Uno studio IBM rivela che l'82% degli incidenti AI raggiunge i vertici aziendali in Spagna, ma solo il 36% aggiorna la governance. Analisi su rischi e AI Act.

Immaginate una sala riunioni di un gruppo industriale. Sul tavolo, i dati di un trimestre in crescita, ma l'atmosfera è tesa. Un agente autonomo di intelligenza artificiale, implementato per ottimizzare i flussi di approvvigionamento, ha preso una decisione senza supervisione umana, causando un errore operativo che ha impattato direttamente sul bilancio o sulla reputazione del brand. Non è più un'ipotesi da manuale di gestione del rischio, ma una realtà che sta bussando alle porte dei consigli di amministrazione.

Il paradosso dell'82%: quando l'incidente non genera cambiamento

I numeri emersi da un recente studio di IBM, condotto su un campione di 540 dirigenti in Spagna, delineano un quadro di allarmante asimmetria. L'82% dei manager dichiara che, nell'ultimo anno, almeno un incidente legato all'IA è arrivato alla conoscenza del consiglio di amministrazione o del comitato esecutivo. Questi eventi includono il fallimento di un agente autonomo, l'esposizione accidentale di dati sensibili, errori in decisioni supportate dall'IA o gravi brecce di sicurezza.

Il dato diventa critico quando si osserva la reazione delle organizzazioni. Nonostante la visibilità del problema ai massimi livelli, solo il 36% delle aziende ha effettivamente modificato la propria politica o il proprio quadro di governance come risposta diretta a questi incidenti. Questo significa che per la maggior parte dei vertici aziendali, l'incidente è percepito come un evento isolato o un costo operativo, piuttosto che come il sintomo di un'infrastruttura di controllo obsoleta.

Analisi strategica: Questo scollamento indica che molte aziende stanno operando in una modalità di gestione reattiva. Il rischio è che i CdA considerino l'IA come un software tradizionale, ignorando che la natura probabilistica e autonoma dell'IA generativa e agéntica richiede una governance dinamica, non una serie di policy statiche aggiornate ogni due anni.

Perché i consigli di amministrazione ignorano i segnali d'allarme

La resistenza al cambiamento normativo interno non è necessariamente frutto di negligenza, ma di una gestione del rischio sbilanciata verso l'operatività immediata. Lo studio evidenzia una tendenza pericolosa: quando l'adozione della tecnologia supera la preparazione dei quadri di governance e compliance, il 65% dei dirigenti decide di proseguire l'implementazione rimanendo entro i limiti di rischio concordati, mentre adatta la governance in corsa.

Solo il 30% dei manager sceglie la via della prudenza, ovvero ritardare il dispiegamento della tecnologia fino a quando non siano disponibili i meccanismi di controllo adeguati. Questa propensione al rischio è alimentata dalla pressione competitiva: fermare l'innovazione per sistemare la burocrazia interna è visto come un suicidio commerciale.

Il problema si aggrava quando si discute della responsabilità legale. Non esiste un consenso chiaro su chi debba pagare il conto in caso di danni provocati da un sistema di IA. Le opinioni sono frammentate: il 19% dei dirigenti suggerisce di ripartire la responsabilità proporzionalmente tra l'IA e il fornitore, il 18% ritiene necessario un quadro regolatorio più adeguato e il 14% attribuisce la colpa esclusivamente al fornitore dell'IA.

'Los incidentes relacionados con la IA están llegando a los consejos de administración y comités ejecutivos en España, mientras la gobernanza y la rendición de cuentas sobre los riesgos avanzan a un ritmo distinto al de la adopción de la tecnología'

L'autonomia decisionale degli agenti entro il 2027

Il mercato si sta spostando rapidamente verso l'IA agéntica, sistemi capaci di agire autonomamente per raggiungere un obiettivo senza l'intervento umano costante. Questa evoluzione introduce sfide di governance senza precedenti. Il 73% dei dirigenti intervistati si aspetta che questi agenti possiedano già un certo grado di autonomia nella presa di decisioni entro l'anno prossimo.

Tuttavia, la consapevolezza della propria impreparazione è alta: solo il 34% degli intervistati riconosce che la propria governance sia pronta per l'espansione dell'uso di IA basata su agenti prevista per il 2027. CIO riporta che, per ottenere valore aziendale senza compromettere la stabilità, le imprese devono stabilire limiti chiari su ciò che l'IA può fare e definire con precisione il grado di responsabilità in caso di inefficienze nel desempenho.

Per monitorare l'effettiva transizione verso una governance sicura, gli imprenditori dovrebbero osservare i seguenti indicatori verificabili:

• Metrica di controllo: La percentuale di decisioni autonome dell'IA che richiedono un "human-in-the-loop" per l'approvazione finale prima dell'esecuzione.
• Evento normativo: L'introduzione di clausole di manleva specifiche nei contratti con i fornitori di IA agéntica entro il 2026.
• Data chiave: Dicembre 2027, termine entro il quale entreranno in vigore gli obblighi per i sistemi di IA ad alto rischio secondo l'AI Act.

Governance AI e AI Act: la corsa contro il tempo in Europa

Il contesto europeo, e specificamente quello spagnolo e italiano, è dominato dall'ombra dell'AI Act. La normativa europea non è più una discussione teorica, ma un driver di investimento. In Spagna, il 44% dei dirigenti sta accelerando gli investimenti in governance proprio per anticipare le scadenze di dicembre 2027, quando diventeranno vincolanti gli obblighi per i sistemi di IA classificati come ad alto rischio.

Per le imprese italiane, questa situazione riflette una vulnerabilità sistemica. L'adozione dell'IA avviene spesso in silos tecnologici, senza che il CdA comprenda che l'AI Act e le direttive come la NIS2 richiedono una responsabilità che non può essere delegata al fornitore del software. Se l'82% degli incidenti arriva ai vertici, ma solo un terzo di questi genera un cambiamento strutturale, l'impresa si espone a sanzioni pesanti e a rischi operativi che potrebbero paralizzare l'attività.

La strategia vincente per l'imprenditore europeo non è l'evitamento della tecnologia, ma l'allineamento tra velocità di deploy e velocità di governance. Elderecho sottolinea come la discrepanza tra rischi identificati e misure adottate sia il vero punto debole delle organizzazioni moderne.

In sintesi, l'Italia e l'UE si trovano davanti a un bivio: accettare l'IA come un rischio gestibile attraverso l'aggiornamento costante dei framework di compliance o continuare a trattare gli incidenti come anomalie statistiche, rischiando il collasso della governance quando l'autonomia degli agenti diventerà la norma operativa nel 2027.

Domande frequenti

---

Fonti: Elderecho, Infobae, Cio ·

glacom · IA per studi legali: i fascicoli non escono dallo studio →