L'intelligenza artificiale (IA) è già all'interno della sua organizzazione, attraverso più strade di quante la direzione ne abbia discusso formalmente, e per questo la domanda utile non è più se adottarla, ma dove viene usata, con quali dati, con quanta autonomia e sotto quale governance. Il vantaggio non deriva dall'usare l'IA, ma dall'usarla nel processo giusto e con la tecnica adeguata; e man mano che l'IA passa dal raccomandare all'agire, ciò che si delega smette di essere solo tecnologia e diventa autorità, con rischi che crescono con la sua autonomia e con l'impatto di ciò che fa. Governare questi rischi richiede innanzitutto di avere in ordine la sicurezza delle informazioni, perché i framework di IA poggiano su quella base, e di rispondere con evidenze, non con promesse, alle domande su sicurezza, riservatezza e privacy che già arrivano da clienti, collaboratori e regolatori. In Cile, l'obbligo di maggiore portata è la Ley 21.719 sulla protezione dei dati personali, in vigore dal 1° dicembre 2026, anche se un disegno di legge del Governo mira a rinviarla di un anno; la legge sull'IA è ancora in corso di iter parlamentare. Per l'organizzazione che non ha ancora cominciato, la guida propone un piano di 90 giorni: nel primo mese, sapere dove si usa l'IA, spostare il lavoro sensibile su account aziendali, stabilire quali dati non vanno mai inseriti e nominare un responsabile; nei due mesi successivi, approvare una policy d'uso, adottare un framework di governance, implementare i controlli e formare le persone. Questa guida percorre tale cammino dal generale allo specifico, con esempi noti dai primi programmi di dettatura vocale fino a ChatGPT e DeepSeek, e si chiude con quattro allegati di consultazione: domande su sicurezza, riservatezza e privacy (Allegato A), checklist per acquistare o costruire (Allegato B), come passare da iniziative isolate a un programma (Allegato C) e glossario (Allegato D).
Queste tre idee poggiano su quattro dimensioni che ricorrono lungo tutto il documento, non come una sequenza, ma come domande trasversali da riproporre a ogni tappa: Valore · Tecnica · Autonomia · Governance.
Il percorso di lettura del documento è un altro, e viene spiegato qui di seguito.
Questa guida non intende trasformare un dirigente o un consigliere in uno specialista di intelligenza artificiale. Intende fornirgli criterio sufficiente per distinguere un'opportunità reale da una moda, comprendere quale autorità si sta delegando, individuare i rischi rilevanti e porre le domande giuste prima di approvare un'iniziativa. A tal fine, il documento procede in sei tappe, ciascuna appoggiata alla precedente. Ogni concetto compare prima in forma semplice, con un esempio quotidiano o un caso reale, e poi con il dettaglio di cui un dirigente ha bisogno per decidere.
I sei blocchi sono il percorso di lettura: vanno dal capire che cos'è l'IA al decidere come scalarla, e ciascuno poggia sul precedente. Ogni blocco ha il proprio colore, che si ripete nella sua pagina di apertura, nei titoli e nelle tabelle delle sue sezioni.
Sopra il titolo di ogni sezione c'è un'etichetta con la dimensione a cui risponde: Valore, Tecnica, Autonomia o Governance. Sono le quattro domande da riproporre a ogni tappa di un'iniziativa, e funzionano anche come indice tematico: la mappa della sintesi esecutiva raggruppa le sezioni per dimensione, per chi voglia leggere, per esempio, solo ciò che riguarda la delega di autonomia all'IA.
Strumenti di consultazione rapida, raccolti in fondo nella sezione degli Allegati: Allegato A. Domande su sicurezza, riservatezza e privacy, e come rispondere · Allegato B. Checklist per acquistare o costruire · Allegato C. Dall'iniziativa al programma · Allegato D. Glossario essenziale
| Se le serve | Legga |
|---|---|
| L'essenziale, in un solo passaggio | Sintesi esecutiva; sezioni 1, 3, 7, 9, 12 e 18; conclusione |
| Rispondere a una domanda su privacy o riservatezza | Sezioni 8 e 15; rischi 2 e 6 della sezione 9; Allegato A, livelli 1 e 3 |
| Rispondere a una domanda sulla sicurezza | Sezioni 9, 10 e 11; Allegato A, livello 2 |
| Valutare se un'iniziativa vale la pena | Sezioni 4, 5 e 6 |
| Approvare, acquistare o costruire una soluzione | Sezioni 7, 16 e 17; Allegato B |
| Organizzare la governance dell'IA | Sezioni 10 (policy d'uso e incidenti), 12, 13 e 14; Allegato C |
| Cominciare a mettere ordine nell'IA in organizzazione | Sezione 18; sezione 12 (che cosa riferire al consiglio di amministrazione) |
| Adottare l'IA in modo sicuro: regolarizzare, formare e dimostrare | Sezioni 8, 10 e 18; Allegato A, livelli 4 e 5 |
| Governare gli agenti di IA | Sezione 7; sezione 9, rischi 3 e 4; sezione 12; Allegato A, domande 14 e 15; Allegato B |
L'IA entra nelle aziende attraverso più strade contemporaneamente: strumenti aziendali, copiloti (assistenti di IA integrati nel software già in uso, come la posta elettronica o il foglio di calcolo), applicazioni acquistate via internet (SaaS, software as a service) che incorporano l'IA senza che nessuno lo chieda esplicitamente, sviluppi interni, fornitori che la aggiungono alla propria offerta, agenti (sistemi che, oltre a rispondere, eseguono azioni in autonomia; sono spiegati nella sezione 2), connessioni dirette tra sistemi (API, interfacce di programmazione delle applicazioni), strumenti che i singoli dipendenti adottano per conto proprio, assistenti vocali nei telefoni e negli uffici, e strumenti che registrano e riassumono le riunioni. Per questo la discussione in consiglio ha già cambiato forma:
In termini semplici, l'intelligenza artificiale è qualsiasi sistema che fa qualcosa che normalmente associamo all'intelligenza umana: riconoscere un volto, consigliare un film, individuare una frode, tradurre o redigere un testo. Esistono diversi tipi, ed è utile ordinarli come anelli concentrici.
Questi quattro livelli non sono in competizione tra loro: si contengono a vicenda, ogni anello interno è un sottoinsieme dell'anello che lo circonda. Nessuno sostituisce il precedente.
Il fatto che l'IA generativa sia di moda dal lancio pubblico di ChatGPT alla fine del 2022, e che altri assistenti, come Claude o Gemini, l'abbiano poi diffusa, non significa che l'intelligenza artificiale sia iniziata lì. Buona parte di ciò che oggi si chiama "IA" opera da decenni all'interno delle aziende, in genere senza questo nome.
Motori di regole in assicurazioni e banche, sistemi di diagnosi costruiti a partire da regole scritte da esperti.
Rilevamento delle frodi con le carte, filtri antispam, manutenzione predittiva, raccomandazioni nell'e-commerce, punteggio di rischio creditizio (scoring), riconoscimento ottico dei caratteri (OCR).
Riconoscimento di immagini e voce su larga scala, traduzione automatica moderna, sistemi di raccomandazione di video e musica.
Generazione di testo, immagini, audio, video e codice a partire da istruzioni in linguaggio naturale.
È probabile che la sua organizzazione usi già da anni una delle prime tre categorie senza chiamarla "intelligenza artificiale" nel linguaggio interno. La novità del 2022 non è stata l'IA: è stato il fatto che, per la prima volta, un'IA generativa è diventata disponibile in un'interfaccia di conversazione aperta al grande pubblico.
La storia dell'IA si comprende meglio attraverso sei tappe pubbliche, in ordine cronologico. Ciascuna illustra uno degli anelli dello schema precedente, e ciascuna lascia una lezione utile per un dirigente.
Nel marzo del 1990 Dragon Systems lanciò DragonDictate, presentato come la prima "macchina da scrivere a voce". Costava circa 9.000 USD, scheda speciale per il computer inclusa, e riconosceva un vocabolario di 30.000 parole, con una condizione: bisognava fare una pausa di almeno un quarto di secondo tra... una... parola... e l'altra.
Lezione: ciò che oggi appare goffo e costoso può diventare quotidiano. Tre decenni dopo, dettare al telefono, parlare a un assistente vocale o ricevere la trascrizione automatica di una riunione è gratuito e quasi non ce ne accorgiamo. Nel valutare una tecnologia di IA conviene guardare la tendenza, non solo la fotografia del giorno.
Il supercomputer Deep Blue di IBM sconfisse il campione del mondo Garry Kasparov per 3,5 a 2,5. Non "apprendeva" come l'IA attuale: la sua forza derivava dal calcolo di circa 200 milioni di posizioni al secondo, con criteri di valutazione che il suo team di esperti regolava a mano.
Lezione: una macchina può superare la migliore persona al mondo in un compito molto circoscritto senza "capire" nulla al di fuori di esso. Deep Blue sapeva solo giocare a scacchi.
Il sistema Watson di IBM vinse il quiz televisivo Jeopardy! contro due dei suoi campioni di maggior successo. Doveva capire domande in linguaggio naturale, piene di giochi di parole, e rispondere in pochi secondi. Il suo errore più ricordato è anche il più istruttivo: nella categoria "Città degli Stati Uniti" rispose "Toronto", che si trova in Canada. Ma lo fece con dei punti interrogativi, perché la sua fiducia era bassa (circa il 30%), e scommise solo 947 USD.
Lezione: l'IA può sbagliare con eloquenza. Watson almeno mostrava quanto fosse sicuro; molti assistenti attuali usano lo stesso tono quando ci azzeccano e quando inventano. Il suo successivo ingresso nella medicina ha lasciato un'altra lezione, raccontata nella sezione 6.
AlphaGo, di DeepMind (Google), batté 4 a 1 il campione sudcoreano Lee Sedol a Go, un gioco con così tante combinazioni possibili che non si può vincere soltanto calcolando. AlphaGo imparò da milioni di mosse di partite umane e di partite contro sé stesso. Nella seconda partita fece la "mossa 37", che gli esperti giudicarono qualcosa che nessun giocatore umano avrebbe fatto.
Lezione: l'IA che apprende dai dati può trovare soluzioni a cui nessuno aveva pensato, ma ha anche punti ciechi: Lee Sedol vinse la quarta partita con una mossa che AlphaGo giudicava molto improbabile.
Il 30 novembre 2022 OpenAI aprì ChatGPT al pubblico. In circa due mesi raggiunse quasi 100 milioni di utenti, secondo una stima di UBS citata da Reuters: l'adozione più rapida registrata fino ad allora per un'applicazione di consumo. Per la prima volta chiunque poteva conversare con un'IA che redige, riassume, traduce e programma.
Lezione: a differenza dei casi precedenti, questa IA non l'ha acquistata l'azienda: è entrata da sola, al seguito di ogni lavoratore. Da qui nasce l'IA ombra della sezione 1, e da qui nascono la maggior parte delle domande sulla riservatezza dell'Allegato A.
Nel gennaio 2025 l'azienda cinese DeepSeek pubblicò R1, un modello "di ragionamento" a pesi aperti (il suo produttore pubblica il modello addestrato perché chiunque possa installarlo e farlo funzionare), paragonabile a o1 di OpenAI. R1 fu costruito su V3, un modello di base della stessa azienda il cui addestramento finale DeepSeek stimò in circa 5,6 milioni di USD di calcolo, una frazione del solito; la fase ulteriore di R1 aggiunse, secondo l'azienda, circa 294.000 USD. Nessuna delle due cifre include la ricerca né gli esperimenti precedenti, e non sono state verificate in modo indipendente. La sua applicazione superò ChatGPT come app di IA più scaricata dall'App Store di Apple, e il 27 gennaio Nvidia perse circa 589.000 milioni di USD di valore di borsa, la maggiore perdita in un giorno registrata da un'azienda statunitense. Tre giorni dopo, l'autorità italiana per la protezione dei dati bloccò l'applicazione ritenendo insufficienti le informazioni su come trattava i dati personali.
Lezione: la frontiera dell'IA non appartiene più a un solo paese né a poche aziende, e il suo costo scende rapidamente. Ma uno strumento brillante ed economico non è, per questo, uno strumento approvato: prima di usarlo con dati aziendali bisogna sapere dove vengono elaborati e sotto quale legge (sezioni 8 e 15; Allegato A, domanda 6).
Prima di parlare di rischi, conviene notare che l'IA fa già parte della vita quotidiana, quasi sempre senza chiamarsi così:
| Situazione quotidiana | Che cosa fa l'IA | Tipo (anello) |
|---|---|---|
| La posta separa lo spam | Ha imparato a riconoscere gli schemi dei messaggi indesiderati | Apprendimento automatico |
| La banca la avvisa di un acquisto sospetto | Rileva un acquisto che non corrisponde al suo comportamento abituale | Apprendimento automatico |
| Waze o Google Maps stimano quanto tempo impiegherà | Prevede il traffico a partire da dati storici e in tempo reale | Apprendimento automatico |
| Netflix o Spotify le consigliano che cosa guardare o ascoltare | Confronta i suoi gusti con quelli di milioni di persone simili | Apprendimento automatico e profondo |
| Il telefono si sblocca con il suo volto | Riconosce i volti a partire dalle immagini | Apprendimento profondo |
| Cerca "spiaggia" tra le sue foto e compaiono tutte | Riconosce il contenuto di ogni immagine | Apprendimento profondo |
| Detta un messaggio al telefono o parla a Siri o Alexa | Converte la voce in testo e interpreta ciò che è stato chiesto | Apprendimento profondo |
| Chiede a ChatGPT, Claude o Gemini di redigere un'e-mail | Genera un testo nuovo a partire da un'istruzione | IA generativa (LLM) |
La differenza pratica tra le righe: nelle prime sette l'IA svolge un solo compito circoscritto all'interno di un prodotto che qualcuno ha progettato e controlla. Nell'ultima la persona consegna all'IA informazioni e un'istruzione aperta. Qui iniziano le domande su riservatezza, accuratezza e responsabilità di questa guida.
All'interno dell'anello dell'IA generativa dello schema precedente, i modelli linguistici (LLM) sono il caso più noto, ma non l'unico. La stessa famiglia generativa comprende modelli specializzati in altri tipi di contenuto:
Un agente non è un quinto anello più piccolo all'interno dell'IA generativa. È un modo di usare un modello, quasi sempre un LLM, collegandolo a strumenti, memoria e alla capacità di eseguire passaggi in autonomia. Per questo si rappresenta come una ramificazione verso l'esterno del cerchio, non come un livello più specifico al suo interno.
In termini semplici: un modello linguistico è come un esperto che può soltanto conversare. Un agente è quello stesso esperto con accesso alla sua posta, al suo calendario e ai sistemi dell'azienda, e con il permesso di fare cose al loro interno.
Il fatto che un sistema possa rispondere non significa che debba agire in autonomia. La sezione 7 sviluppa i diversi livelli di autonomia e spiega perché questa differenza è cruciale per un consiglio di amministrazione.
Prima di entrare nel merito di quale tecnica usare per quale problema, conviene fissare un punto di partenza onesto sulle capacità attuali.
| L'IA è in genere brava a | L'IA può ancora essere debole nel |
|---|---|
| Riassumere grandi volumi di informazioni | Garantire un'accuratezza fattuale assoluta |
| Trovare schemi nei dati | Dimostrare la causalità, non solo la correlazione |
| Generare alternative e bozze | Assumersi la responsabilità di una decisione |
| Interagire in linguaggio naturale | Distinguere sempre un'informazione vera da una plausibile |
| Automatizzare compiti ripetitivi | Gestire correttamente tutte le eccezioni |
| Analizzare grandi quantità di dati | Comprendere pienamente il contesto aziendale |
| Eseguire flussi di lavoro definiti | Decidere quale rischio aziendale un'organizzazione debba accettare |
Capire che cos'è l'IA non determina ancora dove utilizzarla. La domanda successiva è quale tecnica corrisponda realmente al problema, e se il valore che genera giustifichi l'impresa.
Questa sezione applica l'idea centrale della guida: prima il problema, poi la tecnica.
| Famiglia | Che cos'è | A che cosa serve | Strumenti di esempio |
|---|---|---|---|
| Regole e logica di business | Istruzioni esplicite: se accade questo, si fa quello. Deterministica (a parità di input dà sempre lo stesso risultato) e verificabile | Validazioni, trasformazioni con logica nota | Formule e macro di Excel, Power Automate, Zapier, motori di regole come IBM ODM |
| Apprendimento supervisionato classico | Un modello impara da esempi già etichettati a classificare o a prevedere un valore | Classificazione, prioritizzazione, punteggio di rischio (scoring) | Amazon SageMaker, Azure Machine Learning, Google Vertex AI, DataRobot, scikit-learn |
| Apprendimento non supervisionato | Trova schemi, raggruppamenti o scostamenti nei dati senza esempi precedentemente etichettati | Rilevamento di frodi o di anomalie, segmentazione dei clienti, clustering | scikit-learn; rilevamento di anomalie in Splunk, Datadog o Microsoft Sentinel |
| Serie storiche | Proietta un valore futuro a partire dal suo storico | Previsione (forecasting) di domanda, vendite e indicatori | Foglio di previsione di Excel, previsioni in Power BI, Prophet, SAP IBP |
| Ottimizzazione matematica | Trova la migliore combinazione di variabili sotto vincoli | Pianificazione, allocazione delle risorse | Solver di Excel, Gurobi, IBM CPLEX, Google OR-Tools |
| Modelli linguistici (LLM) | Interpretano e generano linguaggio naturale. Non sono deterministici: la stessa domanda può dare risposte diverse | Interpretare domande aperte, redigere, riassumere | ChatGPT, Claude, Gemini, Microsoft Copilot, Llama, DeepSeek |
| Agenti (LLM più strumenti) | Un LLM che, oltre a rispondere, esegue azioni e concatena passaggi in autonomia | Automatizzare compiti in più passaggi, con un rischio maggiore rispetto ai precedenti | Modalità agente di ChatGPT, Claude Code, Microsoft Copilot Studio, Salesforce Agentforce, Gemini Enterprise |
| Domanda | Che cosa può indicare |
|---|---|
| Mi serve una risposta deterministica? | Regole od ottimizzazione |
| Ho storici sufficienti? | Apprendimento automatico classico |
| Devo interpretare il linguaggio naturale? | Modello linguistico |
| Devo eseguire azioni su altri sistemi? | Agente |
| L'errore ha un impatto elevato? | Maggiore supervisione, qualunque sia la tecnica |
| Devo poter spiegare il risultato? | Modelli interpretabili, non necessariamente il più recente |
| Il volume di richieste è molto alto? | Il costo e l'architettura iniziano a contare quanto la tecnica |
| I dati possono uscire dall'organizzazione? | Incide direttamente sull'architettura e sulla scelta del fornitore |
| L'azione è reversibile? | Incide su quanta autonomia sia ragionevole concedere |
A ELIAC 2026, la conferenza latinoamericana sull'IA applicata alla cybersicurezza organizzata da iSecurity, il Centro Nacional de Inteligencia Artificial del Cile (CENIA) ha presentato tre progetti propri. La sua tesi nell'intervento: l'IA non è sinonimo di modelli linguistici; la tecnica si sceglie in base al problema, non alla moda.
| Caso | Problema | Tecnica utilizzata |
|---|---|---|
| Cámara Chilena de la Construcción | Rivedere in via preliminare le richieste di permessi edilizi e rilevare le non conformità prima di presentarle al comune | Flusso agentico (qui l'IA generativa e gli agenti erano la scelta giusta) |
| Fiscalía | Classificare i casi per urgenza e linea d'azione | Classificatore classico, senza modello linguistico |
| CMPC | Ottimizzare la produzione con più modelli concatenati | Catena di modelli di ottimizzazione (pipeline), nemmeno qui un modello linguistico |
Il criterio giusto non è "l'IA funziona?". È "genera valore sufficiente a giustificare il proprio costo e il proprio rischio?". Un consiglio di amministrazione non dovrebbe chiedersi per prima cosa se una soluzione si acquista o si costruisce. Deve prima chiedersi perché questa iniziativa dovrebbe esistere e quale valore dovrebbe generare; la sezione 16 tratta di come ottenere la soluzione, una volta risolto il perché.
Indicatori chiave (KPI, dalla sigla inglese) a titolo di esempio, da scegliere in base al caso: tempo risparmiato, costo per transazione, tasso di automazione, tasso di intervento umano richiesto, precisione, tasso di errore, adozione reale da parte degli utenti, soddisfazione, aumento dei ricavi, incidenti registrati, costo per richiesta e ritorno sull'investimento.
Cause frequenti: problema scelto male, processo progettato male prima di essere automatizzato, tecnologia scelta per moda e non per adeguatezza al problema, dati insufficienti o di scarsa qualità, integrazione carente con i sistemi esistenti, assenza di un responsabile chiaro del processo, utenti che non adottano lo strumento, assenza di controlli, aspettative irrealistiche su ciò che l'IA può fare, costo di esercizio sottostimato e ritorno mai misurato formalmente.
Una volta individuato un caso con valore, la questione successiva è quanto potere di decisione e di esecuzione siamo disposti a delegare.
Finché un modello si limita a rispondere a una richiesta, il rischio riguarda la qualità della risposta. Un agente avvia flussi di lavoro, chiama altri sistemi, concatena più passaggi e decide che cosa fare dopo senza che una persona intervenga a ogni passo. "IA agentica" è il termine che indica proprio questa capacità di agire con autonomia verso un obiettivo, non solo di rispondere.
| Livello di autonomia | Che cosa fa | Esempio | Strumenti di esempio |
|---|---|---|---|
| Assistente | Risponde o suggerisce. La persona decide ed esegue tutto | Redigere una bozza di e-mail da far rivedere a qualcuno | Microsoft 365 Copilot in Outlook, Gemini in Gmail |
| Agente supervisionato | Propone un'azione concreta e attende l'approvazione prima di eseguirla | Classificare una gara d'appalto e proporre un'attività, che una persona approva | Modalità agente di ChatGPT, che chiede conferma prima delle azioni sensibili; agenti di Copilot Studio con passaggio di approvazione |
| Agente autonomo | Esegue l'azione senza attendere l'approvazione preventiva, entro un margine che gli è stato definito | Rispondere e chiudere in autonomia reclami di clienti di basso importo, senza revisione preventiva | Agenti di assistenza come Salesforce Agentforce o Fin di Intercom |
Il livello di autonomia non lo definisce il nome del prodotto ("assistente", "copilota" o "agente"), ma ciò che il sistema può realmente fare: le sue capacità, i suoi permessi e le approvazioni che richiede. Uno stesso strumento può operare a più di un livello a seconda di come viene configurato. E non ogni azione automatica è IA: una regola fissa che blocca un conto davanti a determinati schemi è automazione tradizionale.
Classificare unicamente in base all'autonomia è incompleto. Un'azione a basso impatto eseguita in modo autonomo è diversa da una ad alto impatto eseguita allo stesso modo.
Per capire dove può restare l'informazione conviene separare i componenti coinvolti: modello, servizio di inferenza (il servizio che esegue il modello ogni volta che risponde), applicazione, archiviazione, fornitore e registri. Durante una normale richiesta, i pesi del modello (i parametri in cui è custodito ciò che è stato appreso durante l'addestramento) in genere non vengono modificati dal prompt (l'istruzione o la domanda che si scrive). Ma "il modello non conserva il dato" non è tutta la storia: la piattaforma o il servizio che circonda il modello può conservare, a seconda del prodotto, dell'architettura, della configurazione e del contratto, i prompt, i risultati, i file, i registri, i metadati, le tracce di ragionamento (i passaggi intermedi che il modello registra), le cache (copie temporanee per rispondere più velocemente) e le informazioni usate per il rilevamento degli abusi.
Il documento o dato così come è arrivato, prima che qualsiasi IA lo elabori.
Non è una superficie di IACiò che il modello elabora per rispondere a questa specifica richiesta. Normalmente non modifica i pesi del modello.
Non persiste, salvo diversa configurazioneDocumenti convertiti in vettori (rappresentazioni numeriche che permettono di cercare per significato), indicizzati, consultabili a ogni risposta. È dove tende a vivere il dato aziendale.
Ciò che l'agente ricorda tra le interazioni: conversazioni precedenti, preferenze, attività in corso.
Registro di ogni richiesta, passaggio di ragionamento e attività generata. La superficie che quasi nessuno dichiara con chiarezza.
Persiste se non viene gestitoUno stesso strumento di IA tratta i dati in modo molto diverso a seconda del tipo di account o di contratto. È la distinzione che più aiuta a rispondere alla domanda se l'IA "si tiene" le informazioni.
| Tipo di account | Contratto | Che cosa implica di solito per i dati |
|---|---|---|
| Personale, gratuito o a pagamento | Condizioni di adesione, non negoziabili | L'uso delle conversazioni per migliorare il modello dipende da un'impostazione controllata dall'utente stesso, che può essere attiva per impostazione predefinita. Non esiste un accordo sul trattamento dei dati con l'azienda, né qualcuno che risponda nei confronti dei suoi clienti. |
| Aziendale o di team | Adesione con condizioni commerciali | Normalmente esclusa dall'addestramento per impostazione predefinita, con amministrazione centralizzata e tempi di conservazione definiti. I piani di team possono avere condizioni diverse da quelli aziendali: conviene verificarle caso per caso. |
| Integrazione via API o contratto aziendale | In parte negoziabile | Consente di pattuire per iscritto la conservazione, l'ubicazione dei dati e, in alcuni casi, la conservazione zero (il fornitore non conserva il contenuto). È il livello che offre più margine per assumere impegni concreti nei confronti dei propri clienti. |
Le condizioni cambiano a seconda del fornitore e nel tempo: ciò che conta è quanto dice il contratto vigente, non la pubblicità.
La regola precedente non vale solo per gli assistenti conversazionali. Vale anche per il motore di ricerca, il browser, l'assistente vocale del telefono e gli strumenti che registrano le riunioni: in tutti, lo stesso marchio tratta i dati in modo diverso a seconda che lo si usi con un account personale o con un account aziendale.
| Strumento | Con account personale | Con account aziendale |
|---|---|---|
| Assistenti conversazionali | ||
| ChatGPT (OpenAI) | Nei piani Free, Plus e Pro, le conversazioni possono essere usate per l'addestramento per impostazione predefinita. Ogni utente può disattivarlo in Impostazioni, Controlli dei dati, opzione "Migliora il modello per tutti". | In ChatGPT Business, Enterprise, Edu e nell'API, per impostazione predefinita input e risposte non vengono usati per l'addestramento. |
| Claude (Anthropic) | Nei piani Free, Pro e Max, da ottobre 2025 ogni utente sceglie se consentire l'uso delle proprie conversazioni per l'addestramento. Se lo consente, vengono conservate fino a cinque anni; altrimenti il termine è di 30 giorni. | Nei piani Team ed Enterprise, in Claude per l'Istruzione e per il Governo, nell'API e nell'accesso tramite Amazon Bedrock o Google Cloud Vertex AI valgono i termini commerciali, che non prevedono tale uso per l'addestramento. |
| Gemini (Google) | Con l'attività delle app Gemini attivata, le conversazioni vengono usate per migliorare i servizi di Google, compresi i suoi modelli di IA, e una parte viene rivista da persone. Tali conversazioni riviste vengono conservate fino a tre anni. Con l'attività disattivata, Google le conserva comunque per 72 ore. | Con un'edizione idonea di Google Workspace, il contenuto non viene rivisto da persone né usato per addestrare modelli al di fuori del dominio dell'azienda senza il suo permesso. |
| Copilot (Microsoft) | Con un account Microsoft personale, l'attività di conversazione può essere usata per l'addestramento. Si disattiva in Privacy, nelle opzioni di addestramento con conversazioni di testo e di voce. | Con un account di lavoro o scolastico di Microsoft 365, le istruzioni, le risposte e i dati dell'azienda non vengono usati per addestrare i modelli di base, e Microsoft agisce come responsabile del trattamento ai sensi del contratto. Le ricerche web effettuate da Copilot restano fuori da questo regime: lì Microsoft agisce come titolare autonomo. |
| IA nel motore di ricerca e nel browser | ||
| Ricerca di Google con IA (panoramiche con IA e Modalità IA) | Usa gli stessi modelli di Gemini, ma è un altro prodotto con altre regole: ciò che si scrive nel motore di ricerca è regolato dalla politica generale sulla privacy di Google e resta nell'attività dell'account se tale opzione è attiva, non dalle impostazioni dell'app Gemini. Da luglio 2026, Google usa per impostazione predefinita le immagini, i file e l'audio di Search, Lens e Gemini Live per migliorare i propri modelli, a meno che l'utente disattivi l'opzione di salvataggio di quel contenuto. Un motore di ricerca non è il luogo per informazioni riservate, con o senza IA. | |
| Browser con IA (Chrome con Gemini, Edge con Copilot, ChatGPT Atlas, Comet di Perplexity) | Leggono il contenuto delle pagine aperte, comprese le applicazioni interne o la posta, per riassumerle o agire al loro interno con la sessione dell'utente. Con un account personale, tale contenuto ricade sotto le regole consumer di ciascun fornitore. Inoltre sono particolarmente vulnerabili alle istruzioni nascoste nelle pagine web (sezione 9, rischio 3). | Alcuni si possono amministrare o bloccare in modo centralizzato. Conviene che Tecnologia definisca quali sono consentiti sui dispositivi dell'azienda e per quali siti. |
| Assistenti vocali | ||
| Siri, Alexa e l'assistente di Google | Ascoltano sul dispositivo stesso per rilevare la parola di attivazione. Da quando si attivano, di proposito o per errore, ciò che viene detto è inviato ai server del fornitore. Ci sono state attivazioni accidentali finite in tribunale (Allegato A, domanda 3). | Sui telefoni aziendali, Tecnologia può limitare o disattivare l'assistente. Nelle sale in cui si trattano temi riservati, la regola semplice è non avere altoparlanti intelligenti. |
| Registrazione e riassunto delle riunioni | ||
| Assistenti di riunione (Copilot in Teams, Zoom AI Companion, Gemini in Meet, Otter, Fireflies e simili) | Gli assistenti esterni che si uniscono alla riunione come un partecipante in più operano di solito con l'account personale di chi li ha collegati: la registrazione, la trascrizione e il riassunto restano nelle mani di quel fornitore, a volte senza che gli altri partecipanti lo sappiano. | Le funzioni integrate nella piattaforma di riunioni che l'azienda ha sottoscritto ricadono sotto le condizioni di quel contratto. In entrambi i casi: avviso preventivo a tutti i partecipanti e revisione del riassunto prima di diffonderlo (Allegato A, domanda 9). |
Condizioni indicate da ciascun fornitore nelle proprie pagine ufficiali, verificate a ottobre 2026. Cambiano con frequenza: prima di una decisione, conviene confermarle nel contratto vigente.
RAG (generazione aumentata dal recupero) permette a un modello di consultare informazioni aziendali esterne durante una risposta, senza che tali informazioni siano necessariamente state incorporate nell'addestramento del modello. È la differenza tra ciò che il modello "sa" di fabbrica e ciò che "consulta" al momento di rispondere. Riprendendo l'esempio del consulente: il RAG equivale a consegnargli una cartella con i documenti dell'azienda perché la consulti durante la riunione; il fine-tuning equivale a mandarlo a un corso di specializzazione con quei documenti, e ciò che ha appreso lì non gli si può più togliere con facilità.
È probabile che la sua organizzazione usi già il RAG senza chiamarlo così: NotebookLM, i Progetti di ChatGPT e di Claude, Microsoft 365 Copilot quando risponde con documenti di SharePoint, o Gemini quando cerca in Google Drive. In tutti questi casi lo strumento consulta i documenti per rispondere, e ciò che definisce il rischio è chi può vedere quella cartella e con quale tipo di account lo si usa.
| Esigenza | RAG | Fine-tuning |
|---|---|---|
| Consultare documenti aggiornati | Molto adatto | Non necessariamente |
| Le informazioni cambiano di frequente | Adatto | Meno adatto |
| Cambiare lo stile o il comportamento del modello | Limitato | Più adatto |
| Ritirare una fonte di informazione | Relativamente gestibile | Più complesso |
| Poter citare la fonte di una risposta | In genere migliore | Non necessariamente |
Autonomia e accesso ai dati cambiano la superficie di rischio. La domanda successiva è che cosa può andare storto e come si controlla.
Ogni rischio viene presentato con che cosa è, un esempio quotidiano o un caso reale, e i suoi controlli.
Un'IA può produrre contenuti molto convincenti e allo stesso tempo errati. La conseguenza pratica: non confondere fluidità con certezza. Controlli abituali: verifica umana, richiesta delle fonti, limiti d'uso dichiarati e supervisione rafforzata nelle decisioni critiche.
Nella vita quotidiana. È lo studente che non ha studiato e, per non lasciare la domanda in bianco, inventa una risposta con grande sicurezza.
Caso reale. Nel 2023, nella causa Mata contro Avianca a New York, due avvocati presentarono una memoria con sentenze inesistenti, comprese citazioni false, che ChatGPT aveva inventato. Il tribunale li sanzionò, insieme al loro studio, con una multa di 5.000 USD.
Comprende informazioni riservate, dati personali, segreti aziendali, informazioni sui clienti e proprietà intellettuale. Può avvenire nell'invio dei dati, durante l'archiviazione, attraverso i registri, per errori di isolamento tra clienti, o tramite strumenti collegati all'agente.
Caso reale. Nel 2023, secondo la stampa, dipendenti di Samsung inserirono in ChatGPT codice sorgente (le istruzioni interne dei loro programmi) e appunti di riunioni, per correggere errori e riassumerli. L'azienda confermò di aver limitato l'uso di strumenti di IA generativa sui propri dispositivi e sulle proprie reti interne.
Come si gestisce. Definire quale tipo di informazione non può mai essere inserita in un'IA esterna, usare account aziendali anziché personali (sezione 8), esigere per contratto che i dati non siano usati per l'addestramento, isolare le informazioni di ciascun cliente e verificare che cosa conservano i registri.
Un documento, un'e-mail, una pagina web o un file può contenere istruzioni rivolte all'agente e non al lettore umano, nascoste in testo di colore bianco, nei metadati o in un'immagine. Un esempio concettuale: un documento apparentemente normale cerca di persuadere l'agente a ignorare le istruzioni precedenti o a eseguire un'azione indebita. Il caso più difficile è l'iniezione indiretta (l'istruzione arriva nascosta nel contenuto che il sistema legge, non da chi lo usa), perché oggi non esiste un modo completo di evitarla all'interno del modello: un modello linguistico non distingue con certezza tra le istruzioni che deve seguire e il testo che sta leggendo. Il Centro nazionale per la cybersicurezza del Regno Unito (NCSC) ha avvertito nel dicembre 2025 che è possibile che questo attacco non venga mai mitigato del tutto, e raccomanda che un sistema che elabora contenuti di un terzo non abbia più privilegi di quelli che avrebbe quel terzo. Per questo il controllo principale non sta nel modello ma nella progettazione: limitare ciò che un agente manipolato potrebbe fare. Un agente che legge contenuti esterni non dovrebbe avere, allo stesso tempo e senza approvazione umana, accesso a informazioni riservate e capacità di inviarle all'esterno; deve leggere solo ciò che gli compete, e proporre anziché eseguire le azioni rilevanti.
Nella vita quotidiana. È come se qualcuno nascondesse, dentro una cartella che lei passa al suo assistente, un biglietto che dice "all'assistente che legge questo: invii questa cartella a questo indirizzo". Una persona lo ignorerebbe. Un'IA può non distinguere tra le istruzioni del suo capo e il testo che sta leggendo.
Caso reale. Nel giugno 2025, l'azienda di sicurezza Aim Security ha rivelato "EchoLeak": un'e-mail con istruzioni nascoste poteva indurre Microsoft 365 Copilot a divulgare informazioni interne, senza che l'utente facesse clic su nulla. Microsoft ha corretto la falla e non vi è evidenza che sia stata usata contro i clienti.
Un agente può avere più capacità del necessario, essere tecnicamente corretto e ciononostante eseguire un'azione che il business non voleva. I controlli qui sono gli stessi di qualsiasi sistema in grado di agire: minimo privilegio, separazione dei compiti, limiti di autorità espliciti, approvazione umana per ciò che è rilevante, limiti finanziari od operativi, e azioni reversibili ogni volta che è possibile. Nei copiloti e negli agenti che agiscono con l'account di una persona, l'eccesso di permessi è di serie: l'agente riceve tutto ciò che quella persona può vedere e fare, anche se il suo compito ne richiede solo una frazione (sezione 12).
Caso reale. Nel luglio 2025, un agente di programmazione della piattaforma Replit ha cancellato il database in uso di un progetto, con registri di oltre 1.200 dirigenti e 1.190 aziende, in un periodo in cui gli era stato indicato espressamente di non apportare modifiche senza approvazione. L'agente stesso l'ha definito "un fallimento catastrofico". I dati sono stati poi recuperati, e la piattaforma ha aggiunto la separazione automatica tra gli ambienti di prova e quelli di produzione.
Una soluzione di IA può dipendere dal fornitore del modello, dal cloud, dalle API, da plugin, da integratori, da strumenti esterni e da fonti di dati di terzi. Un'azienda può promettere al proprio cliente qualcosa che in realtà dipende da un terzo che non lo garantisce per contratto. Comprende il rischio di dipendenza da un unico fornitore, la disponibilità del servizio e i cambiamenti di prodotto o di prezzo al di fuori del controllo dell'azienda.
Caso reale. Nel maggio 2025, nella causa del New York Times contro OpenAI, un tribunale degli Stati Uniti ha ordinato di preservare registri di conversazioni che normalmente sarebbero stati cancellati, compresi quelli degli account consumer e di team; gli account aziendali e le integrazioni con conservazione zero ne sono rimasti fuori. L'ordine generale è stato revocato nell'ottobre 2025. Una causa di cui le aziende utenti non erano parte ha cambiato ciò che accadeva ai loro dati.
Come si gestisce. Sapere da quali fornitori dipende ciascuna soluzione, compresi quelli indiretti; scegliere il tipo di account in base alla sensibilità dell'uso; esigere l'avviso dei cambiamenti rilevanti; e avere un piano di uscita (sezione 16).
L'IA può creare rischi su dati personali, diritto d'autore, uso delle informazioni, trasparenza, decisioni automatizzate, discriminazione e regolamentazione di settore. Questa guida non sostituisce la consulenza legale: la sezione 15 riprende il punto con maggiore dettaglio.
Caso reale. Nel marzo 2023, l'autorità italiana per la protezione dei dati ha bloccato temporaneamente ChatGPT. Nel dicembre 2024 ha multato OpenAI per 15 milioni di euro, tra l'altro per aver usato dati personali per l'addestramento senza un'adeguata base giuridica e per non aver notificato una violazione di sicurezza. Nel marzo 2026, il Tribunale di Roma ha annullato quella multa per un motivo di competenza: poiché OpenAI aveva già la propria sede europea in Irlanda, il caso spettava all'autorità irlandese. Il tribunale non si è pronunciato sul merito.
Come si gestisce. Prima di usare dati personali con l'IA, confermare la base giuridica e la finalità, usare solo i dati necessari, verificare dove vengono elaborati e consentire a una persona di chiedere la revisione umana delle decisioni prese unicamente da un sistema automatizzato che la riguardino in modo significativo. In Cile, questo acquista forza con la nuova legge sui dati personali (sezione 15).
È comune mescolare tre conversazioni che in realtà sono separate, ed è opportuno distinguerle esplicitamente in qualsiasi discussione con un fornitore o con un team interno.
La prima delle tre conversazioni di questa sezione, usare l'IA in modo sicuro nel lavoro quotidiano, si risolve in buona parte con una policy d'uso che chiunque nell'organizzazione possa leggere in dieci minuti. Non servono cinquanta pagine: serve rispondere con chiarezza a quattro domande, e coincidere con ciò che la tecnologia dell'azienda consente realmente.
| A che cosa deve rispondere | Che cosa dovrebbe dire | Esempio |
|---|---|---|
| Quali strumenti posso usare? | L'elenco degli strumenti approvati, con il tipo di account consentito per ciascuno, e come chiedere che ne venga valutato uno nuovo | "Per il lavoro con informazioni dell'azienda, solo l'account aziendale dell'assistente approvato; mai un account personale" |
| Quali dati non inserisco mai? | Un elenco breve e concreto, non una definizione astratta di "informazione sensibile" | Dati personali di clienti o dipendenti, informazioni fornite da un cliente sotto riservatezza, password e credenziali, codice sorgente, dati finanziari non pubblicati |
| Quando deve intervenire una persona a rivedere? | I casi in cui un risultato dell'IA non può uscire dall'organizzazione né essere usato per decidere senza revisione umana | Prima di inviarlo a un cliente, pubblicarlo, firmarlo, usarlo in una decisione che riguarda persone o in una questione legale o finanziaria |
| Come segnalo un errore? | Un canale unico, un termine e la garanzia che segnalare in tempo non viene sanzionato | "Se ha inserito un dato che non doveva o l'IA ha fatto qualcosa di inatteso, avvisi lo stesso giorno il responsabile dell'IA" |
Prima o poi qualcosa andrà storto: un dipendente inserisce informazioni di un cliente in uno strumento pubblico, un agente esegue un'azione sbagliata, un assistente fornisce a un cliente una risposta falsa, o un documento manipolato altera un'analisi. Senza una procedura scritta in anticipo, la prima volta si improvvisa, e si improvvisa male. La procedura generale ha cinque passaggi:
L'Allegato A, domanda 10, applica questa logica al caso più frequente: un dipendente che ha inserito informazioni riservate in un account personale.
Esiste inoltre un tipo di incidente proprio dell'IA che non sembra un incidente: il sistema inizia a rispondere in modo diverso senza che nessuno in azienda abbia cambiato nulla, perché il fornitore ha aggiornato il modello. I controlli per la continuità operativa sono quattro:
Questa sezione intende soltanto creare consapevolezza a livello dirigenziale. Non è una guida alle tecniche di attacco. Soggetti con intenzioni malevole possono usare l'IA per migliorare l'ingegneria sociale, il phishing, la generazione di contenuti, la traduzione, la personalizzazione dei messaggi, la ricerca sugli obiettivi, l'automazione, la generazione o modifica di codice, e la velocità e la scala di certe campagne. Non vi è evidenza che l'IA abbia sostituito le tecniche di attacco tradizionali: ciò che fa, principalmente, è abbassare le barriere d'ingresso, aumentare la scala e accelerare l'operatività di chi attacca.
Controllare questi rischi richiede qualcosa di più della tecnologia: richiede autorità, responsabilità e regole chiare.
Governance dell'IA non significa creare burocrazia. Significa definire, con nome e cognome, chi può approvare i casi d'uso, chi è proprietario del processo, chi è proprietario del rischio, quali dati si possono utilizzare, quali modelli e fornitori sono consentiti, quale livello di autonomia è autorizzato, quali usi sono vietati, quando è richiesta la supervisione umana, come si monitorano le prestazioni, come si segnalano gli incidenti e quando una soluzione deve essere ritirata.
| Domanda di governance | Responsabile tipico |
|---|---|
| Perché lo facciamo? | Business |
| Chi è responsabile del risultato? | Responsabile del processo |
| Quale rischio accettiamo? | Business / Rischio |
| Quali dati può usare? | Dati / Privacy |
| Come si protegge? | Sicurezza |
| È conforme alla regolamentazione? | Legale / Compliance |
| Come si gestisce l'operatività? | Tecnologia |
| Come si supervisiona? | Governance / Audit |
I nomi delle aree sono indicativi (consiglio di amministrazione, direzione generale, responsabile del processo, Tecnologia, Sicurezza, Dati, Legale o Compliance, Rischio, Audit): ogni azienda li adatta alle proprie dimensioni e al proprio settore.
Prima di governare specificamente l'IA conviene avere in ordine la governance generale di tecnologia e informazioni. Un'organizzazione che non gestisce bene i propri rischi informativi difficilmente gestirà bene i rischi, più nuovi e meno conosciuti, dei propri sistemi di IA.
Conviene distinguere due livelli: framework generali di gestione del rischio e della sicurezza, che si applicano a qualsiasi organizzazione che usi tecnologia, e framework specifici per l'IA, che hanno iniziato a consolidarsi solo negli ultimi anni.
Non sono alternativi: molte organizzazioni usano il NIST CSF come framework di valutazione interna e ISO/IEC 27001 come sistema di gestione certificato che sostiene tale valutazione.
| Dimensione | NIST CSF | ISO/IEC 27001 |
|---|---|---|
| Natura | Framework di riferimento volontario | Norma internazionale certificabile |
| Approccio | Funzioni e livelli di maturità rispetto al rischio | Sistema di gestione (SGSI) con ciclo di miglioramento continuo |
| Verifica | Autovalutazione, senza certificazione formale | Audit esterno e certificazione formale |
| Rigidità | Flessibile, si adatta alle dimensioni e al settore | Più strutturato e documentato |
| Uso tipico | Valutare e dare priorità allo stato della cybersicurezza | Dimostrare a terzi che esiste una gestione dei rischi sottoposta ad audit |
| Analogia quotidiana | Una scheda di controllo preventivo che l'azienda stessa applica per sapere come sta | Un certificato rilasciato da un revisore esterno, come la revisione del bilancio |
Con questa base generale al suo posto, ha senso passare ai framework che affrontano specificamente l'IA:
A questi due si aggiunge, con natura diversa, la legge europea sull'IA (EU AI Act): non è un framework volontario di gestione ma una regolamentazione con forza di legge che classifica i sistemi di IA per livello di rischio ed esige obblighi diversi a seconda di tale classificazione (sezione 15). Un SGSI conforme a ISO/IEC 27001 protegge l'ambiente in cui opera l'IA (i dati, gli accessi, l'infrastruttura), ma non risponde alle domande proprie dell'IA: che cosa possa decidere un sistema in autonomia, con quale livello di autonomia, con quale bias o con quale spiegabilità. Per questo sono pensati ISO/IEC 42001, il NIST AI RMF e, come obbligo di legge in certi mercati, la legge europea sull'IA.
Per la privacy esiste inoltre ISO/IEC 27701, la cui edizione del 2025 è diventata una norma indipendente per la gestione dei dati personali: non richiede più di avere prima ISO/IEC 27001.
In Cile, tale base è già esigibile per alcune aziende: la Ley Marco de Ciberseguridad impone agli operatori di importanza vitale di dotarsi di un sistema di gestione della sicurezza delle informazioni (sezione 15).
In pratica, un SGSI conforme a ISO/IEC 27001 già maturo non si scarta passando all'IA: una parte importante si riutilizza, e un'altra parte deve essere estesa perché l'IA introduce domande a cui l'SGSI non era stato progettato per rispondere.
| Controllo o dominio di ISO/IEC 27001 | Che cosa copre nell'IA | Che cosa manca, e che cosa coprono ISO/IEC 42001 o il NIST AI RMF |
|---|---|---|
| Inventario degli asset | Identifica server, dati e accessi dell'ambiente in cui gira l'IA | Non distingue modelli, versioni, dataset di addestramento né fornitori di IA come asset a sé stanti |
| Gestione degli accessi | Controlla chi entra nei sistemi e nelle interfacce di IA | Non controlla che cosa un agente possa decidere o eseguire una volta che ha già un accesso autorizzato, né distingue se chi agisce è una persona o un agente che usa il suo account |
| Valutazione dei rischi | Valuta i rischi di riservatezza, integrità e disponibilità | Non valuta rischi propri dell'IA come il bias, l'allucinazione, la perdita graduale di precisione nel tempo (deriva del modello) o la perdita di spiegabilità |
| Gestione dei fornitori | Valuta i fornitori di tecnologia in generale | Non richiede di valutare l'origine dei dati di addestramento né la tracciabilità del modello del fornitore (da dove viene e come è cambiato) |
| Gestione degli incidenti | Risponde agli incidenti di sicurezza delle informazioni | Non contempla un incidente in cui il sistema ha agito in autonomia entro i propri permessi ma con un risultato indebito |
| Miglioramento continuo e audit | Verifica nel tempo la conformità dell'SGSI | Non verifica le prestazioni del modello nel tempo né il suo riaddestramento |
La sequenza di maturità raccomandata, in termini generali, è la seguente:
Un agente si governa con la stessa logica con cui si inserisce un nuovo dipendente con accesso ai sistemi: si sa chi è, che cosa può fare, chi risponde di lui e che cosa ha fatto. La prima domanda, chi è, ha oggi una risposta scomoda.
In pratica, molti dei copiloti e degli agenti più usati operano con l'account della persona che li usa. Microsoft 365 Copilot, Gemini in Google Workspace, ChatGPT collegato alla posta elettronica o a SharePoint, o un browser con IA agiscono per conto dell'utente: vedono ciò che quella persona può vedere e fanno ciò che lei può fare (Allegato A, domande 14 e 15). Questo si chiama accesso delegato. L'alternativa è che l'agente abbia un'identità propria, distinta da quella di qualsiasi persona e con permessi assegnati per il suo compito. Esiste inoltre una terza modalità, meno visibile e più rischiosa: che l'agente usi le credenziali della persona che l'ha creato, chiunque sia a usarlo. Le tre coesistono, a volte all'interno di uno stesso prodotto, e conviene sapere quale usa ciascun agente, perché i loro rischi sono diversi.
| Modello | Come funziona | Rischio principale | Controllo minimo |
|---|---|---|---|
| Accesso delegato Per conto di una persona | L'agente usa la sessione o i permessi di chi lo invoca. È il modello abituale degli assistenti personali: riassumere la propria posta o cercare nei documenti a cui la persona ha già accesso | Eredita tutto ciò che la persona può vedere e fare, che quasi sempre è molto più di quanto il compito richieda. Se un'istruzione nascosta lo manipola (sezione 9, rischio 3), agisce con tutta l'autorità di quella persona, e nei registri la sua azione può sembrare compiuta da lei | Limitare ciò che l'agente può usare entro i permessi della persona, e fare in modo che il registro distingua ciò che ha fatto l'agente da ciò che ha fatto la persona |
| Identità propria Account dell'agente | L'agente opera con un proprio account (un account di servizio), con permessi che un amministratore assegna per il suo compito. Riguarda agenti che lavorano per un team o per un processo, che vengono eseguiti in modo programmato senza nessuno collegato, o che eseguono azioni con effetti: pagare, approvare, modificare registri | Se l'account ha permessi ampi, l'agente vede e fa più di qualsiasi persona, e chi può invocarlo accede tramite lui a informazioni che non gli competono | Separare chi può invocare l'agente da ciò che l'agente può fare, con un responsabile, permessi minimi e credenziali che si possano ruotare e revocare |
| Credenziali del creatore Le connessioni di chi l'ha costruito | L'agente usa le connessioni o le credenziali della persona che l'ha creato, e le riutilizza con tutti coloro che lo usano. Succede quando qualcuno costruisce un agente con i propri accessi e lo condivide con il proprio team | Chiunque lo invochi accede, tramite lui, a tutto ciò che il creatore può vedere e fare, e nei registri tutto appare come fatto dal creatore | Evitarlo: fare in modo che ogni utente entri con la propria identità o che l'agente usi la sua, e bloccare questa modalità dove la piattaforma lo consente |
Che un agente erediti i permessi della persona che lo usa risolve un problema pratico, perché evita di mantenere una seconda matrice di accessi, ma dal punto di vista della sicurezza è un problema. I permessi di una persona si accumulano negli anni, per progetti, sostituzioni e cartelle condivise che nessuno ha chiuso, e l'agente li riceve tutti in una volta. E continua a ereditarli: ogni nuovo accesso che la persona riceve diventa disponibile per l'agente, senza che nessuno abbia valutato se quell'agente ne abbia bisogno. Un agente che prepara il report settimanale delle vendite non ha bisogno di leggere le e-mail delle Risorse Umane né di poter cancellare file, anche se la persona che lo usa può farlo.
In pratica, questo si traduce in quattro decisioni: permessi definiti per compito e non copiati da una persona; accesso solo alle fonti di dati che il compito usa; permessi con scadenza, che si rinnovano dopo una revisione e non per impostazione predefinita; e una regola di intersezione, secondo cui le policy dell'agente possono solo restringere ciò che la persona può fare, mai ampliarlo. Anche il "né meno" conta: un agente con meno permessi di quelli richiesti dal suo compito non protegge nessuno, perché spinge qualcuno a concedergli un accesso ampio pur di farlo funzionare, o le persone a sostituirlo con uno strumento non approvato.
Attorno a ogni agente ci sono quattro identità, non due: chi lo crea e lo modifica, chi ne risponde (il suo responsabile), chi lo invoca e l'agente stesso. Quella di chi lo crea è quella che più spesso resta fuori dalla governance, perché oggi chiunque abbia la licenza adeguata può costruire un agente in pochi minuti, in Copilot Studio, nei GPT di ChatGPT o in piattaforme simili, collegarlo ai sistemi dell'azienda e condividerlo. Da qui derivano tre rischi: che l'agente usi le credenziali del suo creatore con tutti coloro che lo usano (la terza riga della tabella precedente; Copilot Studio, per esempio, consente di configurarlo così); che il creatore modifichi in seguito le istruzioni, gli strumenti o le connessioni di un agente già approvato, e con ciò quello che fa, senza che nessuno lo riveda; e che, quando il creatore lascia l'organizzazione, i suoi agenti continuino a funzionare con le sue connessioni o restino senza nessuno che li capisca.
Per questo chi crea un agente si governa come parte dell'agente, con quattro regole: creare e pubblicare agenti è un permesso che si assegna, non una capacità che tutti hanno per impostazione predefinita; le connessioni personali del creatore non si condividono con l'agente; ogni modifica alle sue istruzioni, ai suoi strumenti, alle sue connessioni o ai suoi permessi resta registrata con il suo autore e, se amplia ciò che l'agente può fare, viene rivista prima di essere pubblicata; e chi crea un agente ad alto impatto non è chi lo approva. Il creatore può essere anche il suo responsabile, ma sono funzioni distinte: il creatore lo costruisce e il responsabile risponde di ciò che fa.
Qualunque sia il modello di identità, ogni agente dovrebbe rispettare otto regole:
Al di là di queste regole di base, il settore non ha ancora una risposta univoca. A ELIAC 2026, tre produttori di soluzioni di sicurezza hanno presentato tre modi diversi di controllare un agente, da leggere come complementari e non come alternativi:
| Tesi | Domanda a cui risponde | Che cosa risolve | Che cosa non risolve |
|---|---|---|---|
| Autorità digitale Steve Riley, Netskope | Quale autorità ha questo agente, e sta crescendo senza che nessuno la riveda? | L'accumulo silenzioso di permessi. Propone di rivedere quattro dimensioni: identità, autorità minima, comportamento e dati | Che l'agente, con i permessi giusti, decida male |
| Controllo per intenzione Ron Bennatan, Varonis | Dovrebbe fare questo adesso, dato ciò che gli è stato chiesto? | La reale modalità di guasto di un agente: agire al di fuori di ciò che gli è stato affidato, anche se ne ha il permesso | È la proposta più recente e la meno collaudata in esercizio reale |
| Contenimento Mario Espinoza, Illumio | Se qualcosa va storto, fin dove può arrivare il danno? | Circoscrive il raggio del danno senza bisogno di prevedere che cosa farà il modello | Non previene l'errore: lo limita |
Ogni tesi coincide con la categoria di prodotto venduta dall'azienda che l'ha presentata. Ciò non invalida la diagnosi, ma obbliga a separarla dalla ricetta: nessuna delle tre è una soluzione completa, e l'identità propria degli agenti resta un tema aperto, perché ogni produttore costruisce il proprio schema e tali schemi ancora non dialogano tra loro.
Nel modello delegato, l'account della persona è la chiave dell'agente: se quell'account è protetto male, lo è anche tutto ciò che l'agente può fare con esso. Per questo il controllo degli agenti comincia da quello delle persone, con tre regole:
Il Model Context Protocol (MCP) è uno standard aperto per collegare assistenti e agenti di IA ad altre applicazioni e fonti di dati: la posta elettronica, il sistema di gestione dei clienti (CRM), il repository del codice o un database. L'ha creato Anthropic, dal dicembre 2025 è un progetto della Agentic AI Foundation, sotto la Linux Foundation, ed è supportato, tra gli altri, da ChatGPT, Claude, Gemini, Microsoft Copilot e Cursor. Per un dirigente, ciò che conta è che ogni connessione MCP dà all'agente la capacità di leggere o di agire in un altro sistema. Per questo ogni server MCP si tratta come qualsiasi altra integrazione: si inventaria, ha un responsabile, si approva prima di usarlo, si limita a ciò che il compito richiede e resta registrato. Un server MCP che una persona collega per conto proprio è IA ombra con capacità di agire.
Un consiglio di amministrazione non ha bisogno di una relazione tecnica sull'IA: ha bisogno di una pagina, con lo stesso formato ogni volta, che gli permetta di vedere la tendenza e decidere. Per iniziare bastano cinque contenuti:
| Che cosa riferire | Che cosa dovrebbe mostrare | Frequenza suggerita |
|---|---|---|
| Inventario dell'IA | Usi nuovi, usi ritirati, IA ombra rilevata, e quanti usi ci sono a ciascun livello di rischio | Trimestrale |
| Incidenti | Che cosa è successo, chi ha interessato, che cosa è stato corretto e che cosa si è imparato, compresi i quasi incidenti | Trimestrale, e subito quelli gravi |
| Conformità | Avanzamento rispetto alla policy e al framework adottato, esiti degli audit, e obblighi di legge nuovi o modificati | Semestrale |
| Valore generato | Per ogni iniziativa rilevante, il risultato promesso a confronto con quello ottenuto, con gli indicatori della sezione 6 | Semestrale |
| Usi ad alto rischio approvati | Quali sono, quale autonomia hanno, chi è responsabile del rischio, quali controlli operano e quali eccezioni sono state autorizzate | A ogni nuova approvazione, e revisione completa una volta all'anno |
Le frequenze sono un riferimento di partenza: conviene adeguarle all'intensità d'uso dell'IA e al calendario del consiglio di amministrazione.
La governance risponde a chi decide. L'etica risponde a che cosa siamo disposti a consentire, anche se tecnicamente si potrebbe fare. Etica, regolamentazione e sicurezza si sovrappongono, ma non sono la stessa cosa: una decisione può essere legale e tecnicamente sicura, e ciononostante essere ritenuta inappropriata da clienti, dipendenti, dalla comunità o dallo stesso consiglio di amministrazione. I temi centrali sono trasparenza, equità, non discriminazione, privacy, capacità di spiegare una decisione, responsabilità, supervisione umana, impatto sulle persone e uso proporzionato al problema che si intende risolvere.
La lezione per un consiglio di amministrazione: un'IA che apprende dal passato può ripetere, e amplificare, i bias del passato. Per questo le decisioni che riguardano le persone (assunzioni, credito, assicurazioni, licenziamenti) meritano la supervisione più rigorosa.
| Attore | Responsabilità tipica |
|---|---|
| Fornitore del modello | Il modello o servizio sottostante |
| Fornitore dell'applicazione | L'applicazione costruita sul modello |
| Integratore | L'implementazione specifica per l'azienda |
| Azienda utilizzatrice | La governance e l'uso che fa del sistema |
| Responsabile del processo | Il risultato finale del processo di business |
| Utente umano | La decisione, quando la decisione spettava effettivamente a una persona |
L'effettiva distribuzione delle responsabilità dipende dal contratto specifico, dalla regolamentazione applicabile e dall'architettura concreta: questa tabella è una mappa di partenza, non un'assegnazione automatica.
La lezione: di fronte al cliente, "è stata l'IA" non è una difesa. L'azienda risponde di ciò che la sua IA dice e fa.
L'IA ha già implicazioni su privacy, diritto d'autore, discriminazione, trasparenza, decisioni automatizzate, responsabilità e sulla regolamentazione settoriale specifica di ciascun comparto. I framework volontari (NIST, ISO) sono stati descritti nella sezione 12. Questa sezione riassume gli obblighi di legge più rilevanti per un'azienda che opera in Cile o con clienti in Europa, a ottobre 2026.
| Norma | Stato | Che cosa significa per l'azienda |
|---|---|---|
| Ley 21.719 sulla protezione dei dati personali (Cile) | Pubblicata nel dicembre 2024. In vigore dal 1° dicembre 2026. Un disegno di legge del Governo del settembre 2026 (bollettino 18.623-07) propone di rinviarla al 1° dicembre 2027. Il 19 ottobre, la Commissione di Costituzione del Senato lo ha approvato in linea generale e all'unanimità; nella discussione articolo per articolo ci sono proposte di un termine più breve o di rinviare solo la vigilanza e le sanzioni | Crea la Agencia de Protección de Datos Personales (Agenzia per la protezione dei dati personali), che vigila e sanziona. Mantiene i diritti di accesso, rettifica, cancellazione, opposizione e blocco, e aggiunge la portabilità e il diritto di opporsi a decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano in modo significativo sulla persona, e di chiederne la revisione da parte di una persona, con le eccezioni fissate dalla legge. Obbliga a informare l'Agenzia delle violazioni di sicurezza che generino un rischio ragionevole per le persone. È la norma che incide maggiormente sull'uso dell'IA con dati di clienti e dipendenti. A ottobre 2026 l'Agenzia non era ancora costituita, perché a maggio il Senato ha respinto la proposta per il suo Consiglio direttivo: ciò ritarda la vigilanza, non gli obblighi. Lo stesso disegno di legge propone che, durante il primo anno, l'Agenzia possa optare per un'ammonizione scritta invece di una multa con aziende di qualsiasi dimensione, una facoltà che oggi la legge riserva a quelle di dimensioni minori. È un'opzione dell'Agenzia, non un'esenzione dalle multe. |
| Ley 21.663, Ley Marco de Ciberseguridad (Cile) | Pubblicata nell'aprile 2024. Gli obblighi di segnalazione si applicano dal 1° marzo 2025 | Crea la Agencia Nacional de Ciberseguridad (Agenzia nazionale per la cybersicurezza). I fornitori di servizi essenziali e gli operatori di importanza vitale devono segnalare gli incidenti con effetti significativi, con i termini del regolamento sulla segnalazione (decreto 295): allarme tempestivo entro 3 ore, una seconda segnalazione a 72 ore (24 se è colpito un servizio essenziale), un piano d'azione a 7 giorni e un rapporto finale a 15. Tra i servizi essenziali definiti dalla legge figurano l'infrastruttura digitale, i servizi digitali e i servizi di tecnologia dell'informazione gestiti da terzi, per cui può riguardare anche i fornitori di IT e di IA. L'Agenzia ha già pubblicato i primi elenchi di operatori di importanza vitale; il secondo, approvato nel luglio 2026, comprende 239 istituzioni. Gli operatori di importanza vitale devono inoltre implementare un sistema di gestione della sicurezza delle informazioni. |
| Disegno di legge sull'IA (Cile, bollettino 16.821-19) | In corso di iter. Approvato dalla Camera dei Deputati nell'ottobre 2025, al Senato (stato ad agosto 2026) | Il testo approvato dalla Camera segue il modello europeo dei livelli di rischio. Nel 2026 il Governo ha annunciato che lo sostituirà con una legge quadro "abilitante" che, tra l'altro, riconoscerebbe standard tecnici internazionali come ISO/IEC e NIST quali meccanismi di conformità. Non è ancora legge. È strategicamente rilevante e conviene seguirlo, ma oggi non genera obblighi; il suo orientamento favorisce le organizzazioni che hanno già messo in ordine la gestione dei rischi. |
| Legge europea sull'IA (EU AI Act) | In vigore da agosto 2024, con applicazione graduale | Raggiunge anche le aziende extraeuropee quando i loro sistemi di IA sono offerti o i loro risultati sono utilizzati nell'Unione Europea. Da febbraio 2025 valgono le pratiche vietate e da agosto 2025 gli obblighi dei modelli per finalità generali. Nel 2026 sono stati rinviati gli obblighi dei sistemi ad alto rischio: a dicembre 2027 per gli usi ad alto rischio dell'Allegato III di tale legge (per esempio selezione del personale, istruzione o valutazione del credito), e ad agosto 2028 per l'IA integrata in prodotti già regolamentati dell'Allegato I (per esempio macchinari o dispositivi medici), secondo il Regolamento (UE) 2026/1744, in vigore dal 27 luglio 2026. Lo stesso adeguamento ha attenuato l'obbligo di alfabetizzazione sull'IA e ha aggiunto nuovi divieti, come generare contenuti sessuali espliciti non consensuali di persone identificabili. Ciò che si applica già a chi usa l'IA: dal 2 agosto 2026, gli obblighi di trasparenza, per esempio che un assistente chat che risponde a persone nell'Unione Europea le informi che stanno conversando con un'IA, salvo che sia evidente, e che i deepfake siano identificati come contenuto artificiale. La marcatura dei contenuti generati da sistemi che erano già sul mercato è richiesta dal 2 dicembre 2026. |
Questa guida non sostituisce la consulenza legale: prima di una decisione di conformità, conviene esaminare con un avvocato il testo vigente di ciascuna norma.
Con queste condizioni definite (autorità, limiti etici, responsabilità e obblighi normativi) l'organizzazione può decidere come implementare la soluzione e se sia pronta a scalarla.
Esistono almeno otto strade distinte, e non si escludono a vicenda all'interno di una stessa organizzazione:
| Alternativa | Vantaggio | Rischio o contropartita | Quando ha senso |
|---|---|---|---|
| Acquistare un SaaS con IA | Rapidità, senza sviluppo interno | Minore controllo e personalizzazione | Problema standard, già risolto dal mercato |
| Usare copiloti aziendali | Adozione rapida su strumenti già in uso | Portata limitata a ciò che il copilota consente | Produttività individuale o di team |
| Costruire sulle API di un fornitore | Flessibilità senza gestire un'infrastruttura di modelli | Dipendenza dal fornitore dell'API | Caso d'uso proprio, senza necessità di far funzionare il modello |
| Sviluppare agenti propri | Adattamento preciso al processo di business | Richiede ingegneria e governance proprie | Vantaggio competitivo reale in un processo specifico |
| Fine-tuning | Comportamento o stile specifico e stabile | Costo, e maggiore difficoltà a tornare indietro | Necessità di un comportamento coerente e particolare |
| Far funzionare modelli a pesi aperti (open-weight) | Maggiore controllo e residenza dei dati | Infrastruttura, sicurezza e talenti propri | Requisiti rigorosi di controllo o di sovranità dei dati |
| Addestrare modelli propri da zero | Controllo totale | Costo e complessità molto elevati | Casi eccezionali, non la conseguenza automatica dell'avere una strategia di IA |
| Partner / integratore specializzato | Accelera l'implementazione e apporta capacità, esperienza o specializzazione che l'organizzazione non ha al proprio interno | Dipendenza dal partner, trasferimento insufficiente di conoscenza, costi di integrazione e possibile dipendenza operativa difficile da invertire (lock-in) | Quando il caso d'uso richiede velocità, integrazione, capacità specializzate o esperienza che l'organizzazione non può sviluppare in modo efficiente da sola |
Nessuna delle due opzioni è intrinsecamente più sicura: la sicurezza dipende da come ciascuna viene implementata e governata, non dall'etichetta "proprietario" o "pesi aperti". Uno stesso produttore può offrire entrambi i tipi di modello.
Per la fase di acquisto o di sviluppo, l'Allegato B raccoglie una checklist pratica di domande da porsi prima di firmare un contratto o di avviare uno sviluppo.
Le 18 domande, raggruppate per tema per facilitarne l'uso in una seduta del consiglio di amministrazione.
Non serve avere tutto risolto per iniziare a governare l'IA, e aspettare di averlo è, di per sé, una decisione con un rischio. Il piano si articola in due tratti.
I tempi sono indicativi e dipendono dalle dimensioni e dalla complessità dell'organizzazione.
Prima di approvare un'iniziativa di IA, un dirigente dovrebbe saper rispondere con solidità a cinque domande:
Il vantaggio competitivo non verrà semplicemente dall'utilizzare l'IA. Verrà dall'utilizzarla nei processi giusti, al livello di autonomia adeguato, con dati affidabili, controlli proporzionati al rischio e una responsabilità chiaramente definita prima ancora di cominciare.
Se l'organizzazione non ha ancora cominciato, il piano della sezione 18 ordina i primi 90 giorni.
E quando qualcuno chiederà se l'IA dell'azienda è sicura, conviene ricordare la regola dell'Allegato A: si risponde con evidenze, non con promesse.
Queste sono le domande che più di frequente pongono clienti, dipendenti, direzione, revisori e lo stesso consiglio di amministrazione, ordinate in cinque livelli, dal più semplice al più complesso. Ciascuna indica chi tende a porla. Per ciascuna si propone una risposta in termini semplici, ciò che conviene verificare prima di darla, e ciò che non si deve promettere.
Le risposte sono scritte come risposte modello: si possono dare solo se quanto indicato in "Che cosa verificare prima" è risolto. Se non lo è ancora, la risposta onesta è spiegare che cosa si sta facendo per risolverlo.
"Ciò che scriviamo o carichiamo può restare in cinque luoghi: la cronologia della conversazione, i file caricati, la memoria dell'assistente, i registri del fornitore e, solo se l'account lo consente, l'addestramento delle versioni future. Per quanto tempo resta e chi può vederlo dipende dal tipo di account, non dal marchio: con un account personale lo stabiliscono l'impostazione di ciascun utente e i termini consumer, che possono prevedere la revisione delle conversazioni da parte di personale del fornitore; con un account aziendale lo stabilisce il contratto. E a un motore di ricerca, con o senza IA, non si consegnano informazioni riservate."
Che cosa verificare prima"Nessuna IA conserva i nostri dati", senza sapere quali account si stanno utilizzando.
"Qualcosa resta, ma il modello non impara sul momento: legge ciò che gli scriviamo per rispondere e non cambia per questo. Ciò che può accadere dopo è che il fornitore usi quelle conversazioni per addestrare versioni future. Negli account personali questo dipende dall'impostazione di ciascun utente; nei nostri account aziendali, il fornitore si impegna per contratto a non farlo e conserva i registri per un periodo definito. Ciò che invece resta memorizzato sono la cronologia, i documenti caricati e la memoria dello strumento, e questo lo amministriamo noi."
Che cosa verificare prima"L'IA non conserva nulla." Quasi sempre conserva qualcosa, da qualche parte.
"Ascoltano in modo continuo solo per rilevare la parola di attivazione, e ciò avviene sul dispositivo stesso. Ma quando si attivano, di proposito o per errore, ciò che viene detto subito dopo è inviato al fornitore. Per questo, durante una conversazione riservata non dovrebbe esserci un altoparlante intelligente acceso, e sui telefoni di lavoro stabiliamo se l'assistente resta attivo."
Caso reale. Nel gennaio 2025 Apple ha accettato di pagare 95 milioni di USD per chiudere una class action negli Stati Uniti che l'accusava di registrare conversazioni a seguito di attivazioni involontarie di Siri. Apple ha negato di aver agito male. Nello stesso anno Amazon ha eliminato, in alcuni modelli di Echo, l'opzione di elaborare la voce solo sul dispositivo: da marzo 2025 le richieste ad Alexa vengono elaborate nel cloud.
Che cosa verificare prima"Nessuno ascolta le nostre riunioni", se nella sala ci sono dispositivi con un assistente attivo.
"Come bozza, sì. Come verità finale, non senza revisione: l'IA può inventare con totale sicurezza. Negli usi critici esigiamo fonti e revisione umana."
Che cosa verificare primaUn'accuratezza assoluta. Il caso Mata contro Avianca (sezione 9) è il promemoria.
"Le informazioni di ciascun cliente sono separate da quelle degli altri, e il fornitore non le usa per rispondere ad altri. Possiamo mostrare come si ottiene tale separazione."
Che cosa verificare primaUn isolamento che non sia stato testato. È la domanda di sicurezza più grave quando la risposta è debole.
"Vengono elaborati nella regione definita dal nostro contratto con il fornitore, che stabilisce anche dove sono archiviati, per quanto tempo e quali terzi partecipano."
Che cosa verificare prima"I dati non escono mai dal Cile", a meno che il contratto e l'architettura non lo garantiscano.
"Cancelliamo tutto ciò che è cancellabile e possiamo mostrare il contratto e il termine: file, indici, memoria e registri. Non possiamo garantire che venga cancellato ciò che sia entrato nell'addestramento di un modello, perché un modello non è un database. Per questo il nostro controllo è all'ingresso: i dati sensibili non si usano per l'addestramento."
Che cosa verificare primaUna cancellazione totale se in qualche momento quei dati sono stati usati per addestrare o rifinire un modello.
"Abbiamo un inventario degli strumenti approvati, misuriamo l'uso non autorizzato e offriamo alternative aziendali perché nessuno abbia bisogno di usare account personali."
Che cosa verificare primaUna risposta che descriva solo l'IA acquistata formalmente. Quasi sempre è una frazione dell'uso reale.
"Sì, con uno strumento approvato e con delle regole: avvisiamo tutti i partecipanti prima di registrare, compresi gli esterni; la registrazione, la trascrizione e il riassunto restano in un account aziendale; qualcuno rivede il riassunto prima di farlo circolare; e ci sono riunioni che non si registrano."
Caso reale. Nell'agosto 2025 è stata presentata in California una class action contro Otter.ai, che accusa il suo assistente di unirsi a riunioni e di registrare partecipanti che non avevano dato il proprio consenso, e di usare tali conversazioni per addestrare i propri sistemi. Sono accuse, non fatti provati, ma mostrano il rischio di un assistente che entra nella riunione con l'account di una sola persona.
Che cosa verificare primaChe il riassunto sia esatto. Può omettere sfumature o attribuire a qualcuno ciò che non ha detto: è una bozza, non un verbale.
"Lo trattiamo per ciò che è: la divulgazione di informazioni di un terzo a un fornitore esterno, non una svista minore. Agiamo in quest'ordine:"
Che "ormai è stato cancellato tutto". Il registro si cancella: non si può garantire che venga cancellato ciò che può essere entrato nell'addestramento.
"Non lo si sa dal volto né dalla voce: oggi entrambi si possono imitare. Ogni istruzione insolita relativa a denaro o dati si conferma tramite un secondo canale noto, anche se sembra provenire dalla massima autorità."
Che cosa verificare primaChe la formazione basti da sola. Il caso Arup (sezione 11) mostra fino a che punto l'inganno possa essere convincente.
"Sì, come qualsiasi sistema. Gli attacchi più tipici dell'IA sono le istruzioni nascoste in documenti o e-mail che l'IA legge, e l'abuso dei permessi di un agente. Nessuna IA può distinguere sempre un'istruzione nascosta dal testo che legge, quindi non promettiamo che non possa essere ingannata: limitiamo ciò che potrebbe fare se lo fosse. I nostri agenti hanno solo i permessi minimi, non combinano informazioni riservate, contenuti esterni e capacità di inviare dati all'esterno senza approvazione, e le azioni rilevanti richiedono approvazione."
Che cosa verificare prima"La nostra IA non può essere manipolata."
"Dipende dai termini del fornitore e dai diritti sul materiale che le forniamo. Carichiamo solo informazioni che abbiamo il diritto di usare per quello scopo, e tutto ciò che si pubblica o si consegna a un cliente passa prima per una revisione umana. La tutela del diritto d'autore su un contenuto generato solo dall'IA è incerta e varia da paese a paese."
Che cosa verificare prima"Ciò che genera l'IA è nostro ed è libero da diritti."
"Sì, ed è proprio questo il punto. Microsoft 365 Copilot e Gemini in Google Workspace rispondono con ciò che ciascuna persona ha già il permesso di aprire: e-mail, documenti, cartelle condivise e riunioni. Non aggirano i permessi, ma li mettono in evidenza: se una cartella con stipendi o contratti è rimasta condivisa con tutta l'azienda, ora basta una domanda per trovarla. Per questo, prima di attivarli, verifichiamo chi ha accesso a che cosa, e continuiamo a verificarlo. Lo stesso vale per qualsiasi assistente o motore di ricerca con IA che si colleghi ai sistemi dell'azienda rispettando i permessi di ciascuna persona."
Che cosa verificare prima"Copilot vede solo ciò che deve vedere", se i permessi non sono mai stati verificati.
"Con cautela. Un browser con IA, come ChatGPT Atlas o Perplexity Comet, o la modalità agente di un assistente, può leggere pagine, compilare moduli e fare clic con la sessione aperta della persona: la sua posta, la sua banca o i sistemi aziendali. Se una pagina contiene istruzioni nascoste, l'agente può seguirle (sezione 9, rischio 3). Per questo non li usiamo con sessioni dei sistemi aziendali finché non sono approvati, e le azioni sensibili richiedono sempre una conferma umana."
Che cosa verificare prima"L'agente fa solo ciò che gli chiediamo." Può seguire istruzioni nascoste in ciò che legge.
"Sì, con le stesse regole di qualsiasi altro uso di dati personali: una base giuridica, una finalità chiara, solo i dati necessari, sicurezza adeguata e un contratto con il fornitore che li tratta."
Che cosa verificare prima"Dato che il modello non conserva dati personali, la legge non si applica." Un modello addestrato con dati personali non può presumersi anonimo: va valutato caso per caso, secondo il Comitato europeo per la protezione dei dati.
"Oggi la data legale è il 1° dicembre 2026. Nel settembre 2026 il Governo ha presentato un disegno di legge per rinviarla di un anno, al 1° dicembre 2027, che all'inizio di ottobre era ancora in prima lettura al Senato: finché non sarà approvato, la data non cambia. La Ley 21.719 crea un'Agenzia che vigila e sanziona, dà alle persone più diritti, tra cui chiedere la revisione umana delle decisioni prese unicamente da un sistema automatizzato che le riguardino in modo significativo, e obbliga a segnalare le violazioni di sicurezza che generino rischi per esse."
Che cosa verificare primaConformità senza inventario. Senza sapere quali dati tocca ciascuna IA, non esiste risposta possibile. Né che ci sia un anno in più di tempo: finché il disegno di legge non sarà approvato, la data resta il 1° dicembre 2026.
"Può supportare la decisione, ma le decisioni con effetti importanti sulle persone hanno una supervisione umana reale, si possono spiegare, e la persona può opporsi o chiedere una revisione."
Che cosa verificare prima"L'IA è oggettiva." Apprende da dati storici e può ripeterne i bias.
"Può succedere. Le conversazioni con un'IA sono registri come qualsiasi altro, e un tribunale può ordinare di conservarle o di consegnarle. Nel 2025, nella causa del New York Times contro OpenAI, un tribunale degli Stati Uniti ha ordinato di preservare conversazioni che normalmente sarebbero state cancellate, comprese quelle degli account consumer. L'ordine è stato revocato nell'ottobre di quell'anno, ma ha mostrato che la cancellazione non sempre dipende da noi. Per questo, ciò che si scrive a un'IA va trattato con la stessa cura di un'e-mail."
Che cosa verificare prima"Ciò che si cancella nell'IA non esiste più." Possono esserci copie che il fornitore è tenuto a conservare.
"Prima misuriamo senza punire, poi offriamo un'alternativa migliore e solo allora fissiamo la regola:"
Che l'IA ombra scompaia con un divieto. Se non c'è un'alternativa, l'uso si sposta dove non si vede.
"Rispondiamo in modo proporzionato e con un criterio che tutti conoscono in anticipo:"
"Tolleranza zero" senza strumenti alternativi: spinge l'uso nell'ombra e scoraggia la segnalazione.
"Non tutti hanno bisogno delle stesse cose. Organizziamo la formazione per quattro destinatari:"
Che un intervento annuale risolva la questione. È un processo continuo, come la formazione in cybersicurezza.
"Noi. Di fronte al cliente, l'azienda risponde di ciò che la sua IA dice e fa, come di ciò che dice qualsiasi altro dei suoi canali. Internamente, ogni caso d'uso ha un responsabile con nome e cognome."
Che cosa verificare primaChe la responsabilità sia del fornitore. Il caso Air Canada (sezione 14) lo chiarisce.
"Sei cose minime: che non si addestri con i nostri dati, termini di conservazione definiti, ubicazione dei dati ed elenco dei subappaltatori, isolamento tra clienti, avviso di incidenti e di modifiche rilevanti, ed eliminazione verificabile al termine."
Che cosa verificare primaAi propri clienti, nulla che il fornitore non garantisca all'azienda per contratto.
"Con un fascicolo di evidenze, non con una dichiarazione. Possiamo mostrare l'inventario dell'IA, la policy approvata e accettata dalle persone, i contratti con le loro clausole sui dati, i registri d'uso, la formazione svolta, gli incidenti e come sono stati chiusi, e i report al consiglio di amministrazione."
Che cosa verificare prima"Siamo conformi a tutto", se non si può mostrare il documento che lo comprova.
"Non è obbligatorio. È utile quando clienti o regolatori chiedono evidenze verificate da audit su come governiamo l'IA. Prima, conviene aver messo in ordine la base della sicurezza delle informazioni (sezione 12)."
Che cosa verificare primaChe una certificazione renda sicura l'IA. Certifica che esiste un sistema di gestione, non che non ci saranno mai incidenti.
"Su tre orizzonti: i primi 90 giorni per mettere in ordine la base (sezione 18); il primo anno per passare da iniziative isolate a un programma (Allegato C); e, in parallelo, un portafoglio di casi d'uso prioritizzati per valore e per rischio, ciascuno approvato con le 18 domande (sezioni 6 e 17)."
Che cosa verificare primaUna trasformazione completa con l'IA in 90 giorni. Quel termine serve a mettere in ordine la base, non a catturare tutto il valore.
Torna all'indice degli allegati
Le otto alternative della sezione 16 si riducono, in pratica, a due decisioni operative frequenti: acquistare un prodotto che già include l'IA, o costruire qualcosa di proprio che la incorpora. Queste domande non sostituiscono le 18 domande della sezione 17 né le 7 domande prima di usare un modello linguistico della sezione 4: le completano nella fase successiva, come filtro finale prima di firmare un contratto o di avviare uno sviluppo.
Torna all'indice degli allegati
Le sezioni precedenti aiutano a decidere su un'iniziativa concreta. Ma un'organizzazione che approva le iniziative una per una, senza costruire una capacità alle spalle, tende ad accumulare progetti pilota che non scalano. Gartner propone una roadmap di IA organizzata in sette assi di lavoro, ciascuno con attività iniziali e altre più avanzate. Questa roadmap non sostituisce il quadro di questa guida (Valore, Tecnica, Autonomia, Governance): funziona come riferimento esterno di confronto (benchmark), un controllo di completezza per verificare che l'organizzazione stia costruendo le capacità necessarie per scalare.
| Asse | Attività iniziali | Attività avanzate | Dove viene trattato in questa guida |
|---|---|---|---|
| Strategia di IA | Definire la visione dell'IA; misurare la maturità sull'IA | Stabilire un processo per affinare la strategia di IA | Sintesi esecutiva e sezione 17 |
| Valore dell'IA | Dare priorità ai primi casi d'uso; definirne il valore | Sistema di monitoraggio del valore; portafoglio di prodotti di IA | Sezioni 4 e 6 |
| Organizzazione | Piano delle risorse per l'IA; community of practice | Nessuna attività avanzata nella fonte | Questo allegato |
| Persone e cultura | Piano iniziale della forza lavoro; processo di revisione dei ruoli e ridisegno delle posizioni | Nessuna attività avanzata nella fonte | Questo allegato e sezione 17 |
| Governance dell'IA | Individuare i principali rischi e le relative mitigazioni; definire le policy iniziali | Programmi di alfabetizzazione sull'IA per la governance; sperimentare strumenti di governance | Sezioni 9, 10, 12, 13 e 15 |
| Ingegneria dell'IA | Quadro decisionale build vs. buy; selezionare i fornitori per i primi casi | Buone pratiche di esperienza utente nell'IA; ingegneria di piattaforma di IA | Sezione 16 |
| Dati per l'IA | Valutare la prontezza dei dati; implementare un piano di preparazione | Osservabilità dei dati per l'IA | Sezioni 8 e 17 |
Fonte: Gartner, "AI Roadmap: How to Build and Scale AI" (gartner.com), diffuso anche da LinkedIn. Traduzione e adattamento propri, senza riprodurre il grafico originale (© Gartner, Inc.). L'ultima colonna è una corrispondenza elaborata per questa guida, non fa parte del materiale di Gartner.
L'IA cambia i compiti, non solo gli strumenti. Quando un processo incorpora l'IA, cambia ciò che fa ciascuna persona, le competenze di cui ha bisogno e il modo in cui il suo lavoro viene valutato. Se ciò non viene pianificato, tendono a comparire tre effetti: resistenza al cambiamento, uso informale al di fuori della governance (l'IA ombra della sezione 1) e perdita di conoscenza quando si riduce il personale prima di capire che cosa facesse realmente ciascun ruolo.
Gartner colloca i programmi di alfabetizzazione sull'IA all'interno dell'asse della governance. La logica è che un team che comprende che cosa l'IA fa e che cosa non fa è, di per sé, un controllo: individua prima un risultato dubbio, un uso indebito o una promessa del fornitore che non regge.
Due decisioni tendono a restare implicite. La prima: con quali risorse si svilupperà l'IA, tra team interno, fornitore, integratore o una combinazione, in linea con la sezione 16. La seconda: come si condivide l'apprendimento tra le aree. Una community of practice, ovvero un gruppo trasversale che riunisce chi usa l'IA nelle diverse aree, evita che ogni team ripeta gli stessi errori e aiuta a individuare casi d'uso riutilizzabili.
Gartner colloca all'inizio del percorso due attività: misurare la maturità sull'IA dell'organizzazione e valutare se i dati sono pronti per i primi casi d'uso. Entrambe sono domande della sezione 17 (domande 4 e 8).
Torna all'indice degli allegati
Termini che compaiono in questa guida o in qualsiasi conversazione sull'IA, spiegati in una riga.
Torna all'indice degli allegati
Diego Macor è un dirigente di tecnologia e cybersicurezza, con oltre 25 anni dedicati a costruire business tecnologici in America Latina: 22 anni in IBM e, successivamente, country manager in Cile di un'azienda regionale di cybersicurezza. È stato presidente della Mesa de Ciberseguridad (tavolo sulla cybersicurezza) della Asociación Chilena de Empresas de Tecnologías de Información (ACTI) ed è una voce abituale del settore sui media cileni. Ha un MBA e le certificazioni CISM e CCSK.
Contatti e documenti aggiornati: diegomacor.com · linkedin.com/in/diegomacor
Documenti del progetto utilizzati: Guia_Educativa_Tipos_de_IA_y_Preguntas_Frecuentes_v2.00_20260924.html, Guia_Educativa_Arquitectura_3_Capas_v2.10_20260922.html, Marco_Conceptual_Preguntas_Clientes_Seguridad_IA_v1.00_20260922.html, Casos_de_Uso_IA_por_Tamano_de_Empresa_v1.00_20260916.html, ELIAC2026_Sintesis_Charlas_v1.10_20260824.html (intervento di CENIA a ELIAC 2026), Respuesta_Clientes_Seguridad_IA_v1.10_20260915.html (include il caso della conservazione dei registri nella causa The New York Times contro OpenAI e il Parere 28/2024 del Comitato europeo per la protezione dei dati), Seguridad_IA_Guia_Ejecutiva_Gobernanza_v1.00_20260916.html, Seguridad_Agentes_IA_Lado_Proveedor_v1.04_20260916.html (continuità in caso di cambi di versione del modello), ELIAC2026_Resumen_Ejecutivo_Consolidado_v1.00_20260916.html (le tre tesi di controllo degli agenti presentate a ELIAC 2026), la versione 5.21 di questa guida e AI with Judgment, la sua edizione per FQ4 (fq4tech.com/ai-guide). Le analogie quotidiane, le risposte modello dell'Allegato A, il piano di 90 giorni, la policy d'uso, la procedura in caso di incidenti, le regole di identità e permessi per agenti e persone e il report al consiglio di amministrazione sono elaborazione propria con il supporto dell'IA a partire da tali fonti.
Fonti esterne: