Mentre l'AI diventa una parte sempre più integrante dei processi aziendali, le preoccupazioni relative al controllo operativo, alla resilienza, alla concentrazione dei fornitori e al rischio geopolitico hanno un impatto crescente sul modo in cui la tecnologia viene distribuita, secondo l'ultimo rapporto di Forrester, The Top Trends in Sovereign AI.

Ampliando i risultati della recente Global Sovereignty Forecast della società di ricerca tecnologica, il rapporto sostiene che la sovranità si sta spostando oltre le questioni di residenza dei dati e regolamentari verso la resilienza aziendale, il controllo operativo e la governance. Questo cambiamento arriva mentre un piccolo numero di hyperscaler e provider di modelli con sede negli Stati Uniti domina l'infrastruttura AI globale e mentre i governi hanno mostrato una crescente disponibilità a usare l'accesso alla tecnologia come leva di politica statale — inclusi i recenti controlli statunitensi all'esportazione su chip AI avanzati e pesi dei modelli. Per le organizzazioni, questo non significa necessariamente tagliare i ponti con i provider tecnologici globali. Significa piuttosto capire dove si trovano le loro dipendenze, quali carichi di lavoro sono più critici e come potrebbero continuare a operare se l'accesso a un servizio AI chiave venisse interrotto. Il fenomeno si allinea inoltre a una più ampia spinta politica europea: l'UE ha reso la sovranità tecnologica una priorità esplicita e iniziative come Gaia-X e i requisiti dell'AI Act dell'UE per i sistemi ad alto rischio hanno acuito l'attenzione su dove è ospitata l'AI, chi la controlla e sotto quale giurisdizione opera.

In questo Q&A, Dario Maisto, analista di Forrester e autore del rapporto, illustra come le organizzazioni possano gestire queste dipendenze e cosa significhi in pratica l'AI sovrana.

Quali sono i risultati principali della ricerca di Forrester e ci sono state sorprese?

Dario Maisto: Abbiamo intervistato una serie di organizzazioni, tra cui service provider e, principalmente, utenti finali, per capire come l'AI sovrana si è evoluta nell'ultimo anno. Uno dei primi risultati è stato che la sovranità è rilevante per le organizzazioni di praticamente ogni settore, non solo per i soliti sospetti come difesa, governo e settore pubblico.

Il secondo è che la sovranità è molto più della localizzazione o residenza dei dati. Nel suo nucleo, riguarda l'essere in controllo. Non riguarda l'isolamento.

Il terzo risultato è che la sovranità è sempre più un modo per migliorare la resilienza. Più le organizzazioni si affidano all'AI nei loro processi aziendali, organizzativi e mission-critical, più devono ridurre al minimo, o almeno controllare, le loro dipendenze da fornitori esteri, giurisdizioni e governi stranieri.

E infine, non si tratta fondamentalmente di regolamentazione. Non esiste alcuna legislazione al mondo che imponga la sovranità. Si tratta davvero di leader tecnologici e aziendali che vogliono aumentare la resilienza della propria attività.

Che tipo di pericolo rappresenta la dipendenza dall'AI?

Maisto: Mentre l'AI diventa critica per i processi aziendali, avere una dipendenza da un fornitore estero — e quindi potenzialmente da una giurisdizione straniera — crea la possibilità di un "kill switch". Un'amministrazione straniera sotto la cui giurisdizione ricade un fornitore potrebbe decidere che non puoi più accedere ai suoi modelli, strumenti o soluzioni AI. Se i tuoi processi aziendali dipendono da quegli strumenti, quei processi potrebbero bloccarsi.

Ciò ha un impatto aziendale molto concreto. Nel manifatturiero, ad esempio, le organizzazioni perdono denaro ogni secondo in cui non riescono a produrre. L'impatto è potenzialmente ancora più significativo per i settori che trattano prodotti freschi o deperibili. Quindi, se la decisione di un governo straniero interrompe un servizio da cui un'organizzazione dipende per la sua AI, non si tratta di una questione geopolitica astratta. Ha un impatto economico diretto sull'azienda.

In che modo le organizzazioni possono difendersi concretamente da questi rischi?

Maisto: Fino a pochi anni fa, consigliavamo spesso alle organizzazioni di alcuni paesi di gestire stack duali: uno con un fornitore in un paese e un altro con un fornitore diverso altrove. Oggi vediamo organizzazioni adottare un approccio più articolato, separando i carichi di lavoro mission-critical da quelli non mission-critical.

A seconda del settore, i carichi di lavoro non critici potrebbero non richiedere risorse sovrane aggiuntive. I carichi di lavoro mission-critical, tuttavia, hanno un bisogno molto maggiore di soluzioni sovrane.

Questo non significa necessariamente gestire due stack completamente separati. Le organizzazioni possono mitigare i rischi geopolitici in modi diversi, come collegare un ambiente air-gapped al proprio ambiente cloud pubblico o utilizzare un fornitore locale insieme a uno globale.

Per le organizzazioni multinazionali che operano in 50 paesi, ad esempio, non è semplicemente fattibile avere 50 fornitori diversi. Sarebbe un incubo architetturale, a parte i costi. Invece, le organizzazioni potrebbero usare soluzioni diverse dello stesso fornitore globale a seconda della criticità del carico di lavoro o della sensibilità dei dati. Un hyperscaler potrebbe fornire un ambiente cloud pubblico, una soluzione cloud privata o un ambiente air-gapped a seconda dei requisiti.

In che modo l'uso crescente dell'AI richiede alle organizzazioni di ripensare la governance?

Maisto: Le distribuzioni di AI nelle organizzazioni creano nuove aree di governance, rischio e conformità. Allo stesso tempo, gli strumenti AI possono anche aiutare le organizzazioni a identificare le vulnerabilità in pochi secondi anziché in mesi, quindi è necessaria una governance sull'intero stack.

L'AI sta diventando una tecnologia davvero integrata nell'azienda e, in certa misura, vitale per essa. Ciò richiede un controllo che va ben oltre il dipartimento IT.

Stiamo già vedendo organizzazioni modificare le proprie strutture per affrontare questo. Un cliente, ad esempio, aveva un dipartimento IT relativamente piccolo e riceveva richieste da ogni business unit. Invece di far passare tutto attraverso l'IT, l'organizzazione ha assegnato una risorsa IT a ogni business unit. Questo accorcia la distanza tra IT e azienda e garantisce che persone con le giuste competenze tecniche supportino direttamente il business.

Questo è sempre più importante perché l'AI può accelerare drasticamente i processi. Qualcosa che prima richiedeva tre mesi oggi potrebbe essere completato in un paio di settimane. Si pensi alle sperimentazioni mediche, ad esempio. Ogni secondo perso oggi può valere molte volte più che in passato, il che sta cambiando completamente il modo in cui i modelli organizzativi dovrebbero essere costruiti attorno agli strumenti AI.

L'instabilità geopolitica ha reso la sovranità una questione più urgente?

Maisto: Sì, anche se qui c'è una tensione interessante. Man mano che la tecnologia diventa più specializzata, le organizzazioni hanno bisogno di persone specializzate che potrebbero non essere disponibili a livello locale. La nostra Tech Sovereignty Forecast mostra che, mentre gli indicatori di sovranità sono generalmente destinati ad aumentare verso il 2030, la sovranità della forza lavoro tecnologica dovrebbe effettivamente diminuire. È l'unico indicatore che va nella direzione opposta.

Allo stesso tempo, alcune normative già impongono requisiti di residenza o cittadinanza per i lavoratori IT in settori specifici, comparti tecnologici o carichi di lavoro. Con l'aumentare dell'instabilità geopolitica, è probabile che vedremo più requisiti di questo tipo. Ciò rende il problema ancora più difficile — quello che inizialmente era una questione di continuità operativa e gestione del rischio sta diventando, in alcuni settori, un requisito normativo, mentre permane la carenza di lavoratori tecnologici specializzati.

La formazione è un modo per affrontare il problema. Un altro è tramite acquisizioni, joint venture e partnership. Stiamo già vedendo service provider acquisire società di consulenza e aziende locali, ottenendo un quadro legale e una forza lavoro locale che può aiutare a soddisfare i requisiti di sovranità dei clienti.

Quali errori commettono le organizzazioni nel cercare di stabilire la sovranità dell'AI?

Maisto: Il primo errore è non definire il perimetro del problema. Le persone dicono "sovranità" senza necessariamente definire cosa intendono e parlano di regolamentazione senza identificare quali normative si applicano effettivamente a loro. Poi iniziano a cercare soluzioni prima di aver chiaramente definito il problema. Quando esamino le strategie cloud, AI o AI sovrana dei clienti, una delle mie prime domande è: quale problema state effettivamente cercando di risolvere?

Un altro errore comune è presumere che la sovranità riguardi solo i dati. Spesso le persone iniziano il discorso sulla sovranità parlando di normative come il CLOUD Act statunitense o la Sezione 702 del FISA. Ma quelle sono fondamentalmente questioni di protezione dei dati, non problemi di sovranità.

Ad esempio, se i tuoi dati sono ospitati sull'infrastruttura di un hyperscaler statunitense ma sono cifrati e tu conservi le chiavi di cifratura al di fuori dell'ambiente dell'hyperscaler, hai un profilo di rischio diverso. Potresti riuscire a risolvere il problema senza migrare i dati verso un nuovo provider, il che comporterebbe costi aggiuntivi di migrazione ed egress.

La chiave è inquadrare correttamente il problema e capire l'ambiente normativo che devi effettivamente affrontare. Alcuni fornitori possono usare il racconto della sovranità come strumento per vendere i propri servizi, quindi le organizzazioni devono fare attenzione.

Quale dovrebbe essere il primo passo pratico per un'organizzazione che vuole migliorare la propria sovranità dell'AI?

Maisto: Il primo passo è valutare le proprie dipendenze. Non si tratta di isolamento e non si tratta di raggiungere la completa indipendenza. Si tratta di capire e gestire le proprie dipendenze. Le organizzazioni devono stabilire da cosa dipendono, dove si trovano tali dipendenze e quali sarebbero le conseguenze se venissero interrotte. Solo allora possono determinare cosa deve essere sovrano e cosa no.

Sconsiglio di considerare la sovranità dell'AI semplicemente come un problema bilaterale che coinvolge un particolare paese o fornitore. A seconda di dove operi e di cosa faccia la tua azienda, potresti avere un problema completamente diverso.

È per questo che la sovranità è una questione molto più complessa del semplice dire: "Tieni i dati nel tuo paese". L'approccio giusto dipende dai rischi, dalle dipendenze e dai requisiti aziendali specifici di ogni organizzazione.

Nota della redazione: questa intervista è stata modificata per chiarezza e concisione.