Task force sull’AI: dalla governance di facciata al controllo reale

Quando un’istituzione annuncia una task force sull’AI, le prime domande riguardano quasi sempre la composizione. Chi la presiede. Quali dipartimenti hanno un posto al tavolo. Se siano stati invitati rappresentanti dell’industria, del lavoro o della società civile.

Queste domande descrivono il comitato. Non ne descrivono il potere.

Le domande utili sono meno cerimoniali. Può bloccare un acquisto? Può obbligare un fornitore a produrre prove? Può rinviare un’implementazione? Può decidere chi sostiene la perdita quando il sistema fallisce?

Se la risposta è no, la task force può comunque coordinare, studiare o consigliare. Ma non controlla l’AI. Commenta decisioni prese altrove.

Una task force sull’AI è potente soltanto quanto la decisione che può interrompere.

La distinzione conta perché “task force” non ha un significato istituzionale uniforme. La stessa etichetta può indicare un gruppo di studio parlamentare, un programma tecnologico interno, un consiglio consultivo previsto dalla legge oppure un ufficio dotato di poteri esecutivi diretti.

Contare le task force ci dice che le istituzioni stanno prestando attenzione. Non ci dice quasi nulla su chi sia al comando.

Il titolo non dice nulla

Il 20 aprile 2023 Alejandro Mayorkas ha istituito l’Artificial Intelligence Task Force del Department of Homeland Security. L’obiettivo dichiarato era promuovere specifiche applicazioni dell’AI nelle missioni del Dipartimento.

La formulazione conta. L’organismo era collocato vicino all’implementazione: sicurezza delle frontiere, catene di approvvigionamento, infrastrutture critiche e operazioni interne. Non gli era stato semplicemente chiesto di produrre principi generali.

Ma la vicinanza alle operazioni non equivale all’autorità su di esse. Il memorandum istitutivo non trasferiva automaticamente alla task force il controllo sugli acquisti, sulla disclosure dei fornitori o sulla responsabilità residua. Creava un meccanismo operativo all’interno di un’istituzione in cui quei poteri restavano distribuiti tra strutture già esistenti.

La Task Force bipartisan sull’intelligenza artificiale della Camera degli Stati Uniti era stata progettata per uno scopo diverso. Il suo rapporto del dicembre 2024 conteneva 66 conclusioni e 85 raccomandazioni su privacy, sicurezza nazionale, proprietà intellettuale, lavoro e uso governativo dell’AI.

Il risultato era una mappa per il Congresso.

È un lavoro utile. È anche esplicitamente consultivo. Un rapporto parlamentare diventa vincolante soltanto quando il legislatore lo trasforma in una legge, in uno stanziamento o in un’azione di controllo.

La dicitura “task force sull’AI” diventa più utile quando si elimina l’etichetta e si dichiara la funzione.

Un’istituzione potente non rende potente ogni sua unità

Il baricentro istituzionale dell’AI si sta spostando. Il controllo non appartiene più soltanto ai ministeri dell’innovazione, ai comitati accademici e alle unità di strategia digitale. Ora entra nelle agenzie responsabili dei mercati, della pubblica amministrazione, della sicurezza e dei diritti fondamentali.

Ma l’istituzione ospitante non può essere usata come scorciatoia per interpretare il mandato.

Il 1° agosto 2025 la Securities and Exchange Commission statunitense ha annunciato la propria Artificial Intelligence Task Force, guidata dalla Chief AI Officer Valerie Szczepanik.

La SEC è un’autorità di regolamentazione con un evidente peso esecutivo. La sua task force sull’AI, però, è stata presentata come un organismo per l’adozione interna: centralizza le iniziative sull’AI, rimuove gli ostacoli all’implementazione e sostiene l’integrazione responsabile della tecnologia nel lavoro dell’agenzia.

Questo potrà migliorare la sorveglianza dei mercati, le verifiche o l’enforcement. Ma l’annuncio non ha creato una nuova autorità di controllo sull’uso esterno dell’AI nei mercati finanziari. L’oggetto immediato della task force è la SEC stessa.

La distinzione è importante. Anche una task force collocata dentro un regolatore può essere un ufficio di implementazione, non un organismo di enforcement.

L’Ufficio europeo per l’AI si trova dall’altra parte della linea. Può valutare i modelli di AI per finalità generali, richiedere informazioni e documentazione tecnica, indagare su possibili violazioni, imporre misure correttive, limitare la disponibilità di un modello e applicare sanzioni.

Questi non sono verbi di coordinamento. Sono verbi di controllo.

L’Ufficio conta perché l’AI Act attribuisce alla Commissione europea un’autorità giuridica esercitabile nei confronti di un’altra parte. Il suo potere non deriva dall’esperienza dei suoi membri o dalla qualità dei suoi rapporti. Deriva dal fatto che un fornitore può essere obbligato a rispondere.

Il potere comincia nel punto in cui il consiglio diventa un obbligo per qualcun altro.

Questo è il test istituzionale. Non conta soltanto dove si trovi l’organismo, ma se le sue decisioni cambino i doveri di chi resta fuori dalla stanza.

Il Texas ha scritto il limite nella legge

Il Texas offre un esempio particolarmente pulito perché il confine è scritto direttamente nella norma.

Il Texas Responsible Artificial Intelligence Governance Act, o TRAIGA, ha creato il Texas Artificial Intelligence Council e gli ha assegnato un ruolo amministrativo reale.

Il Consiglio può pubblicare rapporti, formare le autorità statali e locali, consigliare il Department of Information Resources e raccomandare l’esclusione di un partecipante dalla sandbox regolatoria sull’AI.

Dispone inoltre di personale e di un direttore esecutivo. Non è una struttura vuota.

Ma la Sezione 554.103 gli vieta di emanare «indicazioni vincolanti per qualsiasi soggetto» o di interferire con il funzionamento di un’agenzia statale.

Quella frase spiega più del resto del branding istituzionale.

Il Consiglio può osservare, consigliare e raccomandare. Il Department of Information Resources e le agenzie competenti approvano l’accesso alla sandbox. L’Attorney General avvia le azioni di enforcement previste dalla legge.

Il potere è distribuito intorno al Consiglio, non concentrato al suo interno.

La California mostra la fase successiva.

Anche il Joint California Policy Working Group on AI Frontier Models era consultivo. Ha prodotto una base empirica e delle raccomandazioni; non è diventato un regolatore dell’AI.

La differenza sta in ciò che è accaduto dopo.

La SB 53 della California richiama espressamente le raccomandazioni del gruppo di lavoro e ne converte una parte in obblighi di legge.

Gli sviluppatori di modelli di frontiera interessati devono pubblicare framework di gestione del rischio e informazioni sui modelli. I grandi sviluppatori devono comunicare determinate valutazioni. Gli incidenti critici di sicurezza devono essere segnalati allo Stato. L’Attorney General può chiedere sanzioni civili fino a un milione di dollari per violazione nei casi previsti.

La California non ha reso potente il gruppo di lavoro. Ha spostato alcune delle sue raccomandazioni dentro istituzioni che possedevano già un’autorità giuridica.

È questo il percorso che gli annunci sulle task force tendono a nascondere:

Quattro leve decidono se l’organismo governa

Per una task force interna, la stessa logica può essere ridotta a quattro leve.

• Acquisti. Può approvare, respingere o subordinare a condizioni l’acquisto di un sistema AI, oppure lo esamina quando la decisione commerciale è già stata presa?
• Informazioni. Può pretendere documentazione sul modello, risultati delle valutazioni, registri dei flussi di dati, log di utilizzo e informazioni sui subfornitori?
• Implementazione. Può rinviare un rilascio, imporre condizioni, limitare l’autorità del sistema o ordinare un rollback?
• Rischio residuo. Può decidere chi sostiene la perdita operativa, l’esposizione regolatoria e i costi di rimedio quando il sistema fallisce?

Il budget conta perché, senza risorse, ciascuno di questi poteri diventa fittizio. Una task force che può chiedere un audit ma non può finanziarlo possiede un diritto soltanto sulla carta. Un organismo responsabile del monitoraggio ma privo di personale, strumenti o accesso ai log ha ricevuto responsabilità senza controllo.

Il test pratico non è quindi l’esistenza di un regolamento interno. È verificare se procurement, legale, sicurezza e responsabili aziendali debbano rispondere alle sue decisioni prima dell’implementazione.

Se quei team possono ignorarla, la task force è un forum consultivo.

Se hanno bisogno della sua approvazione, fa parte dell’architettura di controllo.

Costruirla intorno al processo, non al modello

Una task force interna sull’AI non dovrebbe partire da una lista di modelli. Significherebbe rovesciare la decisione.

Si parte da cinque o dieci processi. Per ciascuno si registrano il responsabile, il tempo di completamento attuale, il costo, il volume, il tasso di errore o rilavorazione, gli utenti coinvolti e le conseguenze di un fallimento. Solo dopo si decide se l’AI debba entrare nel processo.

I casi d’uso possono essere classificati per valore aziendale, disponibilità dei dati, ripetibilità, reversibilità, esposizione normativa e autorità concessa al sistema.

Un assistente che riassume documenti e un modello che modifica il limite di credito di un cliente non dovrebbero seguire lo stesso percorso di approvazione.

I primi 90 giorni devono costruire un sistema operativo, non un documento di principi.

Giorni 1–30: inventario e autorità

Mappare gli strumenti attivi, gli usi informali da parte dei dipendenti, le implementazioni previste, i fornitori e i flussi di dati. Assegnare a ogni caso d’uso rilevante un responsabile aziendale e un responsabile della decisione. Scrivere quale funzione possa approvarlo, condizionarlo o fermarlo.

Giorni 31–60: prove e controlli

Selezionare un processo circoscritto. Stabilire una baseline e un insieme di test. Definire autorizzazioni sui dati, revisione umana, soglie di valutazione, logging, escalation e rollback. Esaminare il contratto commerciale prima del pilota, non dopo.

Giorni 61–90: operatività controllata

Eseguire il processo con un numero limitato di utenti e un’autorità limitata. Misurare gli output accettati, le correzioni, gli incidenti, il costo operativo e il completamento effettivo del processo aziendale. Poi ampliare, correggere o interrompere.

È anche il motivo per cui una policy generica sull’AI non basta. Le policy descrivono il comportamento atteso. I controlli operativi stabiliscono ciò che il sistema è autorizzato a fare, tecnicamente e contrattualmente.

I contratti sono il punto in cui la task force esiste oppure no

Il perimetro giuridico varia in base al caso d’uso. In Europa può comprendere pratiche vietate, sistemi ad alto rischio, obblighi di trasparenza e il regime distinto per l’AI per finalità generali. Possono inoltre applicarsi protezione dei dati, diritto del lavoro, norme settoriali, diritto della concorrenza o controlli sulle esportazioni.

La task force non crea questo perimetro. Deve assicurarsi che il perimetro modifichi il processo di approvazione.

Si comincia dal contratto.

L’accordo dovrebbe distinguere il trattamento dei dati del cliente necessario a fornire il servizio dal loro riutilizzo per addestramento, profilazione o sviluppo del prodotto. Dovrebbe disciplinare l’accesso alla documentazione tecnica, ai risultati delle valutazioni e ai log pertinenti.

Modifiche sostanziali al modello e nuovi subfornitori dovrebbero attivare un obbligo di notifica. Portabilità e assistenza alla cessazione dovrebbero essere definite prima che si formi la dipendenza. Incidenti di sicurezza, errori di prestazione e contestazioni regolatorie hanno bisogno di responsabili identificati.

Soprattutto, il contratto dovrebbe stabilire cosa accade quando il fornitore non può produrre le prove richieste dal cliente.

Un diritto di audit è debole se il rifiuto non produce conseguenze. Una clausola di portabilità è decorativa se il formato dei dati è inutilizzabile. Un diritto di recesso non crea resilienza quando ogni processo a valle dipende dallo stesso modello proprietario.

Questa è la versione organizzativa dell’argomento che ho sviluppato in Chi controlla l’AI?: la governance formale viene spesso decisa clausola per clausola, perché è lì che si distribuiscono accesso, prove e responsabilità.

È anche la lezione di L’interruttore non è tuo. Un piano di rollback che dipende interamente dalla collaborazione del fornitore da cui ci si vuole separare non è un piano di rollback.

Se il legale ha già firmato prima che la task force esamini l’accordo, la task force è già a valle del potere.

L’organismo non deve negoziare ogni contratto. Deve però disporre di un passaggio di approvazione che impedisca l’acquisto di dipendenze AI rilevanti senza i diritti necessari a governarle.

Il lavoro fa parte del sistema di controllo

L’omissione più frequente non è tecnica. È distributiva.

Le task force discutono il rischio del modello e trattano il cambiamento del lavoro come un dettaglio di implementazione. Ma la governance dell’AI è anche governance del lavoro: chi viene monitorato, quale attività viene riorganizzata, chi assorbe gli errori e chi possiede abbastanza peso istituzionale da contestare il sistema.

L’Artificial Intelligence Task Force dello Stato di Washington, istituita nel 2024, ha reso il lavoro una componente formale della propria struttura. Ha operato attraverso un sottocomitato dedicato, condotto un’indagine tra i lavoratori e pubblicato il rapporto finale il 1° luglio 2026.

Il punto non è che ogni organizzazione debba creare un sottocomitato con lo stesso nome. È che l’impatto sul lavoro ha bisogno di un responsabile, di un budget e di un sistema di misurazione.

Tre domande fanno emergere rapidamente il vuoto:

• Chi è responsabile della transizione per i lavoratori i cui ruoli cambiano?
• Esiste un budget per formazione, accesso e riprogettazione dei processi?
• Qualcuno misura quali gruppi ricevono il guadagno di produttività e quali assorbono lo spostamento?

Se queste domande non hanno un responsabile, la task force è strutturalmente incompleta. Può valutare le prestazioni del modello ma non la resistenza all’implementazione. Può vedere il risparmio sul lavoro nel business case senza vedere chi debba svolgere le attività aggiuntive di verifica, correzione e gestione delle eccezioni che hanno prodotto quel risparmio.

Il costo raramente scompare. Si sposta verso qualcuno con meno potere per registrarlo.

Il test dei 90 giorni

Dopo 90 giorni, una task force sull’AI funzionante dovrebbe saper produrre cinque cose:

• Un registro dei sistemi AI, dei fornitori e dei casi d’uso rilevanti.
• Un responsabile aziendale e una classificazione del rischio per ciascuno.
• Una libreria di controlli e clausole contrattuali collegata ai livelli di rischio.
• Le prove a sostegno di ogni approvazione, eccezione e condizione di implementazione.
• Una cadenza di revisione con responsabili per incidenti, rollback ed escalation.

Se ha prodotto soltanto principi, verbali delle riunioni e una presentazione di sensibilizzazione, può aver migliorato il coordinamento. Non ha creato controllo.

Per chi opera, la lezione è costruire l’organismo intorno a decisioni, prove e diritti di interruzione. Per gli investitori, l’esistenza di una task force significa poco finché non modifica la disciplina degli acquisti, la dipendenza dai fornitori e il rischio residuo. Per i policymaker, un organismo consultivo dovrebbe essere descritto come tale finché un’altra istituzione non sia giuridicamente obbligata ad agire su ciò che dice.

Il logo è irrilevante. I verbali non sono governance.

La domanda è se qualcuno nella stanza possa bloccare l’acquisto, pretendere le prove o cambiare chi sostiene la perdita.

Se può farlo, la task force può governare.

Se non può, è governance di facciata.

Fonti

• Department of Homeland Security — Memorandum sull’istituzione della DHS Artificial Intelligence Task Force (20 aprile 2023)
• Camera dei rappresentanti degli Stati Uniti — Rapporto della Task Force bipartisan sull’intelligenza artificiale (dicembre 2024)
• U.S. Securities and Exchange Commission — Istituzione della task force sull’AI per l’innovazione e l’efficienza interna (1° agosto 2025)
• Texas Legislature — Texas Responsible Artificial Intelligence Governance Act: poteri e limiti istituzionali
• California Legislature — SB 53: Transparency in Frontier Artificial Intelligence Act
• Commissione europea — Mandato e poteri di enforcement dell’Ufficio europeo per l’AI
• Attorney General dello Stato di Washington — Rapporti e attività dell’Artificial Intelligence Task Force
• NIST — Artificial Intelligence Risk Management Framework

Fabio Lauria

CEO & Founder, ELECTE

Ogni settimana esploriamo l'AI senza l'hype — con dati, analisi e una prospettiva indipendente.