L’AI corre, ma i controlli non vedono gli agenti abusivi
EY e OneTrust mostrano che l’adozione dell’AI è già ampia, ma la governance resta indietro: il 74% delle organizzazioni dichiara uso di AI a livello di team o di processo, e circa un quarto dice di non saper rilevare agenti AI non autorizzati all’interno dell’azienda. Il quadro è quello di controlli formali presenti, ma non ancora affidabili nel runtime in cui l’AI agisce davvero.
Il punto è semplice: policy, training, inventari dei modelli e revisione umana non bastano se un agente può operare dentro i normali flussi di lavoro senza essere visto. Quando la supervisione resta solo sulla carta, un uso non autorizzato può passare per attività ordinaria, e l’azienda scopre il problema solo dopo che l’agente ha già letto dati, chiamato strumenti o avviato azioni.
Per i team di security, risk, audit e governance AI, il segnale è che l’esposizione non dipende più solo dall’adozione, ma dalla capacità di attribuire ownership e osservare ciò che gli agenti fanno in produzione. Questa è una misura di maturità operativa, non di sola policy: dove non si vede l’agente, non si controlla davvero il rischio.