Governance dell’intelligenza artificiale: la visione di Anna Cataleta di P4I - Digital360 Advisory

L’evoluzione tecnologica, che dunque procede più rapidamente rispetto al diritto,  ha portato alla diffusione di sistemi di intelligenza artificiale agentica, caratterizzati da maggiore autonomia decisionale, capacità di pianificazione, interazione con altri sistemi e apprendimento continuo. Questi sviluppi superano in parte le previsioni dell’AI Act, rendendo necessario per le organizzazioni adottare un approccio non solo normativo ma anche tecnologico, per comprenderne il funzionamento e i rischi. Un primo tema dunque è quello della conoscenza dell’architettura agentica a livello tecnologico.

Secondo i dati dell’Osservatorio Big Data & Artificial Intelligence del Politecnico di Milano, il mercato italiano dell’IA ha raggiunto un valore di 1,8 miliardi di euro, con l’IA agentica che rappresenta circa il 4%, ma in costante crescita. Tuttavia, molte organizzazioni non sono ancora pienamente preparate, soprattutto in termini di competenze, ad affrontare le sfide di compliance e di governance.

Governance dell’AI agentica: rischi e responsabilità

Tra i principali rischi emergono la riduzione della supervisione umana, la capacità dei sistemi di risolvere problemi complessi in modo proattivo e le possibili vulnerabilità legate ai modelli di base. Per questo motivo, è fondamentale adattare le normative esistenti e fare riferimento a framework internazionali, come quello proposto dal Ministero dello Sviluppo Digitale e dell’Informazione di Singapore, che individua principi e fonti di rischio per l’IA agentica.

In conclusione, una governance efficace dell’IA richiede valutazioni puntuali dei rischi, l’introduzione di controlli tecnici e organizzativi e la definizione di responsabilità chiare per gli utilizzatori. L’approccio antropocentrico rimane centrale, ma spesso si colloca in una fase ex post, rendendo essenziale garantire che gli esseri umani siano comunque significativamente responsabili dell’uso di queste tecnologie.

Un secondo tema rilevante secondo Cataleta riguarda l’interazione tra l’intelligenza artificiale e le altre normative applicabili. Nel Regolamento europeo sull’intelligenza artificiale (AI Act) non è presente una definizione esplicita di agente di intelligenza artificiale. Tuttavia, tali sistemi possono essere ricondotti all’interno dell’architettura già prevista dal regolamento, che si basa su modelli di IA per finalità generali dotati di specifiche interfacce e componenti di sistema.

In assenza di una definizione normativa puntuale, la Commissione europea ha chiarito, attraverso i documenti interpretativi, che il concetto di agente di IA può essere incluso nelle categorie già disciplinate dall’AI Act. In particolare, il riferimento è all’articolo 3, paragrafo 1, che definisce gli elementi costitutivi di un sistema di intelligenza artificiale, consentendo di ricomprendere anche queste nuove forme più autonome.

Di conseguenza, anche gli agenti di IA sono soggetti al framework di classificazione del rischio previsto dal regolamento (rischio inaccettabile, alto, limitato o minimo) e agli obblighi imposti ai fornitori e agli utilizzatori, inclusi eventuali divieti di utilizzo e requisiti di conformità. In sintesi, pur senza una definizione esplicita, gli agenti di intelligenza artificiale rientrano pienamente nell’ambito applicativo dell’AI Act e devono essere valutati secondo le stesse logiche regolatorie previste per gli altri sistemi di IA.

AI agentica e compliance: l’intreccio delle normative

Un ulteriore profilo di particolare complessità, evidenziato dalla Senior Partner di Digital 360 Advisory, riguarda l’interazione tra gli agenti di intelligenza artificiale e il più ampio ecosistema normativo in cui tali tecnologie operano.

La loro capacità di agire in modo autonomo e di interagire con infrastrutture cloud e piattaforme digitali comporta infatti l’applicazione congiunta di diverse normative, che spaziano dalla sicurezza informatica – come il Cyber Resilience Act e la Direttiva NIS 2 – alla responsabilità delle piattaforme online disciplinata dal Digital Services Act, fino alla tutela dei dati personali prevista dal GDPR.

In un contesto regolatorio ancora in evoluzione, le autorità di protezione dei dati stanno offrendo importanti indicazioni interpretative, spiega Cataleta. Significativo, in tal senso, è il documento pubblicato nel febbraio 2026 dall’Agencia Española de Protección de Datos, che analizza gli obblighi derivanti dal GDPR per i sistemi di IA agentica, ribadendo che l’autonomia tecnologica non esclude la responsabilità giuridica del titolare del trattamento. Il provvedimento approfondisce inoltre i rischi connessi alla “memoria” degli agenti, richiamando i principi di limitazione delle finalità e minimizzazione dei dati, e introduce un criterio di valutazione del rischio noto come “regola del due”.

Tale approccio, ispirato alla cosiddetta “triade letale”, evidenzia come la combinazione di input non affidabili, accesso a dati sensibili e capacità di azioni autonome possa aumentare significativamente il rischio di violazioni e infiltrazioni dei dati. Nel complesso, emerge la necessità di una governance integrata e multidisciplinare, capace di presidiare efficacemente i profili tecnologici, giuridici e organizzativi legati all’utilizzo degli agenti intelligenti.

L’ultimo tema importante da evidenziare, spiega Cataleta, riguarda  gli aspetti di trasparenza in ambito giuslavoristico legati all’utilizzo degli agenti di intelligenza artificiale nelle organizzazioni pubbliche e private. In particolare, sia il Regolamento europeo sull’intelligenza artificiale (AI Act) sia la normativa nazionale italiana – tra cui la Legge n. 132/2023 – impongono specifici obblighi di informazione nei confronti dei lavoratori.

Tali disposizioni richiedono che i dipendenti siano adeguatamente informati quando sistemi di IA vengono impiegati in processi decisionali automatizzati o di monitoraggio delle attività lavorative. L’obiettivo è garantire trasparenza, tutela dei diritti dei lavoratori e correttezza nell’utilizzo delle tecnologie, evitando che l’adozione di soluzioni basate sull’intelligenza artificiale avvenga senza adeguate garanzie e consapevolezza.

Responsabilità e fiducia dei cittadini