Funzione Govern del NIST AI RMF: guida pratica all'attuazione

La funzione Govern del NIST AI RMF istituisce responsabilità e sorveglianza per i sistemi di IA. Scopra come attuare Govern 1.1-1.6 con esempi pratici e modelli.

Il NIST AI Risk Management Framework (AI RMF, quadro per la gestione dei rischi dell'IA) organizza la gestione dei rischi dell'IA in quattro funzioni: Govern (governare), Map (mappare), Measure (misurare) e Manage (gestire). Fra queste, Govern è il fondamento. Istituisce le strutture organizzative, le politiche e i meccanismi di responsabilità che rendono possibili tutte le altre attività di gestione dei rischi.

Se sta attuando il NIST AI RMF — per soddisfare requisiti dei clienti, prepararsi alla conformità normativa o costruire una governance dell'IA difendibile — deve partire da Govern. Questa guida spiega che cosa richiede davvero la funzione Govern, propone passaggi attuativi concreti e include modelli utilizzabili da subito.

Che cosa dice davvero la funzione Govern del NIST AI RMF

La funzione Govern è organizzata in sei categorie, ciascuna con sottocategorie specifiche. Ecco la struttura di massima:

GOVERN 1.1: i requisiti giuridici e regolamentari sono compresi e gestiti
GOVERN 1.2: le caratteristiche dell'IA affidabile sono integrate nelle politiche dell'organizzazione
GOVERN 1.3: esistono processi e procedure per determinare gli impatti dei sistemi di IA su individui, gruppi, comunità, organizzazioni e società
GOVERN 1.4: esistono team organizzativi che svolgono regolarmente le attività di gestione dei rischi dell'IA
GOVERN 1.5: esistono politiche e pratiche per raccogliere, valutare, dare priorità e integrare i riscontri di soggetti esterni al team
GOVERN 1.6: esistono meccanismi per inventariare i sistemi di IA e tracciarne i rischi

Non sono obiettivi aspirazionali. Sono capacità organizzative concrete che deve costruire e documentare.

Perché Govern è più difficile di quanto sembri

La maggior parte delle organizzazioni dà per scontato di avere già una «governance» perché dispone di una policy etica sull'IA o di un comitato per l'IA responsabile. Ma il NIST AI RMF pretende qualcosa di più rigoroso: processi documentati, responsabilità assegnate e tracciamento continuo dei rischi.

Ecco che cosa non funziona nella pratica:

Nessun monitoraggio giuridico/regolamentare: sa che il regolamento europeo sull'IA esiste, ma non ha incaricato nessuno di seguire le nuove norme sull'IA né di valutarne l'impatto sui suoi sistemi.
Nessuna definizione di IA affidabile: parla di «IA responsabile», ma non ha definito che cosa significhi per la sua organizzazione né l'ha integrata nei processi di sviluppo del prodotto.
Nessun processo di valutazione d'impatto: mette in servizio sistemi di IA, ma non ne ha mai documentato l'impatto su utenti, comunità o società.
Nessun team dedicato al rischio IA: la gestione dei rischi dell'IA è «responsabilità di tutti», il che significa che nessuno ne risponde davvero.
Nessun meccanismo di riscontro esterno: non ha un processo per raccogliere i riscontri delle comunità interessate, della società civile o degli esperti di settore.
Nessun inventario dei sistemi di IA: non ha un elenco centralizzato di tutti i sistemi di IA in produzione, del loro livello di rischio o del loro stato di conformità.

La funzione Govern del NIST AI RMF le impone di colmare tutte queste lacune — e di dimostrare di averle colmate.

GOVERN 1.1: requisiti giuridici e regolamentari

Che cosa richiede:

La sua organizzazione deve individuare, comprendere e monitorare i requisiti giuridici e regolamentari applicabili ai suoi sistemi di IA. Ciò comprende le normative settoriali (per esempio sanità, finanza) e le normative orizzontali sull'IA (per esempio il regolamento europeo sull'IA, le leggi statali statunitensi sull'IA).

Attuazione pratica:

Assegnare la titolarità: designi un responsabile legale/compliance incaricato di monitorare le norme sull'IA.
Creare un registro normativo: tenga un documento vivo che elenchi le norme applicabili, le date di applicazione e il loro impatto sui suoi sistemi di IA.
Svolgere revisioni trimestrali: riveda il registro ogni trimestre e lo aggiorni con nuove norme o orientamenti.
Integrare nello sviluppo del prodotto: richieda che ogni nuovo sistema di IA superi un controllo di conformità normativa prima della messa in servizio.

Esempio di registro normativo:

| Normativa | Giurisdizione | Data di applicazione | Sistemi interessati | Stato di conformità | |---|---|---| | Regolamento europeo sull'IA | UE | 2 agosto 2026 | IA di screening dei CV (ad alto rischio) | In corso | | Colorado AI Act | Colorado, USA | 1º febbraio 2026 | Tutti i sistemi ad alto rischio | Non avviato | | NYC Local Law 144 | New York City | 5 luglio 2023 | Strumenti di IA per le risorse umane | Conforme | | Articolo 22 del GDPR | UE | 25 maggio 2018 | Ogni processo decisionale automatizzato | Conforme |

Prodotto atteso: un registro di conformità normativa, aggiornato trimestralmente, con titolarità assegnata.

GOVERN 1.2: caratteristiche dell'IA affidabile

Che cosa richiede:

La sua organizzazione deve definire che cosa significhi «IA affidabile» e integrare quelle caratteristiche nelle politiche, procedure e prassi organizzative.

Il NIST AI RMF individua sette caratteristiche dell'IA affidabile:

Valida e attendibile: il sistema funziona come previsto.
Sicura: il sistema non causa danni inaccettabili.
Protetta e resiliente: il sistema è protetto contro gli attacchi avversariali.
Responsabile e trasparente: le decisioni sono spiegabili e tracciabili.
Spiegabile e interpretabile: i portatori di interesse possono capire come funziona il sistema.
Rispettosa della riservatezza: il sistema protegge i dati personali.
Equa: il sistema non produce esiti discriminatori.

Attuazione pratica:

Adottare o adattare le caratteristiche NIST: parta dalle sette caratteristiche NIST, oppure le personalizzi per la sua organizzazione.
Documentare in una policy sull'IA: crei o aggiorni la sua policy di governance dell'IA richiamando esplicitamente queste caratteristiche.
Integrare nello sviluppo del prodotto: richieda che ogni documento di progettazione di un sistema di IA spieghi come soddisfa ciascuna caratteristica.
Definire criteri di accettazione: definisca criteri di accettazione misurabili per ciascuna caratteristica (per esempio, «equa» significa parità demografica entro il 5%).

Esempio di formulazione della policy:

Tutti i sistemi di IA sviluppati o messi in servizio da [Nome dell'azienda] devono soddisfare le seguenti caratteristiche di IA affidabile: validità, sicurezza, protezione, responsabilità, spiegabilità, riservatezza ed equità. Ogni documento di progettazione di un sistema di IA deve includere una sezione intitolata «Valutazione dell'IA affidabile» che illustri come il sistema soddisfa ciascuna caratteristica.

Prodotto atteso: una policy di governance dell'IA che definisca le caratteristiche dell'IA affidabile e le integri nello sviluppo del prodotto.

GOVERN 1.3: processo di valutazione d'impatto

Che cosa richiede:

La sua organizzazione deve disporre di un processo documentato per valutare l'impatto dei sistemi di IA su individui, gruppi, comunità, organizzazioni e società.

Attuazione pratica:

Creare un modello di valutazione d'impatto: sviluppi un modello strutturato che induca i team a considerare gli impatti su più dimensioni (individuale, di gruppo, sociale).
Richiedere valutazioni d'impatto per i sistemi ad alto rischio: imponga che tutti i sistemi di IA ad alto rischio (per esempio quelli che incidono su occupazione, credito o servizi essenziali) siano sottoposti a valutazione d'impatto prima della messa in servizio.
Coinvolgere portatori di interesse diversi: includa nel processo esperti legali, di etica, di prodotto e di settore.
Documentare e rivedere: conservi le valutazioni d'impatto completate in un archivio centralizzato e le riveda ogni anno.

Esempio di modello di valutazione d'impatto:

Dimensione d'impatto	Domande da porsi	Valutazione	Attenuazione
Individuale	Questo sistema potrebbe danneggiare singoli utenti? Potrebbe incidere sui loro diritti o sulle loro opportunità?	Rischio medio: il sistema può respingere richieste di prestito	Revisione umana per tutti i rifiuti
Di gruppo	Questo sistema potrebbe incidere in modo sproporzionato su un gruppo protetto (etnia, genere, età, disabilità)?	Rischio basso: i test sulle distorsioni non mostrano impatto differenziato	Monitoraggio continuo delle distorsioni
Comunitaria	Questo sistema potrebbe incidere sulla coesione, sulla fiducia o sull'accesso alle risorse di una comunità?	Rischio basso: sistema usato solo per lo scoring creditizio interno	Non applicabile
Organizzativa	Questo sistema potrebbe creare rischi reputazionali, legali o operativi per l'organizzazione?	Rischio medio: probabile scrutinio regolamentare	Audit di conformità prima della messa in servizio
Sociale	Questo sistema potrebbe contribuire a danni sociali più ampi (per esempio sorveglianza, disuguaglianza)?	Rischio basso: sistema non usato per la sorveglianza	Non applicabile

Prodotto atteso: un modello di valutazione d'impatto e un archivio delle valutazioni completate.

GOVERN 1.4: team di gestione dei rischi dell'IA

Che cosa richiede:

La sua organizzazione deve costituire team con ruoli e responsabilità chiari per la gestione dei rischi dell'IA.

Attuazione pratica:

Definire i ruoli: individui chi è responsabile delle attività di gestione dei rischi dell'IA (per esempio responsabile dei rischi IA, responsabile legale/compliance, product owner, data scientist).
Creare una matrice RACI: documenti chi è Responsabile dell'esecuzione, chi ne Risponde, chi è Consultato e chi è Informato per ciascuna attività di gestione dei rischi dell'IA.
Istituire un comitato interfunzionale di governance dell'IA: convochi un comitato che si riunisca trimestralmente per esaminare rischi dell'IA, stato di conformità e aggiornamenti delle policy.
Assegnare la responsabilità: si assicuri che ogni sistema di IA abbia un titolare nominato, responsabile della relativa gestione dei rischi.

Esempio di matrice RACI:

| Attività | Responsabile rischi IA | Legale/Compliance | Product owner | Data scientist | |---|---|---| | Monitoraggio normativo | I | A/R | I | I | | Valutazione d'impatto | C | C | A/R | C | | Test sulle distorsioni | C | I | C | A/R | | Risposta agli incidenti | A/R | C | C | C | | Aggiornamenti delle policy | A/R | C | I | I |

Legenda: A = ne risponde (Accountable), R = esecutore (Responsible), C = consultato (Consulted), I = informato (Informed)

Prodotto atteso: una matrice RACI e uno statuto per il comitato di governance dell'IA.

GOVERN 1.5: meccanismi di riscontro esterno

Che cosa richiede:

La sua organizzazione deve disporre di processi per raccogliere, valutare, dare priorità e integrare i riscontri dei portatori di interesse esterni (utenti, comunità interessate, società civile, esperti di settore).

Attuazione pratica:

Aprire canali di riscontro: crei meccanismi che consentano ai portatori di interesse esterni di esprimersi (per esempio un indirizzo e-mail dedicato, un modulo, consultazioni pubbliche).
Documentare i riscontri: registri tutti i riscontri esterni in un registro centralizzato.
Rivedere e dare priorità: riveda i riscontri ogni trimestre e dia priorità agli elementi da trattare.
Chiudere il ciclo: comunichi ai portatori di interesse come il loro riscontro è stato considerato e quali azioni sono state intraprese.

Esempio di registro dei riscontri:

| Data | Fonte | Sintesi del riscontro | Priorità | Azione intrapresa | Stato | |---|---|---|---|---| | 15 gennaio 2026 | E-mail di un utente | L'IA di screening dei CV ha respinto un candidato qualificato | Alta | Caso riesaminato; dati di addestramento aggiornati | Chiuso | | 3 febbraio 2026 | Organizzazione della società civile | Richiesta dei risultati dei test sulle distorsioni | Media | Pubblicata una sintesi della metodologia dei test sulle distorsioni | Chiuso | | 10 marzo 2026 | Esperto di settore | Suggerito un miglioramento della spiegabilità | Bassa | Inserito nella roadmap di prodotto per il terzo trimestre | Aperto |

Prodotto atteso: un registro dei riscontri e un processo documentato di raccolta ed esame dei riscontri esterni.

GOVERN 1.6: inventario dei sistemi di IA

Che cosa richiede:

La sua organizzazione deve mantenere un inventario dei sistemi di IA e tracciare i rischi associati.

Attuazione pratica:

Creare un registro dei sistemi di IA: sviluppi una banca dati o un foglio di calcolo centralizzato che elenchi tutti i sistemi di IA in sviluppo o in produzione.
Raccogliere i metadati chiave: per ciascun sistema documenti nome, titolare, finalità prevista, livello di rischio, stato di conformità e data di messa in servizio.
Aggiornare regolarmente: richieda che il registro sia aggiornato ogni volta che un nuovo sistema di IA viene messo in servizio o che un sistema esistente viene modificato.
Collegare alle valutazioni di rischio: si assicuri che ogni sistema del registro rimandi alla propria valutazione d'impatto, ai risultati dei test sulle distorsioni e alla documentazione di conformità.

Esempio di inventario dei sistemi di IA:

| Nome del sistema | Titolare | Finalità prevista | Livello di rischio | Stato di conformità | Data di messa in servizio | |---|---|---|---|---| | IA di screening dei CV | Responsabile tecnico HR | Automatizzare lo screening dei candidati | Ad alto rischio (allegato III del regolamento europeo sull'IA) | In corso | terzo trimestre 2026 | | IA di rilevamento frodi | Responsabile pagamenti | Rilevare transazioni fraudolente | Non ad alto rischio | Conforme (articolo 50) | gennaio 2024 | | Chatbot | Responsabile assistenza clienti | Rispondere alle domande dei clienti | Non ad alto rischio | Conforme (articolo 50) | marzo 2025 |

Prodotto atteso: un inventario dei sistemi di IA con collegamenti alle valutazioni di rischio e alla documentazione di conformità.

Come la funzione Govern si collega alla conformità al regolamento europeo sull'IA

Se si sta preparando alla conformità al regolamento europeo sull'IA, la funzione Govern del NIST AI RMF offre un approccio strutturato per soddisfare molti dei requisiti della norma:

GOVERN 1.1 → monitora il regolamento europeo sull'IA e le altre norme
GOVERN 1.2 → integra i principi di IA affidabile del regolamento europeo sull'IA (articoli 9, 10, 13, 14, 15)
GOVERN 1.3 → soddisfa i requisiti di valutazione d'impatto (impliciti negli articoli 9 e 27)
GOVERN 1.4 → istituisce la responsabilità (richiesta dagli articoli 16 e 26)
GOVERN 1.5 → raccoglie i riscontri delle comunità interessate (implicito nell'articolo 29)
GOVERN 1.6 → mantiene l'inventario dei sistemi di IA (necessario per dimostrare la conformità)

Attuare la funzione Govern del NIST AI RMF non sostituisce la conformità al regolamento europeo sull'IA, ma fornisce le fondamenta organizzative di cui ha bisogno.

Come diventare conforme a Govern in 20 minuti

La maggior parte delle organizzazioni impiega 1-3 mesi (e 5 000-40 000 €) per costruire da zero un quadro di governance. Vigilia consegna una valutazione pronta per la conformità in 20 minuti a 499 €.

L'analisi NIST AI RMF di Vigilia comprende:

Rilevamento delle lacune: individua quali sottocategorie Govern le mancano
Generazione di modelli: fornisce modelli per valutazioni d'impatto, matrici RACI e inventari dei sistemi di IA
Tabella di marcia di rimedio: indicazioni passo dopo passo per attuare Govern 1.1-1.6

Lei risponde a un questionario strutturato sulle sue pratiche di governance dell'IA. Vigilia genera un PDF pronto per l'audit con analisi delle lacune e passaggi di rimedio.

Generi in 20 minuti il suo rapporto di conformità Govern del NIST AI RMF: www.aivigilia.com

Questo articolo ha finalità puramente informative e non costituisce consulenza legale. Per orientamenti specifici per la sua organizzazione, consulti un esperto o un avvocato qualificato in materia di governance dell'IA.