Governance dell’IA: buone pratiche per piccoli team IT - LastPass

GUIDA

Governance dell’IA: buone pratiche per piccoli team IT

Sebbene il 92% delle organizzazioni utilizzi già l’intelligenza artificiale, solo il 27% ha effettivamente adottato una strategia per gestire l’IA. Scopri un metodo concreto che i piccoli team IT possono adottare per colmare questa lacuna.

Scarica il rapporto

Scelto da oltre 100.000 aziende in tutto il mondo · Certificazioni SOC 2 tipo II, ISO 27001 e ISO 27701 · Valutazione di 4,5/5 su G2

I dati principali: cosa emerge dalla ricerca

Fonte: Il rapporto LastPass 2026 sullo stato della sicurezza dell’IA e del SaaS. I risultati si basano sulle risposte di 412 responsabili IT, sulle abitudini di accesso di 450.784 utenti appartenenti a 20.631 organizzazioni e sull’utilizzo delle applicazioni in 15.907 organizzazioni.

Il
92% dei responsabili IT dichiara che nella propria organizzazione viene utilizzata l’IA. Tuttavia, solo il 27% dispone di un programma di governance applicato e fatto rispettare in modo attivo e organico.

Perché è importante: molti team IT di piccole e medie dimensioni sanno che serve una strategia per gestire l’IA, ma non come metterla in pratica in modo semplice.  

2,5/5 è il punteggio medio con cui valutano la propria capacità di rilevare l’inserimento di dati sensibili negli strumenti di IA.

Perché è importante: la scarsa fiducia nasce da un mancanza di supervisione, tipico delle situazioni in cui esistono criteri per l’utilizzo dell’IA ma mancano i controlli necessari per farli rispettare.

Il
42% delle organizzazioni non dispone di alcun controllo tecnico per gestire l’accesso dei dipendenti agli strumenti di IA.

Perché è importante: senza controlli, i criteri restano soltanto buone intenzioni e non si traducono in una governance efficace. In assenza di controlli, spetta ai dipendenti decidere autonomamente cosa sia sicuro, mentre i team IT faticano a intervenire in modo efficace quando vengono utilizzati strumenti rischiosi. 

Gestione dell’IA: come valutano le proprie capacità i team IT

Fonte: Il rapporto LastPass 2026 sullo stato della sicurezza dell’IA e del SaaS (basato sulle risposte di 412 responsabili IT)

Scala di autovalutazione: 1 = per niente sicuri, 5 = molto sicuri.

  • Impedire l’utilizzo improprio degli strumenti di IA: 3,0/5
  • Gestire gli incidenti di sicurezza legati all’IA: 2,8/5
  • Individuare l’IA ombra in uso: 2,6/5
  • Rilevare i dati sensibili inseriti negli strumenti di IA: 2,5/5

In tutti e quattro gli ambiti analizzati, i responsabili IT non si sentono particolarmente sicuri delle proprie capacità.

I dati confermano quanto sia importante avere una visione chiara degli strumenti utilizzati, perché è il primo passo per gestire efficacemente l’IA.

Cosa significa davvero adottare buone pratiche di governance dell’IA

Se lavori in un team IT con risorse limitate, le buone pratiche devono tradursi in qualcosa di concreto: un piano d’azione che permetta di gestire efficacemente l’IA senza dover assumere altro personale.

Molti modelli di governance dell’IA, come quelli proposti da Gartner o IBM, si concentrano su criteri e controlli, un approccio comune nelle organizzazioni che devono gestire l’adozione dell’IA su larga scala.

Ma nel 92% delle organizzazioni, l’IA è già in uso, quindi la priorità deve essere riuscire a gestire gli strumenti che i dipendenti stanno già utilizzando.

 

Quando devi recuperare terreno anziché prepararti in anticipo, definire le regole prima di sapere quali strumenti vengono utilizzati può creare problemi.

I criteri che stabilisci non rispecchieranno la situazione reale, i dipendenti finiranno per ignorarli e tra sei mesi dovrai ricominciare da capo.

Perché la governance incontra difficoltà ancora prima di iniziare: tre problemi che mettono in crisi i team IT

La maggior parte dei team IT responsabili di gestire l’IA non dispone di personale dedicato alla sicurezza. Deve occuparsene insieme all’assistenza utenti, alla gestione dell’infrastruttura e al controllo degli accessi. Nei team che incontrano maggiori difficoltà ricorrono tre situazioni:

  1. Vietare completamente l’IA riduce la capacità di controllo: secondo il rapporto LastPass 2026 sullo stato della sicurezza dell’IA e del SaaS, molti responsabili IT ritengono che vietare del tutto l’utilizzo dell’IA sia controproducente, perché spinge i dipendenti a utilizzare canali non autorizzati e riduce la supervisione necessaria per prendere decisioni consapevoli sulla governance.
  2. La ricerca della perfezione rallenta tutto: perché l’adozione di misure di governance si blocca? Molte organizzazioni aspettano di aver definito i criteri “perfetti” prima di intervenire. Ma ogni ritardo rende più difficile tenere l’IA ombra sotto controllo.
  3. Definire criteri senza una base di informazioni condivise genera resistenze: cosa succede quando si introducono regole senza sapere quali strumenti vengono effettivamente utilizzati? Il marketing potrebbe aver già organizzato i propri flussi di lavoro con Jasper, il team di sviluppo potrebbe utilizzare GitHub Copilot e quello operativo potrebbe affidarsi a Otter. Senza un inventario costantemente aggiornato, le discussioni sulla governance finiscono per concentrarsi sulle restrizioni anziché sui rischi.

Tutte e tre le situazioni hanno la stessa causa: si definiscono le regole prima di sapere con precisione quali strumenti devono essere gestiti. Per una governance dell’IA davvero efficace, bisogna invertire quest’ordine.

Quali sono gli ostacoli più comuni per la governance? Trovi tutti i risultati nel rapporto LastPass 2026 sullo stato della sicurezza dell’IA e del SaaS.

 

Scopri tutti i risultati

Scarica il rapporto

Le quattro fasi della governance per i team IT che devono recuperare terreno

I team che stanno ottenendo risultati concreti nella governance dell’IA hanno una cosa in comune: sono partiti dalla consapevolezza, non dalle regole. La governance dell’IA è più efficace quando il monitoraggio degli strumenti utilizzati e la definizione dei criteri procedono di pari passo.

  1. Individua: prima di definire qualsiasi regola, fai un inventario degli strumenti in uso
    Il primo inventario non sarà esaustivo, ma è importante iniziare.
  2. Valuta: concentrati prima sugli utilizzi che comportano i rischi maggiori
    I team che ottengono i migliori risultati non cercano di valutare subito ogni singolo strumento in modo approfondito: danno invece la priorità agli strumenti IA che hanno maggiori probabilità di accedere a dati sensibili o sistemi critici.
  3. Classifica: adatta le misure di governance al livello di rischio
    Anziché trattare tutte le tecnologie di intelligenza artificiale allo stesso modo, sempre più organizzazioni adottano una governance basata sul rischio, che consente una maggiore flessibilità senza rinunciare al controllo.
  4. Applica: scegli i controlli più adatti a far rispettare i criteri
    I controlli tecnici permettono di trasformare i criteri in misure concrete:
    •   LastPass Business Max registra continuamente gli accessi alle applicazioni SaaS e IA tramite l’estensione browser di LastPass.
    •   Con Business Max, gli amministratori possono anche applicare regole basate sul rischio al momento dell’accesso.

Seleziona “Prova LastPass Business Max gratis” o “Richiedi una dimostrazione” per scoprire come funzionano il rilevamento continuo degli strumenti utilizzati e le regole di accesso basate sul rischio.

Prova LastPass Business Max gratis Richiedi una dimostrazione

Come cambia la gestione dell’IA quando la governance funziona

Quando gli strumenti utilizzati vengono monitorati e i controlli vengono applicati, cambiano cinque cose.

  1. Hai prove concrete per rispondere alle domande dei revisori su quali strumenti sono autorizzati, come viene monitorato il loro utilizzo e cosa succede quando un dipendente ne usa uno non autorizzato?
  2. Puoi scoprire l’adozione di nuovi strumenti prima che vengano utilizzati per condividere grandi quantità di dati sensibili.
  3. Non devi più scegliere tra “approvare tutto” e “bloccare tutto rinunciando al controllo”. Gli avvisi, infatti, offrono una terza possibilità.
  4. Mostrare a ogni team i dati relativi agli strumenti IA che utilizza permette di superare le resistenze e trovare insieme soluzioni ai problemi.
  5. Un inventario sempre aggiornato e i registri dei controlli applicati consentono di ricostruire le attività svolte ai fini delle certificazioni SOC 2, GDPR, HIPAA e dei controlli interni.

Se la tua organizzazione deve rispettare anche requisiti normativi specifici, come quelli previsti dal regolamento UE sull’intelligenza artificiale, il passo successivo è capire quali controlli saranno oggetto di verifica.

Per capire come dimostrare la conformità nella governance dell’IA attenzionando 5 controlli richiesti dai revisori, leggi il post sul nostro blog

Governance dell’IA: scopri come si posiziona la tua organizzazione

Il rapporto LastPass 2026 sullo stato della sicurezza dell’IA e del SaaS analizza quanto 412 responsabili IT si sentano sicuri delle proprie capacità di gestire l’IA e quanto siano diffusi i controlli adottati a questo scopo.

Scopri tutti i risultati

Scarica il rapporto

Scopri gli altri contenuti della serie sulla sicurezza dell’IA e del SaaS

GUIDE

La trasformazione guidata dall’IA è una questione di governance

Leggi la guida
GUIDE

Conformità nella governance dell’IA: criteri, controlli e lacune

Leggi la guida

Visualizza tutte le guide sulla sicurezza dell’IA e del SaaS

Domande frequenti sulle buone pratiche di governance dell’IA

Per i team IT con risorse limitate, il metodo più efficace per gestire l’IA prevede quattro fasi precise: individuare, valutare, classificare e applicare i controlli.

  • Individuare significa creare un inventario costantemente aggiornato degli strumenti IA in uso.
  • Valutare significa esaminare i rischi di ogni strumento rispondendo a due domande: tratta dati sensibili, e si collega ai sistemi interni?
  • Classificare significa assegnare a ogni strumento un livello di rischio.
  • Applicare i controlli significa utilizzare misure tecniche per far rispettare le regole previste per ciascun livello di rischio.

LastPass Business Max ti aiuta a mantenere aggiornato l’inventario e ad applicare controlli proporzionati al rischio man mano che aumenta l’utilizzo dell’IA.

Un insieme di criteri efficace per la governance dell’IA deve coprire quattro ambiti:

  • Un inventario aggiornato degli strumenti in uso
  • Regole per il trattamento dei dati in base al livello di sensibilità
  • Controlli delle credenziali e degli accessi
  • Una procedura per valutare le richieste di utilizzo di nuovi strumenti

Mantenere aggiornato l’inventario è spesso l’attività più difficile da gestire manualmente. LastPass Business Max rileva continuamente le tecnologie SaaS e IA in uso, offrendo una base più solida per la governance.

Il rilevamento degli strumenti e la loro classificazione iniziale possono essere completati rapidamente.

La maggior parte dei team IT può creare un primo inventario essenziale degli strumenti di IA utilizzati entro 48 ore dall’attivazione di LastPass Business Max.

Definire e applicare i criteri richiede generalmente più tempo, ma seguire l’ordine giusto è più importante che procedere in fretta.

Molti team aspettano di aver verificato tutti gli strumenti prima di formalizzare i criteri. Nel frattempo, i primi strumenti esaminati potrebbero aver già modificato le proprie condizioni relative al trattamento dei dati. Un inventario completo al 90% su cui puoi già intervenire subito è più utile di uno completo al 100% che si rivela già obsoleto al momento della pubblicazione.

La tua domanda non è presente in questo elenco? Visita il Centro di supporto tecnico.

Inizia a usare un piano LastPass per aziende

Prova LastPass gratis Contatta le vendite
Non è necessaria una carta di credito per la prova gratuita di 14 giorni.