Strategia di governance dell'IA: Oltre la facciata della conformità

L'IA sta creando urgenza a livello di consiglio e un problema definitorio nel mercato. A giugno 2026, Gartner ha pubblicato il suo primo Magic Quadrant for AI Governance Platforms, offrendo un quadro per valutare le piattaforme che le organizzazioni possono utilizzare per supervisionare i loro patrimoni di IA: catalogare i casi d'uso dell'IA, gestire il rischio del modello, applicare politiche di IA responsabile e dimostrare la conformità con le normative emergenti come l'EU AI Act. Ma qualsiasi strategia di governance costruita interamente intorno alla supervisione del modello manca della base. Prima di poter governare i sistemi di IA, devi governare ciò che quei sistemi possono toccare.

Durante le conversazioni con CIO e CISO, emergono costantemente le stesse preoccupazioni di governance dei dati e delle identità. Devono governare i dati sensibili che l'IA acquisisce e riutilizza, e le identità agentive che proliferano nei loro ambienti. Questi problemi distinti ma urgenti non sono il focus del rapporto di Gartner.

La posta in gioco è reale: il 2026 Data & Identity Security Report di Netwrix, che ha intervistato 2.317 leader della sicurezza e IT in tutto il mondo, ha rilevato un tasso di violazioni del 43% nelle organizzazioni in cui l’IA ha aumentato significativamente l’impronta dell’identità negli ultimi 12 mesi. Quasi quattro volte il tasso dell’11% nelle organizzazioni in cui non è successo. Un solo framework di conformità non chiuderà questo divario.

Le organizzazioni stanno scalando l'IA con controlli insufficienti su dati e identità

La governance dell'IA ha due dimensioni, e la maggior parte dei framework ne affronta solo una

La definizione di Gartner è accurata, ma incompleta.

Secondo la definizione di Gartner, le piattaforme di governance dell'IA sono progettate per governare il sistema di IA stesso: quali modelli sono in uso, come si comportano, se rispettano le policy e se l'organizzazione può dimostrare responsabilità nei confronti dei regolatori. Questa è una dimensione della governance dell'IA.

Per la maggior parte delle organizzazioni, le preoccupazioni più urgenti da affrontare per prime sono (1) mettere in ordine i propri dati e (2) rafforzare i controlli di identità. In un contesto di IA, ciò include governare quali dati l'IA può accedere e le identità che l'IA assume nei loro ambienti. Ogni iniziativa di IA, da un semplice dispiegamento di Copilot a un flusso di lavoro agente complesso, opera sui dati. Se quei dati sono sovraesposti, classificati in modo errato o accessibili a identità con permessi eccessivi, nessuna quantità di documentazione del model-card o test di bias impedirà una violazione. E man mano che agli agenti IA vengono concessi i propri diritti di accesso, inclusi account di servizio, token e permessi persistenti, essi stessi diventano identità, con tutta la superficie di attacco che ciò implica.

Identità non umane: il divario di governance che gli aggressori troveranno per primo

Una domanda merita particolare attenzione: quanto bene stai governando le identità non umane? Gli agenti AI non sono più una preoccupazione futura. Vengono implementati oggi e stanno acquisendo diritti di accesso a dati, sistemi e API a un ritmo che la maggior parte dei programmi di governance dell'identità non è stata progettata per monitorare. Un agente AI con accesso permanente e stabile a dati sensibili è un rischio di identità reale quanto qualsiasi utente umano privilegiato e in molti ambienti è molto meno controllato. Se il tuo programma di governance dell'identità non copre esplicitamente le identità non umane e gli agenti AI, ha una lacuna che gli attaccanti troveranno prima dei tuoi revisori.

I dati del nostro sondaggio sottolineano l'urgenza: Il 74% delle organizzazioni non dispone di una vista unica e unificata dei dati sensibili e delle identità che possono accedere a tali dati. Le organizzazioni che corrono a implementare l'IA su questa base potrebbero accelerare il loro business, ma stanno anche amplificando il loro rischio.

Sicurezza dei dati e dell'identità: Il prerequisito per la strategia di governance dell'IA

Sebbene il rapporto di Gartner si concentri sulla governance dell’uso dell’IA, è fondamentale che CIO, CISO e responsabili della conformità che avviano un programma di governance dell’IA diano priorità alla sicurezza e alla governance dei dati, nonché alla sicurezza e alla governance dell’identità. Ogni responsabile IT e della sicurezza dovrebbe iniziare oggi con una valutazione della propria preparazione all’IA, iniziando con una revisione della propria postura di dati e identità.

Per aiutare in questo sforzo, Netwrix ha compilato una lista di controllo di domande da porre ai tuoi team:

Checklist per la governance dell'IA: preparazione alla sicurezza dei dati e della identità

• Abbiamo scoperto e classificato tutti i nostri dati?
• Abbiamo un inventario completo di dove risiedono i dati sensibili nel nostro ambiente?
• Abbiamo una visione unica e unificata di dove si trovano i nostri dati sensibili e quali identità (umane, account di servizio, agenti AI, ecc.) possono accedervi?
• Quanto velocemente possiamo determinare quali identità hanno accesso a un dato sensibile specifico?
• Possiamo identificare permessi di accesso ai dati eccessivi o non necessari?
• I nostri diritti di accesso ai dati sono il più restrittivi possibile (ad esempio, applichiamo il principio del minimo privilegio o abbiamo qualche sovraassegnazione)?
• Quanto velocemente le identità non umane possono accedere ai dati sensibili nel nostro ambiente?
• Quanto bene possiamo scoprire, tracciare e monitorare le identità con diritti di accesso ai dati?
• Quanto siamo maturi nella gestione delle identità non umane?
• I nostri controlli di accesso ai dati per le identità non umane (inclusi gli agenti AI) sono gestiti con la stessa rigidità di quelli per le identità umane?
• Possiamo revocare immediatamente l'accesso ai dati sensibili quando non sono più necessari?
  • Per gli esseri umani? Per agenti AI?
• Possiamo eseguire una scoperta continua dei dati e delle identità che vi possono accedere, oppure stiamo ancora effettuando revisioni periodiche che lasciano potenziali lacune di esposizione?
• Possiamo rilevare combinazioni di accesso rischiose o tossiche (ad es. approvare + modificare + eliminare)?
• Quando viene identificato un accesso eccessivo o rischioso, quanto velocemente possiamo porvi rimedio?
• Quanto spesso gli account privilegiati ricevono accesso permanente e sempre attivo a sistemi o dati sensibili?
• Siamo sicuri che il nostro ambiente di directory (ad esempio, Active Directory, Entra ID, ecc.) sia privo di configurazioni errate che potrebbero consentire l'escalation dei privilegi?
• Possiamo bloccare il flusso di dati sensibili e codice sorgente verso LLM non autorizzati ai nostri endpoint?
  • Che dire oltre Windows (ad esempio, per dispositivi Mac o Linux)?
• Abbiamo visibilità su quali dati Copilot può accedere e i dati sono gestiti correttamente in modo che i dati sensibili non vengano esposti involontariamente ai dipendenti tramite Copilot?
• Abbiamo visibilità e controllo sull'uso di token in chiaro e credenziali nei nostri ambienti di codifica AI (una pratica comune sfruttabile dagli attaccanti)?
• Quanto siamo sicuri di poter dimostrare la conformità alle nuove normative sull'IA (ad esempio, il EU AI Act o altre normative nazionali/locali/di settore)?
• Chi è responsabile dei rischi legati all'IA nella nostra organizzazione?
  • Sono dotati di sufficiente visibilità e controllo per rispondere alle domande del consiglio o del revisore?

Le risposte a domande come queste forniscono un’idea di dove sono le tue lacune e le aree da prioritizzare per garantire la preparazione all’IA.

I team IT e sicurezza sono al limite

Nel sondaggio di Netwrix, abbiamo scoperto che il 60% delle organizzazioni indica come principale ostacolo al miglioramento della sicurezza dell'identità e dei dati oggi i vincoli di budget o una carenza di competenze e personale. Anche se l'IA crea una nuova urgenza, i team IT e di sicurezza con risorse limitate hanno ancora opzioni per semplificare la governance e la sicurezza dell'identità e dei dati.

Una sfida urgente sia per i team piccoli che per quelli grandi è la frammentazione degli strumenti: il 20% degli intervistati ha indicato questo come il principale ostacolo al miglioramento della sicurezza dell'identità e dei dati, posizionandolo appena dietro ai vincoli di budget e alle lacune di competenze e personale.

Ridurre la proliferazione degli strumenti per rafforzare la strategia di governance dell'IA

Netwrix facilita il successo dei team sovraccarichi riducendo la proliferazione di strumenti con Netwrix 1Secure™, che unifica capacità critiche di sicurezza e conformità dei dati e dell'identità in un unico ambiente SaaS. 1Secure può generare report in soli 20 minuti per evidenziare i rischi di esposizione e fornire indicazioni per la risoluzione.

Puoi anche confrontare la maturità della tua sicurezza rispetto ad organizzazioni simili utilizzando lo strumento gratuito Security Maturity Assessment. Per vedere come Netwrix affronta la governance dell'IA per Copilot e la protezione dei dati LLM, visita la pagina della piattaforma AI Governance.

La governance dell'IA senza sicurezza dei dati e dell'identità è una facciata di conformità

Un programma di governance dell’IA che governa solo i sistemi di IA, senza governare i dati a cui l’IA può accedere e le identità che l’IA assume, è una strategia incompleta. Le organizzazioni che anticipano questo non aspettano che una piattaforma di governance dica loro come si comportano i loro modelli. Iniziano oggi comprendendo la loro postura dei dati, rafforzando i controlli di identità e trattando gli agenti IA come le identità che sono. Questo è il lavoro che fa la differenza tra un programma di governance che spunta le caselle di un revisore e uno che riduce effettivamente il rischio.