Come lo S&P Europe 350 fa reporting sull’Ai

A partire dal 2023 l’intelligenza artificiale è entrata nei report annuali delle aziende. L’indagine “AI and the New Cyber Risk Landscape – Disclosure Gaps in the S&P Europe 350” di The Conference Board (febbraio 2026) analizza i termini in cui le aziende S&P 350 dichiarano i rischi dell’Ai, e l’evoluzione della Ai disclosure fino a oggi.

La porzione di aziende S&P 350 che considerano l’Ai un rischio materiale, e che dunque ne riportano uno o più rischi nei loro report annuali è salita dal 7% nel 2023 a 40% nel 2025. Secondo Tcb, tale aumento è dovuto alle regolamentazioni, come l’Ai Act, e alle sanzioni previste, che possono arrivare fino al 7% del turnover annuale globale. Il movente principale è quindi il “compliance risk”. L’Unione Europea ha alzato gli standard di «technology-risk governance» in ambienti che dipendono fortemente da cloud e dati con la Network and Information Security Directive (focalizzata sulla accountability relativa alla cybersicurezza a partire da ottobre 2024) e il Digital Operational Resilience Act, che da gennaio 2025 ha rafforzato la resilienza delle Ict e la supervisione third-party nei servizi finanziari, puntando a «descrivere le superfici di attacco abilitate dall’intelligenza artificiale e la concentrazione dei fornitori come rischi principali». Infine, i principi della General Data Protection Regulation (Gdpr) vengono applicati nel contesto dell’Ai in termini di provenienza dei dati.

Secondo il report di Tcb, le tecnologie di intelligenza artificiale maggiormente citate nei report annuali S&P 350 sono i GenAi e genAi copilots, il machine learning (Ml), advanced analytics, chatbot e assistenti supportati dai large language models, automazione di rete/ telecomunicazioni e reti autonome, piattaforme industriali o Internet of Things che contribuiscono al funzionamento dell’Ia.

I settori trainanti nel reporting dei rischi dell’Ai sono finanza, industria, servizi di comunicazione e information technology. Il trend è evidente sia in Europa sia negli Stati Uniti: i rischi dell’Ai hanno maggiore esposizione ai processi decisionali basati sull’intelligenza artificiale, all’automazione e agli ambienti di dati regolamentati. In Europa, grazie all’Ai Act, la governance si muove più velocemente e si verificano casi di disclosure anche per i beni di prima necessità e materie prime. La maggior parte dei rischi riportati riguarda la sicurezza informatica e le questioni relative alla reputazione, agli aspetti legali e normativi e alla privacy.

L’integrazione dell’intelligenza artificiale nei processi produttivi ha ridefinito il perimetro dei rischi materiali, posizionando la cybersecurity come la principale preoccupazione a causa della capacità della tecnologia di agire da moltiplicatore di minacce, aumentando la velocità e la sofisticazione degli attacchi informatici. Le aziende sottolineano come l’espansione della superficie di attacco, legata anche a supply chain Ai e vendors, possa causare interruzioni operative e perdite di dati sensibili. Parallelamente, la reputazione aziendale è vista come un canale di trasmissione critico: errori algoritmici o pregiudizi negli output possono erodere rapidamente la fiducia degli stakeholder, traducendosi in danni al brand e perdite finanziarie. Sul piano normativo, l’incertezza derivante da quadri legislativi in rapida evoluzione, come l’Ai Act che ha iniziato la sua fase di obbligatorietà nel 2025, impone rigorosi requisiti di trasparenza e documentazione, con il rischio di sanzioni significative per le multinazionali. Infine, la tutela della privacy è ormai considerata un elemento inscindibile dalla governance dell’Ai: la gestione dei dati personali e i potenziali rischi di misuse rappresentano barriere fondamentali che possono limitare l’adozione su vasta scala delle soluzioni di intelligenza artificiale generativa.

Complessivamente, c’è concordanza tra i rischi Ai riportati dalle aziende S&P 350 europee e americane, ma l’enfasi relativa varia. Per le aziende statunitensi, il rischio reputazionale è la categoria dominante ed è inquadrato come una categoria ombrello per modalità di fallimento «altamente visibili (es. errori rivolti ai consumatori, carenze di capacità e implementazione, violazioni della privacy, allucinazioni/risultati imprecisi e preoccupazioni su pregiudizi/equity) che possono rapidamente innescare un impatto su clienti, investitori, autorità di regolamentazione e contenziosi». Il vero fattore di differenziazione e di miglioramento sarà però la qualità del reporting, ovvero «se le aziende saranno in grado di dimostrare una governance credibile e controlli dei fornitori alla base della terminologia dei fattori di rischio, anziché limitarsi a descrivere i rischi».

Sofia Restani

Lascia un commento Annulla risposta

Per poter commentare gli articoli è necessario effettuare il login.