Codema ha avviato lo sviluppo di un modello di certificazione continua destinato ai sistemi di intelligenza artificiale, attraverso la costituzione di due nuovi comitati tecnici denominati TC23 e TC24. L’obiettivo è definire metodologie di assessment e audit basate su matrici standardizzate e protocolli condivisi, capaci di rendere il comportamento dell’AI misurabile, verificabile e governabile durante tutte le fasi del suo utilizzo. Codema opera a livello globale nell’ideazione di standard e rating applicati alla tecnologia e alla sostenibilità. Con la nuova iniziativa intende intervenire sul divario crescente tra la velocità con cui imprese e organizzazioni adottano sistemi di intelligenza artificiale e la loro effettiva capacità di controllarne rischi, trasparenza, affidabilità e conformità.
La diffusione dell’AI sta infatti procedendo più rapidamente rispetto allo sviluppo dei sistemi di governance. Secondo i dati richiamati da Codema, l’88 per cento delle aziende utilizza già l’intelligenza artificiale in almeno una funzione aziendale, mentre il 62 per cento delle organizzazioni sta sperimentando soluzioni di AI agentica capaci di eseguire attività con livelli crescenti di autonomia. La disponibilità della tecnologia non corrisponde però a una maturità altrettanto elevata nei controlli. Il McKinsey AI Trust Maturity Survey 2026 indica che soltanto il 30 per cento delle organizzazioni ha raggiunto livelli avanzati nella definizione di strategie, strutture di governance e meccanismi di controllo dell’intelligenza artificiale.
Il rapporto State of AI in the Enterprise 2026 di Deloitte evidenzia inoltre che circa l’80 per cento delle organizzazioni non dispone ancora di capacità mature per la governance, il monitoraggio in tempo reale e la creazione di audit trail relativi ai sistemi autonomi. Molte imprese utilizzano quindi modelli capaci di operare con una supervisione umana ridotta, senza poter dimostrare in modo adeguato come vengono controllati e quali evidenze producono. Il problema non riguarda più soltanto l’adozione dell’intelligenza artificiale, ma la possibilità di dimostrare che un sistema opera in modo affidabile, trasparente e conforme sia alle aspettative del mercato sia ai requisiti normativi. Concetti come gestione del rischio, supervisione umana e trasparenza devono quindi essere trasformati da principi generali in criteri concreti, misurabili e verificabili.
Il modello proposto da Codema supera l’impostazione della certificazione tradizionale, normalmente costruita per valutare prodotti o sistemi relativamente statici in uno specifico momento. I sistemi di intelligenza artificiale possono invece cambiare nel tempo, essere aggiornati, ricevere nuovi dati, modificare il proprio comportamento o essere inseriti in processi aziendali differenti rispetto a quelli originariamente valutati. Per rispondere a questa caratteristica dinamica, Codema introduce il concetto di assessment continuo. La conformità non viene verificata soltanto attraverso una valutazione iniziale o un controllo periodico, ma mediante un sistema capace di raccogliere evidenze durante l’intero ciclo di vita dell’AI.
Alla base del modello c’è l’approccio denominato Audit as a Layer. I controlli vengono integrati direttamente nei sistemi e nei processi aziendali, diventando uno strato permanente dell’architettura operativa. L’audit non interviene quindi soltanto dall’esterno e a posteriori, ma accompagna il funzionamento dell’intelligenza artificiale e produce continuamente dati utili alla verifica. Questo livello di controllo deve consentire la raccolta costante di evidenze, informazioni e dati verificabili. Auditor, organizzazioni e altri soggetti interessati possono così esaminare il comportamento del sistema, ricostruirne le attività e dimostrarne la conformità anche dopo aggiornamenti, anomalie o modifiche dei processi.
La tracciabilità diventa particolarmente importante nei sistemi di AI agentica, dove il software può prendere decisioni, attivare procedure e completare compiti con un intervento umano limitato. In questi ambienti non è sufficiente conoscere il modello utilizzato: occorre poter ricostruire le azioni eseguite, i controlli applicati, le eccezioni emerse e le modalità con cui gli operatori sono intervenuti. La costruzione delle metodologie non sarà affidata esclusivamente a Codema. Il progetto prevede un ecosistema aperto composto da imprese, auditor, organismi di certificazione, professionisti, università, esperti e comunità scientifica. Codema definisce questo modello stakeholderization. Le esigenze, le competenze e le esperienze dei diversi stakeholder vengono trasformate in criteri condivisi di assessment, matrici di controllo e protocolli di audit. Gli attori coinvolti non vengono quindi consultati soltanto al termine del processo, ma partecipano direttamente alla costruzione delle metodologie.
Il Technical Committee 23 si concentrerà sulla dimensione tecnica dei sistemi di intelligenza artificiale. Il suo lavoro riguarderà la definizione di metodi per valutare le prestazioni, l’affidabilità, il monitoraggio delle anomalie e la tracciabilità. Le prestazioni non dovranno essere considerate soltanto in termini di velocità o accuratezza. La valutazione dovrà verificare anche la stabilità dei risultati nel tempo, la capacità del sistema di mantenere il comportamento previsto e l’eventuale comparsa di deviazioni dopo aggiornamenti, variazioni dei dati o cambiamenti nell’ambiente operativo. Il monitoraggio delle anomalie servirà a individuare comportamenti inattesi, errori ricorrenti, riduzioni della qualità o differenze significative rispetto ai parametri stabiliti. La tracciabilità dovrà invece permettere di ricostruire dati, versioni del modello, operazioni e decisioni rilevanti.
Il Technical Committee 24 lavorerà sull’integrazione dell’AI nei processi aziendali. Il suo campo di intervento comprenderà la supervisione umana, la gestione delle eccezioni, la raccolta delle evidenze e la verificabilità dei processi nei quali vengono utilizzati sistemi intelligenti. L’analisi non si limiterà quindi al funzionamento tecnico del modello, ma valuterà anche il modo in cui l’AI viene inserita nell’organizzazione. Un sistema può infatti essere tecnicamente affidabile, ma produrre rischi se viene utilizzato senza responsabilità definite, procedure di escalation, controlli umani o modalità chiare per intervenire in presenza di errori. La supervisione umana dovrà essere tradotta in requisiti verificabili. Non sarà sufficiente dichiarare che una persona mantiene il controllo: occorrerà dimostrare quando viene coinvolta, quali informazioni riceve, quali decisioni può modificare e in quali circostanze può interrompere il funzionamento del sistema.
Anche la gestione delle eccezioni dovrà essere documentata. Il modello di assessment dovrà verificare cosa accade quando l’AI incontra un caso non previsto, supera determinate soglie di rischio, produce risultati incoerenti o non dispone delle informazioni necessarie per completare un’attività. TC23 e TC24 operano quindi su due livelli complementari. Il primo valuta l’affidabilità intrinseca e il comportamento tecnico dell’intelligenza artificiale, mentre il secondo esamina l’interazione tra il sistema, i processi aziendali e le persone incaricate di governarlo.
L’obiettivo complessivo è costruire una nuova infrastruttura metodologica per la governance dell’intelligenza artificiale. Imprese, auditor e organismi di certificazione dovrebbero poter utilizzare strumenti comuni per valutare i sistemi, monitorarne l’evoluzione e dimostrarne la conformità in un contesto tecnologico e normativo in continuo cambiamento. Secondo Andrea Sacchi, Executive Director di Codema, la capacità di governare l’intelligenza artificiale non sta aumentando con la stessa velocità con cui la tecnologia entra nei processi decisionali delle organizzazioni. La fiducia non può quindi dipendere soltanto dalle dichiarazioni dei fornitori, ma deve derivare dalla disponibilità di evidenze oggettive sul funzionamento e sui controlli applicati. Il modello di certificazione continua punta proprio a rendere disponibili queste evidenze. L’AI viene trattata come un sistema dinamico da osservare nel tempo e non come un prodotto da certificare una sola volta, collegando valutazione tecnica, controllo organizzativo, audit continuo e gestione documentata del rischio.