C’è una parte dell’ESG che sta diventando sempre più attenta ai rischi legati alla cybersecurity. Si tratta di quella componente che fa riferimento alla Governance e che accanto al risk management generale, ai rischi climatici, ai rischi di transizione e ai rischi sociali sta considerando, in modo sempre più attento, i rischi collegati all’adozione dell’Intelligenza artificiale. In questo contesto si collocano due grandi dimensioni del risk management: i rischi determinati dall’Intelligenza artificiale e i rischi che possono colpire l’intelligenza artificiale.
In generale va osservato che proteggere l’intelligenza artificiale significa governare dati, decisioni e responsabilità e che la normativa offre una serie di misure che devono essere considerate nell’ambito di qualsiasi strategia di governance. Le garanzie italiane in particolare e le sanzioni dell’AI Act rafforzano il legame tra sicurezza e governance ESG: ma servono controlli verificabili, supervisione umana e procedure per tutelare lavoratori, cittadini e imprese.
La sicurezza dell’AI è una questione di governance dell’impresa
La Governance ESG non può non considerare la necessità di porsi e rispondere a tematiche come: Chi autorizza l’utilizzo di un sistema di intelligenza artificiale? Chi verifica che i risultati siano affidabili? Chi interviene quando una decisione automatizzata penalizza una persona o espone verso l’esterno informazioni riservate? Si tratta di temi che portano la sicurezza dell’AI direttamente al centro della G di Governance dell’ESG.
ESG: perché serve un sistema di resposnabilità per l’AI
L’adozione dell’intelligenza artificiale non può prescindere dall’adozione di un sistema di responsabilità, da controlli e da una serie di verifiche coerenti con la valutazione delle possibili conseguenze relative al suo utilizzo. Proteggere dati e modelli dagli attacchi è parte di questa strategia di Governance, insieme alla prevenzione degli errori, alla trasparenza delle decisioni e alla possibilità di correggerle.
La responsabilità delle organizzazioni deve infatti restare riconoscibile anche quando interviene un algoritmo. E in questo senso il collegamento con l’ESG rappresenta una garanzia gestionale di queste disposizioni: attiene a ttti gli effetti alla capacità dell’impresa di dimostrare come governa i rischi e tutela i soggetti coinvolti.
Dalla cybersecurity all’affidabilità delle decisioni
La Governance ESG di una impresa deve considerare che un sistema AI può essere compromesso attraverso accessi non autorizzati, manipolazione dei dati o alterazioni del modello. In questi casi si devono considerare come possibili conseguenze una influenza e una violazione nei processi decisionali che l’organizzazione normalmente segue sulla base dei risultati attesi dall’AI.
In questo senso va detto che l’AI Act nell’articolo 15 prevede per i sistemi ad alto rischio livelli adeguati di accuratezza, robustezza e cybersicurezza lungo il ciclo di vita. Tra le minacce considerate figurano infatti la manipolazione dei dati di addestramento, dei componenti del modello e degli input, oltre agli attacchi alla riservatezza. Le aziende devono attrezzarsi affinché le soluzioni siano proporzionate al contesto e ai rischi.
Traditto in chiave di governance si tratta di valutare la sicurezza prima dell’acquisto e del rilascio delle soluzioni AI da adottare, e si tratta di predisporre una strategia che consenta di verificare la sicurezza anche durante l’utilizzo. Il controllo in particolare deve comprendere anche aggiornamenti, integrazioni, fornitori e cambiamenti delle finalità d’impiego.
Il ruolo del controllo umano
Le tutele italiane rendono particolarmente concreto il rapporto tra governance e protezione delle persone. Il decreto legislativo 179/2026, in vigore dal 23 ottobre 2026, interviene anche sulle decisioni assistite dall’AI nell’ambito dei rapporti di lavoro.
L’articolo 41 riserva a una persona fisica, dotata di un potere effettivo e autonomo, le decisioni finali relative alla costituzione, modifica e cessazione del rapporto, comprendendo anche le valutazioni relative alle prestazioni e ai provvedimenti disciplinari. Questa misura inoltre prevede la possibilità di ottenere una motivazione comprensibile e stabilisce la nullità delle decisioni assunte in violazione del divieto. La disposizione esclude dal proprio perimetro la ricerca e preselezione delle candidature, per le quali restano da considerare le altre tutele applicabili.
Per l’impresa, la supervisione richiede quindi persone competenti, il tempo necessario per valutare e la possibilità concreta di discostarsi dalla raccomandazione del sistema.
La G incontra la S: salute, dignità e condizioni di lavoro
Il legame tra governance e dimensione sociale emerge anche nell’organizzazione delle attività. Un sistema che assegna compiti, suggerisce ritmi o modifica le modalità di esecuzione del lavoro può produrre effetti sulla dimensione sociale dell’ESG. Ad esempio può avere un impatto sulla salute e sulla sicurezza.
L’articolo 42 del decreto 179 richiede che questi impatti siano considerati nella valutazione dei rischi quando incidono sull’organizzazione, sui ritmi produttivi o sui processi decisionali rilevanti per la sicurezza. Prevede inoltre informazione e formazione sui rischi specifici e sulle misure di prevenzione adottate.
In concreto, la qualità della governance si misura anche nella capacità di riconoscere questi effetti prima che possano provocare dei danni. A questo proposito serve un confronto tra funzioni tecnologiche, risorse umane, sicurezza sul lavoro, compliance e responsabili dei processi interessati.
Documentare i controlli significa rendere verificabili le scelte
Una policy sull’AI sviluppata e predisposta nell’ambtio dell’ESG acquista valore quando è sostenuta da evidenze: sistemi censiti, responsabilità assegnate, verifiche documentate e registrazioni conservate secondo criteri appropriati. Questa esigenza trova riscontro anche nelle disposizioni sull’accesso alle prove del decreto legislativo 160/2026. Nelle azioni di risarcimento, alle condizioni previste, il giudice può ordinare l’esibizione di elementi pertinenti al funzionamento del sistema, inclusi registri, documentazione tecnica, gestione dei rischi e modalità di supervisione.
La documentazione diventa così una componente della responsabilità aziendale: permette di ricostruire come è stato utilizzato il sistema e quali verifiche hanno accompagnato una decisione.
Le sanzioni rendono il rischio rilevante per il vertice
Il quadro sanzionatorio rafforza l’importanza economica della gestione dell’AI. L’articolo 23 del decreto 179 prevede, per le pratiche vietate, massimali fino a 35 milioni di euro o al 7% del fatturato mondiale annuo, se superiore. Per altre violazioni individuate dalla norma sono previste soglie fino a 15 milioni o al 3%; per informazioni inesatte, incomplete o fuorvianti richieste dalle autorità, fino a 7,5 milioni o all’1%. Per PMI e startup innovative valgono criteri specifici. Sono massimali, da applicare in relazione agli obblighi effettivamente operativi e alle circostanze della violazione.
Per il vertice aziendale, il tema comprende quindi esposizione finanziaria, continuità operativa e fiducia degli stakeholder.
Come portare la sicurezza AI nella governance ESG
Sul piano gestionale per gestire la sicurezza AI nell’ambito della governance ESG serve un percorso concreto basato su almeno cinque fattori chiave:
- La mappatura e la classificazione dei fattori che compongono l’AI aziendale: con la conoscenza dettagliata dei sistemi, delle finalità, dei dati utilizzati e dei soggetti potenzialmente coinvolti.
- La definizione chiara delle responsabilità: con la necessità di stabilire chi approva gli impieghi, chi verifica e chi può sospenderli.
- Un piano di controlli sul ciclo di vita: qui rientrano le necessità legate alla valutazione dei fornitori, alla sicurezza, all’affidabilità e alle modifiche successive al rilascio.
- La struttura per la supervisione e le logiche relative alla misure da intraprendere per consentire alle persone di correggere risultati e contestare decisioni.
- Un piano di monitoraggio completo per portare al management indicatori su test, anomalie, incidenti e azioni correttive.
Questi indicatori sono parte di una strategia ESG che si ponga l’obiettivo di attuare e rendicontare la gestione di un’AI responsabile.
Partecipa alla community