Modello di maturità della governance AI: la posizione delle organizzazioni

L’adozione dell’IA spesso procede più velocemente della governance. I piloti di Copilot vengono lanciati prima che qualcuno riveda i permessi e le funzionalità AI SaaS appaiono prima dell’approvazione della sicurezza. Il WEF and Accenture 2025 Playbook ha rilevato che l’81% di 1.500 aziende si trova ancora nelle prime fasi di maturità dell’IA responsabile.

Quando la leadership chiede quanto sia matura la governance dell'IA dell'organizzazione, si aspetta un numero che possa monitorare anno dopo anno, supportato da una chiara traccia di prove. La maggior parte delle affermazioni di maturità non può fornire tali prove, e una difendibile deve basarsi su ciò che i controlli possono dimostrare, non su ciò che dice la politica. Poche organizzazioni possono sostenere l'affermazione; secondo The Netwrix 2026 Data and Identity Security Report, solo l'11% riporta una completa preparazione alla sicurezza dell'IA.

Il costo di questa lacuna è già evidente nei dati sulle violazioni: le organizzazioni in cui l'AI ha ampliato significativamente l'accesso all'identità riportano un tasso di violazione del 43%, rispetto all'11% dove i modelli di accesso non sono cambiati. Questo è ciò che accade quando la governance non si adatta all'adozione dell'AI.

Qui entra in gioco il modello di maturità della governance dell'IA: trasforma "quanto siamo maturi" da una dichiarazione politica a un numero supportato da prove.

Cos'è un modello di maturità della governance dell'IA?

Un modello di maturità per la governance dell'IA è un quadro strutturato che descrive i livelli di capacità di governance dell'IA, dalla supervisione ad hoc al controllo adattivo e in continuo miglioramento. Per un responsabile della sicurezza o un direttore IT, funziona come un punto di riferimento, un modo per comunicare la postura al Chief Information Security Officer (CISO) o al consiglio, giustificare la prossima richiesta di budget e monitorare i progressi anno dopo anno con uno standard coerente.

Il modello di maturità è distinto da un framework di governance dell’IA. Il framework è ciò che l’organizzazione costruisce: le politiche, i ruoli, i cicli di revisione e i controlli che governano l’uso dell’IA. Il modello di maturità mostra se quel framework funziona e dove presenta delle lacune.

Come questo si collega a NIST AI RMF, EU AI Act e ISO/IEC 42001

I seguenti framework definiscono obblighi e aspettative di controllo piuttosto che punteggi di maturità:

• NIST AI RMF 1.0 definisce quattro funzioni: GOVERN, MAP, MEASURE e MANAGE, senza livelli di maturità a gradini.
• ISO/IEC 42001 certifica la conformità ai requisiti del sistema di gestione su base supera o non supera.
• La legge UE sull'IA classifica i sistemi per livello di rischio e impone obblighi concreti. Articolo 26(6) richiede agli utilizzatori di sistemi ad alto rischio di conservare sotto il loro controllo i log generati automaticamente per almeno sei mesi, e il comunicato stampa del Consiglio dell'Unione Europea di giugno 2026 ha confermato l'adozione del Digital Omnibus, che ha rinviato gli obblighi ad alto rischio dell'Allegato III al 2 dicembre 2027.

Insieme, questi framework definiscono i requisiti di governance, mentre il modello di maturità sottostante traduce tali aspettative in un punteggio operativo, con GOVERN e MAP associati ai livelli iniziali e MEASURE e MANAGE a quelli successivi.

Consideralo un modello pragmatico, adatto al mercato medio, difendibile rispetto a quei framework, e usalo insieme alla mappatura formale della conformità.

I 5 livelli di maturità della governance dell'IA

Ogni organizzazione si trova da qualche parte su questa scala, anche quando il livello non è nominato. Usa questi livelli per riconoscere come appare ogni fase, sia nella quotidianità sia in un documento di policy.

Livello 1: Ad Hoc (shadow AI ovunque)

Il Livello 1 assomiglia a come era l’adozione del cloud un decennio fa: senza governance, invisibile alla sicurezza e notato solo dopo un guasto. Non esiste una governance formale dell’AI. La Shadow AI si diffonde perché i dipendenti adottano gli strumenti più rapidamente di quanto l’IT possa valutarli, e i problemi emergono solo tramite incidenti o risultati di audit. I segnali sono coerenti: nessun inventario AI, politiche che non menzionano mai l’AI, nessun proprietario nominato, nessun logging specifico per AI.

Le organizzazioni a questo livello hanno esposizioni di dati e punti ciechi normativi che non riescono nemmeno a enumerare, e i numeri lo confermano. Il Netwrix 2026 Data and Identity Security Report ha rilevato che solo il 20% delle organizzazioni monitora completamente l’uso di shadow AI da parte dei dipendenti, lasciando la maggior parte a operare proprio da questo tipo di punto cieco.

Livello 2: Definito (esistono politiche, la pratica è in ritardo)

Al Livello 2, qualcuno ha scritto la politica, ma se qualcuno la segua è un’altra questione. L’organizzazione ha documentato le politiche e le responsabilità sull’IA e ha avviato un inventario di base, ma i team le applicano in modo disomogeneo. L’applicazione della politica di uso accettabile dipende da controlli manuali, gli inventari rimangono incompleti e i team aggirano i processi di approvazione lenti.

Quella distanza tra teoria e pratica definisce questo livello; l'organizzazione manca di prove di controllo per revisori o consiglio perché le evidenze di supporto sono assenti. Lo studio Responsible AI Global Executive 2022 di MIT Sloan Management Review e Boston Consulting Group ha rilevato la stessa divisione: l'84% dei leader afferma che responsible AI dovrebbe essere una priorità della direzione, ma solo il 25% riporta un programma completamente maturo, che è il Livello 2 in una singola statistica.

Livello 3: Operazionalizzato (controlli integrati nel processo)

Al Livello 3, la governance diventa un passaggio obbligatorio nell’implementazione anziché un documento da cui i team cercano di districarsi. La governance è integrata nei flussi di lavoro di dati, identità e gestione dei cambiamenti, e l’organizzazione applica una classificazione del rischio a ogni caso d’uso dell’IA. La revisione dell’IA è inclusa nell’accettazione del progetto; i controlli di accesso e Data Loss Prevention (DLP) coprono i dati raggiungibili dall’IA; e ogni implementazione supera un checkpoint di governance.

Questo si manifesta durante gli incidenti, quando il team di sicurezza può dimostrare quali controlli erano in atto, chi ha approvato il sistema e a quali dati poteva accedere.

Livello 4: Misurato (la governance può dimostrare il controllo)

A questo livello, la risposta a "quanto siamo maturi?" ha un numero associato. L'organizzazione monitora le prestazioni di governance con metriche e dashboard, inclusa la completezza dell'inventario, la percentuale di casi d'uso con una valutazione del rischio completata prima del lancio, le violazioni delle politiche e i tempi di rilevamento e risposta agli incidenti. Il SANS AI Self-Assessment Maturity Model elenca il monitoraggio del tempo medio per rilevare (MTTD) e del tempo medio per rispondere (MTTR) agli incidenti AI come requisito di Stage 4.

Le prove di audit e del consiglio sono disponibili su richiesta, con report preparati prima di ogni revisione, rendendo la governance misurabile per i dirigenti invece che aneddotica. La parte difficile è arrivarci, e il sondaggio PwC's 2025 Responsible AI survey ha rilevato che mettere in pratica l'intelligenza artificiale responsabile, trasformando i principi in processi ripetibili e misurati, è l'ostacolo più grande citato da metà degli intervistati.

Livello 5: Adattivo (la governance evolve con l’uso dell’IA)

Nei dati di WEF e Accenture, meno dell’1% delle aziende intervistate aveva completamente operazionalizzato l’IA responsabile con un approccio sistemico e anticipatorio, motivo per cui poche organizzazioni raggiungono questo livello. Al Livello 5, i cicli di feedback guidano un adattamento continuo e le politiche e i controlli rispondono a nuove capacità di IA o nuovi incidenti in giorni anziché in trimestri.

I segnali includono l’applicazione automatizzata nelle pipeline di AI, la valutazione dinamica del rischio e il test proattivo degli scenari, con i team di governance e ingegneria che lavorano in sincronia. La governance a questo livello consente un’adozione sicura dell’AI invece di inseguirla come un ostacolo ritardato.

Cosa misurano le cinque dimensioni

Una singola affermazione "siamo Livello 3" nasconde spesso un anello debole. Molte organizzazioni sono forti nelle policy e deboli nei controlli su dati e identity, o viceversa, quindi valuta queste cinque dimensioni indipendentemente prima di fidarti del numero complessivo.

1. Inventario e ambito: Il livello 1 non ha un elenco dei sistemi di IA in uso. Il livello 5 dispone di un catalogo dinamico e completo che copre strumenti autorizzati, funzionalità IA integrate in SaaS e usi non approvati, ciascuno collegato a una valutazione del rischio. NIST AI RMF nomina esplicitamente questo requisito in GOVERN 1.6.
2. Politica e proprietà: Il livello 1 non ha una politica specifica per l'IA. Il livello 5 ha una politica applicata con un proprietario nominato e responsabile, una persona anziché un comitato. Questa dimensione è dove la maggior parte dei programmi si blocca: L'indagine sulla governance dell'IA 2025 di EY ha rilevato che solo il 18% delle organizzazioni ha responsabilità di governance dei dati chiaramente definite per l'IA.
3. Controlli su dati e identità: Il livello 1 non ha visibilità su quali dati gli strumenti di IA possono raggiungere. Il livello 5 ha documentato, least-privilege access mappato per sistema IA e per identità. Questa dimensione pesa più di quanto la maggior parte dei team si aspetti perché strumenti come Microsoft 365 Copilot ereditano permessi esistenti invece di creare nuovi percorsi di accesso, il che rende la condivisione eccessiva precedente la superficie di esposizione IA.
4. Monitoraggio, registrazione e prove: Il Livello 1 non ha log specifici per l'IA. Il Livello 5 dispone di log, approvazioni e registrazioni di incidenti recuperabili su richiesta, in linea con le logging obligations del EU AI Act logging obligations.
5. Risposta e miglioramento: Il Livello 1 non ha modo di revocare rapidamente l'accesso di un sistema AI. Il Livello 5 può isolare o revocare l'accesso e aggiornare i controlli quasi in tempo reale.

Perché gli agenti AI rendono ogni dimensione più difficile da gestire

L'IA agentica alza il livello su tutte e cinque le dimensioni contemporaneamente, e la maggior parte dei programmi non è ancora al passo. Un sondaggio di gennaio 2026 Cloud Security Alliance e Aembit su 228 professionisti IT e della sicurezza ha rilevato che il 68% delle organizzazioni non riesce a distinguere chiaramente le azioni degli agenti AI dall'attività umana, anche se l'85% utilizza già agenti in produzione. Questo è il problema: un team che raggiunge il Livello 3 o 4 per l'uso standard dell'IA può ritrovarsi di nuovo al Livello 1 quando gli agenti, non solo le interfacce di chat, iniziano ad agire sugli stessi dati.

Come valutare la maturità della governance dell'IA nella tua organizzazione

Una valutazione utile traduce le dimensioni sopra in un punteggio difendibile per l'organizzazione. I team possono svolgere il lavoro senza un consulente.

1. Catalogare ogni sistema di AI che interagisce con i tuoi dati

Elenca ogni strumento AI autorizzato, ogni funzione AI integrata nelle piattaforme SaaS esistenti (Copilot, componenti aggiuntivi di customer relationship management (CRM) e simili) e qualsiasi uso non approvato di AI. Registra a cosa si collega ciascuno, inclusi file condivisi, email, record CRM e repository di codice.

La portata conta più dell’esistenza, e il divario tra ciò che la sicurezza presume sia in uso e ciò che trova il catalogo è spesso la prima sorpresa. Solo i record di acquisto non rileveranno le funzionalità AI aggiunte dai fornitori dopo l’acquisto.

2. Rispondi a cinque domande diagnostiche

Rispondi onestamente, poiché il divario tra risposte oneste e aspirazionali è il punto di questo esercizio.

• L'organizzazione può elencare tutti i sistemi di IA in uso, comprese le funzionalità di IA SaaS?
• Sa esattamente quali dati sensibili Copilot o qualsiasi assistente AI distribuito può raggiungere?
• Esiste un proprietario nominato e accountable per la governance dell'IA?
• Può produrre un registro di accesso o incidente AI entro 24 ore se richiesto da un regolatore o dal consiglio?
• Può revocare l'accesso ai dati di un sistema AI senza un ciclo di gestione delle modifiche di più settimane?

Un singolo "no" identifica la dimensione debole. Tre o più risposte "no" collocano l'organizzazione al Livello 1 o 2, indipendentemente da quanto affermi il documento di policy.

3. Valuta ciascuna delle cinque dimensioni da 1 a 5

Valuta ogni dimensione sulla propria scala da 1 a 5 invece di usare un unico numero per l'intero programma. Un 1 significa che la domanda diagnostica sopra ha ricevuto un netto no. Un 3 significa che la capacità esiste ma si basa su un controllo manuale o sulla memoria di una persona anziché su un sistema di registrazione. Un 5 significa che la prova è automatica, aggiornata e recuperabile senza che nessuno debba creare un rapporto per dimostrarlo. Valuta in base a ciò che supporta la prova, non a ciò che promette il linguaggio della politica.

4. Mappa i punteggi in una mappa di calore, non una media

Costruisci il risultato come una griglia semplice: cinque righe per le dimensioni, una colonna per il punteggio attuale e una per l’obiettivo a 12 mesi, con le due punteggi più bassi evidenziati indipendentemente dagli altri tre. Questa griglia, non un paragrafo di avvertenze, è ciò che dovrebbe essere mostrato al consiglio. Mediare i cinque numeri in un unico punteggio nasconde esattamente il problema che questo esercizio intende far emergere, poiché un programma di politiche di Livello 4 con visibilità dei dati di Livello 1 è in realtà un programma di Livello 1.

5. Impostare un livello obiettivo e una tempistica

Scegli un livello obiettivo realistico per i prossimi 12-24 mesi, perché un punteggio senza un obiettivo diventa una slide che nessuno rivede. Per la maggior parte delle organizzazioni nelle fasi iniziali, significa raggiungere Defined o Operationalized invece di dichiarare Adaptive per default. Valuta l’esposizione normativa e gli incidenti recenti più della comodità quando scegli quale dimensione correggere per prima. Un team con visibilità dati di Livello 1 prima di un audit imminente non dovrebbe passare il primo trimestre a rifinire il documento di policy.

Come colmare il divario verso il prossimo livello di maturità

La direzione da prendere dipende dal punteggio ottenuto dall'organizzazione. Ogni passaggio presuppone che la valutazione sopra abbia identificato il livello attuale e la dimensione più debole.

Passaggio dal Livello 1 (Ad Hoc) al Livello 2 (Definito)

Al Livello 1, rendi visibile l'IA prima di tentare di controllarla. Consideralo come uno sprint di 30 giorni con un unico risultato, una prima bozza del registro del sistema IA che l'organizzazione può difendere in una riunione.

Inizia eseguendo un inventario di IA su record di approvvigionamento, console amministrative OAuth e SaaS, e un sondaggio diretto alle unità aziendali, nominando un responsabile unico, una persona, non un comitato. Una volta stabilita questa base, pubblica una breve politica sull’uso dell’IA che vieta l’uso ad alto rischio di shadow AI su dati regolamentati e richiede l’approvazione per nuovi strumenti, e utilizza le capacità esistenti di scoperta dati per iniziare a mappare dove l’IA potrebbe toccare dati sensibili.

Passare dal Livello 2 (Definito) al Livello 3 (Operazionalizzato)

Al Livello 2, sposta la governance fuori dal documento di policy e nei flussi di lavoro che le persone già utilizzano. Esegui questo come un progetto pilota di 90 giorni su due o tre sistemi di IA prima di estenderlo ulteriormente.

• Incorpora la revisione AI nell'acquisizione del progetto e nella gestione delle modifiche in modo che un deployment non possa andare in produzione senza passarci attraverso.
• Estendi i controlli di minimo privilegio e DLP ai sistemi accessibili dall'IA e avvia la routine di certificazione degli accessi per quei sistemi specificamente.
• Gestisci gli incidenti di IA come qualsiasi altro evento di sicurezza, con la stessa cadenza di esercitazioni e percorso di escalation.

Il pilota ha successo quando i suoi flussi di lavoro di approvazione, accesso e incidenti generano prove senza che nessuno debba chiederle; quel modello si estende poi al resto del registro.

Passaggio dal Livello 3 (Operativizzato) al Livello 4 (Misurato)

Al Livello 3, sostituire "l'organizzazione crede di avere il controllo" con numeri che lo dimostrino, per un intero trimestre di rendicontazione.

• Definisci le metriche prima dell’inizio del trimestre, coprendo la completezza dell’inventario, l’aderenza alle policy e i tempi di rilevamento e risposta agli incidenti, in modo da avere una base di riferimento.
• Correggi i flussi di lavoro di registrazione e raccolta delle prove in modo che un audit venga risposto con una query, non con un caos di fogli di calcolo.
• Produci il primo rapporto trimestrale di governance prima che qualcuno lo richieda, coprendo tutte le metriche sopra indicate.

Raggiungere quel primo rapporto trimestrale è ciò che distingue un programma che è Misurato da uno che sembra solo misurato.

Passare dal Livello 4 (Misurato) al Livello 5 (Adattivo)

Al Livello 4, automatizza le parti della governance che rimangono manuali e reattive in modo continuo, poiché il Livello 5 è una capacità permanente e non un progetto con una data di fine.

• Automatizza l'applicazione dove possibile, inclusi i controlli basati su policy nelle pipeline AI e le decisioni di accesso dinamiche.
• Esaminare i dati sugli incidenti e le tendenze almeno trimestralmente e usarli per aggiornare la governance in modo proattivo anziché a posteriori.
• Coinvolgi le unità aziendali in una cadenza regolare di revisione della governance e gestisci l'IA come un asset strategico con un proprio proprietario, budget e metriche.

La maturità adattiva dipende da segnali di governance che modificano le decisioni operative in tempo reale, non da dashboard che documentano solo la storia a posteriori.

Come Netwrix supporta la maturità della governance dell'IA

La maggior parte delle valutazioni di maturità fallisce nei controlli sui dati e sull'identità, nonché nel monitoraggio, nella registrazione e nelle prove. Netwrix fornisce la postura di sicurezza dei dati e il contesto dell'identità che rendono le affermazioni di maturità dimostrabili oltre il Livello 2, l'espressione pratica di "Data Security That Starts With Identity™." Piattaforme specializzate di AI governance coprono la governance del ciclo di vita del modello; Netwrix copre le prove sottostanti.

Colmare il divario di visibilità tra dati e identità

La Netwrix 1Secure™ Platform utilizza Data Security Posture Management (DSPM) per scoprire e classificare i dati sensibili su SharePoint Online e server di file Windows, mappando ciò che Copilot o qualsiasi strumento AI può raggiungere prima del lancio. Questo colma una specifica lacuna identificata dal Netwrix 2026 Data and Identity Security Report: il 79% delle organizzazioni non ha una visibilità completa sui dati sensibili usati in strumenti AI, modelli o copiloti. Netwrix Access Analyzer estende la stessa visibilità ai server di file on-premises, e il suo Effective Access Report mostra gli accessi che un utente ha invece delle semplici voci di permesso.

Trasformare la deriva dei permessi in un record verificabile

Ogni strumento AI opera sotto un'identità, e Netwrix Auditor monitora come i permessi di tali identità cambiano nel tempo in Active Directory e Microsoft Entra ID, inclusi cambi di ruolo, attività di accesso e escalation di privilegi. Flagler Bank ha raggiunto questa visibilità in 30 minuti e ha ridotto il tempo di indagine da ore a 10 minuti, il tipo di prova operativa che trasforma questa dimensione da valutata a dimostrabile.

Produrre prove su richiesta invece di ricostruirle

Un programma misurato risponde alle domande del consiglio e dei regolatori con i log, non con la memoria. La cronologia delle modifiche di Netwrix Auditor e i report predefiniti di attività, conformità e rischio di 1Secure forniscono al team di sicurezza registri on-demand. Il Aggiornamento 1Secure di marzo 2026 ha aggiunto valutazioni di prontezza Copilot e tracce di audit delle interazioni AI su questa base.

La sintesi sulla maturità della governance dell’IA

Il divario tra il livello che un'organizzazione pensa di avere e quello che può dimostrare è, in quasi tutti i casi, prima di tutto un divario di visibilità dei dati. Valuta onestamente le cinque dimensioni, correggi la più debole prima di inseguire la prossima etichetta e rivedi la valutazione almeno una volta all'anno, o prima dopo un importante deployment di AI o un incidente. Un modello di maturità che emerge solo durante un audit è un artefatto di conformità. Uno che stabilisce le priorità del prossimo trimestre è uno strumento di governance e un aiuto per la pianificazione della resilienza informatica.

Richiedi una demo per vedere come Netwrix può aiutarti a trasformare le dimensioni di dati e identità di questo modello da un punteggio auto-riferito a un numero supportato da prove.