La diffusione degli agenti AI nelle aziende sta creando un nuovo problema di governance, con una parte crescente dei workflow automatizzati che opera al di fuori del controllo diretto dei dipartimenti IT. È quanto emerge da una nuova ricerca di Veeam, secondo cui il 70% delle organizzazioni EMEA ammette che sistemi e workflow basati sull’AI interagiscono con dati aziendali sensibili senza una supervisione completa.

Il fenomeno assume dimensioni ancora più rilevanti sul fronte della cosiddetta Shadow AI. Nel 67% delle aziende, i dipendenti stanno infatti sviluppando workflow autonomi basati sull’intelligenza artificiale che l’IT non riesce a monitorare completamente. Una dinamica che ricorda quella già osservata con le applicazioni SaaS non autorizzate, ma che nel caso dell’AI assume una rilevanza maggiore visto che gli agenti possono accedere ai dati, elaborarli e prendere decisioni operative con un livello di autonomia superiore rispetto ai tradizionali strumenti software.

Il problema, quindi, non riguarda esclusivamente la sicurezza informatica. Quando mancano visibilità, controllo degli accessi, tracciabilità e adeguati meccanismi di protezione, viene messa in discussione la stessa affidabilità dei dati utilizzati dai sistemi di AI. Per un’organizzazione che intende affidare all’intelligenza artificiale processi sempre più importanti, si tratta di un rischio sia tecnico, sia strategico.

1

La questione sta inoltre raggiungendo i vertici aziendali. Il 58% delle organizzazioni intervistate è soggetto a nuove normative che introducono responsabilità a livello corporate, mentre nel 12% dei casi le responsabilità individuali dei dirigenti non risultano ancora definite con sufficiente chiarezza. L’impatto sui management team è già evidente. Il 40% dei dirigenti coinvolti nella ricerca dichiara di essere preoccupato per la propria responsabilità personale e per le possibili conseguenze derivanti da problemi di resilienza o compliance. Il 39% rileva un maggiore controllo da parte dei consigli di amministrazione, mentre il 37% segnala un aumento dello stress personale e nel 32% dei casi l’inasprimento degli obblighi ha generato tensioni o conflitti tra i dirigenti.

Non mancano tuttavia effetti positivi. Il 45% delle organizzazioni ritiene infatti che l’aumento delle responsabilità abbia favorito un maggiore allineamento tra i vertici e una più chiara focalizzazione sulle priorità aziendali. Il quadro varia sensibilmente tra i diversi Paesi EMEA, con la Germania che rappresenta uno degli scenari più critici. L’81% dei leader tedeschi ammette infatti che i workflow automatizzati accedono a dati sensibili senza un’adeguata supervisione, mentre il 79% segnala la presenza di workflow creati autonomamente dai dipendenti e non pienamente monitorabili dall’IT. Nel Regno Unito, invece, il 75% delle organizzazioni dichiara di non avere una supervisione sufficiente sugli agenti AI che interagiscono con informazioni sensibili.

Le aziende stanno cercando di reagire anche attraverso una maggiore localizzazione dell’intelligenza artificiale. Il 41% delle organizzazioni EMEA sta sviluppando modelli AI locali o sovrani con l’obiettivo di ridurre i rischi associati alla Shadow AI. Un ulteriore 49% sta adottando un modello ibrido, riservando sistemi locali o sovrani alla gestione dei dati più sensibili e utilizzando modelli globali per applicazioni considerate meno critiche.

2

A spingere ulteriormente questo processo contribuisce il quadro normativo europeo. L’EU AI Act introduce infatti obblighi progressivi e un sistema di responsabilità che richiede alle imprese di comprendere con maggiore precisione come vengono utilizzati i sistemi di intelligenza artificiale.

L’83% dei leader intervistati considera positivo l’impatto del regolamento, ma permane una consistente incertezza sulla sua applicazione concreta. Il 62% teme che ambiguità e aree grigie possano generare problemi di compliance, mentre il 63% considera possibile l’emergere di rischi operativi o legali non previsti. Le preoccupazioni sono particolarmente elevate in Germania e Regno Unito, dove rispettivamente il 73,6% e il 74,4% degli intervistati considera le ambiguità normative un potenziale rischio per la conformità.

Per Veeam, la risposta non può consistere nel tentativo di controllare singolarmente ogni agente AI presente nell’organizzazione. Con la crescita dell’AI agentica, infatti, un approccio di questo tipo diventerebbe rapidamente ingestibile. La priorità deve quindi spostarsi sulla governance dei dati, sapendo quali informazioni vengono utilizzate, da quali sistemi, con quali autorizzazioni e con quali garanzie di protezione e resilienza.

(Immagine in apertura: Shutterstock)