La governance dell’Intelligenza Artificiale è diventata una responsabilità del consiglio di amministrazione. Non del reparto tecnico, non di un fornitore, non di un comitato ad hoc creato per firmare documenti. La tesi di questo articolo è semplice: un board può delegare l’esecuzione, ma non può delegare la comprensione. E oggi la distanza tra ciò che i vertici firmano e ciò che i vertici comprendono è il primo rischio non gestito delle organizzazioni europee.
La responsabilità è già in vigore
Il Regolamento europeo sull’IA non è un orizzonte futuro: è un testo in applicazione progressiva. I divieti sulle pratiche inaccettabili e gli obblighi di alfabetizzazione valgono dal 2025. Gli obblighi di trasparenza dell’articolo 50 — dichiarare quando un contenuto è sintetico, quando si interagisce con un sistema di IA — si applicano dall’agosto 2026. Il pacchetto di semplificazione approvato dal Consiglio dell’Unione europea nel giugno 2026 ha rinviato al dicembre 2027 gli obblighi sui sistemi ad alto rischio dell’Allegato III, senza toccare il resto dell’impianto (Consiglio dell’UE, 2026).
Il punto per il board non è memorizzare le scadenze. È capire che il regolamento assegna responsabilità per ruolo: fornitore e deployer — chi sviluppa e chi utilizza — hanno obblighi distinti, e la maggior parte delle imprese europee è deployer senza saperlo. Ogni sistema adottato in azienda, anche via licenza d’uso, attiva doveri di supervisione che ricadono sull’organizzazione. E la responsabilità dell’organizzazione, negli assetti societari, risale al vertice.
Il divario tra uso e governo
I dati mostrano un divario che dovrebbe preoccupare qualunque presidente. Secondo il business paper dell’Institute of Directors britannico dedicato all’IA nei board (IoD, 2025), due terzi degli amministratori usano personalmente strumenti di IA e circa metà delle organizzazioni li impiega, ma un quarto non ha alcuna policy o struttura di governance (IoD, 2025). L’adozione corre; il governo arranca.
La stessa fotografia arriva dal sondaggio globale State of AI di McKinsey (2025): solo il 28% delle organizzazioni che usano l’IA affida al CEO la supervisione della governance, eppure proprio questa scelta è tra i fattori più correlati all’impatto economico positivo (McKinsey, 2025). Tradotto: dove il vertice presidia, l’IA produce valore; dove il vertice delega in bianco, produce esperimenti.
La domanda giusta in consiglio non è “stiamo usando l’IA?”. È “chi risponde delle decisioni che l’IA sta già influenzando?”.
Tre domande che un board deve saper porre
Dove entra l’IA nelle nostre decisioni? Non nell’inventario dei sistemi: nella mappa delle decisioni. Prezzi, credito, assunzioni, valutazioni, priorità di investimento. Se un modello contribuisce a una decisione, quella decisione ha un nuovo anello nella catena di responsabilità. Il confine da presidiare è il tema che approfondiamo in un’analisi dedicata alla delega algoritmica.
Chi risponde, per nome e cognome? La governance dell’IA fallisce quando è di tutti, cioè di nessuno. Serve un presidio con mandato esplicito: ruoli, soglie di escalation, criteri di revisione. I framework generici scaricati da internet non superano la prima verifica seria — né di un’autorità, né di un cliente enterprise, né di un giudice.
Cosa sappiamo davvero, come consiglio? L’obbligo di alfabetizzazione previsto dall’articolo 4 del regolamento vale anche per chi governa, non solo per chi opera. Un consiglio che approva una strategia sull’IA senza saperla interrogare sta firmando una cambiale in bianco. Il tema merita una trattazione a parte, che dedichiamo all’alfabetizzazione come dovere del vertice.
Il contesto rende il ritardo più costoso
C’è chi obietta che il tema sia prematuro, almeno in Europa. I dati dicono il contrario. Secondo Eurostat, nel 2025 circa un’impresa europea su cinque utilizza almeno una tecnologia di IA, con un salto di sei punti e mezzo in un solo anno (Eurostat, 2025). In Italia la rilevazione ISTAT sulle imprese registra un raddoppio in dodici mesi, dall’8,2% al 16,4% (ISTAT, 2025).
Un raddoppio annuo dell’adozione significa che il perimetro da governare raddoppia più in fretta di qualunque ciclo di pianificazione. Il board che rimanda la questione alla prossima revisione strategica sta accettando, di fatto, che per un anno intero l’organizzazione adotti sistemi senza presidio. Nelle grandi imprese la percentuale di adozione supera la metà del campione europeo: per chi siede in quei consigli, il tema non è prospettico in alcun senso della parola.
E il ritardo non è neutro nemmeno sul piano competitivo. Le organizzazioni che costruiscono la governance dopo l’adozione pagano due volte: la prima per rimediare alle scelte fatte senza criterio, la seconda per il tempo perso rispetto a chi ha potuto scalare in fretta proprio perché aveva regole chiare. La governance ben fatta non frena l’adozione: la rende difendibile, e quindi accelerabile.
Gli strumenti del presidio
Come si organizza, in pratica, la supervisione? Le strutture variano con la dimensione, ma tre elementi ricorrono nelle organizzazioni che funzionano.
Una sede. La questione IA deve avere un luogo nel calendario del consiglio: dentro il comitato rischi, dentro il comitato controllo, o — nelle realtà più esposte — in un comitato dedicato con almeno un componente competente. Ciò che non ha una sede non ha una cadenza; ciò che non ha una cadenza vive di emergenze.
Un flusso informativo progettato. Il board non può supervisionare ciò che gli arriva filtrato dall’entusiasmo dei progetti. Servono report periodici con struttura decisa dal consiglio, non dal management: sistemi in uso e decisioni che toccano, incidenti e quasi-incidenti, scostamenti dalle policy, valutazioni dei fornitori. Pochi indicatori, ma scelti da chi supervisiona.
Un dialogo con chi sa. La competenza interna va integrata, non sostituita, da voci esterne qualificate — con una avvertenza che porta al punto successivo: la provenienza di quelle voci determina la qualità del presidio.
Una traccia scritta. Le deliberazioni sull’IA vanno verbalizzate con la stessa cura delle deliberazioni finanziarie: quali informazioni il consiglio ha ricevuto, quali domande ha posto, su quali basi ha deciso. Non è formalismo — è la differenza, il giorno in cui qualcosa va storto, tra un board che ha esercitato la supervisione e un board che l’ha solo messa all’ordine del giorno. La documentazione della diligenza è essa stessa diligenza.
L’indipendenza come requisito strutturale
C’è un ostacolo che i board sottovalutano: quasi tutto il sapere sull’IA arriva loro da chi vende IA. Fornitori di tecnologia, integratori, consulenti con partnership commerciali da difendere. Non è malafede: è un conflitto di interesse strutturale. Chi guadagna dall’adozione tende a raccomandare l’adozione.
Per questo la funzione di supervisione ha bisogno di almeno una voce senza nulla da vendere. Il ruolo di un advisor indipendente non è rallentare l’adozione: è garantire che ogni “sì” e ogni “no” del board poggi su un’analisi che nessun incentivo commerciale ha piegato. È il principio su cui è costruito il metodo del nostro istituto e il perimetro del lavoro di AI Governance con i consigli di amministrazione.
Cosa significa per il board
La responsabilità sull’IA non arriverà: è arrivata. Chi siede in consiglio dovrebbe uscire dalla prossima riunione con tre impegni presi.
Primo: una mappa delle decisioni aziendali in cui l’IA già entra, con un responsabile nominato per ciascuna. Secondo: un piano di alfabetizzazione del consiglio stesso, con verifica, non con attestato di presenza. Terzo: una fonte di analisi indipendente dai fornitori, che riferisca al board e non alla funzione acquisti.
Il quadro europeo ha reso esplicito ciò che la buona amministrazione già implicava: la direzione non si automatizza. Si esercita — con più strumenti, più dati e più responsabilità di prima.