Framework di AI governance: guida pratica per le imprese (ISO 42001 e EU AI Act)

Perché un framework di AI governance, adesso

L'AI in azienda non fallisce quasi mai per la tecnologia: fallisce per assenza di governance. Chi decide quali casi d'uso vanno in produzione, chi risponde di un output sbagliato, dove vivono i dati, quali modelli sono ammessi, come si misurano rischio e valore: se non c'è una risposta scritta, la risposta la darà l'incidente.

Un framework di AI governance è l'insieme di politiche, ruoli, processi e controlli che permette a un'organizzazione di adottare l'AI in modo sicuro, conforme e allineato alla strategia. Non è un documento: è un'infrastruttura decisionale.

Nel 2026 il tema è passato da opzionale a obbligatorio. L'EU AI Act impone requisiti vincolanti per i sistemi ad alto rischio, la ISO/IEC 42001 offre lo standard certificabile per un AI Management System, il NIST AI Risk Management Framework è diventato lo standard de facto negli Stati Uniti e nelle multinazionali. Chi non ha un framework oggi, domani non passa una due diligence.

I sette componenti di un framework di AI governance

Un framework operativo, non teorico, si articola su sette componenti.

1. Principi e policy

Il punto di partenza è una AI Policy aziendale che stabilisce cosa è permesso, cosa è vietato, cosa richiede approvazione. Non un manifesto etico: regole applicabili. Copre uso di modelli generativi, trattamento di dati sensibili, casi d'uso proibiti (sorveglianza dei dipendenti, scoring sociale, decisioni completamente automatizzate su persone), obblighi di trasparenza verso clienti e dipendenti.

2. Inventario dei sistemi AI

Non si governa ciò che non si conosce. Serve un AI inventory vivo: ogni sistema AI in uso o in sviluppo, con owner, finalità, dati trattati, modelli utilizzati, classificazione di rischio secondo EU AI Act (proibito, alto rischio, rischio limitato, rischio minimo), stato di conformità. È il primo artefatto che chiederà un auditor.

3. Risk management

Per ogni sistema serve una valutazione del rischio strutturata: rischi tecnici (bias, allucinazioni, drift), rischi di sicurezza (prompt injection, data leakage), rischi legali (privacy, IP, responsabilità), rischi reputazionali. Il NIST AI RMF fornisce la tassonomia più utilizzata: Govern, Map, Measure, Manage.

4. Ruoli e responsabilità

Un framework senza owner è carta. Ruoli minimi: AI Governance Lead (spesso il Chief AI Officer o il Chief Data Officer), AI Ethics Committee multidisciplinare, AI Product Owner per ciascun sistema, Model Risk Officer per i sistemi ad alto rischio. Il consiglio di amministrazione ha responsabilità di supervisione: in Italia la Legge 132/2025 la codifica esplicitamente.

5. Ciclo di vita dei modelli

Governance significa controlli lungo tutto il ciclo di vita: approvazione dei casi d'uso, review del design, testing pre-deployment (bias, robustezza, sicurezza), monitoraggio in produzione (performance, drift, incidenti), retraining, dismissione. Ogni fase con evidenze documentate.

6. Gestione dei fornitori

La maggior parte dei modelli è di terzi. Serve una vendor governance che copra: valutazione dei fornitori di modelli e piattaforme, clausole contrattuali (data usage, IP, indemnity), verifiche di conformità (SOC 2, ISO 27001, ISO 42001), gestione della supply chain AI.

7. Monitoraggio, audit e miglioramento continuo

KPI di governance (copertura dell'inventario, tempo medio di approvazione, incidenti, findings di audit), audit periodici, reporting al board, aggiornamento delle policy in risposta a nuovi rischi e nuove regolamentazioni.

Come si allineano gli standard

I framework di riferimento non sono alternativi: sono complementari.

EU AI Act: cosa devi fare per legge in Europa. Definisce le categorie di rischio, i requisiti per i sistemi ad alto rischio (gestione del rischio, qualità dei dati, documentazione, trasparenza, sorveglianza umana, accuratezza e robustezza), gli obblighi per i modelli GPAI, le sanzioni.

ISO/IEC 42001: come lo dimostri. È il primo standard internazionale certificabile per un AI Management System. Fornisce la struttura organizzativa (contesto, leadership, pianificazione, supporto, operatività, valutazione, miglioramento) e i controlli specifici per l'AI. La certificazione è l'evidenza esterna che il framework funziona.

NIST AI RMF: come lo operi. Framework volontario ma diffuso, particolarmente utile per la parte di risk management. Le quattro funzioni (Govern, Map, Measure, Manage) mappano bene sui processi operativi.

ISO/IEC 23894 (AI risk management) e ISO/IEC 27001 (sicurezza delle informazioni) completano il quadro tecnico.

L'approccio pragmatico: ISO 42001 come architettura del sistema di gestione, EU AI Act come requisito vincolante da incorporare nei controlli, NIST AI RMF come metodologia operativa per il risk management.

Roadmap di implementazione in 90 giorni

Un framework di AI governance non si costruisce in un anno. Le fondamenta si posano in un trimestre.

Giorni 1 - 30: Assessment e fondamenta

• AI inventory iniziale (workshop con IT, business, legal, security)
• Gap analysis su ISO 42001 e EU AI Act
• Bozza di AI Policy
• Nomina dell'AI Governance Lead e composizione dell'Ethics Committee

Giorni 31 - 60: Framework e controlli

• AI Policy approvata dal board
• Processo di classificazione dei casi d'uso (basso, medio, alto rischio)
• Template di risk assessment e Data Protection Impact Assessment
• Vendor governance: clausole standard e checklist di valutazione

Giorni 61 - 90: Operatività e reporting

• Primo ciclo di review dei sistemi ad alto rischio
• Formazione obbligatoria per team AI e management
• Dashboard di governance (KPI, incidenti, findings)
• Piano di certificazione ISO 42001 (se rilevante) e roadmap di conformità EU AI Act

Errori comuni da evitare

Confondere etica e governance. L'AI Ethics Committee produce principi; la governance produce controlli. Servono entrambi, ma sono cose diverse.

Governance solo IT o solo Legal. L'AI governance è multidisciplinare per definizione: business, IT, legal, security, HR, compliance. Un framework guidato da una sola funzione fallisce.

Documenti senza processi. Una policy che nessuno legge e nessuno applica è peggio di nessuna policy: crea falsa sicurezza.

Sottovalutare i modelli GPAI. ChatGPT, Claude, Copilot in azienda sono sistemi AI. Vanno inventariati, valutati, governati. La shadow AI è già dentro.

Rinviare aspettando chiarimenti normativi. Il framework serve prima delle scadenze, non dopo. Chi arriva ad agosto 2026 senza fondamenta non recupera in tempo.

Cosa fa la differenza

I framework che funzionano hanno tre caratteristiche. Sono proporzionati al rischio effettivo: controlli pesanti sui sistemi ad alto impatto, snelli su quelli a basso impatto. Sono integrati nei processi esistenti (project management, procurement, security, risk) invece di essere una burocrazia parallela. Sono misurati con KPI che il board capisce: quanti sistemi in produzione, quanti incidenti, quanto valore generato, quanto rischio residuo.

L'AI governance non rallenta l'innovazione: la rende possibile su scala. Senza framework, l'unica AI che entra in produzione è quella che nessuno vede, e quella è la più rischiosa.

Come possiamo aiutarti

In ZeroFive costruiamo framework di AI governance operativi, non documentali. Partiamo dall'AI Rating per fotografare la maturità attuale, disegniamo il framework su misura del contesto (settore, dimensione, rischio), lo implementiamo con il tuo team e lo colleghiamo agli obblighi di EU AI Act, ISO 42001 e Legge 132/2025.