L'AI è diventata infrastruttura: ora va governata

Il nuovo AI Index Report 2026 mostra una tecnologia ormai diffusa. Per le imprese italiane la domanda non è più se adottarla, ma come renderla utile, verificabile e responsabile.

di Andrea Viliotti - Framework GDE

Per molti anni l'intelligenza artificiale è stata raccontata alle imprese come una frontiera da osservare: un laboratorio esterno, una competenza da presidiare, una promessa da valutare con prudenza. Il nuovo AI Index Report 2026 sposta il baricentro. L'AI non è più un fenomeno ai margini dell'organizzazione. È entrata nei processi, nelle decisioni, nelle piattaforme, nelle filiere, nelle aspettative dei clienti, nelle competenze dei lavoratori e nella struttura stessa dei costi. Quando una tecnologia raggiunge questo livello di diffusione, il problema non è più la curiosità. È il governo.

Il punto, per un imprenditore o per un comitato di direzione, non è chiedersi se il modello più recente sia più brillante del precedente. È capire se l'azienda possiede il contesto operativo per trasformare output probabilistici in decisioni affidabili. Significa sapere chi decide, chi usa, chi verifica, chi risponde; quali dati entrano nella catena; dove il processo può essere fermato; come si ricostruisce un errore; quali responsabilità restano umane. In altre parole, l'AI non va trattata come un software in più, ma come un'infrastruttura sociotecnica: fatta di tecnologia, processi, dati, persone, controlli, cultura e accountability.

Governance dell’AI in azienda

Dall'adozione alla responsabilità

Il primo messaggio del report è quantitativo, ma la sua conseguenza è qualitativa. Secondo l'AI Index, nel 2025 l'88% delle organizzazioni intervistate dichiara di usare AI in almeno una funzione aziendale, in crescita rispetto al 78% dell'anno precedente; il 79% dichiara un uso regolare di generative AI in almeno una funzione. A livello di popolazione, la generative AI avrebbe raggiunto circa il 53% di adozione in tre anni, più rapidamente di personal computer e internet nelle fasi iniziali di diffusione.

Che cosa significa per una PMI o per una media impresa italiana? Significa che l'AI non è più un vantaggio di reputazione per chi la sperimenta. Sta diventando una condizione di contesto. Clienti, dipendenti, fornitori e concorrenti la useranno comunque, spesso fuori dai perimetri formali dell'azienda. La domanda manageriale cambia: non basta lanciare un progetto pilota, perché il pilota convive con usi spontanei, strumenti acquistati dalle funzioni, funzioni di AI già integrate nei software di produttività e fornitori che incorporano modelli nei propri servizi. Il governo dell'AI comincia quindi prima della grande iniziativa strategica: comincia dal rendere visibile ciò che già accade.

Questo non significa che ogni impresa debba inseguire tutti i casi d'uso. Significa il contrario: più la tecnologia è disponibile, più serve disciplina di scelta. Le aziende mature non partono dalla domanda 'dove possiamo mettere l'AI?', ma dalla domanda 'quale attrito aziendale vale la pena ridurre?'. Un processo lento ma critico, un servizio clienti ripetitivo, una ricerca documentale con fonti verificabili, una manutenzione predittiva già ricca di dati: sono contesti diversi, con rischi diversi. La stessa parola - AI - non basta a governarli.

Il report segnala anche una seconda evidenza: l'impatto economico non è uniforme. Gli studi citati mostrano guadagni di produttività in attività strutturate e misurabili - per esempio customer support e sviluppo software - ma risultati più deboli, o persino negativi, nei compiti che richiedono giudizio più profondo. Questo è un punto decisivo. L'AI aiuta dove il lavoro è delimitato, il risultato è controllabile e la qualità è osservabile. Diventa invece più ambigua quando il compito richiede interpretazione, responsabilità e decisione contestuale. Per il management, la vera domanda non è 'quanto tempo risparmiamo?', ma 'quanto giudizio serve per usare bene ciò che l'AI produce?'.

Il modello non basta: conta la pipeline

Una prima chiave interpretativa viene dal paper From Concept to Release: An Observer-Dependent Pipeline Model for Generative AI Systems with Conversational Front Ends. La tesi è semplice nella formulazione e impegnativa nelle conseguenze: una soluzione di generative AI con interfaccia conversazionale non coincide né con il modello né con il chatbot. È una pipeline. Il risultato dipende dalla coerenza fra obiettivo aziendale, qualità delle evidenze, backend, orchestrazione, front end, sicurezza, osservabilità e apprendimento dopo il rilascio.

Questa lettura è particolarmente utile per le imprese perché sposta la discussione dal vendor al sistema. Un progetto può usare un modello eccellente e fallire comunque se il problema è definito male, se i dati sono incoerenti, se l'interfaccia induce domande sbagliate, se il controllo umano arriva troppo tardi, se i log non permettono di ricostruire il percorso, o se l'utente finale non sa distinguere una risposta plausibile da una risposta fondata. Al contrario, un modello meno spettacolare può generare valore se inserito in una catena progettata con cura.

La pipeline è anche il luogo in cui emergono gli attriti organizzativi: dati sporchi, ruoli confusi, responsabilità frammentate, procedure scritte ma non eseguite, sistemi legacy che non parlano fra loro. L'AI non elimina questi attriti; spesso li rende più visibili e più costosi. Se l'organizzazione è disallineata, l'AI può produrre output più eleganti, non decisioni migliori. Il rischio manageriale è scambiare la fluidità dell'interfaccia per maturità del sistema.

Il costo nascosto è la verifica

La seconda chiave viene dal paper Who Pays the Cost of Verification? The Economy of Judgment in AI-Mediated Scientific Production. Anche se il lavoro è costruito sul dominio della produzione scientifica assistita dall'AI, il suo valore per le imprese è evidente: l'AI può abbassare drasticamente il costo di produzione degli output, ma spostare a valle il costo della verifica. Più report, più bozze, più analisi, più codice, più sintesi. Ma chi controlla? Con quali competenze? Con quali prove? Con quale tempo?

Questo è il punto cieco di molte roadmap aziendali. L'AI viene valutata sul tempo risparmiato nella produzione, mentre il tempo necessario per verificare, contestare, correggere e approvare viene lasciato fuori dal business case o distribuito informalmente sulle funzioni. Il risultato può essere un deficit distribuito di capability: chi produce l'output non possiede tutto il dominio; chi lo usa non conosce il funzionamento del modello; chi lo approva non vede la catena; chi dovrebbe verificarlo non ha tempo, dati o competenze sufficienti.

Per CFO, COO e CIO questo cambia la logica degli investimenti. Il costo dell'AI non è solo licenza, integrazione, cloud, consulenza o formazione. È anche costo di controllo. Ed è un costo che va progettato, non subito. La verifica non può essere un'attività eroica a valle, affidata al buon senso del singolo manager. Deve diventare una parte del processo: campionamenti, soglie, escalation, log, ruoli chiari, audit trail, criteri di accettazione e stop condition. Senza questo, la produttività apparente può trasformarsi in debito organizzativo.

Rischio, opacità e infrastruttura

Il report mostra perché la governance non è un tema astratto. Gli incidenti documentati nei database di riferimento sono aumentati: 362 nel 2025, contro 233 nel 2024. Le organizzazioni intervistate dichiarano maggiore attenzione ai rischi di inaccuratezza e cybersecurity, ma anche una fiducia più bassa nella capacità di risposta agli incidenti. Per un'impresa, il dato non va letto come invito all'allarmismo. Va letto come una soglia di maturità: se l'AI entra nei processi, devono crescere insieme capacità tecnica, capacità organizzativa e capacità di controllo.

C'è poi un tema di opacità. L'AI Index segnala che i modelli di frontiera sono sempre più concentrati in mano industriale e che, in molti casi, informazioni rilevanti su training code, parametri, dataset e durata di addestramento non sono più pubbliche. Per un'azienda utilizzatrice questo significa che la due diligence non può limitarsi alla performance dichiarata. Servono domande su provenienza, sicurezza, dati, responsabilità contrattuali, continuità del servizio, reversibilità, logging, diritti sui dati e capacità di cambiare fornitore.

Infine, l'AI è infrastruttura anche in senso materiale. Il report richiama la crescita dei data center, della capacità elettrica e dell'impronta ambientale. Non è un dettaglio da specialisti: per le imprese significa dipendenza da cloud, chip, energia, disponibilità di capacità computazionale, policy nazionali, sicurezza delle filiere e costi indiretti. L'AI non vive nel vuoto. Dipende da infrastrutture fisiche e geopolitiche, oltre che da modelli.

Che cosa cambia per CEO, CFO, COO, CIO/CISO e HR

Per il CEO, l'AI diventa un tema di disegno organizzativo. Non basta sponsorizzare l'innovazione: occorre stabilire quali decisioni possono essere assistite, quali restano esclusivamente umane, quali processi sono candidati all'automazione e quali richiedono supervisione rafforzata. La priorità è evitare che ogni funzione costruisca il proprio piccolo sistema senza una grammatica comune.

Per il CFO, il punto è distinguere investimento da costo ricorrente e valore da volume. Più output non significa più margine. Un business case serio deve includere costi di integrazione, verifica, rischio, formazione, revisione dei processi e possibile lock-in tecnologico. Dove i benefici sono qualitativi, vanno comunque legati a indicatori osservabili: riduzione dei tempi di ciclo, qualità della documentazione, errori intercettati, miglioramento del servizio, capacità di recuperare informazioni affidabili.

Per il COO, l'AI va portata dentro il flusso operativo reale. Se il processo sottostante è disordinato, l'AI accelera il disordine. Prima di automatizzare occorre chiarire input, handoff, eccezioni, responsabilità e criteri di qualità. Per il CIO e il CISO, il cuore è l'architettura: integrazione, identità, permessi, logging, sicurezza, vendor management, segregazione dei dati e resilienza. Per HR, infine, l'AI non è solo formazione sull'uso dello strumento. È ridisegno delle competenze: capacità di fare domande migliori, leggere output con spirito critico, documentare decisioni, lavorare con sistemi che assistono ma non sostituiscono il giudizio.

Dal progetto AI al governo dell'habitat aziendale

La lettura manageriale più utile è questa: l'AI non produce valore nel vuoto, ma nel contesto aziendale che la ospita. Lo stesso modello può creare valore in un'impresa e rumore in un'altra. La differenza sta nella capacità dell'organizzazione di trasformare un output in una decisione affidabile. Questa capacità dipende da processi, dati e responsabilità. Dipende da quanto il management vede davvero ciò che il sistema sta facendo. Dipende dalla possibilità di ricostruire perché una risposta è stata accettata o scartata.

Il comitato di direzione va quindi trattato come un osservatore collettivo, non come una platea a cui presentare una demo. CEO, CFO, COO, CIO/CISO e HR vedono parti diverse dello stesso sistema: strategia, capitale, operatività, sicurezza, competenze. Se queste prospettive restano separate, l'AI entra in azienda come somma di strumenti. Se vengono integrate, diventa una capacità organizzativa. La governance serve esattamente a questo: mettere in relazione ciò che il modello produce con ciò che l'impresa può decidere, verificare e sostenere nel tempo.

Il passaggio culturale è impegnativo. Molte aziende sono abituate a governare tecnologie tramite budget, procurement e compliance. L'AI richiede qualcosa in più: una disciplina del giudizio. Non basta autorizzare uno strumento; bisogna progettare il modo in cui quello strumento entra nella vita dell'organizzazione. Non basta misurare adozione; bisogna misurare utilità, affidabilità e contestabilità. Non basta chiedere una demo; bisogna chiedere una prova di governo.

Per questo la frase più importante del 2026 non è 'abbiamo adottato l'AI'. È 'sappiamo governarla'.

Cinque domande da portare in comitato di direzione

1. Quale obiettivo aziendale reale vogliamo servire con l'AI, e quale decisione o processo migliorerà in modo osservabile?

2. Quali dati, evidenze e fonti userà il sistema, e chi è responsabile della loro qualità, aggiornamento e tracciabilità?

3. Dove comincia e dove finisce la pipeline: chi progetta, chi usa, chi verifica, chi approva e chi risponde se qualcosa va storto?

4. Quanto costa davvero verificare gli output: tempo, competenze, controlli, audit, escalation e correzione degli errori sono inclusi nel progetto?

5. Dopo il rilascio, che cosa vedrà il management: log, incidenti, qualità, feedback utenti, drift, eccezioni e apprendimento organizzativo saranno monitorati o resteranno invisibili?

Fonti essenziali

• Stanford Institute for Human-Centered Artificial Intelligence, AI Index 2026 Annual Report, aprile 2026.

• Andrea Viliotti, From Concept to Release: An Observer-Dependent Pipeline Model for Generative AI Systems with Conversational Front Ends, DOI 10.5281/zenodo.19593325.

• Andrea Viliotti, Who Pays the Cost of Verification? The Economy of Judgment in AI-Mediated Scientific Production, Zenodo, DOI 10.5281/zenodo.19387902, 2026.