L’avvento dell’intelligenza artificiale ci ha posto di fronte a un paradosso sempre più evidente: imprese e istituzioni accelerano l’adozione dell’intelligenza artificiale, ma la loro capacità di dimostrare come tali sistemi vengano controllati, monitorati e governati resta indietro.
Negli ultimi due anni l’AI è passata dalla fase sperimentale a quella dell’adozione diffusa. Eppure, mentre la tecnologia evolve rapidamente, la capacità delle organizzazioni di controllarla non segue lo stesso ritmo. Secondo il McKinsey AI Trust Maturity Survey 2026, solo il 30% delle organizzazioni ha raggiunto livelli avanzati di maturità nelle principali aree della governance dell’intelligenza artificiale, comprese strategia, gestione del rischio, controlli e supervisione dei sistemi autonomi. Parallelamente, Deloitte evidenzia che circa l’80% delle organizzazioni non dispone ancora di capacità mature di governance, monitoraggio continuo e audit trail adeguati per gestire sistemi AI sempre più autonomi.
È in questo scenario che si inserisce l’AI Act europeo, che introduce un cambio di paradigma: il tema non è più soltanto utilizzare l’intelligenza artificiale, ma essere in grado di dimostrare che essa opera in modo affidabile, trasparente e verificabile lungo tutto il suo ciclo di vita. Lo stesso problema emerge anche da numerose leggi nazionali e settoriali. Ma senza matrici di controllo, criteri verificabili e raccolta strutturata delle evidenze, come può un’organizzazione fornire prova concreta della propria conformità? Il tema riguarda anche le imprese già organizzate secondo sistemi di gestione, incluse le aziende certificate ISO 9001.
Indice degli argomenti
Perché la verifica tradizionale non basta più
Per decenni il mondo della conformità ha operato secondo un modello relativamente consolidato. Standard e norme definiscono requisiti, procedure e controlli; successivamente auditor e organismi indipendenti verificano il rispetto di tali requisiti. Questo approccio continua ad avere un ruolo fondamentale. Tuttavia, l’intelligenza artificiale presenta caratteristiche che mettono in discussione alcune delle logiche alla base dei tradizionali processi di verifica, soprattutto quando entra nei workflow aziendali e svolge attività operative o valutative in modo continuativo.
I sistemi AI non sono tecnologie statiche. Operano all’interno di ecosistemi digitali complessi, interagiscono con dati che cambiano nel tempo, producono continuamente nuovi output e possono modificare il proprio comportamento attraverso aggiornamenti, nuove configurazioni e interazioni con utenti e processi aziendali.
In questo contesto, una verifica periodica rischia di rappresentare soltanto una fotografia temporanea. Ciò che conta è comprendere come il sistema si comporti nel tempo, quali evidenze produca, come vengano gestite le anomalie e in che modo sia garantita la supervisione umana. Serve quindi un’interfaccia tra attività dell’AI, sistema informatico, funzioni di controllo e auditor, capace di rendere leggibile ciò che altrimenti resterebbe incorporato nei processi digitali.
È lo stesso concetto di conformità che sta evolvendo: da requisito verificato una tantum a processo permanente di osservazione, misurazione e controllo.
Governance dell’intelligenza artificiale, dal principio alla misurabilità
L’AI Act e le normative nazionali in materia di AI introducono principi chiari: trasparenza, accountability, gestione del rischio, supervisione umana, tracciabilità e conformità. Il problema che molte organizzazioni stanno affrontando oggi non riguarda la comprensione di questi concetti, quanto la loro applicazione concreta nei sistemi di gestione, nei processi operativi e nelle piattaforme informatiche.
Come si dimostra che una supervisione umana sia realmente efficace? In che modo si verifica che un rischio sia stato identificato e gestito correttamente? Quali informazioni devono essere conservate per dimostrare la conformità di un sistema AI utilizzato in un processo aziendale? E come si evita che l’AI produca assessment o raccomandazioni senza una traccia verificabile della propria attività?
La vera sfida consiste nel trasformare principi normativi e organizzativi in criteri misurabili, verificabili e auditabili.
Per raggiungere questo obiettivo è necessario sviluppare metriche condivise, controlli standardizzati, modalità strutturate di raccolta delle evidenze e meccanismi di monitoraggio in grado di valutare il comportamento dei sistemi nel tempo. Non basta più dichiarare che l’AI è governata: occorre poterlo dimostrare attraverso evidenze, matrici di controllo e audit trail utilizzabili da chi ha responsabilità di verifica. In assenza di matrici, la conformità resta spesso una dichiarazione di principio.
Verso un modello di assessment continuo
La crescente complessità dei sistemi AI sta favorendo l’emergere di una nuova generazione di modelli di assurance.
Se l’intelligenza artificiale opera in modo continuo, anche i processi di controllo devono evolvere nella stessa direzione. Sempre più organizzazioni stanno valutando approcci che integrano verifiche, controlli e raccolta delle evidenze direttamente nei sistemi e nei workflow digitali, consentendo di monitorare costantemente prestazioni, anomalie, livelli di rischio e requisiti di conformità.
In questa prospettiva, audit e governance non vengono più considerati attività separate dai processi operativi, ma elementi integrati all’interno dell’ambiente tecnologico stesso. È il passaggio che molte grandi società di consulenza stanno già affrontando: assistere le aziende non solo nell’adozione dell’AI, ma nel suo inserimento controllato nei processi.
L’obiettivo non è sostituire il ruolo degli auditor, ma fornire ad auditor, responsabili della compliance e funzioni di controllo strumenti più efficaci per valutare sistemi che producono dati e decisioni a una velocità incompatibile con i modelli tradizionali di verifica.
Dai principi alle metodologie
La necessità di trasformare principi regolatori in strumenti concreti sta spingendo alla nascita di nuove iniziative di standardizzazione e collaborazione tra esperti, imprese, auditor, organismi di certificazione e comunità tecnico-scientifiche. La sfida consiste nel passare dai principi generali a protocolli, matrici e criteri capaci di essere applicati nei processi reali.
In questo contesto si colloca anche l’esperienza avviata da Codema con la costituzione di due Technical Committee dedicati all’intelligenza artificiale. TC23 riguarda la valutazione delle performance, dell’affidabilità e delle anomalie dei sistemi AI. TC24 riguarda invece l’utilizzo dell’intelligenza artificiale nei processi operativi, nei workflow aziendali e nei meccanismi di supervisione e controllo. Il contenuto tecnico non è nei Technical Committee in quanto tali, ma nei Rating Protocols sviluppati all’interno dei lavori tecnici: matrici, criteri, controlli ed evidenze applicabili da auditor autorizzati.
L’interesse dell’iniziativa non risiede soltanto nei singoli ambiti di lavoro, ma nel tentativo di affrontare una questione che riguarda ormai l’intero mercato: come trasformare concetti quali affidabilità, trasparenza, tracciabilità e supervisione umana in criteri misurabili, condivisi e applicabili nei sistemi informatici e nei sistemi di gestione.
Governance dell’AI e fiducia come infrastruttura competitiva
Nei prossimi anni la differenza tra le organizzazioni che riusciranno a scalare efficacemente l’utilizzo dell’intelligenza artificiale e quelle che incontreranno ostacoli normativi, reputazionali o operativi sarà determinata sempre meno dalla disponibilità della tecnologia e sempre più dalla capacità di governarla e dimostrarne il controllo.
Se oggi soltanto il 30% delle organizzazioni dispone di livelli avanzati di governance e circa l’80% non possiede ancora capacità mature di monitoraggio e audit continuo, il tema della fiducia nell’AI non può più essere considerato un aspetto secondario.
La governance dell’AI non è soltanto una questione di compliance. Riguarda la capacità delle organizzazioni di dimostrare come funzionano i propri sistemi, quali controlli vengono effettuati, come vengono gestiti i rischi e quali evidenze supportano le decisioni prodotte dagli algoritmi e quale ruolo resta in capo alla supervisione umana.
L’adozione dell’intelligenza artificiale è ormai una realtà consolidata. La sfida che si sta aprendo oggi è diversa: costruire modelli di verifica e controllo capaci di accompagnarne l’evoluzione. Perché nell’economia dell’AI il vero vantaggio competitivo non sarà soltanto utilizzare l’intelligenza artificiale, ma essere in grado di dimostrarne l’affidabilità, la tracciabilità e la controllabilità nel tempo.
Partecipa alla community