Punti chiave
- Il 5 agosto 2026, SC Media ha pubblicato un commento di Larry Marks secondo cui la governance dell'IA è il controllo di sicurezza aziendale mancante, trattato come esercizio di conformità anziché come categoria di controllo.
- La maggior parte del rischio legato all'IA entra attraverso decisioni di governance (selezione dei fornitori, esposizione dei dati, approvazione del deployment) prima che i controlli di sicurezza tradizionali, come crittografia e logging, diventino rilevanti.
- L'AI Act dell'UE resta il quadro di riferimento, con gli obblighi previsti dall'articolo 50 e le categorie ad alto rischio elencate nell'Allegato III, mentre una normativa federale statunitense coerente è improbabile prima del periodo 2028-2030.
- Una governance efficace dell'IA richiede un ruolo nominato responsabile di ciascun risultato dell'IA, per iscritto, prima del deployment; la documentazione senza un titolare nominato produce carta anziché governance.
- I consigli di amministrazione affrontano tre decisioni: classificare la governance come controllo, assegnare un titolare nominato per ogni caso d'uso e stabilire quale postura di governance richieda una divulgazione.
Cosa ha pubblicato SC Media il 5 agosto 2026
Il 5 agosto 2026, SC Media ha pubblicato un commento di Larry Marks secondo cui la conformità nella governance dell'IA funziona come il controllo di sicurezza mancante all'interno dei programmi aziendali.
L'articolo reinquadra un dibattito familiare. Gran parte della discussione odierna si concentra sulla protezione dei modelli, sulla difesa dagli attacchi di prompt injection e sulla valutazione delle minacce emergenti.
Marks considera questi temi legittimi. Individua poi una lacuna più profonda: le organizzazioni trattano la governance come un esercizio di documentazione anziché come una capacità di sicurezza essenziale.
La sua osservazione professionale inquadra la tesi. Le organizzazioni raramente falliscono per mancanza di tecnologia; falliscono perché la governance resta indietro rispetto alla tecnologia che adottano.
Il delta: la governance come categoria di controllo
Da tempo i team di sicurezza classificano i controlli in tre categorie: preventivi, investigativi e correttivi.
Marks sostiene che la governance dell'IA appartenga alla stessa tassonomia. L'affermazione ha peso perché sposta la governance dal raccoglitore degli audit allo stack dei controlli.
La distinzione conta per una ragione precisa. La governance modella il rischio prima che la tecnologia raggiunga la produzione. La selezione di un fornitore, una decisione di condivisione dei dati, l'approvazione al deployment di un'applicazione basata sull'IA: ognuna precede il momento in cui i controlli tradizionali si attivano.
Si consideri la sequenza. Un'unità di business adotta uno strumento generativo, gli fornisce i dati dei clienti e immette un output in un flusso di lavoro rivolto al cliente. Ogni scelta rilevante è avvenuta prima che entrasse in azione un singolo controllo di sicurezza.
Una postura di conformità tarata sulla documentazione risulta ora sovradimensionata per un ambito in cui le scelte decisive avvengono a monte. L'audit resta necessario; ciò che è cambiato è il suo perimetro.
Dove entra realmente il rischio
Il commento elenca le decisioni che introducono il rischio legato all'IA molto prima che firewall, crittografia o logging diventino rilevanti.
- Consentire ai dipendenti di utilizzare IA generativa pubblica
- Selezionare un fornitore di IA di terze parti
- Approvare un'applicazione aziendale basata sull'IA
- Esporre informazioni a un modello di IA
- Assegnare la responsabilità per decisioni influenzate dall'IA
Ciascun elemento è una decisione di governance, non tecnica. È questo il meccanismo che Marks individua.
I programmi attuali proteggono bene reti, endpoint, identità, applicazioni e dati. Tali controlli restano essenziali. Tuttavia molti rischi legati all'IA arrivano a monte del punto in cui questi controlli operano, il che lascia ai team di sicurezza il compito di ereditare esposizioni che i controlli tecnici non hanno il mandato di risolvere.
Costruire sulla governance già esistente
Il commento propone un percorso equilibrato. La maggior parte delle organizzazioni non necessita di un programma di governance dell'IA del tutto nuovo.
L'approccio più solido amplia le discipline che già funzionano. Comitati di revisione dell'architettura, gestione del rischio d'impresa e gestione del rischio dei fornitori valutano oggi il rischio tecnologico.
L'audit interno, le pratiche di sviluppo sicuro e la resilienza operativa completano l'impalcatura esistente. L'IA amplia le domande che questi organismi si pongono, anziché sostituirli.
L'ampliamento è per progettazione incrementale. Ogni forum possiede già un diritto decisionale, una cadenza e un percorso di escalation.
Invece di esaminare solo autenticazione, crittografia e logging, i comitati di revisione aggiungono domande sui dati di addestramento, sulla provenienza dei modelli e sulla responsabilità per gli output. Le organizzazioni che estendono processi collaudati raggiungono la copertura più rapidamente rispetto a quelle che costruiscono da zero un apparato parallelo.
Il segnale di governance: la responsabilità ha bisogno di un nome
Qui l'analisi incontra una posizione consolidata di questa redazione. Una responsabilità priva di un nome è teatro di conformità.
I framework che producono documentazione, ma non assegnano un titolare, generano carta anziché governance. Il commento di SC Media formula lo stesso concetto in linguaggio di sicurezza: qualcuno deve farsi carico dei relativi rischi di business.
La domanda operativa è concreta. Quale ruolo nominato all'interno dell'organizzazione è responsabile dei risultati dell'IA, per nome, per iscritto, prima del deployment?
Quando questa risposta esiste, la governance funziona come controllo preventivo. Quando è assente, i team di sicurezza assorbono a posteriori il rischio residuo. Le organizzazioni che nominano il titolare per tempo trasformano la governance da rituale di reportistica in controllo operativo.
La controargomentazione che vale la pena esporre
Esiste un'obiezione ragionevole. Trattare la governance come un controllo rischia di burocratizzare decisioni che richiedono velocità.
I team sotto pressione di consegna leggono ogni nuovo gate di revisione come attrito. Il commento anticipa questa obiezione respingendo il modello del programma parallelo e privilegiando l'estensione degli organismi esistenti.
Le evidenze supportano l'approccio equilibrato. Una governance che duplica la gestione del rischio d'impresa aggiunge costi e confusione. Una governance che amplia le domande poste da organismi già in essere aggiunge copertura a costo marginale.
La soluzione è la proporzionalità. I casi d'uso dell'IA ad alto impatto meritano una revisione più approfondita; la sperimentazione a basso impatto merita un approccio più leggero. Un singolo passaggio di classificazione instrada ciascun caso alla profondità appropriata, preservando la velocità dove la posta in gioco è modesta e concentrando lo scrutinio dove le conseguenze sono rilevanti.
Tre decisioni per il consiglio di amministrazione
Il commento è un argomento di sicurezza. L'implicazione per il consiglio è di governance. Ne derivano direttamente tre decisioni.
- Classificazione. Il General Counsel e il Chief Compliance Officer confermano se la governance rientra nell'inventario dei controlli, con funzioni preventive, investigative e correttive definite.
- Titolarità. Il Chief Risk Officer individua il titolare nominato per ciascun caso d'uso dell'IA prima del deployment, messo per iscritto.
- Divulgazione. Il Comitato Audit e Rischi del consiglio determina quale postura di governance richieda una divulgazione, e verso chi.
Ciascuna decisione è associata a un responsabile. Il CEO porta il vincolo strategico: la velocità di deployment è limitata dalla maturità di questi controlli.
La tempistica è compressa dall'adozione, non da alcuna normativa. L'IA entra nei flussi di lavoro più velocemente di quanto si riuniscano i forum di governance, il che allarga il divario che il consiglio deve colmare.
Le organizzazioni che rispondono a tutte e tre le domande per iscritto conservano una traccia di audit difendibile. Quelle che le rimandano accumulano un'esposizione che emerge durante la risposta agli incidenti, quando la ricostruzione è costosa.
Orizzonte normativo
Il commento di SC Media è analisi, non regolamentazione. Non ha alcuna forza normativa e non impone scadenze proprie.
Le scadenze le fornisce lo scenario di enforcement. L'AI Act dell'UE resta il quadro di riferimento, con gli obblighi previsti dall'articolo 50 e le categorie ad alto rischio dell'Allegato III che entrano in vigore gradualmente in tutta l'Unione europea.
La regolamentazione statunitense segue una traiettoria frammentata. L'attività a livello statale segnala una posizione politica più che una certezza giuridica, e una normativa federale coerente è improbabile prima del periodo 2028-2030.
Tre giurisdizioni inquadrano il breve termine: l'Unione europea sotto l'AI Act, gli Stati Uniti sotto una legislazione statale frammentata e il Regno Unito con un approccio basato su principi.
La domanda se la governance sia un controllo di sicurezza ha ricevuto risposta. Se ne è aperta una seconda: quale ruolo nominato è responsabile di ciascun risultato dell'IA, per iscritto, prima del deployment? Leggi altre analisi sul blog Agora.
Questo articolo è stato prodotto da un autore editoriale IA con supervisione editoriale umana, in conformità con i requisiti di trasparenza del Regolamento (UE) 2024/1689 (AI Act, art. 50). Le fonti sono collegate nel testo.
Articolo di ATLAS