In sintesi: i migliori strumenti di governance dell'IA nel 2026, secondo il nostro punteggio ponderato (dati a novembre 2026), sono IBM watsonx.governance (4,55/5), Credo AI (4,50), ModelOp (4,05), Saidot (4,00), Holistic AI e OneTrust (3,90 ciascuno), ServiceNow AI Control Tower (3,65) e Truyo (3,10). Solo IBM pubblica i prezzi di listino. Saidot (Finlandia) è l'unico fornitore con sede nell'UE; Holistic AI è britannica e gli altri sei sono statunitensi. Se il vostro rischio principale è che i dipendenti incollino dati in ChatGPT o Copilot, vi serve prima una governance dell'uso (per esempio Microsoft Purview) e solo dopo una piattaforma di governance dei modelli.
La maggior parte delle aziende usa già più IA di quanta riesca a elencare. Il Cost of a Data Breach Report 2025 di IBM ha rilevato che il 63 % delle organizzazioni colpite da una violazione non aveva una policy di governance dell'IA o la stava ancora definendo, che solo il 34 % di quelle con una policy verificava regolarmente l'uso di IA non autorizzata e che un'organizzazione su cinque ha subito una violazione dovuta alla shadow AI. È questo il vuoto che colmano gli strumenti di governance dell'IA: un inventario unico di ogni modello, agente e fornitore di IA, collegato alle regole che gli si applicano e con evidenze che un auditor possa accettare.
La categoria ha ormai una copertura propria da parte degli analisti. Gartner ha pubblicato il suo primo Magic Quadrant per le piattaforme di governance dell'IA il 17 giugno 2026, secondo l'annuncio di IBM, e «ha valutato 13 fornitori in base a capacità di esecuzione e completezza della visione», secondo Holistic AI. La definizione di Gartner fissa l'asticella usata in tutta la guida: le piattaforme di governance dell'IA sono progettate per «definire, approvare e applicare in modo centralizzato policy di IA responsabile» (citazione riportata da Airia).
Abbiamo valutato otto di queste piattaforme con lo stesso schema pubblicato e un taglio esplicito per gli acquirenti europei: il calendario dell'AI Act dopo l'Omnibus IA e la certificazione ISO/IEC 42001. I dati di prodotto e di prezzo sono stati verificati sulle pagine ufficiali di ciascun fornitore a novembre 2026.
Che cosa sono gli strumenti di governance dell'IA e quale problema risolvono?
Gli strumenti di governance dell'IA sono piattaforme che mantengono un inventario aggiornato dei sistemi di IA di un'organizzazione, classificano ciascuno per livello di rischio, applicano i controlli richiesti dalla normativa o dallo standard di riferimento e conservano l'evidenza che tali controlli sono stati applicati. In pratica sostituiscono il processo fatto di fogli di calcolo ed email da cui parte quasi ogni team di compliance.
Una piattaforma completa copre quattro attività:
- Discovery e inventario: individuare modelli, agenti, copiloti e funzioni di IA di terze parti in cloud, repository di codice e SaaS, compresi quelli che nessuno ha registrato (shadow AI).
- Classificazione e valutazione del rischio: stabilire se un caso d'uso è vietato, ad alto rischio, a rischio limitato o a rischio minimo secondo l'AI Act, ed eseguire valutazioni d'impatto o del rischio.
- Controlli e workflow: approvazioni, gate di rilascio, pacchetti di policy e test (bias, robustezza, allucinazioni) legati a ciascun caso d'uso.
- Evidenze e monitoraggio: documentazione pronta per l'audit, log e monitoraggio continuo dopo la messa in produzione.
Cosa questi strumenti non fanno: non rendono conforme da soli un sistema di IA e non sostituiscono l'analisi legale per capire se siete fornitori o deployer. Rendono la governance ripetibile e dimostrabile. Se state ancora definendo le policy che una piattaforma dovrebbe applicare, partite dai nostri servizi di consulenza sull'IA prima di acquistare software.
Governance dell'uso dell'IA o governance dei modelli: quale vi serve?
La governance dell'uso controlla come i dipendenti usano strumenti come ChatGPT, Copilot o Gemini; la governance dei modelli controlla i sistemi di IA che la vostra organizzazione sviluppa, acquista o distribuisce. Molte PMI hanno bisogno della prima prima della seconda, e i prodotti sono diversi.
| Governance dell'uso dell'IA | Governance di modelli e sistemi di IA | |
|---|---|---|
| Domanda principale | Quali dati inviano le persone agli strumenti di IA? | Quali sistemi di IA usiamo, quanto sono rischiosi e possiamo dimostrare di controllarli? |
| Controlli tipici | Prevenzione della perdita di dati, etichette di riservatezza, ispezione di browser e rete, audit dei prompt | Inventario, classificazione del rischio, approvazioni, test, monitoraggio, evidenze |
| Ancora normativa | GDPR, riservatezza, alfabetizzazione in materia di IA | AI Act (articoli 17 e 26), ISO/IEC 42001, NIST AI RMF |
| Strumenti di esempio | Microsoft Purview, livelli di sicurezza a runtime come Airia | Le otto piattaforme valutate qui sotto |
Microsoft documenta che Purview può registrare prompt e risposte di Copilot, applicarvi etichette di riservatezza e prevenzione della perdita di dati, e impedire di incollare dati sensibili in siti di IA generativa di terze parti come ChatGPT dai dispositivi Windows integrati. Questo copre l'uso, non un registro dei sistemi di IA ad alto rischio. La maggior parte delle medie imprese finisce per aver bisogno di entrambi i livelli.
Come abbiamo valutato le migliori piattaforme di governance dell'IA: il nostro schema di valutazione
Ogni piattaforma ha ricevuto un voto da 1 a 5 su sei criteri. Il punteggio ponderato (massimo 5,00) determina la classifica; in caso di parità decide il voto più alto sui controlli del ciclo di vita, e lo segnaliamo.
| Criterio | Peso | Cosa abbiamo valutato |
|---|---|---|
| Copertura normativa | 25 % | Contenuti pronti per AI Act, ISO/IEC 42001 e NIST AI RMF, verificati sulle pagine del fornitore |
| Inventario e discovery | 20 % | Discovery automatica di modelli, agenti e shadow AI; mappatura delle dipendenze |
| Controlli del ciclo di vita ed evidenze | 20 % | Valutazioni, approvazioni, test, monitoraggio ed evidenze pronte per l'audit |
| Integrazione ed ecosistema | 15 % | Connettori documentati verso cloud, piattaforme di ML, ticketing e strumenti GRC |
| Trasparenza dei prezzi | 10 % | Se il sito ufficiale pubblica i prezzi o almeno il modello di prezzo |
| Adeguatezza UE | 10 % | 5 = sede nell'UE; 4 = regione di hosting nell'UE od opzione on-premise documentate su pagine ufficiali; 3 = solo contenuti sull'AI Act |
Quattro principi alla base dello schema:
- La copertura normativa pesa di più (25 %) perché il motivo principale per cui un'azienda europea acquista una piattaforma di governance nel 2026 è dimostrare la conformità all'AI Act e prepararsi alla certificazione ISO/IEC 42001.
- Valutiamo solo ciò che è documentato. Se un framework o una funzionalità non compare sulle pagine ufficiali del fornitore, non porta punti, anche se una presentazione commerciale lo promette.
- Valutiamo la trasparenza dei prezzi, non il prezzo. Solo uno degli otto fornitori pubblica un listino; gli altri vendono su preventivo, il che conta se vi serve una cifra prima di parlare con il commerciale.
- È un'analisi documentale, non un test di laboratorio. Non abbiamo provato sul campo gli otto prodotti. I voti riflettono la documentazione pubblica, quindi la checklist per il proof of concept più avanti è il punto di partenza della vostra valutazione.
Criterio di inclusione. Siamo partiti dai fornitori che hanno annunciato pubblicamente il proprio posizionamento nel Magic Quadrant 2026 di Gartner, abbiamo aggiunto due specialisti con contenuti normativi solidi e documentati (Credo AI, Leader nella Forrester Wave del Q3 2025, e Saidot, l'opzione europea) e abbiamo tenuto quelli che documentano un inventario di IA multipiattaforma e contenuti per almeno due dei tre framework principali (AI Act, ISO/IEC 42001, NIST AI RMF). Altri sette prodotti esaminati ma non valutati sono elencati, con il motivo, in «Altre opzioni esaminate», insieme alle principali opzioni open source.
Sulle posizioni Gartner. Il report di Gartner è a pagamento, quindi indichiamo un posizionamento solo quando è stato il fornitore stesso ad annunciarlo, e linkiamo quell'annuncio in ogni sezione. Non abbiamo trovato annunci pubblici di Credo AI né di Saidot, per cui la loro casella Gartner riporta «Non annunciato». Le categorie restano in inglese, come nel report: Leader, Visionary (Visionario), Challenger (Sfidante) e Niche Player (Operatore di nicchia). Il posizionamento dell'analista ha orientato la ricerca, ma non ha determinato i nostri voti.
Gli 8 migliori strumenti di governance dell'IA nel 2026, confrontati e valutati
IBM watsonx.governance è prima con 4,55/5 grazie ai contenuti normativi documentati più ampi e all'unico listino pubblico; Credo AI segue con 4,50 e il set di funzionalità più solido tra gli specialisti, mentre ModelOp è terza con 4,05 per l'automazione del ciclo di vita nei grandi portafogli di modelli.
Punteggi e posizioni Gartner a novembre 2026.
| # | Piattaforma | Sede | Punteggio | Ideale per | Gartner MQ 2026 | Framework documentati | Prezzi |
|---|---|---|---|---|---|---|---|
| 1 | IBM watsonx.governance | USA | 4,55 | Ampi contenuti normativi con listino pubblico | Leader | AI Act, ISO 42001, NIST AI RMF | Pubblici, da 3.500 $/mese |
| 2 | Credo AI | USA | 4,50 | Pacchetti di policy e registro degli agenti nelle imprese regolamentate | Non annunciato | AI Act, ISO 42001, NIST AI RMF | Solo su preventivo |
| 3 | ModelOp | USA | 4,05 | Grandi portafogli di ML, IA generativa e agenti | Visionary | AI Act, ISO 42001, NIST AI RMF, SR 11-7 | Solo su preventivo |
| 4 | Saidot | Finlandia (UE) | 4,00 | Acquirenti che vogliono un fornitore europeo | Non annunciato | AI Act, ISO 42001, NIST AI RMF | Solo su preventivo |
| 5 | Holistic AI | Regno Unito | 3,90 | Test, red teaming e assurance dei modelli | Challenger | AI Act, ISO 42001, NIST AI RMF | Solo su preventivo |
| 6 | OneTrust AI Governance | USA | 3,90 | Aziende che usano già OneTrust per la privacy | Visionary | AI Act, ISO 42001, NIST AI RMF | Su preventivo (modello pubblicato) |
| 7 | ServiceNow AI Control Tower | USA | 3,65 | Aziende con la CMDB in ServiceNow | Leader | AI Act, NIST AI RMF (ISO 42001 in revisione) | Solo su preventivo |
| 8 | Truyo | USA | 3,10 | Team privacy che hanno bisogno di discovery e de-identificazione | Leader | AI Act, NIST AI RMF | Solo su preventivo |
Voti per criterio a novembre 2026 (Norm. = copertura normativa, Inv. = inventario, Ciclo = controlli del ciclo di vita, Int. = integrazione, Prezzo = trasparenza dei prezzi, UE = adeguatezza UE):
| Piattaforma | Norm. | Inv. | Ciclo | Int. | Prezzo | UE | Ponderato |
|---|---|---|---|---|---|---|---|
| IBM watsonx.governance | 5 | 4 | 5 | 4 | 5 | 4 | 4,55 |
| Credo AI | 5 | 5 | 5 | 5 | 2 | 3 | 4,50 |
| ModelOp | 4 | 4 | 5 | 5 | 2 | 3 | 4,05 |
| Saidot | 5 | 4 | 4 | 3 | 2 | 5 | 4,00 |
| Holistic AI | 4 | 4 | 5 | 4 | 2 | 3 | 3,90 |
| OneTrust AI Governance | 4 | 4 | 4 | 4 | 3 | 4 | 3,90 |
| ServiceNow AI Control Tower | 3 | 5 | 4 | 4 | 2 | 3 | 3,65 |
| Truyo | 3 | 4 | 3 | 3 | 2 | 3 | 3,10 |
Holistic AI e OneTrust sono a pari merito con 3,90; Holistic AI è quinta grazie allo spareggio sui controlli del ciclo di vita (5 contro 4). Il distacco tra IBM e Credo AI (0,05) dipende interamente da adeguatezza UE e prezzi: IBM documenta hosting nell'UE e un'opzione on-premise e pubblica i prezzi, mentre Credo AI non documenta né l'uno né l'altro sulle proprie pagine. Senza questi due criteri, Credo AI sarebbe prima.
1. IBM watsonx.governance: la piattaforma più completa, con prezzi pubblici (4,55/5)
IBM watsonx.governance è l'unica piattaforma di questa lista che pubblica un listino, e lo abbina ai contenuti normativi documentati più ampi. La pagina prodotto elenca contenuti normativi e di rischio per AI Act, NIST AI RMF e ISO 42001, oltre a un grafo di governance, rilevamento della shadow AI, monitoraggio continuo e applicazione delle policy, con distribuzione in cloud e on-premise. IBM è stata nominata Leader nel Magic Quadrant 2026 di Gartner, secondo l'annuncio di IBM.
Il suo 4 in adeguatezza UE poggia su due fatti documentati: la pagina sulla disponibilità regionale di IBM indica Francoforte tra le regioni di watsonx.governance sia su IBM Cloud sia su AWS, e l'edizione Advanced è venduta come software enterprise per l'installazione autogestita. Ricordate che un fornitore statunitense resta soggetto alla legge USA anche quando i dati si trovano a Francoforte.
Prezzi verificati a novembre 2026 sulla pagina ufficiale dei prezzi: prova gratuita di 14 giorni in un ambiente condiviso; Model Management su IBM Cloud, a consumo dopo 30 giorni di prova, con un prezzo d'ingresso di cui IBM non pubblica l'unità di fatturazione; Risk & Compliance Basic su IBM Cloud da 3.500 $ al mese (un'istanza, un modulo, un utente concorrente; con add-on, fino a un massimo di 25 utenti concorrenti); Risk & Compliance Advanced, venduto come software enterprise, da 6.450 $ al mese (fino a 200 utenti concorrenti); e un piano su AWS Marketplace «a partire da 42.000 $» con un'istanza, cinque casi d'uso di IA, 12.000 valutazioni e 25 utenti concorrenti (la pagina non indica la durata del contratto). Il software autogestito è prezzato in base ai core di processore virtuale. IBM precisa che i prezzi sono indicativi e variano da paese a paese.
Il punto debole: il prezzo per utente concorrente cresce in fretta se molti responsabili di business devono compilare valutazioni; calcolate gli add-on prima della fine del pilota.
2. Credo AI: lo specialista dei pacchetti di policy per le imprese regolamentate (4,50/5)
Credo AI è la piattaforma specializzata più solida e manca il primo posto solo per trasparenza dei prezzi e adeguatezza UE. Il suo sito documenta un registro degli agenti con schede agente, rilevamento della shadow AI, classificazione del rischio, mappatura delle dipendenze, una libreria di rischi e controlli pensata per i rischi agentici come l'uso improprio degli strumenti e la deriva del perimetro, e pacchetti di policy pronti all'uso per AI Act, NIST AI RMF e ISO 42001. Le integrazioni native includono Snowflake, Databricks, AWS, Azure, ServiceNow, Jira, Confluence, Slack, GitHub e MLflow.
Credo AI è stata nominata Leader in The Forrester Wave: AI Governance Solutions, Q3 2025, con il punteggio massimo possibile in 12 criteri, tra cui gestione delle policy di IA e audit di conformità normativa. Non abbiamo trovato annunci pubblici di Credo AI sul suo posizionamento nel Magic Quadrant 2026 di Gartner.
Attenzione a: nessun prezzo pubblico e nessun hosting nell'UE documentato sulle sue pagine. Chiedete entrambi per iscritto già al primo contatto.
3. ModelOp: automazione del ciclo di vita per grandi portafogli di IA (4,05/5)
ModelOp è adatta alle organizzazioni che gestiscono già centinaia di modelli e hanno bisogno di una governance integrata nel delivery, non aggiunta sopra. Il suo sito descrive un inventario di portafoglio che copre ML, IA generativa, IA agentica e IA dei fornitori; automazione del ciclo di vita dall'idea alla produzione; controlli di governance integrati nei workflow; e visibilità su costi, token, rischio e ROI. Dichiara integrazioni con oltre 50 tecnologie e supporto per AI Act, ISO/IEC 42001, NIST AI RMF e SR 11-7, la guida statunitense sul rischio di modello ben nota alle banche.
ModelOp è stata nominata Visionary nel Magic Quadrant 2026 di Gartner, secondo il suo annuncio di giugno 2026, che riporta anche un punteggio di 3,97/5 nel caso d'uso governance degli agenti, a pari merito con IBM.
Il compromesso: è pensata per aziende con molti modelli; una realtà con una dozzina di casi d'uso pagherà capacità che non userà.
4. Saidot: l'opzione europea, pensata per gli agenti (4,00/5)
Saidot è la scelta per gli acquirenti europei che vogliono un fornitore soggetto alla loro stessa normativa. L'azienda ha sede a Helsinki, in Finlandia, secondo la sua pagina dei prezzi, e il suo sito descrive un knowledge graph di governance con oltre 260 rischi, 620 controlli, 110 policy e 170 modelli di IA di terze parti, con contenuti curati per AI Act, ISO/IEC 42001 e NIST AI RMF. Collega agenti, sistemi, modelli e dataset in un unico inventario, traccia i rischi ereditati dai modelli usati da un agente e si collega ad Azure AI Foundry, Amazon Bedrock e altre piattaforme tramite API REST che, secondo l'azienda, consentono di gestire il 95 % delle funzionalità. Offre anche server MCP per collegare alla piattaforma i vostri assistenti e agenti di IA. Saidot dichiara di essere certificata ISO/IEC 27001:2022.
Perché l'integrazione resta a 3: la copertura di API e MCP è ampia, ma collegare Saidot al vostro stack richiede soprattutto sviluppo da parte vostra, mentre Credo AI cita dieci integrazioni native e ModelOp oltre 50. La pagina dei prezzi non riporta importi.
5. Holistic AI: test e red teaming integrati (3,90/5)
Holistic AI si distingue per l'assurance tecnica. Il suo sito descrive discovery su cloud, codice e SaaS con oltre 20 integrazioni, red teaming contro prompt injection e jailbreak, più di 40 test su bias, allucinazioni, privacy e robustezza, e controlli mappati su AI Act, NIST AI RMF e ISO/IEC 42001. I suoi «Guardian Agents» supervisionano gli agenti autonomi in tempo reale e possono bloccare, reindirizzare o escalare le azioni.
Secondo il suo annuncio su Gartner, Holistic AI è stata nominata Challenger nel Magic Quadrant 2026 e si è classificata prima nel report complementare Critical Capabilities per il caso d'uso rischio e conformità dell'IA (3,90/5), e tra le prime tre per la governance degli agenti.
Il rovescio della medaglia: nessun prezzo pubblico, e la profondità dei test va sprecata se vi serve soprattutto un registro delle policy più che l'assurance dei modelli.
6. OneTrust AI Governance: la scelta naturale se usate già OneTrust (3,90/5)
OneTrust estende una piattaforma di privacy e GRC che molti DPO europei usano già. La sua pagina AI Governance descrive discovery continua dell'IA, valutazione uniforme del rischio per IA interna e di terze parti, classificazione automatica del rischio per AI Act, NIST AI RMF e ISO 42001, monitoraggio di modelli e agenti su Amazon Bedrock e Microsoft Foundry, e connettori per Google Vertex, Databricks Unity Catalog, Jira e Palo Alto Networks. OneTrust è stata nominata Visionary nel Magic Quadrant 2026 di Gartner, secondo la stessa pagina.
OneTrust guadagna un punto in più sui prezzi perché la sua pagina dei prezzi rende noto il modello: utenti amministratori e inventario di IA, su preventivo. Ottiene 4 in adeguatezza UE perché la sua documentazione sull'hosting offre hosting in Germania e Francia, tra le altre sedi.
Da tenere presente: al di fuori di un ambiente OneTrust già esistente, la piattaforma è un acquisto impegnativo per un'esigenza solo legata all'IA.
7. ServiceNow AI Control Tower: la migliore se ServiceNow gestisce già il vostro IT (3,65/5)
ServiceNow è l'opzione più forte per l'inventario se la vostra CMDB è già lì. Il 15 ottobre 2026 ServiceNow, che ora si presenta come «the Super Intelligence Control Tower for business reinvention», ha annunciato AI Passport, che offre «controllo a runtime su ciò che gli agenti di IA e i server MCP sono autorizzati a fare», oltre a rilevamento della shadow AI, gestione dei costi dell'IA e un kill switch; AI Passport, rilevamento della shadow AI e gestione dei costi sono previsti per il Q4 2026. Le note di rilascio di giugno 2026 avevano già aggiunto connettori di discovery per Databricks, Snowflake e Hugging Face e pacchetti di conformità predefiniti per l'AI Act e le leggi sull'IA di California e Colorado, mentre i contenuti ISO 42001 risultavano «currently in legal review». ServiceNow riporta sulla sua pagina dedicata al report Gartner di essere stata nominata Leader nel Magic Quadrant 2026.
Il punto debole: i contenuti normativi ISO 42001 non erano ancora stati rilasciati al momento di quelle note, il che le costa punti secondo i nostri pesi.
8. Truyo: discovery e de-identificazione con un approccio privacy-first (3,10/5)
Truyo è Leader per Gartner ma qui si classifica ultima, perché il nostro schema premia soprattutto i contenuti normativi documentati. La sua pagina Gartner conferma il posizionamento da Leader, e la sua pagina sulla governance dell'IA descrive scansioni per scoprire l'uso dell'IA, un inventario dell'IA, valutazioni per caso d'uso, copertura di AI Act e NIST AI RMF, test sui bias e «Scramble», che produce dataset de-identificati per addestrare e testare i modelli. ISO/IEC 42001 non è citata in quelle pagine.
Attenzione a: pochi contenuti documentati su ISO 42001 e sugli agenti. Il punto di forza: un team privacy che ha bisogno di discovery dell'IA e de-identificazione dei dati in un solo strumento.
Governance degli agenti: quali piattaforme coprono agenti di IA e server MCP?
La governance degli agenti è oggi il criterio che evolve più in fretta, quindi l'abbiamo seguita a parte invece di includerla nei pesi. Nel report complementare Critical Capabilities di Gartner, ModelOp dichiara un punteggio di 3,97/5 nel caso d'uso governance degli agenti di IA, che presenta come il più alto (a pari merito), e Holistic AI afferma di essere tra i primi tre in quel caso d'uso.
| Piattaforma | Governance degli agenti documentata |
|---|---|
| IBM watsonx.governance | Controlli specifici per gli agenti non dettagliati nella pagina prodotto esaminata; chiedete una demo di inventario e monitoraggio degli agenti |
| Credo AI | Registro degli agenti con schede agente; libreria dei rischi per uso improprio degli strumenti e deriva del perimetro |
| ModelOp | 3,97/5 in AI Agent Governance in Critical Capabilities (dato del fornitore); IA agentica nell'inventario del portafoglio |
| Saidot | Agenti, modelli e dataset in un unico inventario; rischi ereditati dai modelli sottostanti; server MCP per collegare i vostri assistenti e agenti |
| Holistic AI | «Guardian Agents» che bloccano, reindirizzano o escalano le azioni degli agenti; tra i primi tre nel caso d'uso agenti |
| OneTrust | Monitoraggio di modelli e agenti su Amazon Bedrock e Microsoft Foundry |
| ServiceNow | AI Passport con controllo a runtime di ciò che agenti e server MCP possono fare, kill switch (diverse funzioni previste per il Q4 2026) |
| Truyo | Nessun controllo specifico per gli agenti documentato nelle pagine esaminate |
Altre opzioni esaminate: perché Airia, Monitaur, Microsoft Purview e altri non sono tra gli 8
Abbiamo esaminato altri sette prodotti e li abbiamo lasciati fuori dalla valutazione per i motivi seguenti, non perché siano deboli.
| Strumento | Stato | Perché non è valutato qui |
|---|---|---|
| Airia | Visionary per Gartner; primo nel caso d'uso sicurezza dell'IA di Critical Capabilities, secondo Airia | Priorità a sicurezza e applicazione a runtime (guardrail, vincoli sugli agenti, red teaming); ottimo livello di uso e runtime, ma il nostro schema pesa il registro di conformità |
| Monitaur | Visionary per Gartner; «Customer Favorite» di Forrester, secondo Monitaur | Focalizzata di proposito su assicurazioni e altri settori regolamentati; merita un posto nella shortlist se è il vostro settore |
| Cranium AI, Relyance AI | Opzioni orientate a sicurezza (Cranium) e privacy (Relyance) | Non valutati in questa edizione; considerateli se fanno già parte del vostro stack di sicurezza o privacy |
| SAP AI Agent Hub | Gestione degli agenti in SAP | Perimetro legato agli ambienti SAP; rilevante soprattutto per aziende centrate su SAP |
| Microsoft Purview | Fuori dal MQ | Governance dell'uso e dei dati per Copilot e app di IA, non un registro dei sistemi di IA ad alto rischio (vedi la sezione sopra) |
| Collibra AI Command Center | Fuori dal MQ | Opzione nata dal data catalog, con un registro unificato di casi d'uso, modelli e agenti e template per AI Act e NIST AI RMF, secondo Collibra; ideale se usate già Collibra |
Opzioni gratuite e open source. Esistono strumenti gratuiti, ma nessuno eguaglia le piattaforme commerciali in discovery automatica e connettori. Ecco cosa copre ciascuno:
| Strumento | Licenza | Cosa copre |
|---|---|---|
| VerifyWise | Source-available (gratuito per uso non commerciale e settore pubblico; licenza commerciale per le aziende) | Piattaforma di governance dell'IA self-hosted: inventario dei modelli, valutazione del rischio per caso d'uso, rischio fornitori e incidenti, con mappature su AI Act, ISO/IEC 42001 e NIST AI RMF |
| IBM AI Fairness 360 | Apache 2.0 | Metriche di equità e algoritmi per mitigare i bias in dati e modelli |
| Fairlearn | Open source | Valutazione e mitigazione dell'equità per i data scientist |
| Giskard | Apache 2.0 | Test di agenti basati su LLM: prompt injection, jailbreak, allucinazioni, qualità RAG, red teaming |
| MLflow Model Registry | Open source | Versioni dei modelli, tracciabilità fino all'addestramento e alias: un inventario tecnico, non un registro di conformità |
Le librerie di test producono evidenze; VerifyWise è ciò che più si avvicina a un registro. Aggiungendo il NIST AI RMF e il testo dell'AI Act, entrambi gratuiti, e la prova di 14 giorni di IBM, un team piccolo può costruire un primo inventario prima di pagare una licenza.
Come si collegano gli strumenti di governance dell'IA all'AI Act e a ISO 42001?
Gli strumenti di governance dell'IA si collegano all'AI Act trasformandone gli obblighi in registrazioni tracciate, e a ISO/IEC 42001 facendo funzionare il sistema di gestione richiesto dallo standard. In termini di framework, l'AI Act è legge, ISO/IEC 42001 è uno standard volontario e certificabile, e il NIST AI RMF è un framework di gestione del rischio volontario; una buona piattaforma collega un unico inventario a tutti e tre.
Sul fronte della legge, le scadenze sono cambiate nel 2026. La pagina sull'AI Act della Commissione europea indica che, dopo l'entrata in vigore delle modifiche dell'Omnibus IA il 27 luglio 2026, le regole per gli ambiti ad alto rischio dell'allegato III si applicano dal 2 dicembre 2027 e quelle per l'IA integrata in prodotti regolamentati dal 2 agosto 2028. I divieti da 1 a 8 e l'obbligo di alfabetizzazione in materia di IA si applicano dal 2 febbraio 2025, un nono divieto (IA che genera contenuti intimi non consensuali o materiale pedopornografico) entra in vigore a dicembre 2026, e la Commissione indica che le regole di trasparenza entrano in vigore ad agosto 2026. Per tutti gli obblighi per ruolo, consultate la nostra guida all'AI Act.
Sul fronte dello standard, ISO/IEC 42001:2023 è stata pubblicata il 18 dicembre 2023 e specifica i requisiti per stabilire, attuare, mantenere e migliorare in modo continuo un sistema di gestione dell'IA. Il NIST AI RMF, pubblicato il 26 gennaio 2023, è volontario ed è organizzato in quattro funzioni: Govern, Map, Measure e Manage.
| Obbligo | Fonte | Cosa dovrebbe offrirvi una piattaforma di governance |
|---|---|---|
| Sistema di gestione della qualità per i fornitori di IA ad alto rischio | AI Act, articolo 17 | Processi documentati, gestione del rischio, monitoraggio successivo all'immissione sul mercato e registro degli incidenti |
| Sorveglianza umana e conservazione dei log per i deployer (almeno sei mesi) | AI Act, articolo 26 | Responsabili nominativi per sistema, workflow di supervisione, evidenza della conservazione dei log |
| Sistema di gestione dell'IA e controlli | ISO/IEC 42001:2023 | Registro delle policy, trattamento del rischio, audit trail interno |
| Funzioni di gestione del rischio | NIST AI RMF 1.0 | Mappatura dei casi d'uso su Govern, Map, Measure, Manage |
Per il percorso di certificazione, leggete la nostra guida alla certificazione ISO 42001; per la sovrapposizione tra dati personali e obblighi sull'IA, la nostra guida alla conformità GDPR e AI Act.
«Il rinvio a dicembre 2027 non è un motivo per aspettare. È più o meno un anno per costruire l'inventario, perché una piattaforma di governance può governare solo i sistemi di IA che avete già trovato.» — Alfons Marques, fondatore di Technova Partners
Quanto costa un software di governance dell'IA?
Tra le otto piattaforme esaminate solo IBM pubblica un listino, quindi la maggior parte dei budget parte da un preventivo. Verificato a novembre 2026 sulle pagine ufficiali:
| Piattaforma | Prezzi pubblicati |
|---|---|
| IBM watsonx.governance | Prova gratuita di 14 giorni; Model Management a consumo (unità di fatturazione non pubblicata da IBM); Risk & Compliance Basic (IBM Cloud) da 3.500 $/mese, fino a 25 utenti concorrenti con add-on; Advanced (software enterprise) da 6.450 $/mese, fino a 200 utenti concorrenti; AWS Marketplace da 42.000 $ (5 casi d'uso, 12.000 valutazioni, 25 utenti concorrenti; durata non indicata) |
| OneTrust AI Governance | Solo su preventivo; prezzo basato su utenti amministratori e inventario di IA |
| Credo AI, ModelOp, Saidot, Holistic AI, ServiceNow, Truyo | Solo su preventivo; nessun prezzo sul sito ufficiale |
Tre fattori di costo valgono qualunque fornitore scegliate:
- Unità di prezzo. Utenti concorrenti (IBM), utenti amministratori più dimensione dell'inventario (OneTrust) o casi d'uso crescono in modo diverso. Modellate i prossimi due anni, non il pilota.
- Implementazione. Costruire l'inventario e adattare i pacchetti di policy alla vostra organizzazione richiede tempo interno che nessun abbonamento copre.
- Sovrapposizioni. Se avete già una suite GRC, privacy, data catalog o ITSM con un modulo IA, confrontate quel modulo prima di acquistare uno strumento a sé.
Come scegliere uno strumento di governance dell'IA per la vostra organizzazione
Partite dal sistema che usate già, poi filtrate in base al framework che dovete dimostrare e al fatto che il vostro rischio stia nell'uso o nei modelli stessi.
| La vostra situazione | Da testare per primo | Perché |
|---|---|---|
| Il rischio principale è l'uso di ChatGPT o Copilot con dati aziendali | Microsoft Purview o un livello di runtime come Airia | La governance dell'uso viene prima di un registro dei modelli |
| Usate già OneTrust per la privacy | OneTrust AI Governance | Riusa inventario, workflow e processi del DPO |
| CMDB e workflow IT sono in ServiceNow | ServiceNow AI Control Tower | Inventario e responsabili esistono già lì |
| Vi serve la certificazione ISO/IEC 42001 | IBM, Credo AI, ModelOp, Saidot, Holistic AI o OneTrust | Contenuti ISO 42001 documentati già oggi |
| Sviluppate e gestite molti modelli o agenti | ModelOp, Credo AI o Holistic AI | I controlli più profondi su ciclo di vita, rischio degli agenti e test |
| Volete un fornitore con sede nell'UE | Saidot | Con sede a Helsinki (Holistic AI è nel Regno Unito, fuori dall'UE); chiedete a tutti dove vengono conservate le evidenze |
| Vi serve una cifra prima di parlare con il commerciale | IBM watsonx.governance | L'unico listino pubblico |
Sulla residenza dei dati, chiedete per iscritto a ciascun fornitore dove vengono conservati inventario ed evidenze. I nostri servizi di protezione dei dati e GDPR coprono questa valutazione.
Cosa testare in un proof of concept di 30 giorni
Una sequenza che funziona per la maggior parte delle medie imprese: creare un primo inventario su foglio di calcolo, classificare il rischio secondo l'AI Act e poi testare due piattaforme in parallelo per 30 giorni con i vostri casi d'uso reali. Cinque test separano rapidamente le piattaforme:
- Importate il vostro inventario e verificate quanti sistemi vengono scoperti automaticamente e quanti vanno inseriti a mano.
- Classificate un caso d'uso ad alto rischio dall'inizio alla fine ed esportate il pacchetto di evidenze risultante.
- Registrate un agente con i suoi strumenti o server MCP e verificate se compaiono i rischi ereditati dal modello.
- Aprite la vista di audit interno che chiederebbe un auditor ISO 42001, non solo il pacchetto di policy.
- Calcolate il costo del secondo anno con il vostro numero reale di utenti, casi d'uso e valutazioni.
Chiedete anche a ogni fornitore le sue certificazioni, non solo i suoi template. Il trust center di OneTrust elenca ISO/IEC 27001, 27701 e 27017 oltre a SOC 2 Type II, e Saidot dichiara ISO/IEC 27001:2022; nessuna delle pagine esaminate riporta una certificazione ISO/IEC 42001 del fornitore stesso. Un fornitore che vende la preparazione a ISO 42001 senza aver certificato il proprio sistema di gestione dell'IA dovrebbe saper spiegare perché.
Il nostro team dati e IA gestisce questo processo dall'inizio alla fine e, se i vostri casi d'uso includono agenti autonomi, il nostro confronto sui migliori agenti IA per le aziende aiuta a dimensionare l'inventario.
Conclusione
- IBM watsonx.governance guida la nostra valutazione grazie ad ampi contenuti normativi documentati, hosting UE documentato e all'unico listino pubblico.
- Credo AI è la piattaforma specializzata più solida, con pacchetti di policy per AI Act, ISO 42001 e NIST AI RMF, e sarebbe prima se prezzi e hosting UE non contassero.
- Saidot è l'opzione europea; OneTrust e ServiceNow vincono quando usate già le loro piattaforme.
- Se la vostra esposizione sta nell'uso di strumenti di IA pubblici da parte dei dipendenti, partite dalla governance dell'uso, come Microsoft Purview, prima di una piattaforma di governance dei modelli.
- Le scadenze per l'alto rischio dell'AI Act sono slittate a dicembre 2027 e agosto 2028: è tempo per costruire l'inventario, non per saltarlo. L'obbligo di alfabetizzazione in materia di IA si applica già, qualunque piattaforma scegliate.
Vi serve aiuto per scegliere o introdurre una piattaforma di governance dell'IA? Parlate con il nostro team dati e IA o scoprite i nostri servizi di protezione dei dati.
L'autore. Alfons Marques è il fondatore di Technova Partners, una società di consulenza che aiuta le aziende europee ad adottare dati e IA, compresi la preparazione all'AI Act e i programmi ISO/IEC 42001. I punteggi di questa guida derivano esclusivamente dalla documentazione pubblica dei fornitori, secondo lo schema pubblicato sopra.
Domande frequenti sugli strumenti di governance dell'IA
Quale strumento di governance dell'IA dovrebbe scegliere un'azienda europea?
Dipende più dal vostro stack che dalla classifica. IBM watsonx.governance è adatta se vi serve una cifra di budget e hosting nell'UE; Saidot se volete un fornitore con sede nell'UE; OneTrust o ServiceNow se li usate già; Credo AI o ModelOp per grandi portafogli di modelli e agenti.
Che cos'è un framework di governance dell'IA?
Un framework di governance dell'IA è l'insieme di policy, ruoli, criteri di rischio e controlli con cui un'organizzazione approva e monitora l'IA. La maggior parte delle aziende lo costruisce su tre riferimenti: l'AI Act (legge), ISO/IEC 42001 (sistema di gestione certificabile) e il NIST AI RMF (Govern, Map, Measure, Manage). Una piattaforma applica il framework; non lo sostituisce.
Come si implementa la governance dell'IA in un'azienda?
Partite da un inventario di tutti i sistemi e gli strumenti di IA in uso, poi classificate ciascuno in base al rischio AI Act, nominate un responsabile e scrivete le regole di approvazione e monitoraggio. Formate il personale sull'alfabetizzazione in materia di IA, già richiesta dall'AI Act. Solo dopo avviate un proof of concept di 30 giorni con due piattaforme sui vostri casi d'uso reali.
Qual è la differenza tra governance dell'IA e governance dei dati?
La governance dei dati controlla qualità, titolarità e accesso ai dati; la governance dell'IA controlla i sistemi di IA che usano quei dati, compresi classe di rischio, approvazioni, test e monitoraggio. Si sovrappongono su dati di addestramento e privacy, ed è per questo che fornitori di data catalog e privacy come Collibra e OneTrust vendono ormai moduli di governance dell'IA.
Quali funzionalità deve avere uno strumento di governance dell'IA?
Come minimo: discovery e inventario automatici di modelli, agenti e fornitori di IA; classificazione del rischio secondo l'AI Act; workflow di valutazione e approvazione; contenuti pronti per ISO/IEC 42001 e NIST AI RMF; monitoraggio dopo la messa in produzione; ed evidenze esportabili e pronte per l'audit. Nel 2026 aggiungete governance degli agenti e connettori verso le vostre piattaforme cloud e di ML.
Chi ha bisogno di una piattaforma di governance dell'IA?
Qualsiasi organizzazione che distribuisce IA ad alto rischio secondo l'AI Act, punta alla certificazione ISO/IEC 42001 o gestisce più sistemi di IA di quanti un foglio di calcolo possa tracciare in modo affidabile. Le aziende con pochi casi d'uso a basso rischio possono partire da documenti e aggiungere una piattaforma quando crescono l'inventario o il carico di audit.
Esistono strumenti di governance dell'IA gratuiti od open source?
Sì, ma nessuno eguaglia le piattaforme commerciali in discovery e connettori. VerifyWise è una piattaforma di governance source-available con template per AI Act e ISO 42001 (gratuita per uso non commerciale); IBM AI Fairness 360, Fairlearn e Giskard coprono i test, MLflow il registro dei modelli. IBM offre inoltre una prova gratuita di 14 giorni.
Una piattaforma di governance dell'IA vi rende conformi all'AI Act?
No. Organizza e dimostra la conformità: inventario, classificazione del rischio, controlli ed evidenze. Dovete comunque stabilire se siete fornitori o deployer e quali obblighi si applicano. Con l'Omnibus IA, le regole per l'alto rischio dell'allegato III si applicano dal 2 dicembre 2027, secondo la Commissione europea.
Quanto costa una piattaforma di governance dell'IA?
Solo IBM pubblica un listino: Risk & Compliance Basic parte da 3.500 $ al mese e Advanced da 6.450 $ al mese, verificato a novembre 2026. Le altre piattaforme esaminate, tra cui Credo AI, OneTrust e Holistic AI, vendono su preventivo.
