Deriva dell’IA: I sistemi di IA evolvono nel tempo, potenzialmente modificando le decisioni senza nuove modifiche al codice o autorizzazioni.
Rischi Legali: Recenti casi legali mettono in evidenza una responsabilità significativa per i fornitori di IA e i datori di lavoro che utilizzano l’IA nelle assunzioni.
Fallimenti della Governance: La maggior parte delle organizzazioni non dispone del monitoraggio necessario per gestire efficacemente i sistemi di decisione basati su IA.
Sfide Normative: Nuove leggi statali richiedono una documentazione rigorosa e il monitoraggio dei sistemi di IA per evitare sanzioni.
Governance Attuabile: Implementare il monitoraggio continuo e azioni correttive documentate per prevenire la deriva e le responsabilità.
Nessuno ha autorizzato il cambiamento. Il tuo team di ingegneri non ha rilasciato nuovo codice. Ma il sistema di intelligenza artificiale che fornisce raccomandazioni sulle assunzioni per la tua organizzazione oggi non sta facendo ciò che faceva quando lo hai approvato.
Il pool di candidati è cambiato e il mercato del lavoro si è mosso mentre il modello continuava a funzionare basandosi su ipotesi ormai superate da mesi. Questo è il drift dell’IA, ed è già presente nei sistemi per la gestione della forza lavoro di aziende che vanno dalle startup fino alle grandi imprese, non come un rischio ipotetico, ma come una condizione attuale.
Cos’è il Drift dell’IA?
L’AI drift è la graduale divergenza tra come un sistema di intelligenza artificiale era stato progettato per funzionare e come funziona davvero col passare del tempo. Per i team tecnici, questo è un terreno ben noto. Sono già abituati a concetti come il cambiamento nella distribuzione dei dati, il concept drift e la degradazione del modello.
Per i leader che gestiscono le organizzazioni, la definizione deve essere più ampia e più schietta: il drift dell’IA è il processo lento e cumulativo per cui i tuoi strumenti di IA smettono di fare ciò che credi stiano facendo.
Nei sistemi di gestione della forza lavoro, come le piattaforme di selezione, gli strumenti di valutazione della performance, i motori per la gestione dei compensi, gli algoritmi di pianificazione, il drift assume forme che contano molto di più per un CHRO o un CEO rispetto al grafico della distribuzione dei dati di un data scientist.
- Output drift è la più visibile. Le decisioni del sistema si allontanano dai modelli di base. Le raccomandazioni sulle assunzioni iniziano a tendere verso determinati profili di candidati. I punteggi di performance iniziano a raggrupparsi diversamente tra i team. I risultati della pianificazione cambiano in modi non autorizzati da nessuno. Nessuna di queste variazioni richiede una modifica del codice. Il modello sta reagendo a nuovi dati oppure a dati vecchi che non riflettono più il mondo in cui opera.
- Fairness drift è più sottile e più pericoloso. I risultati relativi alle classi protette divergono nel tempo, anche se il sistema aveva superato i test sui bias al momento del rilascio. Uno strumento di selezione che nel 2022 era equo potrebbe non esserlo più nel 2026 se il bacino di candidati è cambiato, se i requisiti lavorativi si sono evoluti, o se i dati di partenza riflettono schemi che il modello non era mai stato addestrato a gestire.
- Decision authority drift è la forma che la maggior parte dei leader non nota affatto. L’ambito decisionale autonomo dell’IA si espande silenziosamente oltre il mandato originale. Uno strumento creato per classificare i candidati inizia di fatto a eliminarli. Un sistema di valutazione della performance inizia a influenzare le decisioni sui compensi per cui non era stato progettato. Nessuno ha autorizzato questa espansione. È avvenuta gradualmente, tramite l’integrazione nei flussi di lavoro e nei comportamenti degli utenti, e nessuno l’ha segnalata perché nessuno la stava monitorando.
- Governance drift è il divario tra ciò che dicono le tue policy che l’IA sta facendo e ciò che fa davvero. Qui si concentra il rischio legale. La tua policy per una IA responsabile descrive un sistema che è stato validato al momento dell’attivazione. Il sistema che oggi è in funzione potrebbe avere ben poco a che vedere con quella descrizione. La policy non è cambiata, ma il sistema sì.
La cosa cruciale da capire sul drift è che non si tratta di un evento di fallimento, ma di un processo di degrado. Un sistema di IA conforme al momento del rilascio può trasformarsi in un problema legale senza che venga modificata neanche una riga di codice, semplicemente perché il mondo attorno è cambiato.
Quando i sintomi emergono sotto forma di un reclamo per discriminazione, una verifica legale o uno schema di risultati che non corrisponde alle aspettative, l’esposizione si sta già accumulando da mesi.
Perché il Drift dell’IA Merita Attenzione Ora
La maggior parte delle organizzazioni ha implementato l’IA nei sistemi per la forza lavoro e poi ha smesso di monitorarla. Hanno testato al rilascio. Hanno documentato al rilascio. Non hanno più testato né documentato da allora. Nel frattempo, la normativa si è adeguata.
Il panorama dei contenziosi
Mobley v. Workday è ormai il caso di riferimento. Cinque querelanti, tutti sopra i 40 anni, hanno affermato che gli strumenti di screening di IA di Workday discriminavano in base all’età. Nel maggio 2025, un tribunale federale del Distretto Nord della California ha certificato il caso come azione collettiva a livello nazionale ai sensi dell’Age Discrimination in Employment Act.
L’impatto della decisione potrebbe riguardare ogni candidato sopra i 40 anni che sia stato sottoposto a screening tramite la piattaforma di Workday dal settembre 2020. Workday stesso ha dichiarato negli atti che ben 1,1 miliardi di candidature sono state rifiutate utilizzando i suoi strumenti durante il periodo rilevante.
La motivazione del tribunale è stata diretta. Il giudice Rita Lin ha stabilito che Workday è stato sufficientemente coinvolto nel processo di assunzione da poter essere considerato agente dei datori di lavoro che utilizzavano i suoi strumenti.
Stabilire una differenza tra chi prende decisioni tramite software e chi invece tramite giudizio umano, ha avvertito il tribunale, svuoterebbe la legge antidiscriminazione nella società attuale.
Nel luglio 2025, l’ambito si è ampliato per includere anche le persone passate attraverso HiredScore, una piattaforma di IA che Workday ha acquisito dopo la presentazione della denuncia originale.
Poi è arrivata Eightfold AI. Nel gennaio 2026, un’azione collettiva ha accusato Eightfold di aver raccolto dati su oltre un miliardo di lavoratori, aver valutato i candidati su una scala da zero a cinque, e averli respinti prima che una persona potesse visionare la candidatura, tutto senza offrire le comunicazioni richieste dal Fair Credit Reporting Act.
Questo caso si differenzia da Mobley in un modo importante: non denuncia pregiudizi, ma segretezza. L’algoritmo esisteva, operava e escludeva persone da opportunità senza che nessuno al di fuori dell’azienda sapesse cosa stesse accadendo. La causa è stata intentata dall’ex presidente della EEOC Jenny R. Yang, segnale della levatura dell’attenzione legale ora concentrata su l’IA nella gestione del personale.
Letti insieme, questi casi formano una tenaglia. Mobley attacca i risultati. Eightfold attacca il processo. Entrambi puntano nella stessa direzione: i fornitori di IA che prendono o influenzano in modo sostanziale decisioni occupazionali saranno ritenuti responsabili per tali decisioni.
La stretta sulla responsabilità dei fornitori
È qui che la matematica diventa scomoda per i datori di lavoro. Ricerche di piattaforme di legal tech mostrano che l’88% dei fornitori di IA limita la propria responsabilità, spesso restringendo i danni alle sole tariffe mensili di abbonamento. Solo il 17% garantisce la conformità normativa. Clausole generali di indennizzo richiedono regolarmente ai clienti di sollevare i fornitori da responsabilità per esiti discriminatori.
Ciò significa che i datori di lavoro sono responsabili legalmente di risultati che non possono controllare, generati da dati che non possono verificare, elaborati tramite logiche che non possono esaminare. Quando viene avviata una class action, il contratto con il fornitore limita la responsabilità, esclude garanzie di conformità e restringe le verifiche degli algoritmi. Il datore di lavoro rimane con il cerino in mano.
Il problema del “fattore umano nella catena”
Avere formalmente una persona nella catena di revisione non è più una difesa valida.
Aaron Pease, avvocato dello studio Highbridge Law Firm, esperto in governance dell’IA e compliance nel mondo del lavoro, lo ha detto senza mezzi termini in una recente presentazione sui rischi della forza lavoro autonoma.
La supervisione senza visibilità è teatro, e crolla sotto indagine legale.
Le organizzazioni non possono dimostrare cosa sia stato effettivamente revisionato dalla persona, cosa sia stato annullato o quali criteri siano stati applicati. Tribunali e autorità di controllo si stanno orientando verso la richiesta di una supervisione documentata e dimostrabile, non una politica dichiarata dove qualcuno, da qualche parte, sostiene di aver visto qualcosa prima dell’approvazione.
L’applicazione normativa prende forma
Il Colorado AI Act, approvato a maggio 2024, è la prima legge statale esaustiva del Paese a regolamentare i sistemi di IA impiegati in decisioni di grande importanza, inclusa l’occupazione. La legge prevede valutazioni d’impatto obbligatorie, programmi di gestione del rischio, obblighi di disclosure e prevede multe di 20.000 dollari per infrazione.
Il percorso verso l’applicazione è stato turbolento: oltre 150 lobbisti hanno presenziato a una sessione legislativa straordinaria nell’agosto 2025 e quattro proposte alternative hanno cercato di annullare o abrogare la legge. Nessuna ha avuto successo. Il parlamento ha acconsentito solo a rinviare l’entrata in vigore al 30 giugno 2026, lasciando intatti gli obblighi sostanziali della norma.
All’inizio del 2026, la sessione legislativa del Colorado non ha prodotto accordi su ulteriori modifiche.
Nel frattempo, la California ha finalizzato le regole sull’utilizzo dell’IA da parte dei datori di lavoro in materia di discriminazione e l’Illinois ha promulgato requisiti di disclosure relativi all’IA. Il modello si ripete in tutti gli stati: i rinvii sono possibili, ma la marcia indietro sulla regolamentazione non è in atto.
Il costo della governance passiva
La svalutazione da 569 milioni di dollari subita da Zillow nel novembre 2021 resta uno dei casi più chiari di cosa accade quando la deriva algoritmica non viene monitorata. La piattaforma iBuying dell’azienda utilizzava un modello di valutazione dei prezzi per stimare le case e formulare offerte d’acquisto. Quando le condizioni post-pandemiche del mercato sono cambiate, l’algoritmo ha continuato a considerare il mercato come bollente mentre in realtà si stava raffreddando.
Zillow ha continuato ad acquistare case a prezzi gonfiati per mesi prima che qualcuno se ne accorgesse. Una volta scoperto, l’azienda ha chiuso l’intera unità iBuying, ha licenziato il 25% del personale e ha subito perdite superiori ai 900 milioni di dollari. Il titolo in borsa ha perso circa 7,8 miliardi di dollari di valore in pochi giorni.
La svalutazione non è stata causata da un improvviso fallimento. È stata causata da una progressiva deriva che si è sommata perché nessuno stava monitorando i segnali. Sostituite “valutazione delle case” con “decisioni di assunzione” o “valutazioni delle performance” e lo schema è identico. La deriva è silenziosa. L’esposizione cresce. Il conto arriva senza preavviso.
Per i dirigenti che gestiscono l’IA in ambito workforce, le categorie di costo sono concrete.
- Rischio finanziario deriva da decisioni errate dell’IA che si accumulano nel tempo sotto forma di assunzioni sbagliate, licenziamenti illeciti, allocazione impropria del talento
- Rischio legale deriva dal fatto che mesi di decisioni di selezione di parte, tutte documentate nei log di sistema, creano esattamente il tipo di prove sistematiche che cercano gli avvocati nelle cause collettive
- Sanzioni regolatorie non sono più soltanto ipotetiche, poiché i meccanismi di applicazione delle normative sono ormai maturi
- Danno reputazionale colpisce il brand del datore di lavoro in un mercato del talento competitivo
- Problemi a livello di consiglio di amministrazione emergono man mano che i fallimenti nella governance delle decisioni IA raggiungono il livello di responsabilità fiduciaria. I direttori chiedono se l’organizzazione sia in grado di dimostrare un’adeguata supervisione, e "abbiamo una policy" non è una risposta. Questo è un ambito in cui l’IA nella gestione del consiglio può essere d’aiuto.
Perché la maggior parte dei framework di governance fallisce
La maggior parte delle organizzazioni ha adottato il linguaggio dell’IA responsabile. Hanno delle policy. Hanno dei principi. Alcune fanno riferimento al NIST. Ma non hanno mai incorporato un monitoraggio interno per verificare che quanto dichiarato venga effettivamente rispettato. Possono descrivere il proprio approccio alla governance dell’IA. Non possono però misurarlo.
Questa è la lacuna strumentale, ed è qui che si annidano i veri rischi.
La Dott.ssa Fern Halper, VP e Senior Research Director per Advanced Analytics presso TDWI, cita un sondaggio svolto dall’azienda alla fine del 2025 su diverse centinaia di organizzazioni. Solo circa un terzo ha descritto la propria governance dell’IA come matura in termini di adesione organizzativa, processi definiti, responsabilità, strumenti e capacità di misurare i risultati.
Le capacità di monitoraggio sono risultate ancora meno diffuse. Meno del 25% ha dichiarato di utilizzare sistemi di monitoraggio dell’IA che possano rilevare deviazioni.
In molte organizzazioni, la frattura non è tra la policy e la misurazione, ma avviene prima. Molte organizzazioni stanno ancora costruendo le basi della governance come policy, modelli di responsabilità e inventari dei modelli. Non sono ancora arrivate al punto di operazionalizzare il monitoraggio continuo dei modelli in produzione.
Questa scoperta cambia la prospettiva del problema della governance per molti leader. In sala consiliare si tende a presumere che una governance esista già e che il punto sia verificarne l’adeguatezza. Per la maggior parte delle organizzazioni, però, l’infrastruttura per governare le decisioni dell’IA in modo misurabile semplicemente non è ancora stata costruita.
Il NIST AI Risk Management Framework, pubblicato a gennaio 2023, definisce quattro funzioni fondamentali: Governare, Mappare, Misurare e Gestire. La maggior parte delle organizzazioni conosce l’esistenza del framework. Poche l’hanno reso operativo oltre le prime due funzioni.
- Governare è la base trasversale — cultura del rischio, strutture di responsabilità, impegno della leadership, ruoli e responsabilità. Il NIST lo ha progettato per inserirsi in ciascuna delle altre tre funzioni e non come una casella da spuntare a parte. Senza Governare, Mappare, Misurare e Gestire restano semplici esercizi teorici.
- Mappare identifica dove all’IA sia stata delegata l’autorità decisionale, quali dati alimentano il sistema, chi ne viene impattato e quali sono i rischi in gioco. È la fase di inventario, e qui la maggior parte delle organizzazioni si ferma. Hanno concluso la valutazione del perimetro. Hanno documentato quali sistemi impattano quali decisioni. Poi si passa oltre.
- Misurare è il punto in cui la governance diventa reale. Richiede strumenti quantitativi, qualitativi o misti per analizzare, valutare e monitorare il rischio IA rispetto a parametri definiti. Il NIST è chiaro: i sistemi IA dovrebbero essere testati prima della messa in produzione e su base regolare durante il funzionamento. Regolarmente. Non una sola volta.
- Gestire è la fase di rimedio — dare priorità e affrontare i rischi individuati, registrare le azioni correttive, collegare i segnali di rilevamento alle risposte documentate.
Il problema è che la maggior parte delle organizzazioni si ferma a Mappare, o meglio, si ferma a una Mappatura parziale che manca della base Governare necessaria per renderla realmente efficace. Raramente quantificano le deviazioni, monitorano i segnali di esposizione o registrano le azioni correttive.
Secondo Pease, quasi nessuna collega i segnali a una documentata azione di rimedio. Mappare senza misurare è solo un inventario. Misurare senza governare sono solo dati. Niente di questo ti protegge dalla fase di discovery se non viene collegato ad azioni concrete e documentate.
Da notare: L'allineamento al NIST sta diventando più di una semplice buona pratica. Il Colorado AI Act cita esplicitamente il NIST AI RMF come riferimento per la conformità. Gli implementatori che vi si allineano ottengono una presunzione contestabile di aver usato "ragionevole cura". Ciò significa che il NIST sta diventando lo standard rispetto al quale viene misurata la responsabilità legale, non solo una linea guida volontaria.
Come rilevare e quantificare il drift dell’IA
Il cambiamento fondamentale che le organizzazioni devono compiere è concettuale prima che tecnico. Bisogna smettere di trattare la supervisione dell’IA come una funzione di audit con revisioni annuali o trimestrali, programmate in anticipo, con report successivi, e iniziare a considerarla come una funzione operativa. Monitoraggio continuo dei segnali con soglie definite, in esecuzione parallela ai sistemi da sorvegliare.
Cosa monitorare
Nei sistemi IA per la forza lavoro, contano cinque categorie di segnali.
- Pattern degli output: le raccomandazioni di assunzione, i punteggi di performance o le decisioni in materia di compensi si stanno discostando dai valori di riferimento stabiliti al momento del deployment?
- Metriche di equità: i risultati per le classi protette stanno divergendo, anche gradualmente?
- Dati in input: la composizione dei dati che alimentano il sistema è cambiata in modi per cui il modello non era stato progettato?
- Ambito decisionale: l’autorità effettiva dell’IA si è estesa oltre il suo mandato originale?
- Allineamento normativo: i requisiti stanno evolvendo più rapidamente della tua documentazione di governance?
Nessuno di questi è un dato esotico. Si tratta di metriche operative che dovrebbero già essere presenti in qualsiasi sistema che prenda decisioni rilevanti sulle persone. La maggior parte delle organizzazioni non ha mai impostato un’infrastruttura per monitorarle con continuità, o non ha mai definito i valori di riferimento rispetto ai quali misurare i cambiamenti.
Dalla descrizione alla quantificazione
Il gap che la maggior parte delle organizzazioni deve colmare è la distanza tra governance qualitativa e governance quantitativa. Tra "abbiamo una policy per l’IA responsabile" e "siamo in grado di mostrare metriche di drift mese per mese con soglie documentate e azioni correttive".
Quantificare significa misurare:
- Magnitudo del drift: quanto gli output si sono discostati dai valori di riferimento e in quale direzione
- Punteggio dell’esposizione finanziaria: traduce le metriche tecniche in un linguaggio di business in termini di costo stimato del drift non corretto per mese.
- Indicizzazione dell’esposizione legale: basata su pattern nei risultati delle classi protette nel tempo
- Misurazione del gap di conformità: la distanza tra il comportamento attuale del sistema e i requisiti normativi applicabili.
Pensatelo come un motore di sensibilità al rischio: un meccanismo di tracciamento continuo che trasforma i segnali di drift in metriche di esposizione finanziaria e legale, mese dopo mese.
È questo che trasforma la governance da documento a dashboard. È ciò che offre alla dirigenza la visibilità necessaria per agire prima che l’esposizione si accumuli fino a sfociare in una responsabilità che finisce in tribunale.
More Articles
Dal rilevamento all’azione: la telemetria della governance
"La governance senza telemetria è un contenzioso annunciato", ha detto Pease. "La delega richiede supervisione."
Il framework che delinea traccia una netta distinzione tra governance come documento e governance come capacità operativa. Gli standard descrivono come dovrebbe essere la governance. La telemetria la rende operativa. La differenza è la stessa che passa tra un manuale di policy e un sistema operativo.
La telemetria, in questo contesto, significa cattura continua dei segnali combinata con la valutazione delle soglie e una traccia documentata delle azioni. Cinque componenti ne permettono il funzionamento.
- Cattura dei segnali è la raccolta continua di indicatori di drift in ogni punto decisionale delegato all'IA. Non campionamento. Non audit trimestrali. Continuamente. Se il sistema prende decisioni ogni giorno, il monitoraggio deve essere attivo ogni giorno.
- Logica delle soglie definisce confini preimpostati che distinguono la variazione accettabile dal drift che necessita azione. Queste devono essere calibrate in base alla tolleranza al rischio organizzativo e ai requisiti normativi. Uno spostamento del 2% nei modelli di raccomandazione di assunzione significa qualcosa di diverso in un ambiente di appaltatore federale rispetto a una startup. Le soglie devono essere definite prima che servano, non ricostruite dopo che è emerso un problema.
- Instradamento dell'escalation trasferisce i segnali segnalati al decisore corretto e al livello giusto attraverso percorsi automatizzati. Non ogni segnale di drift richiede l'attenzione del CHRO. Alcuni sì. La logica di escalation è ciò che trasforma il drift da un dato inosservato a un rischio gestito. Senza di essa, i segnali si accumulano nelle dashboard che nessuno controlla fino a quando non è troppo tardi.
- Registro audit fornisce una documentazione immutabile di ciò che è stato rilevato, quando è stato rilevato, quale azione è stata intrapresa e da chi. Questo è l'artefatto che sopravvive alle indagini legali. Questo dimostra che la governance è avvenuta ed è stata qualcosa di più di una semplice intenzione.
- Ciclo di azione correttiva chiude la catena. Il rilevamento porta alla valutazione. La valutazione porta all'azione. L'azione viene registrata. Senza questo, hai il monitoraggio. Con esso, hai governance.
Questi cinque componenti si mappano direttamente al NIST AI RMF. Govern fornisce la struttura di responsabilità che assicura che la telemetria esista, sia dotata di risorse e abbia visibilità da parte della direzione. Mappa identifica dove devono esistere i punti di telemetria — ogni punto decisionale delegato all'IA. Misura è ciò che la telemetria rileva: entità del drift, segnali di esposizione, superamenti delle soglie, metriche di equità. Gestione è ciò che la telemetria innesca: escalation, azione correttiva, documentazione della remediation, responsabilità a circuito chiuso.
Questa mappatura è importante perché collega la pratica operativa allo standard di conformità che la legge sull'IA del Colorado — e probabilmente le successive leggi statali — utilizzerà per valutare se un'organizzazione ha esercitato la dovuta diligenza.
Tre domande a cui ogni leader deve rispondere ora
Pease definisce la postura minima di governance attorno a tre domande. Se la leadership non può rispondere a tutte e tre, la governance dell'organizzazione è reattiva, gestisce il rischio reputazionale invece che il rischio operativo.
- Dove è stata delegata l'autorità decisionale all'IA all'interno dei sistemi della tua forza lavoro? Non dove l'IA viene "usata". Dove le è stata data l'autorità di prendere o influenzare materialmente decisioni sulle persone, come assunzione, screening, valutazione, retribuzione, pianificazione, valutazione del rischio di licenziamento. Se non puoi produrre questa mappa, non puoi governare ciò che non vedi.
- Puoi quantificare il drift di governance mese su mese? Non "abbiamo una policy". Puoi produrre una metrica che mostri se i tuoi sistemi IA stanno operando entro i parametri definiti e se questo è cambiato rispetto al mese precedente? Se la governance non può essere misurata, non può essere gestita.
- Puoi dimostrare l'azione correttiva documentata? Quando è stato rilevato il drift, cosa è successo? Chi è stato avvisato? Qual è stata la decisione? Cosa è cambiato? Se non puoi mostrare la traccia dal rilevamento alla risposta, al massimo hai monitoraggio. Non hai governance.
Da dove iniziare
Per molte aziende, le priorità di implementazione sono pratiche.
- Inizia dai sistemi per la forza lavoro. Questi comportano la maggiore esposizione perché incidono direttamente sulle persone e sono soggetti a maggiore controllo normativo.
- Costruisci prima la traccia degli audit. È ciò che regolatori e tribunali richiederanno. La capacità di dimostrare che la governance è avvenuta è una protezione più immediata del perfezionare il monitoraggio stesso.
- Strumenta prima di scalare. Aggiungere la telemetria dopo il deployment è esponenzialmente più difficile e costoso che integrarla dall'inizio. Ogni nuova implementazione IA senza strumentazione di governance è nuova esposizione non monitorata.
Le organizzazioni che costruiscono telemetria di governance con l'IA nella gestione delle operazioni stanno realizzando l'infrastruttura che consente loro di implementare l'IA con fiducia, adottarla rapidamente, e dimostrare a regolatori, consigli di amministrazione e dipendenti che le persone impattate da questi sistemi sono tutelate. Non solo processate. Protette.
La finestra di enforcement si sta restringendo. La domanda è se avrai le prove per dimostrare che stavi prestando attenzione.
