L’AI corre ma i sistemi di controllo e compliance faticano

Una nuova ricerca globale condotta da IBM lancia un segnale d’allarme chiaro: per otto organizzazioni su dieci in area EMEA, gli incidenti legati all’AI e i nodi legati alla governance dell’intelligenza artificiale agentica sono ormai diventati una questione prioritaria, tanto da approdare direttamente sui tavoli dei consigli di amministrazione e del top management.

Lo studio, che ha coinvolto oltre 3.200 senior leader in otto Paesi, tra cui 510 dirigenti in Italia, fotografa una realtà a due velocità. Da un lato, la tecnologia penetra rapidamente nei processi aziendali; dall’altro, l’architettura dei controlli arranca. Nell’ultimo anno, l’80% degli intervistati ha dovuto gestire un incidente critico, come il malfunzionamento di un agente software, l’esposizione indebita di dati sensibili, errori decisionali automatizzati o vere e proprie falle di sicurezza informatica. Nonostante la gravità di questi episodi e il loro impatto reputazionale e operativo, la reazione organizzativa appare tiepida: meno della metà delle aziende europee, e appena il 37% di quelle italiane, ha modificato le proprie policy o aggiornato i framework di governance per evitare il ripetersi di tali criticità.

Questo scollamento emerge in modo ancora più netto quando si analizza l’approccio dei manager di fronte ai rischi normativi e di compliance. Quando il ritmo di implementazione dell’innovazione supera la capacità di aggiornamento dei sistemi di controllo, la maggioranza dei leader non sceglie la via della prudenza. Il 56% degli intervistati a livello internazionale dichiara infatti di procedere ugualmente con il deployment entro i limiti di un rischio considerato accettabile, preferendo correggere la rotta e adattare la governance in corso d’opera anziché fermare le macchine. In Italia questo orientamento è meno marcato, fermandosi al 44%, mentre il 41% dei manager italiani preferisce rinviare il rilascio della tecnologia fino a quando i protocolli di sicurezza non siano pienamente maturi.

Già oggi il 35% del campione europeo e ben il 43% di quello italiano utilizza soluzioni agentiche in produzione. La proiezione verso il futuro è persino più netta, poiché l’82% dei manager italiani si aspetta che entro il 2027 questi agenti godano di una parziale o totale autonomia decisionale. A fronte di questa evoluzione, la struttura difensiva attuale appare fragile: solo il 37% delle imprese globali, dato che scende a un preoccupante 30% nel nostro Paese, ritiene che il proprio sistema di governance sia oggi progettato per scalare e reggere l’impatto di una simile diffusione di agenti autonomi.

Il vero tallone d’Achille della trasformazione in atto risiede tuttavia nel vuoto normativo e nella frammentazione delle responsabilità per gli esiti negativi dei sistemi. Sebbene la quasi totalità dei business leader abbia formalmente assegnato la supervisione del rischio AI a livello di board, solo una minoranza ha istituito un comitato dedicato all’interno del consiglio di amministrazione. Quando si tratta di stabilire su chi debba ricadere la colpa di un errore grave, manca un consenso unanime.

Il ruolo del CIO o del CTO è il più indicato, ma raccoglie solo il 17% delle preferenze globali e il 25% in Italia. Anche sul piano della responsabilità legale in caso di danni significativi le opinioni divergono: circa un quinto dei manager ritiene che il danno vada spartito tra utilizzatore e fornitore, mentre una quota simile invoca un quadro normativo che al momento non esiste o non è definito. Un’ulteriore fetta di intervistati attribuisce invece l’intera colpa al fornitore della tecnologia.

Meno del 40% delle aziende dispone di una quantificazione formale del rischio finanziario generato dalle lacune di governance approvata dal consiglio di amministrazione. Parallelamente, oltre la metà dei leader riconosce forti limiti nel modo in che cui i propri controlli disciplinano i modelli utilizzati da fornitori esterni e partner tecnologici, esponendo l’azienda ai rischi della supply chain.

Una criticità che in Italia avverte ben il 64% dei manager, a fronte di una percentuale ridotta di organizzazioni che monitora costantemente le terze parti.

In questo scenario, la geografia della compliance è dettata dalle scadenze normative regionali. Nell’Unione Europea la spinta principale arriva dall’EU AI Act, che impone obblighi stringenti per le attività ad alto rischio entro dicembre 2027, spingendo il 41% dei leader ad accelerare gli investimenti protettivi. Nel Regno Unito il motore principale è rappresentato dalle autorità di regolamentazione settoriali, mentre in Medio Oriente sono le strategie nazionali a guidare la transizione verso un’intelligenza artificiale più sicura e regolamentata.