Punti chiave
Un framework efficace di governance dell'IA va oltre le policy statiche in PDF, integrando classificazione del rischio, valutazioni d'impatto, strutture di responsabilità e monitoraggio continuo nelle operazioni di conformità quotidiane. Con gli obblighi per l'alto rischio dell'EU AI Act applicabili dal 2 agosto 2026, le organizzazioni che gestiscono più entità e giurisdizioni hanno bisogno di un'infrastruttura di governance centralizzata e automatizzata. Meno dell'1% delle organizzazioni ha reso pienamente operativa una governance responsabile dell'IA e solo il 28% ha definito formalmente ruoli di supervisione. Priverion offre una piattaforma con hosting in Svizzera, progettata appositamente per la conformità dell'IA multi-entità.
Definizioni
Che cos'è un framework di governance dell'IA?
Un framework di governance dell'IA è un sistema strutturato di policy, processi, ruoli e controlli tecnici progettato per gestire lo sviluppo, la messa in esercizio e il monitoraggio dei sistemi di IA in conformità con le normative applicabili e gli standard etici. In genere comprende inventari dei sistemi di IA, classificazione del rischio, valutazioni d'impatto (DPIA, TIA, FRIA), assegnazioni di responsabilità e documentazione pronta per l'audit. Tra i framework di riferimento principali figurano il NIST AI Risk Management Framework e la ISO/IEC 42001.
Che cos'è l'EU AI Act?
L'EU AI Act (Regolamento (UE) 2024/1689) è il primo quadro giuridico completo al mondo per l'intelligenza artificiale. Classifica i sistemi di IA in quattro livelli di rischio (inaccettabile, alto, limitato e minimo) e impone obblighi graduati a fornitori e deployer. I divieti sulle pratiche a rischio inaccettabile sono entrati in vigore il 2 febbraio 2025; gli obblighi per i sistemi ad alto rischio diventano applicabili il 2 agosto 2026. Testo integrale: EUR-Lex Regolamento 2024/1689.
Che cos'è la ISO/IEC 42001?
La ISO/IEC 42001:2023 è lo standard internazionale che specifica i requisiti per stabilire, implementare, mantenere e migliorare continuamente un sistema di gestione dell'intelligenza artificiale (AIMS) all'interno delle organizzazioni. Fornisce un framework certificabile per una governance responsabile dell'IA. Fonte: ISO 42001:2023.
Che cos'è il NIST AI Risk Management Framework?
Il NIST AI RMF 1.0, pubblicato nel gennaio 2023, è un framework volontario per aiutare le organizzazioni a progettare, sviluppare, mettere in esercizio e utilizzare i sistemi di IA in modo responsabile. È organizzato attorno a quattro funzioni centrali: Govern, Map, Measure e Manage. Fonte: NIST AI.
Che cos'è una Fundamental Rights Impact Assessment (FRIA)?
Una Fundamental Rights Impact Assessment valuta come un sistema di IA ad alto rischio possa incidere sui diritti fondamentali, tra cui non discriminazione, privacy, libertà di espressione e accesso alla giustizia. Ai sensi dell'EU AI Act, i deployer di sistemi di IA ad alto rischio in determinati contesti devono completare una FRIA prima di mettere in uso il sistema. Riferimento: EU AI Act, articolo 27.
Statistiche e fonti
Secondo l'IAPP 2024 AI Governance Survey, solo il 28% delle organizzazioni ha definito formalmente ruoli di supervisione della governance dell'IA. Il Advancing Responsible AI Innovation Playbook 2025 del World Economic Forum ha rilevato che meno dell'1% delle organizzazioni ha reso pienamente operativa una governance responsabile dell'IA. L'EU AI Act, articolo 99, stabilisce sanzioni fino al 7% del fatturato annuo globale o a 35 milioni di euro per le violazioni delle pratiche di IA vietate. Secondo il ModelOp 2025 AI Governance Benchmark Report, solo il 14% delle organizzazioni applica pratiche di assurance dell'IA a livello aziendale. L'IAPP AI Governance Profession Report (2025) ha rilevato che solo l'1,5% delle organizzazioni ritiene di disporre di un organico adeguato per la governance dell'IA.
Domande frequenti
Che cos'è un framework di governance dell'IA e perché è importante?
Un framework di governance dell'IA fornisce la struttura organizzativa (policy, ruoli, processi e strumenti) necessaria per gestire i rischi dell'IA e adempiere agli obblighi normativi come l'EU AI Act. In sua assenza, le organizzazioni affrontano una supervisione frammentata, valutazioni del rischio incoerenti e potenziali sanzioni fino al 7% del fatturato annuo globale ai sensi del Regolamento (UE) 2024/1689, articolo 99.
Quando entrano in vigore gli obblighi per i sistemi ad alto rischio dell'EU AI Act?
Gli obblighi per i sistemi di IA ad alto rischio ai sensi dell'EU AI Act diventano applicabili il 2 agosto 2026. I divieti sulle pratiche di IA a rischio inaccettabile sono in vigore dal 2 febbraio 2025. Le organizzazioni che mettono in esercizio sistemi di IA ad alto rischio devono disporre di valutazioni di conformità, documentazione tecnica e sistemi di gestione del rischio entro la data di applicazione.
Quali sono le sanzioni per la non conformità all'EU AI Act?
L'EU AI Act stabilisce una struttura sanzionatoria a più livelli. Le violazioni delle pratiche di IA vietate comportano sanzioni fino a 35 milioni di euro o al 7% del fatturato annuo mondiale. Le violazioni relative ai sistemi di IA ad alto rischio possono comportare sanzioni fino a 15 milioni di euro o al 3% del fatturato globale. Fornire informazioni errate alle autorità può comportare sanzioni fino a 7,5 milioni di euro o all'1% del fatturato.
Che rapporto c'è tra il NIST AI RMF e l'EU AI Act?
Il NIST AI Risk Management Framework è un framework volontario statunitense, mentre l'EU AI Act è un regolamento vincolante. Tuttavia, molte organizzazioni usano la struttura Govern-Map-Measure-Manage del NIST AI RMF come spina dorsale operativa che si mappa sui requisiti dell'EU AI Act. Allineare entrambi riduce le duplicazioni e rafforza la governance tra giurisdizioni.
Perché gli approcci alla governance dell'IA basati su fogli di calcolo falliscono?
Ai fogli di calcolo mancano flussi di lavoro automatizzati, audit trail, controllo delle versioni, visibilità tra entità e pianificazione della ricertificazione. Secondo l'analisi McKinsey del 2025, il sistema di conformità manuale di un'istituzione finanziaria soddisfaceva solo il 75% dei requisiti prima che l'automazione portasse la conformità oltre il 95%. Per le organizzazioni che gestiscono sistemi di IA in più filiali, i fogli di calcolo creano lacune inaccettabili nella supervisione.
Che cos'è la ISO/IEC 42001 e come supporta la governance dell'IA?
La ISO/IEC 42001:2023 è il primo standard internazionale certificabile per i sistemi di gestione dell'IA. Fornisce requisiti per stabilire policy, assegnare responsabilità, gestire i rischi legati all'IA e migliorare continuamente la governance dell'IA. Può fungere da spina dorsale strutturale di un framework di governance dell'IA più ampio che affronti anche l'EU AI Act e il NIST AI RMF.
Quante organizzazioni hanno programmi di governance dell'IA maturi?
Pochissime. Il World Economic Forum (2025) riferisce che meno dell'1% delle organizzazioni ha reso pienamente operativa una governance responsabile dell'IA. L'IAPP ha rilevato che solo il 28% ha definito ruoli di supervisione e il benchmark ModelOp 2025 mostra che appena il 14% applica l'assurance dell'IA a livello aziendale. Il divario di maturità della governance è una sfida sistemica del settore.
Che cos'è una Fundamental Rights Impact Assessment (FRIA)?
Una FRIA valuta come un sistema di IA ad alto rischio possa incidere sui diritti fondamentali quali non discriminazione, privacy e libertà di espressione. Ai sensi dell'articolo 27 dell'EU AI Act, i deployer di sistemi di IA ad alto rischio utilizzati da enti pubblici o in determinati contesti sensibili devono completare una FRIA prima della messa in esercizio. Integra le DPIA richieste dal GDPR.
Confronto tra framework di governance dell'IA
| Dimensione | NIST AI RMF 1.0 | ISO/IEC 42001:2023 | EU AI Act (2024/1689) |
|---|
| Tipo | Framework volontario | Standard certificabile | Regolamento vincolante |
| Giurisdizione | Stati Uniti (adozione globale) | Internazionale (organismi membri ISO) | Unione europea (portata extraterritoriale) |
| Struttura centrale | Govern, Map, Measure, Manage | Plan-Do-Check-Act (AIMS) | Classificazione per livelli di rischio (4 livelli) |
| Classificazione del rischio | Profili di rischio basati sul contesto | Criteri di rischio definiti dall'organizzazione | Inaccettabile, Alto, Limitato, Minimo |
| Certificazione | Nessuna certificazione formale | Certificabile da terze parti | Valutazione di conformità (alto rischio) |
| Sanzioni | Nessuna (volontario) | Nessuna (adozione volontaria) | Fino a 35 mln di euro o al 7% del fatturato globale |
| Valutazioni d'impatto | Raccomandate (contestuali) | Richieste nell'ambito dell'AIMS | FRIA obbligatoria per determinati deployer |
| Data di efficacia | Gennaio 2023 | Dicembre 2023 | Graduale: feb 2025 a ago 2027 |
