# La governance dell'IA converge con il GRC o crea un nuovo silo? > L'articolo di SwissGRC® spiega se la governance dell'IA vada integrata nella funzione GRC esistente o costruita come silo separato. Si rivolge ai responsabili di governance, rischio e conformità e si basa su AI Act, ISO/IEC 42001 e FINMA. - URL: https://swissgrc.com/it/governance-ia-grc-integrazione-o-silo/ - Editore: SwissGRC® - Pubblicato: 2026-08-30 - Ultimo aggiornamento: 2026-08-30 ## Punti chiave - Nel giugno 2026 Gartner ha valutato per la prima volta 13 fornitori di piattaforme di AI governance nel suo primo Magic Quadrant dedicato. - L'articolo 9, paragrafo 10, dell'AI Act consente ai fornitori già soggetti ad altri obblighi di gestione del rischio di integrare gli aspetti pertinenti nei processi esistenti anziché costruire un sistema parallelo. - La ISO/IEC 42001:2023 è il primo standard internazionale con requisiti per un sistema di gestione dell'IA e può essere certificata come sistema autonomo o collegata a sistemi esistenti. - Nella Comunicazione sulla vigilanza 08/2024 la FINMA non richiede una struttura di AI governance autonoma, ma l'estensione dei sistemi esistenti di governance, gestione del rischio e controllo. - Il Dipartimento federale di giustizia e polizia dovrà elaborare entro fine 2026 un progetto posto in consultazione, con misure su trasparenza, protezione dei dati, non discriminazione e vigilanza. - Il primo passo pratico è censire le applicazioni di IA in uso e mapparle rispetto a registri dei rischi, controlli e processi di protezione dei dati esistenti. Nel giugno 2026 Gartner ha pubblicato il suo primo Magic Quadrant per le piattaforme di AI governance, valutando 13 fornitori. Un’analisi indipendente di tale pubblicazione rileva che l’intelligenza artificiale sta dissolvendo i confini che finora separavano la governance dell’IA, la governance dei dati e dell’analytics, la governance dei processi aziendali, la governance IT e il GRC classico. Per i responsabili di governance, rischio e conformità, ciò solleva una questione strutturale: la governance dell’IA va integrata nella funzione GRC esistente, oppure va costruita come disciplina separata accanto ad essa. La regolamentazione e gli standard offrono già alcune prime indicazioni. In breve L’AI Act, la norma ISO/IEC 42001 e la Comunicazione FINMA sulla vigilanza 08/2024 indicano tutti la stessa direzione: la governance dell’IA dovrebbe essere integrata nelle strutture di governance, gestione del rischio e controllo già esistenti, anziché essere costruita come silo separato. I requisiti specifici dell’IA relativi a qualità dei dati, spiegabilità e rischio modello richiedono competenze aggiuntive all’interno della funzione GRC esistente, non necessariamente una nuova unità organizzativa. ## Cosa mostra il primo Magic Quadrant per le piattaforme di AI governance? Nel giugno 2026 Gartner ha valutato per la prima volta 13 fornitori di piattaforme di AI governance, confermando l’esistenza di un mercato distinto per i software che gestiscono il rischio legato all’IA. Un’analisi indipendente della pubblicazione colloca il risultato in un contesto più ampio: l’intelligenza artificiale sta dissolvendo i confini che finora separavano la governance dell’IA, la governance dei dati e dell’analytics, la governance dei processi aziendali, la governance IT e il GRC. Ciò indica meno una nuova disciplina isolata che un’estensione dei compiti di governance esistenti alle questioni specifiche dell’IA. Per le organizzazioni dotate di un sistema GRC consolidato, la questione rilevante non è tanto l’aggiunta di un’ulteriore piattaforma, quanto piuttosto quali processi esistenti debbano assorbire il rischio legato all’IA. ## Come disciplina l’AI Act il rapporto tra gestione del rischio IA e processi esistenti? L’articolo 9 dell’AI Act richiede un sistema di gestione del rischio continuo lungo tutto il ciclo di vita dei sistemi di IA ad alto rischio, ma consente esplicitamente che tale sistema sia integrato in processi già esistenti. Ai sensi dell’[articolo 9, paragrafo 10](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-9), i fornitori già soggetti a obblighi di gestione del rischio ai sensi di altre normative dell’Unione possono integrare gli aspetti pertinenti nei propri processi esistenti anziché costruire un sistema parallelo. L’articolo 17 impone inoltre ai fornitori di sistemi di IA ad alto rischio di mantenere un sistema di gestione della qualità, e l’articolo 10 stabilisce requisiti specifici per la governance e la qualità dei dati: i set di dati devono essere pertinenti, rappresentativi, privi di errori e completi, per quanto ciò sia possibile. Il legislatore stesso applica quindi una logica di integrazione, sebbene i requisiti sostanziali siano nuovi per molte funzioni GRC. Questa impostazione contrasta con il dibattito pubblico secondo cui l’AI Act soffocherebbe l’innovazione o imporrebbe un’iper-regolamentazione. ## Cosa offre la ISO/IEC 42001 come standard autonomo per i sistemi di gestione dell’IA? La ISO/IEC 42001:2023 è il primo standard internazionale a stabilire requisiti per l’istituzione, l’implementazione, il mantenimento e il miglioramento continuo di un sistema di gestione dell’IA. Come altri standard di sistemi di gestione, la ISO/IEC 42001 è concepita come sistema certificabile autonomamente, ma può parimenti essere collegata alle strutture GRC esistenti, ad esempio un sistema di gestione della sicurezza delle informazioni o della qualità già in essere. Questa duplice compatibilità rispecchia la logica dell’AI Act: la governance dell’IA richiede componenti specialistiche proprie, ma non necessita di essere ancorata organizzativamente in modo separato dal resto della gestione del rischio. Per i responsabili GRC, la decisione si sposta quindi dalla struttura alle risorse: chi apporta le competenze necessarie per gestire i rischi legati all’intelligenza artificiale, e quale processo esistente ne conserva le evidenze. ## Qual è la posizione delle autorità di vigilanza e del legislatore svizzeri sulla governance dell’IA? Nella Comunicazione sulla vigilanza 08/2024, la FINMA non richiede una struttura di AI governance autonoma, bensì l’estensione dei sistemi esistenti di governance, gestione del rischio e controllo, mentre il Consiglio federale si orienta verso una regolamentazione settoriale dell’IA. La FINMA fonda la propria [Comunicazione sulla vigilanza 08/2024](https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/) sui risultati dell’attività di vigilanza in corso e afferma che la maggior parte degli istituti finanziari si trova ancora in una fase iniziale di sviluppo. Ogni istituto sottoposto a vigilanza deve riconsiderare l’effetto dell’uso dell’IA sul proprio profilo di rischio e adeguare il proprio sistema di governance, gestione del rischio e controllo al quadro regolamentare applicabile. Poiché la Svizzera non dispone di una legislazione specifica sull’IA, la FINMA segue un approccio basato sul rischio che copre i rischi operativi, i rischi legati ai dati, i rischi IT e cyber, nonché gli aspetti legali e reputazionali. Il Consiglio federale ha deciso di ratificare la Convenzione sull’IA del Consiglio d’Europa e di adeguare di conseguenza il diritto svizzero; il consigliere federale Albert Rösti ha firmato la Convenzione a nome della Svizzera. Il Dipartimento federale di giustizia e polizia, insieme al Dipartimento federale dell’ambiente, dei trasporti, dell’energia e delle comunicazioni e al Dipartimento federale degli affari esteri, dovrà elaborare entro fine 2026 un progetto posto in consultazione che definisca misure in materia di trasparenza, protezione dei dati, non discriminazione e vigilanza. Le modifiche legislative dovranno essere quanto più possibile settoriali, mentre eventuali regole trasversali dovranno limitarsi agli ambiti centrali che toccano i diritti fondamentali. Il livello di maturità attuale degli istituti è descritto in dettaglio nell’indagine della FINMA sull’uso dell’intelligenza artificiale. ## Come si può attuare questa integrazione nella pratica? Il primo passo consiste nel censire le applicazioni di IA già in uso e nel mapparle rispetto ai registri dei rischi, ai controlli e ai processi di protezione dei dati esistenti. La funzione responsabile del GRC dovrebbe completare questo mapping entro l’attuale ciclo di pianificazione, prima di decidere in merito a una funzione di AI governance separata. Solo successivamente sarà possibile valutare quali lacune specifiche dell’IA richiedano competenze aggiuntive, ad esempio in relazione alla qualità dei dati ai sensi dell’articolo 10 dell’AI Act o alla spiegabilità delle decisioni dei modelli. Nella maggior parte dei casi, tali lacune possono essere colmate mediante nuovi ruoli e fasi di verifica all’interno della struttura esistente, anziché tramite un ulteriore silo. Una funzione di AI governance separata è opportuna solo quando la struttura GRC esistente non è comprovatamente in grado di coprire i requisiti specifici dell’IA. Correlato ### Una base dati condivisa per il rischio IA AI GRC associa il rischio legato all’IA allo stesso registro dei rischi già utilizzato per altre tipologie di rischio. Collega i requisiti dell’AI Act ai controlli e alle evidenze esistenti. [AI GRC](https://swissgrc.com/it/ai-grc/) Per la pratica ## Punti chiave - L’articolo 9, paragrafo 10, dell’AI Act consente esplicitamente di integrare la gestione del rischio IA nei processi esistenti. - La ISO/IEC 42001 può essere certificata come sistema autonomo o collegata a sistemi di gestione già esistenti. - La FINMA richiede agli istituti sottoposti a vigilanza di estendere i sistemi esistenti di governance, gestione del rischio e controllo anziché costruire una nuova struttura. - Il Consiglio federale si orienta verso una regolamentazione settoriale dell’IA, con un progetto posto in consultazione da parte del Dipartimento federale di giustizia e polizia atteso entro fine 2026. - Il censimento delle applicazioni di IA già in uso rappresenta il primo passo pratico prima di qualsiasi decisione strutturale. FAQ ## Domande frequenti Un’azienda deve istituire un nuovo dipartimento per la governance dell’IA? No. L’AI Act, la ISO/IEC 42001 e la Comunicazione FINMA sulla vigilanza 08/2024 indicano tutti la necessità di integrare la governance dell’IA nelle strutture esistenti di governance, gestione del rischio e controllo. Una funzione di AI governance autonoma è opportuna solo quando la struttura GRC esistente non è comprovatamente in grado di coprire i requisiti specifici dell’IA. Cosa richiede l’articolo 9 dell’AI Act in materia di gestione del rischio per i sistemi di IA ad alto rischio? L’articolo 9 dell’AI Act richiede un sistema di gestione del rischio continuo lungo tutto il ciclo di vita dei sistemi di IA ad alto rischio. Ai sensi dell’articolo 9, paragrafo 10, i fornitori già soggetti a obblighi di gestione del rischio ai sensi di altre normative dell’Unione possono integrare tali aspetti nei processi esistenti anziché costruire un sistema parallelo. La ISO/IEC 42001 può essere certificata autonomamente, o solo come integrazione ai sistemi esistenti? Come altri standard di sistemi di gestione, la ISO/IEC 42001:2023 è concepita come sistema certificabile autonomamente, ma può parimenti essere collegata alle strutture GRC esistenti, ad esempio un sistema di gestione della sicurezza delle informazioni o della qualità già in essere. Questa duplice compatibilità rispecchia la logica di integrazione dell’AI Act. Che ruolo svolge la Comunicazione FINMA sulla vigilanza 08/2024 per gli istituti finanziari svizzeri? La FINMA non richiede una struttura di AI governance autonoma, bensì l’estensione dei sistemi esistenti di governance, gestione del rischio e controllo. Ogni istituto sottoposto a vigilanza deve riconsiderare l’effetto dell’uso dell’IA sul proprio profilo di rischio e seguire un approccio basato sul rischio, poiché la Svizzera non dispone di una legislazione specifica sull’IA. Qual è il primo passo pratico per integrare la governance dell’IA nel GRC? Il primo passo consiste nel censire le applicazioni di IA già in uso e nel mapparle rispetto ai registri dei rischi, ai controlli e ai processi di protezione dei dati esistenti. Solo successivamente sarà possibile valutare quali lacune specifiche dell’IA richiedano competenze aggiuntive, prima di decidere in merito a una funzione di AI governance separata. Fonti 1. [Articolo 9, sistema di gestione del rischio per i sistemi di IA ad alto rischio](https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-9)AI Act Service Desk, Commissione europea 2. [Comunicazione sulla vigilanza 08/2024 in materia di governance e gestione del rischio nell’IA](https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/)FINMA ## Domande frequenti ### Un'azienda deve istituire un nuovo dipartimento per la governance dell'IA? No, secondo l'articolo. AI Act, ISO/IEC 42001 e Comunicazione FINMA 08/2024 indicano l'integrazione nelle strutture esistenti. Una funzione separata è opportuna solo quando la struttura GRC esistente non è comprovatamente in grado di coprire i requisiti specifici dell'IA. ### Cosa richiede l'articolo 9 dell'AI Act per i sistemi di IA ad alto rischio? L'articolo 9 richiede un sistema di gestione del rischio continuo lungo tutto il ciclo di vita dei sistemi di IA ad alto rischio. Ai sensi del paragrafo 10 i fornitori già soggetti ad altri obblighi di gestione del rischio possono integrarlo nei processi esistenti. ### La ISO/IEC 42001 può essere certificata autonomamente? Sì. Come altri standard di sistemi di gestione è concepita come sistema certificabile autonomamente, ma può anche essere collegata a strutture esistenti, ad esempio un sistema di gestione della sicurezza delle informazioni o della qualità. ### Cosa richiede la FINMA agli istituti finanziari svizzeri in materia di IA? La FINMA non richiede una struttura di AI governance autonoma. Ogni istituto vigilato deve riconsiderare l'effetto dell'IA sul proprio profilo di rischio e adeguare governance, gestione del rischio e controllo, con un approccio basato sul rischio. ### Qual è il primo passo per integrare la governance dell'IA nel GRC? Occorre censire le applicazioni di IA già in uso e mapparle rispetto a registri dei rischi, controlli e processi di protezione dei dati esistenti. Solo dopo si valuta quali lacune richiedano competenze aggiuntive.