L’intelligenza artificiale è entrata stabilmente nei processi di IT Service Management: instradamento automatico dei ticket, suggerimento delle priorità, supporto agli agenti, chatbot, correlazione degli eventi, monitoraggio predittivo, automazione dei workflow.

I vantaggi sono sotto gli occhi di tutti. Attenzione, però: c’è anche un nuovo livello di responsabilità.

Con l’EU AI Act, la governance dell’intelligenza artificiale diventa un tema legale, ma anche e soprattutto operativo.
Il regolamento europeo sull’AI è entrato in vigore il 1° agosto 2024; alcune disposizioni sono diventate operative dal 2025, mentre la piena applicazione generale è prevista per il 2 agosto 2026.

Per CIO, direttori IT e responsabili del Service Management, il punto è chiaro: l’AI non può più essere considerata solo una funzionalità avanzata della piattaforma ITSM. Deve essere governata attraverso processi, responsabilità, controlli, documentazione e audit trail.
Su tutto ciò ci soffermeremo in questo articolo.

Perché l’EU AI Act riguarda anche la governance ITSM

Al fondamento dell’EU AI Act c’è un approccio basato sul rischio.
In particolare, si distingue tra sistemi di Intelligenza Artificiale a rischio inaccettabile, sistemi ad alto rischio, sistemi soggetti a obblighi di trasparenza e sistemi a rischio minimo o nullo.

Molti casi d’uso dell’AI nell’ITSM ricadranno verosimilmente in quest’ultima area, quella meno rischiosa: chatbot per il self-service, sistemi di suggerimento per gli agenti, classificazione automatica dei ticket, routing intelligente e prioritizzazione assistita.

Attenzione, però, a non dare la classificazione per scontata.
Un chatbot che aiuta l’utente a consultare una knowledge base ha un impatto limitato. Un sistema che suggerisce la priorità di un incidente critico richiede già più attenzione. Un workflow che automatizza il provisioning degli accessi su sistemi sensibili deve essere valutato con ancora più cura. E via così.

La regola pratica è semplice: più l’AI si avvicina a una decisione automatica con impatti significativi su accessi, sicurezza, continuità operativa o diritti degli utenti, più servono controlli robusti.

AI governance in ITSM: come classificare i casi d’uso

Il primo passo dell’AI governane in ITSM è la costruzione di un inventario dei casi d’uso AI già attivi o pianificati.
In molte organizzazioni, infatti, l’Intelligenza Artificiale entra gradualmente: prima come funzione integrata nella piattaforma, poi come chatbot, poi come motore di suggerimento, poi come automazione connessa a sistemi esterni. E spesso è molto sensato che sia così.

Per ogni caso d’uso, dunque, è utile chiedersi:

• il sistema prende decisioni autonome o fornisce solo suggerimenti?
• l’output ha un impatto su utenti, accessi, sicurezza o continuità operativa?
• è previsto un controllo umano?
• vengono trattati dati personali o informazioni critiche?
• l’utente sa di interagire con un sistema AI?

Venendo alla pratica: i chatbot e gli assistenti virtuali per il self-service IT saranno spesso limited risk, soprattutto quando interagiscono direttamente con gli utenti. Qui il requisito principale è la trasparenza: l’utente deve sapere quando sta interagendo con un sistema AI e deve poter accedere a un operatore umano quando necessario.

I sistemi di suggerimento per gli agenti saranno spesso a rischio limitato o minimo, a condizione che l’agente mantenga il controllo finale.

Il routing intelligente dei ticket e la prioritizzazione automatica degli incidenti, invece, devono essere governati con attenzione, soprattutto se influenzano la risposta a incidenti di sicurezza, interruzioni critiche o servizi essenziali.

Occhio, al provisioning degli accessi assistito dall’AI, che richiede una valutazione specifica. Se l’AI suggerisce il gruppo corretto, il rischio può restare limitato. Se invece approva o revoca accessi in modo automatico su sistemi sensibili, senza supervisione adeguata, il profilo di rischio cambia.

Anche i sistemi di monitoraggio predittivo, correlazione eventi e anomaly detection, devono essere valutati in base al grado di autonomia: producono solo alert e raccomandazioni o avviano automaticamente azioni correttive?

Come si comprende, l’ambito dell’EU AI Act compliance è molto vasto, complesso e in continuo aggiornamento.

Documentazione e audit trail

Un ambiente ITSM maturo è già costruito sulla tracciabilità.
Ogni ticket ha una storia, ogni incidente una timeline, ogni change dovrebbe avere motivazioni, approvazioni, impatti previsti e risultati.
L’AI governance richiede di estendere questi principi ai workflow assistiti dall’intelligenza artificiale: questo è il punto chiave.

Nello specifico, la documentazione dovrebbe chiarire almeno cinque aspetti:

• finalità del sistema AI;
• perimetro d’uso;
• dati utilizzati;
• output generati;
• audit trail.

L’audit trail è particolarmente importante. Ogni suggerimento o decisione rilevante dell’AI dovrebbe lasciare una traccia: input essenziali, output generato, livello di confidenza, agente che ha approvato, modificato o respinto la raccomandazione, azione finale eseguita.

Il punto non è creare burocrazia, ma creare memoria operativa. Senza memoria non c’è audit; senza audit non c’è governance.

Integrare l’esplicabilità nei workflow

L’explainability è un versante decisivo dell’AI governance in ITSM. Non deve restare un concetto strettamente tecnico. Deve diventare parte dell’esperienza quotidiana degli agenti e dei responsabili di processo.

Nella pratica: se l’AI suggerisce una priorità per un ticket, l’agente deve poter capire perché quella priorità è stata proposta: ticket simili, asset coinvolto, SLA, servizio impattato, pattern storici, indicatori di rischio.

Se l’AI supporta un workflow di provisioning, dovrebbe mostrare la logica della raccomandazione: ruolo dell’utente, dipartimento, richieste analoghe, policy applicabile, eventuali eccezioni.

Non serve sempre una spiegazione tecnica dettagliata. Serve un’explainability operativa: chiara abbastanza da consentire a una persona competente di valutare, confermare o correggere il suggerimento.

Diversamente, l’utilizzo dell’Intelligenza Artificiale rischia di trasformarsi in qualcosa di “magico”, che è impossibile mettere in discussione: inutile sottolineare quanto questo sia pericoloso.

Human oversight e responsabilità

Veniamo a un aspetto che discende direttamente da quanto abbiamo appena sottolineato sopra. La supervisione umana è uno dei pilastri della AI governane in ITSM. Ma non tutti i workflow richiedono lo stesso livello di controllo.

Un suggerimento per aggiornare una FAQ può richiedere una revisione leggera. Una raccomandazione di priorità per un incidente critico richiede maggiore attenzione. Un’automazione che modifica accessi, configurazioni o asset deve prevedere controlli più robusti.

Ai fini operativi è utile distingue tra tre livelli:

• Human-in-the-loop: l’AI suggerisce, ma l’azione viene eseguita solo dopo approvazione umana. È l’approccio più adatto per access provisioning, change ad alto impatto e incidenti critici.
• Human-on-the-loop: l’AI esegue entro limiti predefiniti, mentre il team monitora, riceve alert e può intervenire. È utile per automazioni ripetitive a rischio controllato.
• Human-out-of-the-loop: l’AI o l’automazione eseguono senza intervento umano diretto. Va limitato a casi standardizzati, reversibili, ben documentati e a basso impatto.

Il rischio da evitare è l’automazione invisibile. Ogni processo automatizzato deve avere un owner, soglie di escalation, criteri di blocco e una procedura di rollback.
Per dirla in breve: l’AI può accelerare i processi, ma la responsabilità resta, e deve restare, umana.

Una roadmap pratica per l’AI governance nell’ITSM

Per rendere concreta l’AI governance nell’ITSM, è bene procedere per passaggi progressivi. Noi ne isoliamo sette, che riportiamo sinteticamente qui di seguito:

1. Creare un inventario dei casi d’uso AI già attivi o pianificati.
2. Classificare ogni caso d’uso secondo il livello di rischio, motivando la valutazione.
3. Definire owner e responsabilità: responsabile di business, referente tecnico, punto di contatto per compliance e security.
4. Introdurre requisiti minimi di documentazione: finalità, dati utilizzati, output generati, controlli umani, logging, metriche di performance, policy di revisione.
5. Integrare l’explainability nei workflow, rendendola visibile agli agenti e ai responsabili di processo.
6. Aggiornare le policy di change management: ogni modifica significativa a un modello, a una regola di automazione o a un’integrazione AI dovrebbe essere trattata come un change rilevante.
7. Formare i team. L’AI literacy riguarda service desk, incident manager, change manager, asset manager, amministratori di piattaforma e responsabili di processo.

Conclusioni

L’intelligenza artificiale sta trasformando l’ITSM: riduce i tempi di risposta, migliora la classificazione, supporta gli agenti, alleggerisce il service desk, anticipa anomalie e rende più fluida l’esperienza degli utenti.
Ma più l’AI entra nei processi, più deve entrare nella governance.

L’EU AI Act non va letto come un freno all’innovazione, ma come una cornice per renderla più affidabile, sostenibile e difendibile nel tempo. Per CIO e direttori IT, questa è un’occasione importante: portare la disciplina dell’ITSM dentro la governance dell’intelligenza artificiale.

FAQ

Che cosa richiede l’EU AI Act compliance?
Richiede trasparenza, documentazione, tracciabilità, supervisione umana e controlli proporzionati al rischio di ogni caso d’uso AI.

Che cosa significa AI governance nell’ITSM?
Significa definire regole, responsabilità, controlli e processi per l’utilizzo dell’intelligenza artificiale nelle piattaforme di IT Service Management. Include classificazione del rischio, documentazione, audit trail, supervisione umana, explainability, sicurezza dei dati e coinvolgimento di legal e compliance.

Da dove partire per adeguare l’ITSM all’EU AI Act?
Dal censimento dei casi d’uso AI già attivi o pianificati. Poi bisogna classificarli per livello di rischio, definire owner e responsabilità, documentare dati e output, integrare audit trail e spiegabilità, aggiornare le policy di change management e formare i team.