I cinque rischi legati alla governance dell’intelligenza artificiale a cui le imprese devono prestare attenzione

In questo preciso momento, da qualche parte all’interno della vostra organizzazione, un dipendente sta utilizzando uno strumento basato sull’intelligenza artificiale per svolgere il proprio lavoro. Forse stanno riassumendo un contratto con un cliente. Forse stanno analizzando i dati finanziari. Forse stanno redigendo una risposta a una richiesta di chiarimenti da parte delle autorità di regolamentazione. Non sono gli unici: il 41% e della forza lavoro utilizza già l’IA generativa per motivi di lavoro. L'intelligenza artificiale non è più un'opzione. La dirigenza ha incoraggiato tale iniziativa. È così che si lavora oggi. L’aspettativa non riguarda solo l’adozione, ma anche la sua integrazione in tutti i team e nei flussi di lavoro. I vantaggi in termini di produttività sono reali, ma lo sono anche le lacune di governance che ne derivano. 

Tutti gli altri canali di comunicazione della vostra organizzazione — e-mail, Slack, Teams — fanno parte di un’infrastruttura di conformità la cui realizzazione ha richiesto tempo. Le conversazioni basate sull'intelligenza artificiale non lo fanno. Non ancora. E sta diventando il punto cieco di ogni programma di conformità. Queste conversazioni si svolgono su larga scala, ogni giorno, all’interno della vostra organizzazione. E nella maggior parte dei casi, il vostro team addetto alla conformità non ha alcuna visibilità su tutto ciò.

Non si tratta di un problema futuro. È un regalo. Di seguito sono riportati cinque rischi di governance che si stanno già concretizzando, insieme alle relative misure da adottare.

Rischio 1: Rischi normativi imprevedibili

Nel 2026 il quadro normativo in materia di intelligenza artificiale è diventato notevolmente più rigoroso. Il termine per l’attuazione della legge dell’Unione europea sull’intelligenza artificiale (AI Act) relativa ai sistemi di intelligenza artificiale ad alto rischio scade ad agosto. La Securities and Exchange Commission (SEC) ha elevato la governance dell’intelligenza artificiale a una delle principali priorità di indagine. Ad aprile il NIST ha pubblicato linee guida aggiornate sulla gestione dei rischi legati all’intelligenza artificiale per le infrastrutture critiche. Le sole società di servizi finanziari hanno dovuto far fronte a 157 aggiornamenti normativi relativi all’intelligenza artificiale nel corso di un single anno.

Il filo conduttore: le autorità di regolamentazione non si chiedono più se le organizzazioni dispongano di una strategia in materia di intelligenza artificiale. Si chiedono se le organizzazioni siano in grado di dimostrare di disporre di un sistema di governance. Le politiche sulla carta non saranno sufficienti. I revisori richiederanno prove della tracciabilità, tra cui registri, documentazione e controlli. La maggior parte delle organizzazioni non è in grado di realizzarli.

Rischio 2: Il punto cieco giuridico

Ecco una domanda che il vostro team legale potrebbe non aver preso in considerazione: se domani pervenisse una richiesta di discovery o una richiesta di accesso ai dati (DSAR), sarebbe in grado di rispondere includendo le conversazioni generate dall’intelligenza artificiale?

Le conversazioni basate sull’intelligenza artificiale possono costituire contenuti individuabili. Le richieste inviate dai dipendenti, le risposte che ricevono, i documenti che producono: tutto ciò può essere soggetto a obblighi di conservazione a fini legali, di citazione in giudizio, di produzione di documenti e di DSAR. Eppure la maggior parte delle organizzazioni non dispone di alcun meccanismo per conservare, ricercare o produrre contenuti generati dall’intelligenza artificiale. Da decenni ormai la posta elettronica rientra nell'ambito dell'infrastruttura di governance. Le conversazioni basate sull’intelligenza artificiale, che oggi costituiscono alcuni degli scambi più rilevanti nel mondo degli affari, pongono sfide in materia di governance e tracciabilità che la posta elettronica non ha mai comportato.  

Rischio 3: Flusso di dati attraverso i sistemi di intelligenza artificiale senza monitoraggio dei dati sensibili e delle politiche

Le vostre politiche di prevenzione della perdita di dati riguardano la posta elettronica. Si occupano del trasferimento dei file. Probabilmente includono Slack e Teams. Ma quando un dipendente incolla il numero di previdenza sociale di un cliente, una roadmap di prodotto o un term sheet relativo a una fusione e acquisizione in una conversazione con l’intelligenza artificiale, il vostro sistema di gestione delle politiche lo rileva?

Per la maggior parte delle organizzazioni, la risposta è no. Per quanto riguarda invece coloro che dispongono di una copertura di monitoraggio parziale, la complessità dei loro ambienti rende difficile individuare dove si trovino le lacune. Gli strumenti di intelligenza artificiale sono diventati un canale importante per i dati sensibili, spesso senza che i dipendenti si rendano conto delle implicazioni in termini di governance. I dati personali, la proprietà intellettuale riservata, i dati finanziari e le informazioni soggette a regolamentazione circolano quotidianamente nelle conversazioni basate sull’intelligenza artificiale, al di fuori dei controlli che regolano tutti gli altri canali di comunicazione all’interno dell’azienda.

Rischio 4: Politiche di utilizzo accettabile che non possono essere applicate

Numerose organizzazioni si sono affrettate a pubblicare politiche sull’uso corretto dell’intelligenza artificiale. La creazione di un meccanismo per monitorare la conformità si sta rivelando più complessa. Una politica che vieti la condivisione di dati riservati dei clienti con strumenti di intelligenza artificiale ha senso solo se è possibile rendersi conto quando viene violata.

Senza la possibilità di monitorare i contenuti generati dall’intelligenza artificiale, le politiche di utilizzo accettabile risultano di fatto inapplicabili, rappresentando un semplice requisito formale in materia di governance che offre una falsa sicurezza. Se dovesse verificarsi un problema, la polizza non vi garantirà alcuna copertura. L'assenza di monitoraggio determinerà il vostro livello di esposizione.

Rischio 5: Rischio legato a soggetti interni derivante dall’intelligenza artificiale

Questo è il rischio che tende a cogliere maggiormente di sorpresa i team addetti alla conformità. Gli strumenti di intelligenza artificiale non si limitano a ricevere informazioni sensibili. Potrebbero essere indotti ad aiutare a eludere i controlli. Un dipendente sotto pressione può chiedere all’intelligenza artificiale di redigere una nota di approvazione per un fornitore che non è stato sottoposto alla procedura di approvvigionamento, di generare un ordine di acquisto che aggiri la revisione contabile o di produrre documenti che appaiano legittimi ma che in realtà non lo sono.

L'intelligenza artificiale spesso si adeguerà, a volte con alcune riserve, altre volte senza. E poiché tali interazioni possono avvenire al di fuori dell’infrastruttura di governance, potrebbero non emergere fino a quando il pagamento non sia stato effettuato, i dati non siano stati condivisi o la revisione non sia stata avviata.

Colmare il divario

Il mandato non verrà revocato. Lo stesso vale per l'obbligo di conformità. Le organizzazioni meglio posizionate per gestire i rischi legati alla governance dell’IA non stanno aspettando che un intervento normativo le costringa ad agire, ma stanno ampliando l’infrastruttura di governance di cui già dispongono per includervi ora anche le conversazioni e i contenuti relativi all’IA.

Alcune organizzazioni potrebbero ritenere di essere già coperte dalla propria soluzione tecnologica attuale, ma oggi la maggior parte delle imprese utilizza diverse soluzioni di intelligenza artificiale. Un quadro di governance incentrato sull’ecosistema di un unico fornitore comporta dei rischi per gli altri. Ecco perché una soluzione di governance che abbracci tutte le interazioni basate sull’intelligenza artificiale, indipendentemente dal modello o dalla piattaforma che le ha generate, rappresenta la vera essenza di una governance completa.

Le organizzazioni che adottano l'approccio corretto non considereranno la governance dell'IA come un flusso di lavoro a sé stante. Si renderanno conto di ciò che i migliori responsabili della sicurezza sanno già: proteggere il modo in cui le persone lavorano è sempre stato il loro compito. Le persone, i dati e l’intelligenza artificiale non sono tre problemi distinti da risolvere. Sono una cosa sola. 

È proprio ciò che Mimecast GCI rende ora possibile. Grazie all’API Claude Compliance, integrata con il connettore Claude Enterprise, le organizzazioni possono conservare, cercare, archiviare e produrre conversazioni basate sull’intelligenza artificiale insieme a qualsiasi altra fonte di dati presente nel proprio sistema di conformità. Nessun nuovo strumento. Nessun nuovo flusso di lavoro. Un'unica esperienza di governance unified che ora include l'intelligenza artificiale aziendale.

Per ulteriori informazioni su Mimecast GCI e sull’annuncio relativo all’API Claude Compliance, clicchi qui.