AI governance: come organizzare un centro di eccellenza

Nell’AI governance, un centro di eccellenza si giustifica quando aiuta i team aziendali a realizzare soluzioni AI utili, con responsabilità chiare. In un’azienda da 100 a 2,000 persone, conviene partire dalle decisioni da coordinare: se bastano due responsabili designati, è meglio attivare un presidio AI prima di creare un nuovo reparto.

Il risultato che conta è un accordo operativo: quali problemi affrontare, quali standard applicare, chi mette a disposizione gli strumenti comuni e chi resta responsabile dopo il rilascio. Una nuova linea di riporto, da sola, non risponde a queste domande.

Verificato il 26 ottobre 2026: le indicazioni organizzative che seguono sono state confrontate con le pubblicazioni correnti di Microsoft, IBM e NIST. Il modello di mandato, la proposta di assegnazione del personale e il percorso di 90 giorni sono assetti operativi suggeriti, non parametri di settore sul dimensionamento dei team né promesse sui tempi di realizzazione.

Che cosa fa un centro di eccellenza AI?

Un centro di eccellenza AI, o AI CoE, coordina le competenze e i servizi condivisi che aiutano le persone a usare l’intelligenza artificiale in azienda. Collega le priorità aziendali alla realizzazione delle soluzioni, alle valutazioni, agli standard e alla formazione. La sua autorità deriva da un mandato approvato dalla direzione, non dalla parola «eccellenza».

Si può immaginare come una serra didattica: offre attrezzature comuni, metodi di coltivazione e supporto esperto, ma ogni giardiniere continua a prendersi cura dell’aiuola che gli è stata affidata. Il CoE può fornire un metodo collaudato per preparare bozze di risposta nell’assistenza clienti; l’accuratezza delle risposte e il lavoro di revisione restano però responsabilità di chi dirige l’assistenza.

Le indicazioni di Microsoft sui CoE comprendono la raccolta delle proposte, i progetti pilota, gli standard, le competenze, le risorse riutilizzabili e la rendicontazione dei risultati. Per le aziende a cui si rivolge questa guida, queste attività si possono organizzare in quattro responsabilità.

Scegliere i casi d’uso insieme ai responsabili aziendali

Occorre mantenere un elenco delle proposte ordinato per priorità. Un caso d’uso è un’attività precisa all’interno di un processo preciso: per esempio, preparare una bozza di risposta a un cliente partendo da articoli di assistenza approvati. «Usare l’AI nel servizio clienti» è un obiettivo troppo generico per assegnarlo a qualcuno o valutarne l’esito.

Ogni proposta deve avere un responsabile, una misura delle prestazioni attuali e un risultato osservabile. Meglio privilegiare attività con dati accessibili e risultati verificabili da una persona. Un compito frequente, in cui un errore si può correggere, è un punto di partenza migliore di una dimostrazione d’effetto senza un percorso verso l’uso quotidiano.

Le priorità arrivano dalla strategia AI. Il CoE le traduce in attività finanziate e rende visibili le dipendenze; non deve definire di fatto, e senza dichiararlo, una strategia aziendale diversa.

Definire standard applicabili nel lavoro quotidiano

Bisogna stabilire quali dati si possono usare, le regole di accesso, le revisioni richieste, come registrare le modifiche e quando fermare un sistema. Questi standard vanno tradotti in impostazioni pratiche predefinite e brevi checklist.

Per le bozze di risposta dell’assistenza, la regola potrebbe essere: usare fonti informative approvate, mostrare la fonte a chi revisiona e richiedere l’approvazione di un addetto all’assistenza per ogni risposta in uscita. Un generico invito a «usare l’AI in modo responsabile» non dice a quella persona come comportarsi.

Le regole tecniche devono essere collegate alla policy sull’uso accettabile dell’AI, che spiega ai dipendenti che cosa possono fare ogni giorno.

Assumersi la responsabilità di strumenti condivisi e valutazioni

Ogni capacità comune deve avere un responsabile: accessi approvati, integrazioni riutilizzabili, inventario dei sistemi, esempi di flussi di lavoro e strumenti per eseguire le valutazioni. Una valutazione è una verifica ripetibile delle prestazioni dell’intero processo su casi rappresentativi.

Il CoE è responsabile del metodo condiviso. Il responsabile aziendale stabilisce che cosa costituisce un risultato accettabile per la propria attività. Un insieme di test per le risposte dell’assistenza non può certificare un processo di selezione del personale, anche se entrambi usano lo stesso modello di base.

Formare i team sulle attività che svolgono davvero

Chi revisiona le risposte dell’assistenza deve imparare a riconoscere le affermazioni prive di riscontro; un ingegnere deve saper verificare i limiti delle autorizzazioni; un manager deve distinguere l’utilizzo dai risultati utili. Le persone devono dimostrare di saper svolgere il compito e intervenire quando qualcosa va storto.

Un workshop sui prompt può presentare uno strumento. Non dimostra che una persona sappia gestire in sicurezza un processo le cui conseguenze possono essere rilevanti.

Come scegliere fra tre modelli organizzativi

La scelta dipende da chi può assumersi in modo affidabile la realizzazione e la gestione operativa. Il numero di dipendenti, da solo, è un criterio debole: una grande azienda può avere poche competenze AI, mentre una software house più piccola può disporre di team di prodotto preparati.

Le etichette si sovrappongono. Le indicazioni di Microsoft sui modelli operativi distinguono tra centralizzato, ibrido e federato, e descrivono anche come hub-and-spoke una piattaforma centrale con realizzazione distribuita. La spiegazione di IBM sui CoE traccia distinzioni in parte diverse. Per assegnare il lavoro, si possono usare le definizioni seguenti.

Il modello centralizzato funziona meglio quando concentra intenzionalmente competenze scarse. Resta al responsabile aziendale decidere se il risultato migliora il processo. La coda delle richieste deve essere visibile, per evitare che un piccolo gruppo tecnico diventi una sala d’attesa di cui nessuno conosce i tempi.

Il modello hub-and-spoke è un buon punto di partenza quando più reparti hanno bisogno delle stesse basi. In un’ipotetica azienda di 700 persone, il centro potrebbe gestire gli accessi e gli strumenti di valutazione, mentre l’assistenza resta responsabile della qualità delle risposte e la funzione finanziaria del proprio flusso documentale. Va messo per iscritto chi ripara un’integrazione guasta e chi sospende ciascun servizio.

Il modello federato richiede capacità operative locali, non soltanto entusiasmo. In un’ipotetica azienda di 1,800 persone, prima di delegare le decisioni ordinarie di rilascio, ogni unità coinvolta dovrebbe indicare il proprio responsabile e documentare test, monitoraggio e risposta agli incidenti. Un reparto che non raggiunge questo livello continua a ricevere un supporto più stretto.

Processi diversi possono adottare modelli diversi. Un servizio condiviso e delicato può restare centrale, mentre un reparto competente gestisce un assistente interno con un perimetro ben definito. La delega dipende da ciò che il team e l’attività hanno dimostrato, non da un passaggio di livello valido per tutta l’azienda.

AI governance: centro di eccellenza e comitato, chi decide cosa?

Il CoE mette a disposizione capacità di realizzazione; il comitato di AI governance esercita l’autorità sulle policy e sui rischi che gli è stata delegata. Collaborano e alcune persone possono far parte di entrambi, ma deve essere chiaro a chi spetta ogni decisione.

Il comitato può approvare la tolleranza al rischio dell’azienda, gli usi vietati e la procedura per le eccezioni. Il CoE traduce queste decisioni in configurazioni, requisiti di valutazione, formazione e supporto operativo. Il quadro di governance AI deve rendere esplicito questo rapporto.

Una possibile ripartizione dell’autorità è la seguente:

Il comitato non deve necessariamente esaminare ogni processo interno già approvato per la stesura di bozze. Allo stesso modo, il CoE non dovrebbe accettare un rischio rilevante solo perché ha costruito il sistema. Occorre registrare chi può approvare un’eccezione, a quale perimetro si applica e quando scade.

L’AI RMF Core di NIST richiede responsabilità documentate in GOVERN 2.1 e attribuisce alla direzione la responsabilità delle decisioni sul rischio AI in GOVERN 2.3. Questi risultati contano più della creazione di un nuovo comitato. L’autorità può essere affidata a un organismo direttivo o di gestione del rischio già esistente, purché il suo ambito sia chiaro.

Ruoli e poteri decisionali: assegnare il lavoro prima di assumere

Prima di creare nuovi titoli professionali, bisogna coprire le responsabilità. Alcune richiedono un impegno dedicato; per altre basta poter contare su uno specialista già presente. Un elenco di ruoli non è un invito ad assumere una persona per ogni casella dell’organigramma.

Sponsor della direzione: finanzia le priorità concordate, risolve i conflitti tra reparti e designa chi ha autorità decisionale. Un COO può sponsorizzare il cambiamento operativo; un CTO le capacità tecniche condivise. Anche quando partecipano entrambi, deve esserci un solo sponsor che ne risponde.

Responsabile del CoE: gestisce il mandato, il processo di raccolta e valutazione delle proposte, il backlog condiviso e la rendicontazione. Entro i poteri concessi dal mandato, deve poter rinviare le proposte che non hanno un responsabile o non sono ancora pronte.

Responsabile del processo aziendale: fornisce la misurazione iniziale, definisce i risultati accettabili, assegna i revisori e risponde dell’esito operativo. Per le bozze dell’assistenza, è chi risponde della qualità del servizio, non chi conosce meglio i modelli.

Responsabile tecnico e delle valutazioni: mantiene le integrazioni condivise, i controlli di accesso, i test ripetibili e i registri delle modifiche. Quando la rilevanza delle conseguenze richiede una verifica indipendente, il potere di modificare un sistema va separato dall’approvazione dei suoi risultati aziendali.

Referenti per dati e rischi: i responsabili dei dati decidono se le informazioni sono adatte allo scopo e se il loro utilizzo è consentito. Gli specialisti di sicurezza, privacy, aspetti legali e altre aree pertinenti valutano le questioni di propria competenza. Il CoE ne coordina il contributo; non ne acquisisce automaticamente l’autorità.

Responsabile dell’adozione e referenti di reparto: trasformano i processi approvati in formazione, raccolgono i problemi segnalati dagli utenti e aggiornano le indicazioni. Ai referenti servono tempo riservato e un canale di accesso al supporto tecnico, non un titolo onorifico.

Per ogni processo in produzione, bisogna anche indicare chi riceve le segnalazioni di incidente, può fermare il servizio e organizza il ripristino. Le indicazioni di AWS sui CoE includono responsabilità formalizzate e azioni di risposta agli incidenti. Vanno inserite nell’accordo operativo prima che il progetto pilota diventi lavoro ordinario.

Quando basta un presidio AI di due persone?

Un presidio AI, o AI desk, è sufficiente quando il lavoro di coordinamento rientra nelle capacità di due responsabili operativi designati, con il supporto degli specialisti già disponibili. È una proposta da cui partire, non un minimo universale né la promessa che due persone possano gestire qualsiasi sistema AI.

Al responsabile operativo o di prodotto si possono assegnare la gestione delle proposte, la progettazione dei processi, la formazione e le misurazioni. Al responsabile tecnico, gli accessi approvati, le integrazioni, le valutazioni e il supporto. Servono uno sponsor della direzione e la possibilità di coinvolgere i responsabili esistenti di dati, sicurezza e aspetti legali. Si può iniziare con una quota di tempo assegnata, anziché con nuovi incarichi a tempo pieno, ma i rispettivi manager devono tutelarla.

In un’ipotetica società di servizi di 150 persone che sperimenta la stesura di bozze con supervisione umana, questo assetto può bastare a definire pratiche comuni e capire se sia giustificata una funzione più ampia. I due responsabili coordinano il lavoro; il reparto interessato continua a revisionare i risultati.

Il presidio può restare tale finché:

• Il carico di lavoro attivo è abbastanza contenuto da consentire supporto e monitoraggio adeguati.
• I reparti possono usare strumenti comuni senza interventi rilevanti di sviluppo su misura.
• I responsabili esistenti riescono a rispondere rapidamente alle questioni su dati e rischi.
• Il supporto ordinario e le valutazioni rientrano nella capacità espressamente assegnata.

Va ampliato quando dipendenze ricorrenti tra team, richieste irrisolte o necessità di supporto operativo superano quella capacità.

Le attività dalle conseguenze più rilevanti richiedono una valutazione separata delle risorse necessarie. Una piccola azienda che sviluppa sistemi capaci di incidere sui diritti o sulla sicurezza delle persone può aver bisogno di supervisione specialistica prima ancora di un ampio programma di adozione.

Un modello di mandato per il CoE in una pagina

Si può partire da questo modello sintetico, sostituendo i campi tra parentesi quadre con nomi e impegni concreti. È pensato per stare in una pagina: dopo aver aggiunto i dettagli, va controllata l’impaginazione. Lo stesso mandato funziona anche per un presidio di due persone, purché il perimetro resti circoscritto.

Mandato del centro di eccellenza AI: [azienda]

Sponsor e durata. Sponsor: [nome]. Responsabile del CoE: [nome]. Decorrenza: [data]. Riesame: [data, inizialmente al giorno 90]. Persone e tempo di lavoro assegnati: [impegno].

Finalità. Aiutare [funzioni aziendali] a migliorare [risultati specifici] attraverso un uso appropriato dell’AI. Stabilire le priorità dei casi d’uso, mantenere standard e strumenti condivisi, coordinare le valutazioni e insegnare ai team a gestire i processi approvati.

Perimetro. Includere [processi, utenti e ambienti]. Iniziare con [progetto pilota circoscritto]. Escludere [usi vietati e attività esterne a questo mandato]. I responsabili aziendali continuano a rispondere dei propri processi e risultati.

Poteri decisionali. Lo sponsor approva priorità e capacità assegnata. Il responsabile del CoE gestisce le proposte e approva gli schemi tecnici supportati nel rispetto della policy. Il responsabile dei dati autorizza ogni utilizzo proposto dei dati. Il responsabile del servizio designato autorizza il rilascio dopo aver acquisito le evidenze e le revisioni specialistiche richieste. [Autorità competente per il rischio] decide sulle eccezioni e sulla loro scadenza. [Operatore] può sospendere un servizio non sicuro o malfunzionante; [responsabile] ne autorizza il riavvio dopo la revisione. Nessun ruolo può rinunciare a un’approvazione obbligatoria che spetta a un altro responsabile.

Gestione delle proposte. Presentare [modulo/canale] indicando processo, responsabile aziendale, misurazione iniziale, risultato desiderato, utenti, dati, azioni proposte, danni prevedibili, metodo di valutazione e responsabile del supporto. Esaminare le proposte ogni settimana. Registrare la decisione — procedere, preparare, sottoporre a un’autorità superiore o fermare — con motivazione, responsabile e data del prossimo passaggio. Sottoporre allo sponsor i conflitti di priorità irrisolti e all’autorità competente per il rischio le eccezioni alla policy. Il silenzio non equivale ad approvazione.

Servizi condivisi. Mantenere in [posizione] gli accessi approvati, l’inventario AI, gli schemi riutilizzabili, i metodi di valutazione, la formazione e i contatti per gli incidenti. Ogni risorsa ha un responsabile e una data di riesame. I criteri di accettazione specifici di un processo spettano al suo responsabile aziendale.

Misurazione. Monitorare i risultati delle attività che superano la verifica, le carenze di qualità, il tempo necessario per decidere sulle proposte, il riutilizzo delle risorse mantenute e le competenze dimostrate dagli utenti. Per ogni progetto pilota registrare valore iniziale, obiettivo, fonte delle evidenze, responsabile della rendicontazione e condizione di arresto. Includere revisione e rilavorazione nelle misure delle prestazioni.

Cadenza e passaggio alla gestione ordinaria. Esaminare le proposte ogni settimana e svolgere un riesame mensile con lo sponsor. Prima dell’uso ordinario, confermare responsabilità operative, monitoraggio, risposta agli incidenti e soluzione di ripiego. Alla data di riesame, ampliare, modificare o revocare questo mandato in base alle evidenze.

Le procedure dettagliate devono restare fuori dal mandato, che può rimandarvi tramite link. Il documento deve permettere di risolvere un conflitto di responsabilità senza dover leggere un manuale.

Ogni proposta deve arrivare a una decisione

La valutazione iniziale deve portare rapidamente a un passo successivo con un responsabile chiaro. Si raccolgono le informazioni necessarie a decidere come proseguire, poi si richiedono evidenze più approfondite in proporzione alle conseguenze del processo.

La valutazione della preparazione all’AI aiuta a esaminare l’attività proposta, i dati e le persone coinvolte. Un punteggio sull’entusiasmo generale dell’azienda non dimostra che un determinato processo sia pronto.

Si consideri un responsabile dell’assistenza che propone di preparare bozze di risposta usando articoli di supporto approvati. Una scheda utile indica il responsabile, la raccolta delle fonti, il revisore, il processo attuale di gestione e gli errori che renderebbero il risultato inaccettabile. Specifica inoltre che la bozza non può essere inviata automaticamente.

La proposta passa alla preparazione se nessuno può assumersi la responsabilità della raccolta delle fonti. Va sottoposta all’autorità competente se l’uso richiesto dei dati esce dal perimetro della policy. Può diventare un progetto pilota solo quando sono pronti il responsabile, i dati autorizzati, il processo di revisione e la valutazione. Va fermata se il beneficio atteso non giustifica il lavoro o se l’uso proposto è vietato.

I criteri di accettazione del progetto pilota vanno definiti prima di generare esempi convincenti. Per le bozze dell’assistenza, bisogna valutare il riscontro fattuale, la pertinenza delle fonti, gli impegni impropri assunti nelle risposte, la divulgazione di informazioni e il lavoro di revisione necessario per ottenere una risposta accettabile. Vanno inclusi casi difficili, come articoli in contraddizione tra loro e domande a cui la base di conoscenza non sa rispondere.

Il CoE deve rendere queste verifiche ripetibili. Il responsabile dell’assistenza deve giudicare i risultati rispetto ai requisiti effettivi del servizio. Una generazione tecnicamente riuscita può comunque fallire la prova aziendale se revisionarla richiede più tempo che svolgere l’attività originale.

Come avviare un centro di eccellenza AI: i primi 90 giorni

I primi 90 giorni servono a definire un accordo operativo e raccogliere evidenze da un progetto pilota circoscritto. Le scadenze sono momenti di verifica. Un processo che non supera i criteri di accettazione non ottiene il rilascio in produzione solo perché il calendario è arrivato all’ultima fase.

1. 1

   Giorni 1-30: definire attività e autorità

   Designare lo sponsor e i responsabili operativi. Censire gli usi dell’AI già presenti, comprese le funzionalità integrate nei software aziendali. Individuare attività duplicate, autorizzazioni sui dati poco chiare e servizi privi di supporto.

   Concordare il mandato e scegliere il modello operativo per il primo processo. Misurare la situazione iniziale e completare la scheda della proposta. Pubblicare le indicazioni sugli usi approvati, il canale per presentare le proposte e il contatto per gli incidenti.

   Evidenze necessarie per chiudere la fase: un mandato firmato, un inventario utilizzabile, un responsabile del processo designato e un piano di valutazione concordato. Se l’accesso ai dati resta irrisolto, la fase successiva sarà dedicata alla preparazione.

2. 2

   Giorni 31-60: sperimentare un processo circoscritto

   Svolgere il progetto pilota entro il perimetro approvato. Registrare la configurazione del sistema, le istruzioni e i materiali di riferimento pertinenti, così da poter spiegare come è stato prodotto un risultato. Formare le persone che revisioneranno le risposte.

   Valutare casi ordinari e casi di errore rispetto ai criteri concordati. Registrare tempo di revisione e rilavorazione insieme alla qualità dei risultati. Provare a sospendere il processo e a tornare a quello esistente.

   Evidenze necessarie per chiudere la fase: risultati revisionati, un registro dei problemi, operatori formati e una soluzione di ripiego praticabile. Usare le pratiche di documentazione delle evidenze descritte nella guida al NIST AI RMF per collegare rischi, test e decisioni.

3. 3

   Giorni 61-90: decidere e assegnare la responsabilità continuativa

   Il responsabile del processo e i revisori previsti devono decidere se proseguire, modificare o fermare il progetto, registrandone il motivo. Interrompere un pilota sulla base di evidenze chiare è una decisione utile.

   Se il processo prosegue, assegnare le responsabilità per monitoraggio, supporto, revisione delle modifiche e dismissione. Pubblicare soltanto le parti riutilizzabili, indicando chi ne cura la manutenzione. Stabilire se la richiesta successiva rientra nelle capacità del presidio AI o rivela una necessità specifica di potenziamento del CoE.

   Evidenze necessarie per chiudere la fase: una decisione documentata, responsabilità operative accettate per ogni attività che prosegue e un backlog successivo ordinato per priorità. Ampliare il perimetro solo quando le evidenze lo giustificano.

Misurare i risultati che superano la revisione

Il risultato va misurato dopo la revisione e le correzioni. Contare le bozze generate nasconde il lavoro necessario per renderle utilizzabili.

Nel pilota dell’assistenza, si confronta il tempo necessario a ottenere una risposta accettata con quello del processo di partenza, includendo revisione e rilavorazione. La qualità va controllata insieme alla velocità, così un processo più rapido non può sembrare riuscito solo perché invia risposte peggiori. Un piccolo pilota fornisce evidenze locali, non una stima della produttività dell’intera azienda.

Le misure del CoE devono restare distinte da quelle del processo:

• Tempo decisionale: tempo mediano trascorso tra la ricezione di una proposta completa e la registrazione di una decisione. I ritardi dovuti a informazioni mancanti vanno monitorati separatamente.
• Qualità: risultati inaccettabili ed errori critici rispetto ai criteri concordati prima del pilota. Va registrata la gravità, non soltanto un punteggio medio.
• Riutilizzo: processi che usano una risorsa condivisa sottoposta a manutenzione, di cui sono noti versione e responsabile.
• Competenza: capacità dell’utente di svolgere il compito, riconoscere un errore e seguire il percorso di escalation.

La partecipazione alla formazione e gli account attivi possono aiutare a capire come procede l’adozione. Non dimostrano che il lavoro sia migliorato. Il tempo risparmiato stimato non va trasformato in benefici economici se l’azienda non può dimostrare come ha utilizzato quella capacità.

Chi deve intervenire subito e chi può aspettare?

Conviene agire quando i problemi di coordinamento sono visibili. La creazione di un nuovo reparto può aspettare se il lavoro rientra ancora nelle responsabilità esistenti.

Per COO e responsabili operativi: sostenere il mandato quando i team duplicano gli sforzi, le proposte non hanno responsabili aziendali o nessuno sa spiegare quali piloti debbano proseguire. La prima decisione riguarda il risultato che conta e chi ne risponde.

Per CTO e team di sviluppo: centralizzare accessi comuni, metodi di valutazione e supporto operativo quando mantenerli separati provoca problemi ricorrenti. Delegare la realizzazione soltanto a team capaci di gestire ciò che costruiscono.

Per buyer e responsabili acquisti: usare il CoE per chiarire usi approvati, requisiti tecnici e responsabilità operative prima di ampliare un impegno di acquisto. L’autorità sugli acquisti e la revisione dei contratti restano ai responsabili attuali, salvo riassegnazione formale.

Per i team con un processo approvato e funzionante: continuare a usarlo. L’annuncio di un CoE non obbliga a sostituire ogni strumento, riaprire ogni decisione o migrare un processo che rispetta già gli standard concordati.

Quali aspettative su un CoE sono eccessive?

Un centro non crea valore per il solo fatto di esistere. Il suo valore sta nel lavoro che rende possibile e nelle cattive decisioni che aiuta a evitare.

Un organigramma più grande non misura la maturità. Si può avere un comitato numeroso e nessuno responsabile di ripristinare un processo guasto. Prima di aggiungere un altro organismo, bisogna designare chi se ne occupa operativamente.

Uno strumento approvato non autorizza qualsiasi uso. Il permesso di preparare appunti interni non autorizza lo stesso sistema ad assumere impegni verso i clienti. L’approvazione deve specificare finalità, perimetro dei dati e limiti delle azioni consentite.

Una valutazione condivisa non offre garanzie universali. La parte riutilizzabile è costituita dal metodo e dall’infrastruttura. I casi specifici del settore, i danni possibili e i criteri di accettazione richiedono ancora il giudizio del responsabile aziendale.

Il CoE non deve diventare un monopolio permanente della realizzazione. Le attività ordinarie possono passare ai team man mano che dimostrano competenza, mantenendo al centro i servizi che beneficiano di una responsabilità comune. Il mandato va riesaminato con la stessa attenzione riservata a un progetto pilota.

Domande frequenti

Che cos’è un centro di eccellenza AI?

Un centro di eccellenza AI è una funzione coordinata che aiuta l’azienda a stabilire le priorità dei casi d’uso dell’AI, definire standard, fornire strumenti e valutazioni condivisi e formare le persone. Può realizzare i sistemi in modo centralizzato oppure supportare i team aziendali che sviluppano e gestiscono le proprie soluzioni.

Che cosa non bisogna chiedere a un’AI?

Non bisogna inserire informazioni vietate dalle regole aziendali sui dati né chiedere al sistema di compiere azioni oltre il perimetro approvato. Per l’uso sul lavoro, il CoE o il presidio AI deve pubblicare gli usi consentiti e indirizzare i casi dubbi al responsabile competente per i dati o per il rischio.

Quali sono i possibili rischi dell’AI?

A seconda del processo, i rischi includono risultati errati, divulgazione di informazioni sensibili, disparità di trattamento e azioni non autorizzate. Occorre individuare le conseguenze per l’attività specifica, quindi definire controlli, un revisore e un percorso di ripristino. Un elenco generico di rischi non può sostituire questa valutazione.

Da dove partire lunedì

Riunire lo sponsor, un responsabile operativo e un responsabile tecnico attorno a un processo ricorrente. Compilare le sezioni del mandato dedicate alle finalità e ai poteri decisionali, designare chi risponde del risultato e mettere per iscritto quali evidenze imporrebbero di fermarsi. Se il gruppo riesce a gestire il perimetro concordato, si può iniziare con un presidio AI e ampliarlo quando il carico di lavoro effettivo lo giustifica.

Per guide pratiche sull’uso dell’AI nelle attività aziendali, iscriviti alla newsletter.