Data governance: un framework pratico per l'azienda

Un data governance framework per l'AI stabilisce chi può interrogare quali dati, attraverso quale modello, con quale tracciabilità. A differenza della data governance tradizionale, deve rispondere in tempo reale: ogni prompt è un potenziale accesso ai dati, non solo ogni query SQL — un requisito che tocca sia il GDPR sia l'AI Act.

In sintesi

• Un framework di data governance per l'AI stabilisce chi può interrogare quali dati, con quale modello e con quale autorizzazione.
• A differenza della data governance tradizionale, orientata a database e data warehouse, deve coprire anche i prompt inviati ai modelli linguistici.
• Un audit trail che registra ogni accesso — chi, quando, quale dato, quale strumento — è la base per dimostrare conformità a GDPR e AI Act.
• I ruoli vanno assegnati per progetto e per funzione, non genericamente a livello di intera organizzazione.
• Le policy scritte non bastano se non sono applicate da controlli tecnici attivi al momento dell'accesso.
• Un framework che nessuno riesce a seguire nella pratica quotidiana non è un framework di governance: è un documento archiviato.

Indice

• Cos'è un data governance framework per l'AI
• Perché la data governance tradizionale non basta per l'AI
• Gli elementi di un framework di data governance per l'uso dell'AI
• Chi può interrogare cosa: un esempio pratico di matrice di accesso
• Errori comuni che rendono un framework solo un documento
• Domande frequenti
• Prossimi passi

Cos'è un data governance framework per l'AI

Un data governance framework è l'insieme strutturato di ruoli, regole e controlli con cui un'azienda decide chi può accedere a quali dati, per quale scopo e con quale evidenza. Il significato non cambia con l'arrivo dell'AI: cambia il perimetro. Un framework di data governance per l'AI estende questo stesso principio a ogni prompt inviato a un modello linguistico, perché ogni prompt che contiene dati aziendali è, a tutti gli effetti, un accesso ai dati.

Questa distinzione è il punto in cui la maggior parte delle guide generiche alla data governance si ferma. Parlano di data warehouse, di qualità del dato, di cataloghi — argomenti reali, ma pensati per un mondo in cui l'accesso ai dati passa da query strutturate e da un numero limitato di applicazioni. L'AI cambia questa premessa: chiunque abbia un browser può incollare dati riservati in una chat, e nessun catalogo dati tradizionale lo intercetta.

Perché la data governance tradizionale non basta per l'AI

La data governance tradizionale governa bene ciò che passa da sistemi strutturati: chi ha accesso a quale tabella, quale report, quale dashboard. Non è stata pensata per un flusso di testo libero che un dipendente digita in una finestra di chat, spesso verso un servizio esterno all'infrastruttura aziendale.

Il rischio, per questo, non è solo tecnico: è quello descritto nella guida su cos'è la shadow AI e come governarla in azienda, cioè l'uso di strumenti di intelligenza artificiale al di fuori di ogni visibilità dell'IT. Un framework di data governance pensato per l'AI deve quindi rispondere a tre domande che la governance classica non si pone: quale modello sta elaborando il dato, dove viene elaborato e sotto quale giurisdizione, e chi ha autorizzato quella specifica interazione.

Gli elementi di un framework di data governance per l'uso dell'AI

Un framework che regge nella pratica quotidiana, non solo sulla carta, si costruisce su otto elementi.

1. Ruoli e responsabilità nominati

Un data owner per ogni dominio di dati e un responsabile che approva le eccezioni: senza nomi e cognomi associati a una responsabilità, ogni decisione di accesso resta ambigua.

2. Classificazione dei dati per sensibilità

Dati pubblici, interni, riservati e critici richiedono trattamenti diversi: non tutti i dati aziendali devono passare dallo stesso livello di controllo prima di raggiungere un modello.

3. Policy di accesso legate al modello e alla postura di sovranità

Non basta decidere chi può usare l'AI: bisogna decidere quale categoria di dato può essere inviata a un modello in cloud mascherato, quale richiede un provider europeo sotto giurisdizione UE, e quale può uscire dal perimetro solo verso un modello eseguito on-premise.

4. Controlli tecnici attivi, non solo regole scritte

Una policy che vieta di incollare dati riservati in una chat pubblica ha effetto solo se un controllo tecnico — un proxy, un filtro, un accesso condizionato — la applica al momento dell'interazione, non solo nel documento che nessuno rilegge.

5. Audit trail automatico su ogni interazione con un modello

Ogni richiesta a un modello dovrebbe lasciare una traccia verificabile: chi, quando, quale strumento, quale dato di massima. Senza questo, un'azienda non può rispondere in modo credibile alla domanda "chi ha avuto accesso a cosa" quando arriva un controllo.

6. Gestione dello shadow AI come parte del framework, non a parte

Gli strumenti non autorizzati non sono un'eccezione da gestire separatamente: sono il sintomo che il framework non copre un bisogno reale. Vanno censiti e, dove hanno senso, portati sotto governo invece di essere solo vietati.

7. Revisione periodica dei permessi

I permessi assegnati a un ruolo o a un progetto vanno rivisti quando il progetto cambia o si chiude, non lasciati attivi per inerzia: è una delle cause più comuni di accesso non più giustificato ai dati.

8. Formazione delle persone che usano l'AI ogni giorno

Un framework tecnicamente perfetto fallisce se chi lo usa non capisce perché certe richieste vengono bloccate o reindirizzate: la formazione riduce l'attrito che spinge le persone a cercare scorciatoie fuori dal perimetro governato.

Chi può interrogare cosa: un esempio pratico di matrice di accesso

Un modo concreto per applicare questi otto elementi è una matrice che incrocia ruolo, tipo di dato e postura di sovranità consentita. Questo è l'aspetto che distingue un framework di data governance pensato per l'AI da uno generico: non basta sapere chi accede, serve sapere attraverso quale modello e con quale tracciabilità.

Ruolo	Tipo di dato tipico	Postura consentita	Tracciabilità richiesta
Business Analyst	Dati aggregati, non riservati	Cloud mascherato (Claude, GPT)	Log standard delle richieste
AI & Data Engineer	Dati di prodotto, codice sorgente	EU-sovereign (provider europeo) o on-premise, a seconda del progetto	Audit trail completo
Data Scientist & Prompt Engineer	Dataset di training, dati sensibili	On-premise	Audit trail completo con approvazione preventiva
Policy & Compliance Consultant	Log di audit, evidenze di conformità	Accesso in sola lettura, tutte le posture	Accesso stesso tracciato

Le tre posture — cloud mascherato, EU-sovereign e on-premise — non sono alternative equivalenti tra cui scegliere una volta per tutte: sono livelli diversi da assegnare in base a cosa viene effettivamente trattato, progetto per progetto.

Errori comuni che rendono un framework solo un documento

Il modo più rapido per capire se un framework di data governance funziona davvero è guardare cosa succede quando qualcuno lo ignora, anche in buona fede. Tre errori ricorrono più spesso degli altri.

Il primo è scrivere policy senza controlli tecnici che le applichino: una regola che dipende dalla memoria delle persone smette di funzionare alla prima scadenza stretta. Il secondo è assegnare permessi per intera funzione aziendale invece che per progetto, così un accesso concesso per un'esigenza specifica resta attivo molto oltre la sua utilità. Il terzo, forse il più comune, è trattare la conformità a GDPR e all'AI Act come un esercizio documentale separato dal lavoro quotidiano, invece di costruire l'audit trail come sottoprodotto automatico dell'uso normale degli strumenti.

Il Comitato Europeo per la Protezione dei Dati (EDPB) ha più volte richiamato il principio di responsabilizzazione (accountability): non basta rispettare le regole, bisogna poterlo dimostrare in ogni momento, non solo su richiesta. Lo stesso principio, applicato all'AI, è anche l'oggetto della guida su una policy AI aziendale con regole applicate davvero, e trova il suo strumento operativo in un audit trail che traccia ogni accesso a dati e codice.

Domande frequenti

Cos'è un data governance framework?

È l'insieme strutturato di ruoli, regole e controlli con cui un'azienda decide chi può accedere a quali dati, per quale scopo e con quale evidenza. Applicato all'AI, copre anche l'accesso ai dati che avviene tramite prompt inviati a un modello.

Qual è la differenza tra data governance e data governance per l'AI?

La data governance tradizionale copre soprattutto database, data warehouse e applicazioni strutturate. La data governance per l'AI aggiunge un perimetro nuovo: ogni interazione con un modello linguistico, che può contenere ed esporre dati aziendali in forma di testo libero.

Chi deve possedere un framework di data governance in azienda?

Tipicamente un data owner per dominio di dati, supportato da una funzione di governance IT o compliance che definisce le regole e da un responsabile tecnico che implementa i controlli. La responsabilità va assegnata per nome, non lasciata implicita.

Cosa significa audit trail in un framework di data governance?

È la registrazione automatica di ogni accesso a un dato o a un sistema: chi lo ha effettuato, quando, con quale strumento. È l'evidenza che permette di rispondere in modo verificabile a un controllo interno o di un'autorità.

Come si collega la data governance al GDPR e all'AI Act?

Il GDPR richiede di sapere chi tratta quali dati personali e con quale base giuridica; l'AI Act richiede di poter dimostrare come vengono usati i sistemi di intelligenza artificiale. Un framework di data governance ben costruito produce l'evidenza che entrambe le normative richiedono.

Un framework di data governance elimina lo shadow AI?

Non da solo. Riduce la shadow AI quando rende gli strumenti governati facili da usare quanto quelli non autorizzati; se il percorso ufficiale è più lento o più rigido, le persone continuano a cercare scorciatoie fuori dal perimetro.

Prossimi passi

Un framework di data governance per l'AI vale quanto la sua applicazione quotidiana, non quanto il documento che lo descrive. Prenota una demo di DevKira per vedere come ruoli, posture di sovranità e audit trail funzionano insieme in un unico ambiente di lavoro governato, oppure parti dal problema a monte con la guida su shadow AI: cos'è e come governarla in azienda.