Le decisioni si prendono comunque. La domanda, per le funzioni di controllo, è se riescano ancora a incidere sul modo in cui vengono costruite. Con l’intelligenza artificiale questo interrogativo diventa particolarmente concreto: un sistema suggerisce priorità, attribuisce punteggi, individua anomalie, seleziona informazioni e talvolta determina di fatto l’esito di un processo. Quando la compliance interviene, una parte importante della scelta può essere già stata compiuta.
Non è un problema che si risolve aggiungendo una competenza tecnologica a un repertorio professionale immutato. Cambia il lavoro stesso. Il professionista chiamato a valutare un sistema di AI deve capire quali dati lo alimentano, che cosa produce, quali limiti presenta e in quali condizioni un risultato non può essere assunto come affidabile. Deve inoltre sapere dove collocare il proprio intervento: nella progettazione del caso d’uso, nella scelta del fornitore, nella definizione delle soglie di rischio o nella verifica successiva.
Il presidio normativo resta indispensabile, ma da solo non consente di governare processi in cui le responsabilità sono distribuite tra business, IT, data scientist, Legal, Privacy, Risk e Internal Audit. Il punto decisivo diventa la capacità di porre domande pertinenti, confrontare prospettive differenti e rendere comprensibili i rischi a chi deve decidere. Una funzione che conosce la regola ma non comprende il processo rischia di arrivare troppo tardi; una funzione che comprende il processo ma non sa esercitare un giudizio indipendente rischia di diventare soltanto un facilitatore.
È anche una questione di linguaggio. Termini come accuratezza, bias, spiegabilità o supervisione umana non possono restare formule di principio. Occorre tradurli in scelte verificabili: quali errori sono tollerabili? Chi valida un output? Quando si sospende l’uso del sistema? Quale evidenza deve essere conservata? Come si dimostra che una persona ha esercitato un controllo sostanziale, anziché limitarsi a confermare una raccomandazione?
Le riflessioni più recenti sulla governance dell’AI, convergono su un aspetto: servono modelli multidisciplinari, responsabilità riconoscibili e competenze distribuite nell’organizzazione. Ma l’esistenza di un comitato o di una policy non garantisce, di per sé, che le funzioni sappiano affrontare una decisione algoritmica contestata. Emerge il divario tra conoscenza formale e capacità operativa.
La trasformazione riguarda anche il rapporto con il vertice aziendale. Un rischio algoritmico non può essere presentato soltanto come una questione tecnica o una possibile violazione normativa. Deve essere collegato alla qualità delle decisioni, alla fiducia di clienti e dipendenti, alla continuità operativa e alla responsabilità dell’impresa. Questo richiede sintesi, capacità di argomentazione e consapevolezza del contesto economico nel quale il sistema viene utilizzato.
La domanda finale, dunque, non è quante persone abbiano ricevuto una formazione sull’AI. È quante siano oggi in grado di discutere un caso d’uso, valutarne i rischi, individuare i controlli necessari e sostenere una decisione motivata. Perché le competenze non sono un capitolo accessorio della governance: ne determinano l’effettiva possibilità di funzionare.