Governance AI come capacita' permanente, non come progetto
C'e' un equivoco strutturale nel modo in cui gli studi professionali italiani stanno affrontando l'intelligenza artificiale. Lo riassumiamo cosi': il tema viene trattato come un progetto con inizio e fine. "Facciamo un progetto AI, dedichiamo un budget, ingaggiamo un consulente, chiudiamo i deliverable." Sei mesi dopo, il documento e' archiviato in una cartella SharePoint. Nessuno lo rilegge. Nel frattempo, fuori, e' cambiato tutto: i vendor hanno aggiornato i termini contrattuali, l'EU AI Act e' entrato in enforcement su un nuovo articolo, il Garante ha pubblicato un nuovo provvedimento. La governance congelata a marzo e' obsoleta a luglio.
In questo articolo proponiamo un approccio diverso. La governance dell'IA non e' un progetto. E' una capacita' permanente dell'organizzazione. Si articola in tre pilastri (policy, formazione, infrastruttura), si rinnova trimestralmente, e richiede un presidio specifico con nome e cognome.
Le tre trappole psicologiche che paralizzano gli studi
Prima di parlare di soluzione, mappiamo i meccanismi di blocco. Negli ultimi mesi abbiamo visto ricorrere tre trappole psicologiche in quasi ogni studio con cui abbiamo parlato.
Trappola 1: il perfezionismo
Suona cosi': "Aspetto il framework perfetto. Aspetto che l'EU AI Act sia in vigore in tutte le sue parti. Aspetto la linea guida definitiva del Garante sull'IA per professionisti. Poi faro' un progetto serio."
Cosa succede nel frattempo: l'IA entra comunque, dalla porta di servizio. I collaboratori usano account personali. I clienti fanno domande sul tuo uso dell'IA. I concorrenti che hanno iniziato imperfettamente consolidano pipeline operative.
L'antidoto: governance iterativa. Versione 0.1 esplicita nella prima settimana. Review trimestrale. Il framework perfetto non esistera' mai; il tuo framework esiste oggi anche se imperfetto.
Trappola 2: la governance come progetto
Suona cosi': "Facciamo un progetto AI strutturato. Budget dedicato. Consulente esterno con credenziali. Deliverable. Documento finale. Chiudiamo."
Cosa succede: sei mesi dopo il progetto e' archiviato. Il consulente non c'e' piu'. Il documento e' obsoleto. La governance e' una funzione, non un deliverable.
L'antidoto: ruolo dedicato presidiato con nome e cognome (anche part-time, 4 ore a settimana). Review trimestrale. Backlog di aggiornamenti. Canale interno per condividere cosa cambia fuori dallo studio.
Trappola 3: l'expertise gatekeeping
Suona cosi': "Aspetto il consulente giusto. Quello con credenziali specifiche su AI Act, esperienza concreta con studi italiani, prezzo equo, disponibilita' immediata."
Cosa succede: il consulente giusto non arriva mai. Nel frattempo lo studio resta fermo.
L'antidoto: inizia con un consulente pragmatico disponibile adesso. La prima versione della policy puoi scriverla anche tu in due ore, partendo da un template e adattandolo al contesto.
Queste tre trappole non sono indipendenti. Si rinforzano a vicenda. Il perfezionismo giustifica l'expertise gatekeeping ("non posso fare nulla finche' non arriva l'esperto"). L'expertise gatekeeping rinforza il framing progettuale ("ci pensera' lui, faremo un bel progetto"). Il framing progettuale alimenta il perfezionismo ("aspettiamo il deliverable finale").
L'antidoto unificato e' assumere che la governance dell'IA sia parte ordinaria dell'amministrazione dello studio, allo stesso titolo della gestione fiscale o dell'antiriciclaggio. Non e' un'eccezione progettuale.
I tre pilastri della governance AI
Una governance AI funzionante in uno studio professionale italiano si regge su tre pilastri operativi.
Pilastro 1. Policy interna
Documento di 2-3 pagine, scritto in italiano comprensibile, distribuito a tutto lo staff con presa d'atto firmata. Contenuti minimi:
- Cosa e' consentito: sintesi di documenti pubblici, brainstorming su materiale non riservato, strumenti IA dentro piattaforme aziendali autorizzate.
- Cosa non e' consentito: incollare dati cliente in app consumer, usare strumenti fuori lista, caricare PII (codice fiscale, IBAN, dati sanitari) ovunque non approvato.
- Lista strumenti autorizzati: pochi e ben definiti. Meglio 3 approvati che 30 tollerati.
- Processo di richiesta autorizzazione: a chi rivolgersi, in quanto tempo si ottiene risposta, con quali criteri.
- Sanzioni: disciplinari (richiamo, sospensione, articolo 2119 Codice Civile nei casi gravi di violazione segreto). Deontologiche dove previsto.
La policy non e' un manifesto. E' un documento operativo. Deve poter essere letto da uno stagista di prima settimana e applicato senza ambiguita'.
Pilastro 2. Formazione minima
Una sessione di formazione di un'ora, in presenza o video, per tutto il personale. Contenuti minimi:
- Cosa e' shadow AI e perche' e' un problema giuridico, non solo tecnico.
- Distinzione tra app consumer, API enterprise e self-hosted (lo affrontiamo in dettaglio nel nostro articolo sui tre fraintendimenti tra consumer, API enterprise e self-hosted).
- Cosa e' un dato sensibile, cosa e' una PII, perche' contano.
- Cosa chiedere prima di usare un nuovo strumento.
- Come segnalare incidenti e dubbi.
Registrazione obbligatoria. Elenco partecipanti firmato, data, materiale archiviato. E' cio' che dimostra le misure adottate ai sensi dell'articolo 4 dell'AI Act (Reg. UE 2024/1689, come sostituito dal Reg. UE 2026/1744 in vigore dal 27 luglio 2026: obbligo di adottare misure proporzionate, non di garantire un livello per singola persona), e serve all'accountability dell'articolo 5(2) GDPR. Se lo studio ha nominato un DPO, la sensibilizzazione e la formazione del personale rientrano fra i suoi compiti ai sensi dell'articolo 39(1)(b) GDPR; e rileva il modello 231 ove applicabile.
Pilastro 3. Infrastruttura autorizzata
Sostituire il "rosso" del semaforo di rischio con strumenti autorizzati e governati. Tre opzioni tipiche:
Copilot Microsoft 365 Business Standard. Se lo studio ha gia' M365, e' la via piu' rapida. DPA incluso, residency EU per molte region.
ChatGPT Enterprise o Team, Claude for Work. UX familiare sotto DPA business. Buona per studi gia' abituati a un vendor specifico.
Piattaforma verticale come TDS AI Systems. Piu' modelli sotto un'interfaccia con API enterprise, PII redaction a monte, audit log centralizzato, verticalizzazione per commercialisti e legali.
In ogni caso: DPA firmato, opt-out training attivo, audit log accessibile, residency EU dove possibile.
Il framework operativo in quattro settimane
Per uno studio di 3-30 persone senza team IT dedicato, il framework e' eseguibile in quattro settimane. Esattamente queste:
Settimana 1: audit shadow AI
Capire la superficie di rischio reale, non quella presunta. Survey anonimo allo staff via Tally o Google Forms, mappatura risultati, classificazione a semaforo, documento interno di due pagine. Tempo complessivo: mezza giornata. Approfondimento in shadow AI: il rischio nascosto che il tuo studio gia' corre.
Settimana 2: policy interna
Scrivere le regole in 2-3 pagine. Pubblicare. Distribuire. Raccogliere presa d'atto firmata. Tempo: una giornata di scrittura piu' mezza di review.
Settimana 3: formazione minima
Sessione di un'ora con tutto il personale. Materiale di 10-15 slide, esempi dal lavoro quotidiano dello studio. Elenco partecipanti firmato. Tempo: due giornate di preparazione + un'ora di erogazione.
Settimana 4: infrastruttura autorizzata
Identificare lo strumento o la piattaforma da adottare. Firmare il DPA. Attivare l'opt-out training. Configurare audit log. Comunicare allo staff. Tempo: variabile, indicativamente 2-3 giornate operative.
A questo punto la governance e' attiva. Non perfetta, ma operativa.
Il presidio continuativo: review trimestrale
Una governance AI che si ferma alla settimana 4 e' destinata a degradare. Il quinto pilastro implicito e' il presidio continuativo:
Revisione trimestrale. Mezza giornata a trimestre. Si rivede:
- Cosa cambia nel mercato IA (nuovi modelli, nuovi vendor, modifiche contrattuali).
- Cosa fanno i concorrenti (intelligence informale).
- Feedback interno dallo staff (cosa funziona, cosa frustra).
- Nuovi provvedimenti del Garante o nuove fasi di enforcement dell'EU AI Act.
- Stato degli aggiornamenti normativi italiani (decreti attuativi Legge 132/2025).
Ruolo dedicato. Una persona specifica con nome e cognome, con 4 ore a settimana di tempo allocato. Puo' essere il titolare dello studio, il DPO se gia' esistente, un partner senior. Non e' una funzione che si delega completamente a un consulente esterno.
Telemetria interna. Quanti audit log al mese? Quante richieste di autorizzazione? Quanti incidenti segnalati? Misurare per capire dove intervenire.
Trasparenza verso lo staff. Una breve nota trimestrale che racconta cosa e' cambiato, cosa rimane in osservazione, cosa cambiera' nel trimestre successivo. La governance opaca diventa burocrazia. La governance trasparente diventa cultura.
Cosa NON e' governance AI
Per chiarezza, e' utile dire cosa NON conta come governance:
- Una clausola standard nei contratti di assunzione. "Il dipendente si impegna a non usare strumenti di IA non autorizzati" non e' governance. E' una firma in un fascicolo.
- Un'email del titolare ai collaboratori. "Per favore non usate ChatGPT" non e' policy. E' una preghiera.
- L'acquisto di una licenza enterprise. Acquistare ChatGPT Team senza policy, formazione, audit log attivati non e' governance. E' un costo.
- La nomina di un consulente esterno. Un consulente che produce un documento e poi sparisce non lascia governance. Lascia carta.
- Aspettare i decreti attuativi. I decreti attuativi della Legge 132/2025 sono attesi entro ottobre 2026. Aspettarli per iniziare significa restare scoperti 12-18 mesi.
Sintesi operativa
Cosa fare nei prossimi 30 giorni per attivare una governance AI funzionante:
- Designare un presidio interno con nome e cognome (4 ore a settimana).
- Eseguire l'audit shadow AI (settimana 1).
- Scrivere e distribuire la policy interna (settimana 2).
- Erogare la formazione minima (settimana 3).
- Selezionare l'infrastruttura autorizzata e firmare i DPA (settimana 4).
- Programmare la prima revisione trimestrale a 90 giorni.
Cosa evitare:
- Trattarla come progetto chiuso. E' una capacita' continuativa.
- Aspettare il framework perfetto, il consulente perfetto, la linea guida definitiva. Esistono gia' strumenti applicabili.
- Affidare tutto a un consulente esterno senza coinvolgere chi presidia l'operativita' quotidiana.
- Confondere "abbiamo comprato una licenza" con "abbiamo fatto governance".
La governance AI e' parte ordinaria dell'amministrazione dello studio. Non e' un'eccezione progettuale, non e' un dossier da chiudere. E' una funzione continuativa. Per capire il quadro normativo italiano specifico, vedi il nostro articolo su contesto normativo italiano IA 2026.
Continua il percorso
Se vuoi ricevere i prossimi approfondimenti su AI governance, compliance e automazione per studi professionali, iscriviti a TDS Weekly: una email ogni due settimane, niente spam, conferma esplicita.
Iscriviti alla newsletter TDS Weekly
Articoli correlati: