Conformità nella governance dell'IA: cosa richiedono ora i revisori nel 2026

Se di recente ha attraversato un audit SOC 2, ISO 27001 o una revisione di sicurezza fornitori, potrebbe aver notato una nuova sezione nel questionario: come governa la sua organizzazione l'uso dell'IA?

Non si tratta di una moda passeggera. Gartner ha stimato che circa un audit di conformità su quattro nel 2026 includerà una verifica sulla governance dell'IA. Il motivo è semplice: i regolatori e i framework si sono adeguati al fatto che i sistemi di IA ora toccano abitualmente dati sensibili, e le organizzazioni che li utilizzano sono sempre più responsabili di tale accesso. Questo articolo illustra, in modo pratico, cosa cercano i revisori e come essere pronti con prove concrete invece che con improvvisazione.

Perché la governance dell'IA è entrata nel perimetro degli audit

Tre forze hanno spinto la governance dell'IA da "cosa carina da menzionare" a "aspettativa da dimostrare".

La prima è normativa. Gli obblighi ad alto rischio dell'EU AI Act entrano in vigore progressivamente tra il 2026 e il 2027; il Colorado AI Act diventa efficace nel 2026; il NAIC Model Bulletin è stato adottato in circa due dozzine di stati statunitensi. Ciascuno, a suo modo, chiede alle organizzazioni di documentare come valutano e controllano i sistemi automatizzati.

La seconda è lo spostamento della responsabilità. I tribunali hanno iniziato a considerare l'azienda che implementa l'IA come responsabile del suo comportamento — ad esempio, il contenzioso *Mobley v. Workday* negli Stati Uniti, dove un tribunale ha consentito che le pretese procedessero secondo una teoria di agenzia (agency theory) e successivamente ha concesso la certificazione condizionale di un'azione collettiva a livello nazionale. Quando i soggetti che implementano l'IA sono ritenuti responsabili, i revisori chiedono prove di governance. Approfondiamo questo cambiamento legale in dettaglio nella nostra panoramica sulla responsabilità dell'IA e sulla responsabilità aziendale.

La terza è semplicemente costituita dai dati sugli incidenti. Le indagini di settore riportano che la maggioranza delle organizzazioni — circa il 65% secondo recenti ricerche di CSA / Token Security — ha subito un incidente di sicurezza legato ad agenti IA nell'ultimo anno, e che la *shadow AI* (strumenti adottati senza l'approvazione dell'IT) aumenta sensibilmente i costi delle violazioni. I revisori seguono il rischio, e il rischio si è spostato.

Cosa chiedono davvero i revisori

Attraverso i vari framework, le domande sulla governance dell'IA tendono a raggrupparsi in cinque aree. Nessuna di queste è esotica: sono gli stessi concetti di controllo che i revisori applicano già alla gestione degli accessi e dei cambiamenti, ora rivolti all'IA.

1. Inventario: sa quali sistemi IA possono accedere ai suoi dati?

La prima domanda è la più basilare e la più rivelatrice: produrre un elenco degli agenti IA, degli account di servizio e delle app IA di terze parti che possono accedere ai dati aziendali, e cosa ciascuno può raggiungere. Molte organizzazioni non sono in grado di farlo. Un inventario incompleto è già di per sé un rilievo di audit, perché ogni controllo successivo dipende da esso. È anche qui che emerge la shadow AI: gli strumenti che i dipendenti hanno collegato tramite normali concessioni OAuth mai passate per una revisione.

2. Governance degli accessi: chi ha approvato questo, e con quale privilegio?

I revisori vogliono vedere che l'accesso dell'IA segue il principio del privilegio minimo e che le concessioni vengono riesaminate — non che uno strumento di marketing detenga silenziosamente accesso in lettura a tutto Drive perché qualcuno ha cliccato "consenti" diciotto mesi fa. Chiederanno come viene richiesto l'accesso, chi lo approva e con quale frequenza viene riesaminato.

3. Monitoraggio e rilevamento: si accorgerebbe di un uso improprio?

Non basta concedere l'accesso con attenzione una sola volta. I revisori chiedono se sareste in grado di rilevare comportamenti anomali — un picco improvviso nella condivisione esterna, un agente dormiente che si riattiva, una concessione OAuth verso un'app sconosciuta. Il rilevamento è ciò che trasforma una politica statica in un controllo vivo.

4. Log di audit: è in grado di ricostruire cosa è accaduto?

È qui che molti programmi si dimostrano insufficienti. I framework si aspettano un registro immutabile e con timestamp delle decisioni e delle modifiche di accesso, esportabile per la revisione (spesso verso un SIEM). I log sono il tessuto connettivo tra "abbiamo una politica" e "possiamo dimostrare che la politica è stata applicata". Senza di essi, anche un programma ben gestito appare indistinguibile da uno privo di controllo.

5. Risposta documentata: cosa ha fatto quando qualcosa sembrava non andare?

Infine, i revisori cercano prove di diligenza nel tempo — di aver rilevato un rischio e di aver agito di conseguenza. Una cronologia documentata degli incidenti vale più di uno scatto istantaneo apparentemente impeccabile, perché dimostra che il programma funziona realmente e non esiste solo sulla carta.

Collegare la governance dell'IA ai framework su cui già rendicontate

La parte incoraggiante è che la governance dell'IA non richiede un intero universo di controlli completamente nuovo. Si integra perfettamente con i controlli che probabilmente già mantenete:

• SOC 2 — i criteri di controllo degli accessi (CC6) e di monitoraggio (CC7) si applicano direttamente agli agenti IA e agli account di servizio.
• ISO 27001 — i controlli dell'Allegato A per la gestione degli accessi, la registrazione (logging) e i rapporti con i fornitori si estendono naturalmente agli strumenti IA.
• GDPR — responsabilità e capacità di dimostrare un trattamento lecito e governato dei dati personali.
• NIST AI Risk Management Framework — un modo strutturato per *governare, mappare, misurare* e *gestire* il rischio IA, sempre più spesso citato dai revisori.

L'implicazione pratica: se siete in grado di produrre prove specifiche sull'IA rispetto a questi controlli già esistenti, siete già a buon punto verso una revisione della governance dell'IA senza intoppi. Non state costruendo un programma separato; state estendendo quello su cui già rendicontate.

Come essere pronti per l'audit senza un'esercitazione dell'ultimo minuto

La differenza tra una revisione fluida e una stressante sta nel fatto che le prove esistano già quando il revisore le richiede. È questo il vuoto che 8200.dev è progettato per colmare per le organizzazioni su Google Workspace.

Connettendosi in sola lettura, la piattaforma inventaria ogni agente IA e concessione OAuth in grado di accedere ai vostri dati, assegna a ciascuno un punteggio di rischio, fa emergere la shadow AI di cui non eravate a conoscenza, consente di applicare regole di governance e — elemento fondamentale per gli audit — genera un pacchetto di prove mappato sui controlli SOC 2, ISO 27001 e GDPR, insieme a un log di audit esportabile e a una cronologia documentata dei rischi. Si mappa su framework riconosciuti e produce la documentazione richiesta dai revisori; non certifica la vostra conformità a nessuno standard e non garantisce l'esito di un audit. Ciò che elimina è la corsa affannosa dell'ultimo minuto.

Un modo ragionevole di prepararsi è trattare le cinque domande del revisore come una checklist e verificare di poter rispondere a ciascuna con un artefatto concreto, non con una semplice rassicurazione. Se una qualsiasi risposta è "dovremmo verificare", è da lì che bisogna partire — e l'inventario è quasi sempre il primo artefatto giusto, perché tutto il resto si basa sul sapere, prima di tutto, cosa l'IA può raggiungere dei vostri dati. Vale anche la pena svolgere questo esercizio ben prima dell'apertura di una finestra di audit formale, mentre avete ancora tempo per rimediare a ciò che l'inventario rivela, invece di doverlo spiegare sotto scadenza. I revisori notano la differenza tra un programma che era pronto e uno assemblato la settimana prima, e lo stesso vale per i clienti enterprise che conducono le proprie revisioni sui fornitori.

Potete generare gratuitamente le vostre prime prove di governance dell'IA, consultare la gamma completa delle funzionalità, oppure leggere il contesto più ampio nella nostra pagina sulla responsabilità dell'IA.

*Questo articolo ha finalità puramente informative e non costituisce consulenza legale o di audit. I requisiti variano in base al framework, al revisore e alla giurisdizione. Consultate i vostri consulenti legali e di conformità in merito ai vostri specifici obblighi.*