Durante la mia esperienza in Ivanti, ho potuto constatare in prima persona come l'AI agisca da moltiplicatore di forza nelle organizzazioni aziendali. Se implementata in modo strategico, l'AI accelera il processo decisionale e l'esecuzione operativa su larga scala in una misura che i team semplicemente non possono sostenere manualmente. Tuttavia, senza guardrail AI chiari e applicabili, implementare l'AI espone le organizzazioni a nuovi rischi significativi.

Il report Ivanti State of Cybersecurity 2026 evidenzia un divario crescente che ho osservato in tutto il settore: l'ottimismo nei confronti dell'AI aumenta, ma governance e preparazione non tengono il passo. Attualmente, solo il 50% delle organizzazioni dichiara di avere guardrail formali per guidare l'implementazione e il funzionamento di sistemi e agenti AI.

Poiché l'adozione accelera più rapidamente della governance, vedo le organizzazioni affrontare rischi interni crescenti: uso di shadow AI, qualità dei dati incoerente, output distorti e formazione disomogenea dei dipendenti, solo per citarne alcuni.

Dal mio punto di osservazione, che abbraccia ambiti legali, di sicurezza e HR, posso affermare questo: la governance dell'AI non è un esercizio astratto di compliance. È un requisito fondamentale per fiducia, responsabilità e controllo.

Lo stato dell'AI aziendale: un Far West rischioso

Un'AI responsabile su larga scala richiede una governance intenzionale con guardrail applicabili a tutti i dipendenti. Ignorare questo aspetto farà continuare a crescere l'uso della shadow AI. Il nostro report di ricerca Technology at Work 2025 ha rivelato che il 46% degli impiegati utilizza strumenti di AI non forniti dal datore di lavoro. Ancora più preoccupante, quasi un terzo dei dipendenti (32%) nasconde ai propri datori di lavoro l'uso di strumenti di AI sul lavoro.

Troppe organizzazioni implementano l'AI senza una governance complessiva, e le conseguenze di questo approccio sono concrete. Le organizzazioni possono esporre dati sensibili. Possono violare obblighi normativi. Potrebbero potenzialmente erodere la fiducia del mercato. Un team implementa una piattaforma AI senza guardrail adeguati e, all'improvviso, si ritrova con output distorti o prestazioni degradate. Senza supervisione umana, i sistemi AI generano raccomandazioni inaccurate o attivano azioni inappropriate. Tutto questo crea una pericolosa falsa fiducia nei risultati guidati dall'AI.

Che cos'è un framework di governance dell'AI?

Un framework di governance dell'AI è il modello di riferimento per progettare, implementare e supervisionare i sistemi AI lungo tutto il loro ciclo di vita. Il suo scopo è allineare l'uso dell'AI agli obiettivi aziendali, agli obblighi legali e alla tolleranza al rischio dell'impresa, integrando trasparenza e responsabilità fin dal primo giorno.

In Ivanti, il nostro framework chiarisce:

  • Chi è responsabile delle decisioni e dei risultati dell'AI
  • Come vengono identificati i rischi, valutati e mitigati
  • Quali guardrail devono essere predisposti prima che i sistemi AI entrino in produzione
  • Come prestazioni, comportamento e impatto dell'AI vengono monitorati nel tempo

In pratica, la governance abilita la scalabilità. Framework chiari ci consentono di superare i progetti pilota frammentati e rendere operativa l'AI in tutta l'azienda. Senza governance, l'adozione si blocca.

La nostra posizione è semplice: la governance non blocca l'innovazione. La rende sostenibile.

3 livelli di guardrail AI in un framework di governance dell'AI

In qualità di membro dell'AI Governance Council di Ivanti, ho imparato che un framework completo richiede più livelli di guardrail. Ciascuno affronta una diversa categoria di rischio. Insieme, costituiscono la base per un uso sicuro e affidabile dell'AI.

Guardrail tecnici

I guardrail tecnici mantengono i sistemi AI entro parametri operativi e di sicurezza predefiniti.

Guardrail per i dati: i guardrail per i dati proteggono l'integrità dei dati e garantiscono che i sistemi AI siano addestrati e gestiti sulla base di input affidabili. Questi guardrail sono in genere di competenza dei team dati e sicurezza, che definiscono standard per l'origine dei dati, la convalida, i controlli degli accessi e il monitoraggio continuo della qualità. La scarsa qualità dei dati resta un ostacolo importante all'implementazione efficace dell'AI, in particolare nella sicurezza, dove dati incompleti, distorti o non convalidati possono alterare i risultati e degradare nel tempo l'accuratezza del rilevamento.

Guardrail per i modelli: i guardrail per i modelli affrontano robustezza, spiegabilità e rilevamento dei bias per garantire che i sistemi AI si comportino nel tempo come previsto. Questi guardrail sono in genere progettati dai team di sicurezza, data science e piattaforma, che definiscono i requisiti di test per drift, bias e degrado delle prestazioni prima dell'implementazione e in modo continuativo anche dopo, soprattutto quando i modelli vengono riaddestrati o esposti a dati operativi in evoluzione.

Guardrail per applicazioni e output: i guardrail per applicazioni e output convalidano gli output generati dall'AI, in particolare in scenari di supporto decisionale o risposta automatizzata. Questi guardrail sono in genere implementati dai team di sicurezza e operation, che definiscono soglie di approvazione, percorsi di escalation e controlli human-in-the-loop. Senza di essi, i sistemi possono generare raccomandazioni inaccurate o intraprendere azioni inappropriate, rafforzando una falsa fiducia nell'automazione.

Guardrail per l'infrastruttura: i guardrail per l'infrastruttura proteggono i sistemi che ospitano e supportano i workload AI e sono in genere di competenza dei team IT e sicurezza. Questi team applicano pratiche di implementazione sicura, controlli degli accessi, logging e auditabilità negli ambienti cloud e on-premise, garantendo al contempo che i servizi AI siano integrati nel monitoraggio della sicurezza esistente e nei flussi di lavoro di risposta agli incidenti.

Guardrail etici

I guardrail etici allineano il comportamento dell'AI agli standard dell'organizzazione e definiscono la responsabilità quando l'AI incide su persone, clienti o risultati aziendali.

L'AI Governance Council di Ivanti svolge qui un ruolo centrale. Affrontiamo le “aree grigie” degli agenti autonomi. Riuniamo leader legali, di sicurezza, HR e di business per definire uso accettabile, percorsi di escalation e responsabilità. Quando devono intervenire gli esseri umani? Come vengono sottoposte ad audit le decisioni? Chi è, in ultima analisi, responsabile dell'esito quando qualcosa va storto?

Quando questa governance manca, le conseguenze si aggravano rapidamente.

Incidenti recenti mostrano il costo di guardrail etici poco chiari. Ad esempio, Grok, un chatbot AI sviluppato da xAI, ha attirato critiche diffuse dopo aver generato immagini inappropriate di persone reali senza il loro consenso. Il fallimento non è stato solo tecnico: era legato alla governance, a causa di confini etici non sufficientemente definiti.

Lo stesso problema si presenta all'interno delle aziende. Quando l'AI blocca un account utente, segnala un dipendente o limita l'accesso di un cliente, dobbiamo sapere chi è responsabile della decisione se è sbagliata. Che l'AI venga utilizzata nella sicurezza, nelle risorse umane o nei sistemi rivolti ai clienti, i principi etici restano coerenti. La governance garantisce che la responsabilità sia definita prima che l'automazione provochi danni.

Guardrail normativi e legali

I guardrail normativi e legali garantiscono che l'uso dell'AI sia conforme alle normative globali in evoluzione, alle regole di settore e alle leggi sulla protezione dei dati. Poiché questi requisiti cambiano rapidamente, i team non possono operare in silos funzionali.

L'ufficio legale deve guidare la governance dell'AI fin dalle prime fasi. In Ivanti collaboriamo strettamente con i team sicurezza e IT per interpretare gli obblighi e tradurli in controlli applicabili. Il successo dipende dall'allineamento fin dall'inizio, per garantire che i requisiti di compliance siano integrati nella progettazione e nell'implementazione dell'AI.

Incidenti recenti dimostrano perché i guardrail normativi non possano essere considerati a posteriori. Le autorità di regolamentazione europee e britanniche hanno confermato che le attività di riconoscimento facciale di Clearview AI, basate sullo scraping di miliardi di immagini, erano soggette a leggi sulla privacy come il GDPR e hanno adottato azioni di enforcement sulla base delle violazioni, mostrando il rischio legale che le organizzazioni affrontano quando la governance non è allineata alle aspettative normative.

La lezione è chiara. I team legali e di sviluppo prodotto devono collaborare fin dalle prime fasi per integrare gli obblighi normativi nella progettazione, nell'implementazione e nelle operation dell'AI. La governance garantisce che i requisiti di compliance siano applicati per impostazione predefinita, non retroattivamente dopo l'avvio di controlli da parte delle autorità.

Governance dell'AI e gestione del rischio AI a confronto

Governance e gestione del rischio sono strettamente correlate ma distinte. Il mio punto di vista è questo: la governance stabilisce le regole e le strutture di responsabilità. La gestione del rischio si concentra sull'identificazione e sulla mitigazione di minacce specifiche legate all'AI lungo tutto il ciclo di vita del sistema.

I rischi AI più comuni includono perdita di dati, bias, output inaffidabili, eccessivo affidamento su decisioni automatizzate e debolezze di sicurezza introdotte da strumenti o integrazioni non gestiti. Man mano che i sistemi AI diventano più autonomi, questi rischi si sommano.

Integrare la mitigazione del rischio AI nella governance garantisce che i rischi non vengano affrontati in modo isolato. Li valutiamo insieme all'impatto sul business, alla resilienza operativa e alla propensione al rischio dell'organizzazione. Questo ci consente di dare priorità ai controlli dove contano di più ed evitare restrizioni generalizzate che rallentano i progressi senza ridurre il rischio.

Le sfide nella scalabilità della governance dell'AI

Molte organizzazioni iniziano con progetti pilota AI circoscritti a singoli team. Passare a un'adozione su scala aziendale introduce nuove sfide

I silos sono il modo più rapido per indebolire la governance. I team sicurezza, IT, legale e business operano spesso sulla base di presupposti in conflitto. Serve una responsabilità condivisa tra i team. Come spiega il mio collega Sterling Parker, una visione di successo richiede il coinvolgimento degli stakeholder di tutta l'azienda per prevenire la “proliferazione dell'AI”.

Questa transizione richiede un modello operativo incentrato sulle persone. Il nostro organismo di governance definisce chiaramente dove l'AI può amplificare i ruoli esistenti, dove è necessaria ulteriore formazione e dove la supervisione umana resta essenziale. Il feedback continuo dei dipendenti aiuta a garantire che l'AI venga applicata dove crea valore, senza generare lacune in termini di responsabilità o fiducia. Diamo priorità all'upskilling per sostituire la paura con un'adozione attiva.

La nostra ricerca sulla cybersicurezza mostra che le organizzazioni mature affrontano queste sfide in modo diverso. Le organizzazioni che si classificano come le più avanzate in cybersicurezza (Level 4) hanno quasi 3 volte più probabilità di utilizzare guardrail AI completi rispetto alle organizzazioni con un livello intermedio di maturità in cybersicurezza (Level 2).

Investono presto nella governance, allineano la leadership intorno a framework condivisi e trattano l'AI come una capacità strategica anziché come un insieme di strumenti. Queste organizzazioni hanno molte più probabilità di rendere operativa l'AI in tutta l'azienda mantenendo fiducia e controllo.

Come implementare un'AI responsabile

Costruire il framework è solo il punto di partenza. È nell'esecuzione che prende forma la governance dell'AI.

Iniziare con policy chiare su uso accettabile ed escalation. Devono essere pratiche e direttamente collegate alle strutture di rischio esistenti.

La governance deve essere accessibile. L'AI responsabile è un mandato esteso a tutta l'azienda, non un silo specialistico. Una formazione mirata garantisce che ogni utente comprenda il proprio ruolo nel mantenere questi guardrail.

Adottare un approccio governato all'abilitazione dell'AI. “L'abilitazione governata” presuppone che l'AI sia già in uso in tutta l'azienda e definisce dove e come possa operare in sicurezza. Richiede monitoraggio e applicazione continui per garantire che i sistemi restino allineati alle policy man mano che utilizzo e rischi evolvono. È una disciplina continuativa, non un progetto una tantum.

Il futuro dell'AI responsabile inizia ora

L'AI sta trasformando il modo in cui le organizzazioni operano a un ritmo che non può essere ignorato. La domanda non è più se adottarla, ma come scalarla in sicurezza. Le organizzazioni con una governance solida crescono senza sacrificare la fiducia. Quelle che rimandano ampliano il divario tra minacce e preparazione.

In Ivanti, ci impegniamo a costruire una governance dell'AI che abiliti l'innovazione proteggendo al contempo ciò che conta di più: le nostre persone, i nostri clienti e le nostre operation. È un lavoro fondamentale e il momento di agire è adesso.

Per saperne di più sul divario nell'implementazione dell'AI e su come le organizzazioni leader lo stiano colmando, consulta il report Ivanti State of Cybersecurity 2026.