AI e board: la sfida della supervisione umana

L’amministratore indipendente non sceglie né programma l’AI, ma vigila sul suo impiego nelle decisioni. Se l’AI seleziona il personale, valuta il merito creditizio o prepara analisi per il consiglio, la questione è di governance e per chi non ha deleghe vigilare significa anzitutto chiedere.

L’art. 2381-ter c.c., introdotto dal d.lgs. n. 47/2026, impone agli amministratori di agire in modo informato e consente a ciascuno di chiedere agli organi delegati informazioni da fornire in consiglio. Le seguenti cinque domande possono formare oggetto di un’unica richiesta di informativa:

1. Dove usiamo l’AI, anche con strumenti generativi adottati dalle singole funzioni? Sono elaborati con AI i documenti destinati al consiglio?
2. Ǫuali dati alimentano i sistemi? Chi ne ha verificato liceità d’uso e riservatezza? Il fornitore li conserva o riutilizza?
3. Il sistema suggerisce, filtra o decide? Chi riceve l’output può davvero discostarsene?
4. Chi è responsabile di ciascun impiego e ne conosce i limiti? Che cosa prevede il contratto con il fornitore in caso di errore, discriminazione o violazione dei dati?
5. Chi esercita e documenta la supervisione? Chi può sospendere il sistema o disattenderne l’esito? Come sono tracciati i controlli effettuati?

La supervisione non è una formula di stile. Per i sistemi ad alto rischio l’art. 14 dell’AI Act prevede misure commisurate al rischio, all’autonomia e al contesto d’uso; per i sistemi dell’allegato III i relativi requisiti si applicheranno dal 2 dicembre 2027, dopo il rinvio disposto dal reg. (UE) 2026/1744. L’art. 3, comma 3, della legge n. 132/2025 stabilisce inoltre, tra i principi generali, che i sistemi e i modelli di AI per finalità generali siano sviluppati e applicati assicurando “la sorveglianza e l’intervento umano”.

Dal 30 settembre 2026, inoltre, l’art. 437-bis c.p. punirà l’utilizzatore professionale di sistemi ad alto rischio che ometta intenzionalmente misure di sorveglianza umana, se ne derivi pericolo per la vita, l’incolumità pubblica o individuale o la sicurezza dello Stato. Sul piano civile, invece, l’art. 17 del d.lgs. 160/2026 consente, nelle azioni risarcitorie e alle condizioni previste dalla norma, di ottenere l’esibizione dei registri e delle informazioni relative ai parametri e alle modalità della supervisione umana.

Le risposte servono dunque al consiglio per decidere che cosa autorizzare, che cosa sospendere e che cosa ricondurre a un assetto adeguato. Servono anche a documentare il percorso che conduce a tali decisioni. L’art. 2381-ter, comma 4, c.c. riconosce infatti agli amministratori privi di deleghe un “ragionevole affidamento” sulle informazioni ricevute in conformità alla legge e allo statuto, “anche in relazione alle loro specifiche competenze”. Tale affidamento, tuttavia, non equivale ad accettazione acritica. Se dunque il verbale non costituisce uno scudo, documenta però le domande poste, le risposte ottenute e le decisioni assunte.

Si può non gestire l’AI, ma non si può rinunciare a vigilare sul suo impiego.

Marina Rubini: associata Nedcommunity e membro del Reflection Group “AI, Cyber, Digital Innovation e Governance” all’interno della stessa associazione