni operazione. Significa decidere, in modo consapevole, dove l’uomo deve restare nel circuito e dove può uscirne senza pericolo.
Ruoli e responsabilità: chi governa l’IA in azienda
Una governance senza titolari resta sulla carta.
La tentazione opposta, quella di scaricare tutto su un singolo responsabile, è altrettanto insidiosa. Nominare un responsabile dell’IA e considerare risolto il problema significa creare un parafulmine, non una governance. Le decisioni sull’adozione di un sistema nascono nelle singole funzioni, dal marketing alle risorse umane, ed è lì che il rischio si genera o si previene. Il presidio centrale serve a fissare i criteri e a vigilare, ma non può sostituirsi al giudizio di chi adotta lo strumento. La responsabilità, in una governance efficace, è distribuita lungo la catena delle decisioni, non concentrata in un ufficio che gli altri considerano l’unico a doversene occupare.
Serve attribuire responsabilità chiare: chi tiene aggiornato l’inventario, chi valuta il rischio dei nuovi sistemi prima dell’adozione, chi vigila sulla supervisione umana, chi risponde in caso di incidente. In molte organizzazioni questo si traduce in un presidio che mette insieme competenze legali, tecniche e di processo, perché la governance dell’IA tocca tutti e tre i piani. Non è un compito che si possa delegare interamente all’ufficio IT o all’ufficio legale: è trasversale.
Il fattore che troppo spesso manca è la competenza diffusa.
Una governance funziona solo se chi usa l’IA quotidianamente sa riconoscere i limiti dello strumento e i propri doveri. Per questo la formazione non è un accessorio della compliance, ne è una componente strutturale. AIPIA accompagna le imprese su questo terreno con percorsi dedicati di formazione aziendale sull’intelligenza artificiale, costruiti per portare la consapevolezza dove le decisioni vengono prese davvero, cioè tra chi lavora con questi strumenti ogni giorno.
Il quadro normativo di riferimento, con scadenze e obblighi tradotti in adempimenti pratici, è ricostruito nella guida operativa all’AI Act dell’associazione.
Un errore ricorrente è considerare la formazione un evento una tantum, un corso da spuntare in un elenco di adempimenti. La tecnologia cambia troppo in fretta perché una formazione fatta una volta resti valida a lungo. Gli strumenti che un’azienda usa oggi saranno diversi tra un anno, e con loro cambieranno i rischi e i comportamenti corretti. La competenza diffusa va quindi mantenuta nel tempo, con aggiornamenti periodici che seguano l’evoluzione degli strumenti e della norma. Una governance che forma il personale una volta sola e poi considera chiuso il capitolo costruisce una consapevolezza destinata a invecchiare insieme agli strumenti che pretendeva di governare.
La governance come vantaggio, non come zavorra
Esiste una lettura della compliance che la considera un costo da minimizzare. È una lettura miope.
Un’impresa che sa dove usa l’IA, che ne conosce i rischi e che mantiene una supervisione effettiva non sta solo evitando sanzioni. Sta costruendo la capacità di adottare l’intelligenza artificiale senza farsi male, che nei prossimi anni separerà le organizzazioni che useranno questa tecnologia con profitto da quelle che la subiranno. La governance non rallenta l’adozione dell’IA. È la condizione che permette di adottarla senza dover poi smontare in fretta, come prevede Gartner per quel 40% che avrà saltato il passaggio.
