Glossario dell’IA aziendale

AI Governance — Governance dell'IA

La governance dell'intelligenza artificiale (AI Governance) è l'insieme di politiche, framework, processi e controlli che un'organizzazione stabilisce per garantire che l'uso dell'IA sia sicuro, etico, trasparente e conforme alla normativa applicabile.

Un programma di AI Governance efficace definisce chi può usare l'IA, con quali strumenti, per quali attività, con quali dati e sotto quale supervisione. Stabilisce inoltre meccanismi di responsabilità e procedure di risposta agli incidenti legati all'IA.

Nel contesto europeo, l'AI Act (Regolamento UE 2024/1689) obbliga le organizzazioni a implementare sistemi di gestione dei rischi per i sistemi di IA ad alto rischio, rendendo l'AI Governance una necessità normativa oltre che una buona pratica.

DLP — Data Loss Prevention per l'IA

Il Data Loss Prevention (DLP) nel contesto dell'intelligenza artificiale si riferisce alle tecnologie e alle politiche che analizzano i prompt e le risposte dei modelli linguistici per rilevare, segnalare o prevenire l'esposizione non autorizzata di dati sensibili.

A differenza del DLP tradizionale (che protegge file, e-mail ed endpoint), il DLP per l'IA agisce sul testo dei messaggi prima che vengano inviati ai modelli. Può rilevare Informazioni di Identificazione Personale (PII), dati finanziari, credenziali, segreti commerciali o dati sanitari, e applicare azioni come bloccare l'invio, avvisare l'utente, anonimizzare i dati sensibili in tempo reale o inviare il prompt a revisione manuale.

coordinat.io implementa il DLP tramite analisi di pattern (regex) e regole configurabili, applicate a livello di gateway prima che qualsiasi dato raggiunga il fornitore di IA.

BYOK — Bring Your Own Key

Il BYOK (Bring Your Own Key) è la modalità in cui un'azienda utilizza le proprie chiavi API e contratti diretti con i fornitori di IA (OpenAI, Anthropic, Google, ecc.), invece di consumare IA tramite un intermediario che fattura l'utilizzo.

I principali vantaggi del BYOK sono: pieno controllo dei costi (si paga direttamente il fornitore, senza ricarichi), maggiore visibilità sui termini di privacy applicabili e la possibilità di negoziare tariffe aziendali con i fornitori.

In coordinat.io, il BYOK è disponibile a partire dal piano Basic. La piattaforma agisce come proxy trasparente: riceve le richieste, applica le politiche di sicurezza e le inoltra al fornitore usando le chiavi proprie del cliente. Il cliente paga direttamente OpenAI, Anthropic o Google.

AI Gateway

Un AI Gateway è un componente infrastrutturale che funge da punto di ingresso centralizzato per tutte le richieste ai modelli di intelligenza artificiale all'interno di un'organizzazione. Similmente a un API Gateway nelle architetture a microservizi, l'AI Gateway intercetta il traffico di IA prima che raggiunga i fornitori.

Le funzioni tipiche di un AI Gateway includono: autenticazione e autorizzazione, applicazione delle politiche di sicurezza (DLP), registrazione dell'attività, rate limiting, bilanciamento del carico tra fornitori, fallback automatico in caso di guasti e ottimizzazione dei modelli.

coordinat.io espone un AI Gateway con API compatibile con la specifica di OpenAI, il che consente alle organizzazioni di adottare la governance dell'IA senza modificare le applicazioni esistenti: basta puntare l'URL di base a coordinat.io.

Shadow AI

Lo Shadow AI (IA ombra) è l'uso non autorizzato o non supervisionato di strumenti di intelligenza artificiale da parte dei dipendenti, all'insaputa e fuori dal controllo dei reparti IT, sicurezza o della direzione dell'organizzazione.

Il fenomeno è analogo allo "Shadow IT" emerso con l'adozione di massa dei servizi cloud. Studi recenti indicano che tra il 70% e l'80% dei dipendenti usa strumenti di IA al lavoro, indipendentemente dal fatto che l'azienda li abbia autorizzati.

I rischi dello Shadow AI includono: fuga di dati riservati tramite prompt non controllati, uso di strumenti non conformi al GDPR o ad altre normative, costi incontrollati quando il dipendente usa strumenti a pagamento con carta aziendale, e la totale assenza di tracciabilità per gli audit.

La soluzione più efficace non è bloccare l'accesso all'IA (che riduce la produttività senza eliminare il rischio), ma centralizzare l'accesso tramite una piattaforma di governance che consenta un uso controllato e verificabile.

Routing intelligente dei modelli di IA

Il routing intelligente dei modelli di IA (Intelligent Model Routing) è la selezione automatica del modello linguistico più adatto per ogni singola richiesta, con l'obiettivo di minimizzare il costo senza sacrificare la qualità della risposta.

La logica di routing si basa sulla classificazione della complessità di ogni richiesta prima di inviarla a un modello. Una domanda semplice ("traduci questa frase") non ha bisogno dello stesso modello di un'attività complessa ("analizza questo contratto e individua clausole vessatorie"). I modelli "nano" (le versioni più economiche di ogni fornitore) costano fino a 10 volte meno dei modelli "top" (le versioni più avanzate), per attività in cui la differenza di qualità è impercettibile.

coordinat.io implementa un routing euristico basato sul contenuto del prompt: lunghezza, vocabolario, tipo di attività richiesta e contesto. La classificazione è istantanea, senza chiamate API aggiuntive, e può far risparmiare tra il 20% e il 40% sui costi di IA alle organizzazioni con uso intensivo di modelli premium.

AI Act — Regolamento europeo sull'IA

L'AI Act (Regolamento UE 2024/1689 del Parlamento europeo e del Consiglio) è il primo quadro normativo completo al mondo sull'intelligenza artificiale. Pubblicato nella Gazzetta ufficiale dell'UE nel luglio 2024, stabilisce obblighi per fornitori, deployer e utenti di sistemi di IA in base al livello di rischio.

Il Regolamento classifica i sistemi di IA in quattro categorie di rischio: inaccettabile (vietati), alto rischio (con obblighi rigorosi di trasparenza, gestione dei rischi e documentazione), rischio limitato (con obblighi di trasparenza) e rischio minimo (senza obblighi specifici).

Per le aziende che usano modelli di uso generale (come quelli di OpenAI, Anthropic o Google) in contesti interni, gli obblighi principali sono: documentare l'uso, implementare la gestione dei rischi, garantire la supervisione umana e conservare registri di attività verificabili.

coordinat.io aiuta le organizzazioni a rispettare l'AI Act fornendo una registrazione completa di tutta l'attività di IA, report di conformità esportabili e controlli delle politiche configurabili.

Prompt Injection

Il prompt injection è una tecnica di attacco in cui vengono inserite istruzioni malevole all'interno di un prompt per manipolare il comportamento di un modello linguistico (LLM) e indurlo a compiere azioni non autorizzate, rivelare informazioni riservate di sistema o eludere i controlli di sicurezza.

Esistono due varianti principali: il direct prompt injection (l'utente inserisce istruzioni avversarie direttamente nel proprio messaggio) e l'indirect prompt injection (le istruzioni malevole vengono introdotte tramite contenuti esterni che il modello elabora, come una pagina web o un documento).

Per le organizzazioni che distribuiscono assistenti di IA o usano LLM in processi automatizzati, il prompt injection rappresenta un vettore di attacco reale che può compromettere la riservatezza dei system prompt, i dati elaborati o l'integrità dei workflow. Le difese includono la sanitizzazione degli input, la netta separazione tra istruzioni e dati e il monitoraggio di pattern anomali nei prompt.

FinOps dell'IA — Chargeback

Il FinOps dell'IA applica la disciplina di gestione finanziaria del cloud al consumo di intelligenza artificiale: misurare la spesa reale, attribuirla a chi la genera e ottimizzarla in modo continuo. Il chargeback è il suo meccanismo centrale: imputare il costo dell'IA al cliente, progetto o reparto che lo consuma.

Per le aziende di servizi (società di consulenza, agenzie, studi legali) è particolarmente critico: se l'IA si usa per il lavoro dei clienti ma il suo costo non viene imputato a ogni conto, quella spesa erode il margine senza che nessuno lo veda. Un programma di FinOps dell'IA distingue inoltre il costo fatturabile da quello interno e rileva la spesa non assegnata.

coordinat.io implementa il FinOps dell'IA in modo nativo: ogni richiesta è associata a un utente, progetto e reparto, con regole di imputazione (overhead, fatturabile/interno) ed esportazione contabile in CSV.

Governance degli agenti IA

La governance degli agenti IA è l'insieme dei controlli che supervisionano gli agenti autonomi: sistemi di IA che non si limitano a rispondere a domande ma eseguono azioni — richiamare strumenti, interrogare API, modificare dati.

A differenza di una chat, un agente agisce. Ciò richiede controlli aggiuntivi: approvazione umana prima delle azioni sensibili (human-in-the-loop), registro di ogni strumento eseguito con parametri e risultati, e limiti sugli strumenti che ogni agente può usare.

coordinat.io registra ogni sessione di agente con tracciabilità completa delle sue tool call e applica flussi di approvazione umana configurabili prima che un agente esegua azioni esterne.

RAG — Retrieval-Augmented Generation

Il RAG (Retrieval-Augmented Generation) è la tecnica che permette a un modello linguistico di rispondere usando la conoscenza propria di un'organizzazione: prima di generare la risposta, il sistema recupera i frammenti rilevanti dai documenti aziendali e li fornisce al modello come contesto.

Senza RAG, un modello sa solo ciò che ha imparato nell'addestramento: risponde bene sulla conoscenza generale e male sul business specifico. Con il RAG, le risposte citano procedure, contratti o documentazione interna reali, riducendo le allucinazioni e rendendo l'IA utile per il lavoro quotidiano.

In coordinat.io, le basi di conoscenza permettono di caricare documenti aziendali che gli assistenti usano come fonte, sempre all'interno del perimetro di sicurezza dell'organizzazione: la conoscenza non esce dalle politiche aziendali.