Quando l’IA agisce, l’IT è ancora responsabile delle conseguenze

Gli esecutivi responsabili della tecnologia si trovano di fronte a una realtà scomoda. Le strategie di gestione IT che un tempo garantivano il controllo, la responsabilità e la resilienza non sono più adeguate per il futuro. Ciò non è il risultato di un fallimento di leadership o di disciplina, né è il risultato di errori isolati. Riflette un cambiamento strutturale nel modo in cui la tecnologia opera e le decisioni vengono prese all’interno delle moderne imprese.

Al centro di questo cambiamento c’è l’intelligenza artificiale, che sta ridefinendo non solo gli strumenti utilizzati dalle organizzazioni, ma anche la meccanica stessa della governance. L’IA non si limita a estendere i sistemi esistenti; altera il ritmo, la scala e l’autonomia con cui quei sistemi funzionano e costringe a riconsiderare come il controllo venga stabilito e mantenuto.

La sfida non è più come controllare ogni azione. È come progettare guardrail che consentano ai sistemi autonomi di muoversi rapidamente senza creare livelli inaccettabili di rischio, costo o conseguenze non intenzionali.

Quando la governance perde la sua finestra

Per decenni, la governance IT si è basata su un’ipotesi fondamentale: i sistemi operavano a un ritmo che consentiva la supervisione umana. Le politiche potevano essere revisionate, i budget valutati, la conformità verificata e le eccezioni escalate perché c’era sempre il tempo di intervenire prima che gli esiti diventassero materiali. Anche mentre le organizzazioni crescevano attraverso ondate di innovazione mobile, cloud e Big Data, quell’ipotesi ha mantenuto in larga misura. C’era sempre una finestra di governance, un punto tra intento ed esecuzione in cui il giudizio umano poteva essere applicato per plasmare, fermare o espandere gli esiti.

Quell’ipotesi non è più valida. Il sondaggio di marzo 2026 di EY sulle tecnologie ha rilevato che l’85% dei leader tecnologici sta ora dando priorità alla velocità di mercato per l’IA rispetto alla governance, un segnale che l’equilibrio tra controllo e velocità ha già iniziato a inclinarsi a favore dell’esecuzione.

E sappiamo il perché. L’IA introduce cicli decisionali autonomi che sono complessi, interconnessi e sempre più indipendenti dalle tradizionali limitazioni come il budget, la conformità e il controllo di sicurezza. Questi sistemi non si fermano per la revisione o attendono l’approvazione. Sono progettati per agire in modo incessante, adattarsi e completare gli obiettivi, spesso in tempo reale e a una scala che supera la comprensione umana, anche se parlano con la facciata della cortesia umana. Il risultato è una compressione dei cicli decisionali al punto in cui l’intervento umano significativo non è più fattibile.

L’IA cambia l’economia dell’esecuzione

Allo stesso tempo, questa trasformazione converge con un altro cambiamento strutturale che sta ridefinendo la tecnologia aziendale. Il consumo è passato da investimenti fissi a modelli basati sull’uso e sui risultati, in cui i costi si scalano dinamicamente con l’esecuzione. Il rapporto di dicembre 2025 di Menlo Ventures, The State of Generative AI in the Enterprise, illustra la portata di questo cambiamento, notando che le aziende hanno speso 37 miliardi di dollari in AI generativa nel 2025 solo, un aumento di 3,2 volte rispetto all’anno precedente.

In questo nuovo ambiente, i sistemi di IA sono ottimizzati per ottenere risultati, non per aderire a vincoli predefiniti. Perseguono gli obiettivi attraverso modelli di consumo di risorse che sono intrinsecamente difficili da prevedere. Una singola richiesta può scatenare una cascata di azioni attraverso API, servizi interni e dipendenze di terze parti, con conseguenze finanziarie e operative che spesso diventano visibili solo dopo che l’esecuzione è già avvenuta. Ciò che sembra semplice nel punto di inizio può espandersi in una catena complessa di interazioni che non rientra più nei tradizionali quadri di budget e governance.

Il collasso dei modelli di controllo tradizionali

Le implicazioni per la governance sono profonde. I modelli di gestione IT tradizionali si basano su una sequenza familiare: definire le politiche, preapprovare le decisioni, gestire le eccezioni e verificare gli esiti. Ogni passo è costruito sull’ipotesi che ci sia una chiara separazione tra intento e impatto. Ma in un ambiente guidato dall’IA, il divario tra intento e impatto è effettivamente scomparso.

Le politiche non possono adattarsi abbastanza rapidamente per governare l’esecuzione in tempo reale. La preapprovazione diventa impraticabile quando le decisioni si sviluppano in millisecondi. Le eccezioni sorgono solo dopo che l’esito ha già propagato attraverso i sistemi. Le verifiche rimangono possibili, ma possono solo ricostruire gli eventi dopo il fatto, spesso molto tempo dopo che le conseguenze si sono già materializzate.

La prova di questo crollo è già visibile. Il rapporto di IBM sul costo di una violazione dei dati ha rilevato che il 97% delle organizzazioni che hanno subito violazioni di dati significative legate all’IA non avevano controlli di accesso appropriati per quei sistemi. Eppure, anche di fronte a questi rischi, l’adozione continua ad accelerare, guidata dal valore strategico percepito dell’IA. La storia suggerisce che questo squilibrio non durerà a lungo. La tecnologia non ha mai funzionato senza governance per molto tempo, e nel tempo, l’IA richiederà nuove forme di struttura, disciplina e controllo eseguibile che devono essere definite molto diversamente dalle ipotesi di oggi.

L’emergere dell’IA agente su generativa AI accelera ulteriormente questa trasformazione. I sistemi in grado di pianificare, eseguire e raffinare le proprie azioni rappresentano un cambiamento fondamentale nel modo in cui il lavoro viene svolto. Il controllo non è più incorporato in sequenze di decisioni umane; è incorporato nella progettazione del sistema stesso. Quella progettazione determina non solo quali azioni vengono intraprese, ma anche quanto lontano, quanto velocemente e a quale costo quelle azioni si propagano. Deve quindi codificare le ipotesi, i vincoli e gli obblighi che le organizzazioni sono tenute a sostenere, dalla conformità normativa alla politica operativa alla fiducia del cliente.

La responsabilità è ancora umana

Ciò crea una crescente tensione tra capacità e responsabilità. L’IA opera alla velocità della macchina, mentre la responsabilità rimane saldamente umana, limitata dal ritmo al quale le persone possono interpretare, comprendere e rispondere agli esiti. I consigli di amministrazione, i regolatori e gli azionisti non accetteranno che i sistemi autonomi abbiano semplicemente agito come progettati come spiegazione sufficiente per il fallimento. La responsabilità non si sposta con l’automazione; rimane con l’impresa e con gli esecutivi incaricati della sua supervisione.

Il risultato è un allargamento del divario tra azione e responsabilità. Le decisioni vengono eseguite più velocemente di quanto possano essere governate, e spesso in modi che sono difficili da tracciare in tempo reale. Allo stesso tempo, l’obbligo di spiegare, controllare e giustificare quelle decisioni si intensifica mentre il loro volume e impatto crescono. Questo divario definisce la sfida centrale che gli attuali leader IT devono affrontare: governare un ambiente in cui l’intervento non può essere assunto, i costi sono intrinsecamente variabili e il controllo non può essere completamente ricostruito dopo il fatto.

Una nuova categoria di rischio aziendale

La velocità e l’autonomia delle decisioni guidate dall’IA creano un profilo di rischio materialmente diverso. Questi sistemi non si limitano ad espandere l’esposizione attraverso categorie familiari come il rischio finanziario, operativo, legale o di reputazione; alterano il modo in cui quei rischi emergono, si ampliano e si materializzano. L’esposizione finanziaria può crescere rapidamente mentre l’attività basata sul consumo si accumula in tempo reale. Le interruzioni operative possono propagarsi attraverso sistemi interconnessi prima di essere rilevate. Le violazioni legali e normative possono verificarsi senza chiara intenzione o tracciabilità. Il danno alla reputazione può svilupparsi più velocemente di quanto un’organizzazione possa rispondere.

Questi rischi non sono più teorici. Un singolo individuo può ora distribuire agenti di IA in grado di impegnare spese, modificare sistemi e iniziare azioni a un ritmo che supera la capacità delle funzioni legali, IT o finanziarie di definire limiti, monitorare il comportamento o applicare controlli. La responsabilità diventa sempre più difficile mentre i meccanismi di governance tradizionali falliscono nel tenere il passo con la velocità di esecuzione, e la pianificazione del budget diventa meno coerente mentre azioni piccole e incrementali si accumulano in esiti finanziari materiali.

In questo ambiente, i sistemi di IA perseguiranno costantemente il percorso più efficiente per raggiungere i loro obiettivi. Senza vincoli chiaramente definiti, quel percorso spesso divergerà dalle aspettative organizzative.

Dalla gestione delle infrastrutture alla progettazione delle guardrail

Queste realtà stanno ridefinendo il ruolo della leadership IT. I leader tecnologici non stanno più semplicemente gestendo i sistemi; stanno gestendo il comportamento autonomo su larga scala. Il ruolo dell’IT sta passando dal controllo diretto delle infrastrutture alla progettazione e all’applicazione di guardrail che definiscono livelli accettabili di intento, rischio e costo. Dove l’IT si concentrava una volta sulla fornitura di archiviazione, calcolo e connettività, deve ora concentrarsi su come i sistemi agiscono all’interno dei confini definiti perché il futuro dell’IT dipende dall’efficacia di queste guardrail.

Le organizzazioni che non si adattano lottano per operare alla velocità richiesta dai clienti e dai mercati. Coloro che hanno successo guadagneranno un vantaggio competitivo sostenibile combinando velocità e controllo. Questo momento rappresenta un punto di svolta per le imprese, che determinerà quanto efficacemente possono sfruttare l’IA per espandere la produzione, migliorare le prestazioni e competere in un ambiente sempre più dinamico.

In ultima analisi, la responsabilità rimane umana. Le organizzazioni che avranno successo saranno quelle che riconosceranno questa realtà e saranno preparate a operare all’interno di essa.

Cosa dovrebbero fare i CIO con orientamento al futuro

Questi cambiamenti creano un insieme chiaro di priorità per il CIO con orientamento al futuro.

I CIO devono stabilire una forte governance finanziaria e operativa sull’attività di IA, basata su controlli in tempo reale che gestiscono i costi, i trigger di esecuzione e il comportamento agente. Questi controlli devono includere meccanismi eseguibili come soglie di spesa, soffitti di utilizzo e interruzioni automatiche che impediscono il consumo fuori controllo prima che crei un impatto finanziario materiale.

Allo stesso tempo, le organizzazioni devono definire e gestire l’economia sottostante dell’IA. Ciò richiede il tracciamento dei driver chiave come prompt, chiamate di modello, agenti e modelli di accesso, assicurandosi che queste misure siano direttamente legate agli esiti aziendali come la domanda dei clienti, la consegna del servizio, la produttività operativa e la crescita dei ricavi.

La governance deve anche includere la visibilità continua in tempo reale nell’attività di IA. La tracciabilità e la verificabilità non possono più affidarsi all’analisi post-evento; devono fornire una comprensione continua di come i sistemi operano, da dove proviene l’attività, quali modelli e agenti sono coinvolti e come vengono consumate le risorse. Questa visibilità consente alle organizzazioni di osservare il comportamento mentre si sviluppa e intervenire quando necessario.

L’esecuzione dell’IA deve essere compresa non come un singolo evento, ma come una catena di interazioni e passaggi che devono essere tracciati in modo continuo e contestuale. Una singola richiesta può scatenare un’attività a valle attraverso sistemi interni, servizi esterni e agenti coordinati, ampliando sia il costo che l’impatto operativo. La governance efficace richiede quindi la visibilità di queste catene di dipendenza e definizioni per comprendere appieno la portata dell’esecuzione.

La chiara proprietà e la responsabilità devono sostenere tutti questi sforzi. Le organizzazioni devono definire chi è responsabile della costruzione e della distribuzione dei sistemi di IA, chi possiede gli output che generano e chi è responsabile degli esiti finanziari, operativi e di conformità. Senza una proprietà esplicita, la governance non può avere successo.

Infine, i CIO devono standardizzare un set di metriche a livello esecutivo che traducono l’attività tecnica in insight aziendale significativo. Queste includono il costo dell’utilizzo del modello, il costo per esito guidato dall’IA, la spesa totale di IA sotto gestione e la visibilità a livello di portafoglio attraverso modelli e agenti. Insieme, queste misure forniscono una visione chiara sia della scala che dell’efficienza dell’utilizzo dell’IA, abilitando decisioni informate ai massimi livelli dell’impresa. Queste includono il costo dell’utilizzo del modello, il costo per esito guidato dall’IA, la spesa totale di IA sotto gestione e la visibilità a livello di portafoglio attraverso modelli e agenti. Insieme, queste misure forniscono una visione chiara sia della scala che dell’efficienza dell’utilizzo dell’IA, abilitando decisioni informate ai massimi livelli dell’impresa.