Di Stefano Barlini, MBA, Advanced in AI Audit, Certified CAIO, CIA, CISA, Certified 31000 Trainer, CCSA, QAR | Internal Audit & GRC Expert presso Compet-e
La cattiva pratica di confinare l’Artificial Intelligence all’IT e il percorso internazionale per il Chief Artificial Intelligence Officer per la prima volta in Italia.
Dopo essere stato scelto ed aver formato numerosi professionisti di prestigiose aziende in Nord Europa, Nord America e Asia, il percorso internazionale dedicato ai Chief Artificial Intelligence Officer arriva finalmente, per la prima volta, in Italia e in lingua italiana. Un percorso pensato non solo per imparare la normativa o uno standard internazionale di riferimento, ma per sviluppare la capacità più importante: comprendere i rischi AI prima ancora di cercare di governarli.
Per poterlo presentare occorre partire dalla cattiva pratica che questo percorso vuole contribuire ad evitare: considerare l’AI una questione riservata all’IT.
La cattiva pratica emergente: delegare l’AI alla funzione IT
Ogni decisione aziendale nasce con un obiettivo.
Ridurre i costi, aumentare i ricavi, accelerare un processo, migliorare la qualità di un prodotto, rendere più efficace la selezione del personale, individuare una frode, valutare il merito creditizio oppure pianificare la produzione.
Sempre più spesso queste decisioni vengono assunte con il supporto di sistemi di Artificial Intelligence.
Ed è proprio qui che emerge un errore organizzativo destinato a diventare una delle peggiori cattive practice dei prossimi anni: affidare la gestione dell’AI esclusivamente all’IT, alla cybersecurity oppure alla funzione compliance.
L’AI non è semplicemente una nuova tecnologia inserita all’interno dell’organizzazione. Rappresenta una nuova fonte di incertezza rispetto al conseguimento degli obiettivi aziendali.
In altre parole, rappresenta una nuova causa di rischio.
Secondo la definizione proposta dalla ISO 31000, il rischio è infatti l’effetto dell’incertezza sugli obiettivi. Tale effetto può determinare conseguenze negative, ma anche risultati migliori rispetto a quelli inizialmente attesi.
L’AI può quindi generare efficienza, innovazione e vantaggi competitivi. Può però anche produrre decisioni errate, responsabilità, perdite economiche, discriminazioni, violazioni normative e danni reputazionali.
Confinarne la gestione all’interno di un’unica funzione significa osservare soltanto una parte del fenomeno.
Ogni processo che utilizza l’AI eredita nuovi rischi
I rischi AI attraversano l’intera organizzazione perché attraversano i processi nei quali l’AI viene utilizzata.
Nel processo di selezione del personale, un sistema di AI può introdurre bias, può acquisire o inferire informazioni non pertinenti o prive di un’adeguata base giuridica, oppure discriminare determinate categorie di candidati. Può anche deteriorare progressivamente le proprie prestazioni, essere alimentato con informazioni non rappresentative o produrre benefici economici molto inferiori rispetto alle aspettative iniziali.
L’utilizzo dell’AI generativa in ambito amministrativo e contabile presenta ulteriori elementi di incertezza. Un modello generativo non verifica autonomamente la verità delle proprie affermazioni: produce contenuti statisticamente plausibili. Un output perfettamente formulato e apparentemente convincente può quindi contenere errori materiali, omissioni o informazioni inventate. Quando tali contenuti vengono recepiti senza adeguate verifiche nei processi contabili, finanziari o di reporting, l’affidabilità dell’informazione aziendale può essere compromessa.
Nelle operations, un sistema di AI può alterare la pianificazione della produzione, ridurre la qualità delle previsioni della domanda oppure amplificare inefficienze operative che avrebbe dovuto contribuire a eliminare.
Sul fronte della sicurezza informatica, fenomeni come data poisoning, prompt injection e manipolazione dei modelli introducono vulnerabilità nuove, che si aggiungono ai rischi cyber tradizionali.
Ogni processo nel quale un sistema di AI contribuisce a una decisione eredita quindi nuove fonti di incertezza. E tali fonti devono essere identificate, valutate e governate.
La conformità all’AI Act è soltanto una parte del problema
Parlare di AI Governance significa certamente considerare gli obblighi derivanti dall’AI Act, la protezione dei dati personali, la sicurezza delle informazioni e le altre disposizioni applicabili.
La conformità normativa, da sola, non esaurisce però la governance dell’AI.
Un sistema può essere formalmente conforme e, allo stesso tempo, produrre risultati di scarsa qualità, generare costi eccessivi, non raggiungere gli obiettivi assegnati oppure introdurre ulteriori rischi operativi che l’organizzazione non aveva previsto.
La governance deve quindi considerare contemporaneamente gli obiettivi strategici, operativi, finanziari e di conformità.
Lo stesso vale per il Modello 231. L’adozione dell’AI modifica i processi, le attività sensibili, le modalità attraverso cui determinate condotte possono essere realizzate e l’efficacia dei controlli predisposti dall’organizzazione.
Aggiornare formalmente una policy, aggiungere qualche riga alla mappa dei rischi o attribuire una nuova responsabilità organizzativa non garantisce la capacità di comprendere e prevenire i rischi concretamente introdotti dall’AI.
Non è possibile gestire un rischio che non sia stato identificato.
Ed è altrettanto impossibile identificare correttamente un rischio che non si comprende.
Perché le organizzazioni hanno bisogno di un CAIO
Da questa esigenza nasce la figura del Chief Artificial Intelligence Officer.
Il CAIO è chiamato a collegare strategia aziendale, tecnologia, risk management, compliance, organizzazione e controllo interno.
Deve comprendere come viene utilizzata l’AI, quali obiettivi deve supportare, quali dati alimentano i sistemi, quali soggetti partecipano alle decisioni e quali conseguenze possono derivare dagli output prodotti.
Deve inoltre saper distinguere un’opportunità concreta da un progetto guidato soltanto dall’entusiasmo per la tecnologia.
La sua responsabilità comprende la definizione della strategia AI, la valutazione dei casi d’uso, l’individuazione dei rischi, la progettazione delle regole di governance, il coordinamento delle diverse funzioni aziendali e la diffusione di un’adeguata AI literacy tra dirigenti, specialisti e utilizzatori.
Il CAIO diventa così il punto di collegamento tra chi sviluppa o acquista i sistemi di AI e chi deve rispondere delle decisioni aziendali che tali sistemi contribuiscono a produrre.
Dalla consapevolezza agli strumenti operativi
La governance dell’AI richiede competenze multidisciplinari. Conoscere soltanto la normativa non è sufficiente, così come non basta comprendere il funzionamento tecnico di un modello.
Occorre sviluppare la capacità di leggere l’AI all’interno del contesto aziendale, collegando i singoli sistemi agli obiettivi, ai processi, ai rischi e alle responsabilità dell’organizzazione.
Il percorso per Chief Artificial Intelligence Officer è stato progettato proprio con questo obiettivo.
La formazione affronta progressivamente i fondamenti dell’Artificial Intelligence, la gestione dei progetti, la governance dei dati, la valutazione dei rischi e degli impatti, l’AI Act, i principi di Responsible AI e i framework più importanti quali quello dello standard ISO/IEC 42001 o del NIST sull’AI Risk Managment.
Il programma accompagna inoltre i partecipanti nella definizione di una strategia AI, nella valutazione dei casi d’uso, nella costruzione delle policy di governance e nel coordinamento dei team coinvolti.
Alla componente teorica si affiancano strumenti operativi come tassonomie dei rischi AI, modelli di impact assessment, programmi di bias audit, checklist di conformità, matrici per collegare l’AI agli obiettivi di business e template per la definizione delle policy aziendali.
Il percorso CAIO arriva a Milano
Il percorso internazionale per Chief Artificial Intelligence Officer si terrà dal 12 al 14 ottobre 2026, in formula ibrida, presso la sede di Compet-e con Tesisquare ad Assago, Milano.
È rivolto a manager, professionisti IT, responsabili risk e compliance, auditor, consulenti, componenti degli Organismi di Vigilanza e figure executive chiamate a partecipare alle decisioni sull’introduzione e sull’utilizzo dell’AI in azienda.
L’obiettivo è sviluppare una capacità che precede qualsiasi policy, procedura o strumento di controllo: comprendere come l’Artificial Intelligence modifica il profilo di rischio dell’organizzazione.
Solo partendo da questa comprensione sarà possibile progettare misure organizzative, tecniche e di controllo proporzionate ai rischi effettivamente presenti.
La prima misura di controllo non è una policy, ma la comprensione del rischio.
Scopri il programma completo del percorso Chief Artificial Intelligence Officer e preparati a guidare la governance dell’AI nella tua organizzazione: https://www.e-compliance.academy/chief-artificial-intelligence-officer-milano/