Caso di studio · Govern · Governance & sicurezza AI
Dalla shadow AI all’uso governato in una società finanziaria svizzera
Come una società finanziaria svizzera ha sostituito la shadow AI con un quadro governato: inventario, livelli di rischio, accesso controllato, prove misurate.
Caso anonimizzato — esempio rappresentativo tratto da mandati reali Numezis
Situazione di partenza
Gli strumenti di IA generativa consumer si erano diffusi nei team senza che fosse mai stata presa una decisione: redazione di lettere, sintesi di dossier, preparazione di analisi. Nessuno sapeva chi usasse cosa, né con quali dati. Finché un collaboratore ha copiato i dati di un cliente finale in un prompt — incidente evitato per poco, ma rivelatore: il percorso rischioso era diventato quello predefinito.
La prima reazione della direzione è stata valutare un divieto totale. Un divieto, però, non avrebbe risolto nulla: l’uso sarebbe migrato sui dispositivi personali, fuori da ogni visibilità, e l’azienda avrebbe perso ciò che questi strumenti davano realmente ai team. Il consiglio di amministrazione, dal canto suo, non chiedeva né carte né intenzioni: voleva prove di controllo, in un’attività in cui i dati previdenziali non tollerano approssimazioni.
La decisione sul tavolo
Vietare e perdere l’uso utile — o governare, e rendere il percorso sicuro più rapido di quello rischioso?
Vincoli reali
Regolamentazione finanziaria svizzera & nLPD
Attività finanziarie regolamentate e dati personali soggetti alla nuova legge sulla protezione dei dati: ogni regola d’uso doveva essere scritta, tracciabile e difendibile — non una semplice raccomandazione interna.
Dati previdenziali particolarmente sensibili
I dati previdenziali dei clienti finali sono tra i più sensibili che l’azienda detiene. La loro esposizione a uno strumento non approvato era lo scenario da escludere per primo.
Un consiglio che esige prove
Il consiglio di amministrazione non si accontentava di una policy firmata: esigeva prove di controllo — inventario, controlli, registri e indicatori rivisti a intervalli fissi.
Nessuna cultura del rischio tecnologico
L’azienda gestiva i rischi finanziari con rigore, ma non aveva alcuna pratica formalizzata di gestione del rischio tecnologico. Il quadro doveva poter essere fatto proprio dai team, non imposto dall’alto.
Cosa abbiamo costruito
L’architettura di questa missione è duplice: un dispositivo di governance e la piattaforma di accesso che lo rende concreto. Un principio è rimasto fermo dal primo all’ultimo giorno: ogni uso riceve un livello di rischio, ogni livello riceve controlli proporzionati — e il percorso approvato deve essere più rapido della scorciatoia.
Componenti del sistema
Sequenza di delivery
Inventario & threat modeling 4 settimane
Interviste per team e analisi della pratica reale: 68 usi di IA generativa censiti, mappatura dei dati coinvolti, modellazione degli scenari di fuga e di decisione errata.
Quadro, livelli di rischio & controlli 4 settimane
Classificazione degli usi in quattro livelli di rischio, matrice di controlli proporzionati, policy d’uso redatta con il giurista esterno, validazione della direzione.
Deployment dell’accesso governato 6 settimane
Strumenti approvati dietro SSO con permessi per ruolo e registri d’uso; processo di approvazione a due velocità messo in esercizio — il percorso sicuro diventa operativo.
Formazione & radicamento 4 settimane
Formazione per ruolo — utenti, approvatori, direzione —, pubblicazione interna delle decisioni di approvazione, primo ciclo completo del cruscotto, passaggio della governance al cliente.
Risultati misurati
Il punto di partenza era uno zero documentato: nessun inventario, nessun controllo, nessun processo di approvazione. Le cifre qui sotto misurano ciò che il quadro ha reso visibile e poi padroneggiato — compresi sei mesi di esercizio dopo il deployment.
Cifre arrotondate. Caso anonimizzato: esempio rappresentativo tratto da missioni reali di Numezis, non una referenza citabile.
Cosa faremmo diversamente
Questa sezione fa parte del nostro standard editoriale: nessun caso di studio senza le sue lezioni.
- 01
Avviare la formazione prima della piattaforma di accesso, non dopo. I team sapevano che gli strumenti approvati stavano arrivando e l’attesa ha generato frustrazione; formare durante il deployment avrebbe trasformato quel tempo in preparazione.
- 02
Coinvolgere il giurista esterno fin dall’inventario, non solo nella stesura della policy. Due cicli di revisione del testo si sarebbero evitati se i vincoli giuridici avessero inquadrato la classificazione fin dall’inizio.
- 03
Pubblicare le decisioni di approvazione all’interno fin dal primo giorno. Abbiamo iniziato a missione in corso, e proprio quella trasparenza si è rivelata il vero acceleratore dell’adozione: tutti vedevano che il processo decideva in fretta, e perché.