AI security governance: AI security goes to the boardroom

The signal coming from Google Cloud

Francis de Souza, Chief Operating Officer di Google Cloud, ha rilasciato dichiarazioni nette: la sicurezza dell’intelligenza artificiale deve essere una priorità del boardroom, non una questione tecnica delegata al server room. Lo riporta The Decoder in un articolo pubblicato a fine maggio 2026. Il messaggio è diretto e difficile da ignorare.

Tuttavia, per molte organizzazioni — soprattutto le PMI italiane — questo rappresenta un cambio di paradigma significativo. Finora la sicurezza informatica era percepita come un dominio esclusivamente tecnico. Pertanto, spostarla a livello di C-suite richiede una ricalibrazione culturale prima ancora che tecnologica.

Inoltre, il contesto in cui arriva questa dichiarazione è tutt’altro che neutro. Google Cloud compete direttamente con AWS e Azure per la governance delle infrastrutture AI enterprise. Dunque, de Souza parla anche da una posizione di interesse commerciale. Nonostante ciò, il contenuto del messaggio resta valido e urgente.

Cosa è cambiato nel panorama della sicurezza AI nel 2026

Nel 2025 si è assistito a una accelerazione nell’adozione di strumenti AI in produzione. Molte aziende hanno integrato modelli linguistici, automazioni predittive e sistemi di raccomandazione nei propri flussi operativi. Di conseguenza, la superficie di attacco si è espansa in modo significativo.

Infatti, i rischi legati all’AI non sono solo quelli tradizionali della cybersecurity. Includono prompt injection, data poisoning, allucinazioni con impatto decisionale e bias sistemici. Questi fenomeni non si gestiscono con un antivirus. Richiedono policy, supervisione umana e responsabilità organizzativa chiara.

In particolare, l’European AI Act ha introdotto obblighi specifici per i sistemi AI ad alto rischio. Le responsabilità ricadono direttamente sui vertici aziendali, non sui fornitori tecnologici. Quindi, la governance AI non è più una scelta: è un requisito normativo con implicazioni legali concrete.

Direct impact on Italian SMEs adopting AI

Le PMI italiane si trovano in una posizione delicata. Molte hanno avviato progetti AI — chatbot, automazione dei processi, analisi predittiva — senza strutturare una governance parallela. Pertanto, il rischio non è solo tecnico: è strategico e reputazionale.

Ad esempio, un’azienda retail che utilizza un sistema AI per la gestione dell’inventario o delle raccomandazioni ai clienti deve sapere chi è responsabile se il modello produce output errati. Analogamente, una PMI B2B che automatizza la qualificazione dei lead tramite AI deve definire chi supervisiona le decisioni algoritmiche.

We of SHM Studio osserviamo che questa lacuna è trasversale ai settori. Non riguarda solo le grandi imprese. Anzi, le PMI sono spesso più esposte perché mancano di strutture dedicate alla compliance tecnologica. Quindi, la questione posta da de Souza è esattamente il tipo di conversazione che dovrebbe avvenire nelle sale riunioni italiane oggi.

According to McKinsey Global Institute, le organizzazioni che integrano la governance AI a livello esecutivo registrano tassi di adozione più elevati e incidenti significativamente inferiori. Inoltre, mostrano una maggiore capacità di scalare i progetti pilota in implementazioni produttive stabili.

Three areas for immediate intervention for business leaders

Tradurre il messaggio di de Souza in azioni concrete richiede di identificare le priorità. Di seguito tre aree su cui i decision maker dovrebbero concentrarsi nell’immediato.

• AI governance ownership: ogni progetto AI in produzione deve avere un responsabile nominato a livello di direzione. Non basta il referente IT. Serve qualcuno con autorità decisionale e visibilità sull’impatto di business.
• Risk mapping by specific model: non tutti i sistemi AI presentano gli stessi rischi. Un modello generativo ha vulnerabilità diverse da un sistema di classificazione. Pertanto, la valutazione del rischio deve essere granulare e aggiornata.
• Non-Technical Management Training i vertici aziendali non devono diventare ingegneri AI. Tuttavia, devono comprendere i meccanismi di rischio per prendere decisioni informate. Investire in sessioni di AI literacy per il C-level è oggi una priorità strategica.

These actions integrate naturally with the paths of AI consulting che proponiamo alle PMI, dove l’adozione tecnologica viene sempre accompagnata da un framework di governance adeguato al contesto organizzativo.

The Role of Digital Strategy in AI Security

Un errore comune è trattare la sicurezza AI come un tema separato dalla strategia digitale complessiva. Al contrario, i due ambiti sono profondamente interconnessi. Infatti, le scelte architetturali, i fornitori selezionati e i dati utilizzati per addestrare i modelli determinano direttamente il profilo di rischio dell’organizzazione.

For this reason, AI governance should be an integral part of any plan digital marketing e trasformazione digitale. Ad esempio, un’azienda che utilizza AI per la gestione delle campagne pubblicitarie — tramite Google Ads o LinkedIn Ads — deve considerare anche i rischi legati alla profilazione automatica e alla trasparenza algoritmica.

Similarly, those who integrate AI into their process of content creation oh yes SEO deve definire policy chiare sull’uso dei dati e sulla supervisione editoriale. Infine, anche la presenza web — dalla struttura del Company website alle integrazioni con sistemi AI — rientra nel perimetro di governance che va presidiato.

What vendors don't openly say

C’è un aspetto che merita una lettura critica. Le grandi piattaforme cloud — Google, Microsoft, Amazon — hanno un interesse diretto nel promuovere la governance AI. Più le aziende strutturano processi formali, più aumenta la domanda di strumenti enterprise per la gestione, il monitoraggio e l’audit dei modelli AI. Questi strumenti sono esattamente ciò che i vendor vendono.

Tuttavia, questo non invalida il messaggio. Anzi, il fatto che i principali player del mercato stiano spingendo sulla governance AI è un indicatore di maturità del settore. Significa che il tema è reale, urgente e destinato a diventare uno standard operativo. Perciò, le PMI che si muovono oggi con anticipo avranno un vantaggio competitivo rispetto a chi aspetterà la pressione normativa.

In sintesi, la governance AI non è un costo da sostenere: è un investimento in resilienza organizzativa. Le aziende che la integrano ora saranno meglio posizionate quando i requisiti normativi diventeranno più stringenti — e lo diventeranno, come confermato dall’evoluzione dell’approccio europeo all’intelligenza artificiale.

Outlook: Whither AI Governance in 2027

Guardando ai prossimi 12-18 mesi, è ragionevole attendersi una formalizzazione crescente dei requisiti di governance AI. Tra l’altro, le prime sanzioni legate all’AI Act europeo inizieranno a materializzarsi, creando precedenti che influenzeranno le pratiche aziendali anche al di fuori dei casi direttamente sanzionati.

Inoltre, i framework di AI governance diventeranno progressivamente uno standard nelle gare d’appalto e nelle due diligence. Le PMI che vogliono lavorare con grandi clienti o accedere a mercati internazionali dovranno dimostrare di avere processi documentati. Quindi, strutturarsi oggi significa anche aprire opportunità commerciali domani.

Per approfondire come strutturare una strategia digitale che includa la governance AI, è possibile Contact the SHM Studio team to explore the in-depth articles on our blog. Ogni progetto di adozione AI che seguiamo parte dalla definizione chiara di responsabilità, rischi e obiettivi di business — prima ancora di scegliere il modello o la piattaforma.