Immaginiamo un caso tutt’altro che futuristico: un’azienda manifatturiera usa un agente AI per selezionare in autonomia i fornitori di un componente, confrontando prezzi, tempi di consegna e certificazioni di qualità raccolte da più partner della filiera. L’agente sceglie, ordina, e il flusso prosegue. Tutto funziona finché nessuno chiede conto della scelta. Ma se un fornitore scartato contesta la decisione, o se il componente acquistato risulta non conforme, chi in azienda è in grado di ricostruire su quali dati si sia basato l’agente, sotto quale mandato ha negoziato, e se ha rispettato le condizioni concordate con i partner coinvolti? Nella maggior parte dei casi, oggi, la risposta è: nessuno con certezza.È il problema al centro del position paper Data Spaces and AI: Trustworthy Agentic Participation in Data Spaces, pubblicato dall’International Data Spaces Association con il contributo di Aruba e di altre organizzazioni internazionali, a cui ho avuto modo di contribuire in prima persona su uno dei passaggi più rilevanti per le imprese: la distinzione tra sovranità dei dati e sovranità delle decisioni.Indice degli argomenti
La sovranità delle decisioni oltre il controllo dei datiCos’è, in pratica, la sovranità delle decisioniI data space come base della sovranità delle decisioniCosa mostrano i primi casi applicativiCosa cambia per chi decide oggiLa sovranità delle decisioni nel quadro delineato dal paperLa sovranità delle decisioni oltre il controllo dei datiPer anni, governare i dati è stato sufficiente. Sapere dove risiedono le informazioni, chi vi accede e con quali autorizzazioni copriva, di fatto, anche il controllo sulle decisioni che ne derivavano: se un sistema restava dentro i confini dell’azienda, proteggere il dato equivaleva a proteggere la decisione.Questa corrispondenza si rompe nel momento in cui un agente AI comincia ad agire oltre il perimetro organizzativo: interroga cataloghi esterni, negozia condizioni con altri sistemi, invoca servizi di terze parti. A quel punto un’impresa può avere i propri dati perfettamente sotto controllo, e nonostante questo perdere visibilità su un piano diverso: come è stata generata una decisione, su quali basi informative, sotto quali policy, e attraverso quali interazioni con soggetti esterni.Per una PMI questo non è un tema accademico. Significa, molto concretamente, non poter rispondere a un cliente che contesta un prezzo calcolato da un algoritmo, non poter dimostrare a un revisore perché un sistema di scoring ha respinto una pratica, non poter provare a un partner commerciale che un accordo di condivisione dati sia stato rispettato dall’agente che lo ha eseguito. Per una grande impresa, lo stesso vuoto si moltiplica per il numero di processi, fornitori e giurisdizioni coinvolte.Cos’è, in pratica, la sovranità delle decisioniLa sovranità delle decisioni, o decision sovereignty, è la capacità di un’organizzazione di mantenere visibilità e controllo non solo sui propri dati, ma sul modo in cui le decisioni mediate dall’AI vengono prodotte, motivate, autorizzate e ricostruite nel tempo. Non è una promessa di infallibilità del sistema: non garantisce che ogni decisione automatizzata sia corretta. Garantisce, invece, che sia sempre possibile stabilire sotto quali regole è stata presa, quali dati o modelli hanno contribuito al risultato e come si è evoluta un’eventuale delega di autonomia.Tradotto in un test operativo che qualunque azienda può applicare oggi: prima di chiedersi quanto sia performante un agente AI, bisognerebbe chiedersi se, in caso di esito contestato, sia possibile ricostruire su quali dati ha agito, sotto quali policy, e con quali autorizzazioni. Se la risposta non è chiara — per un fornitore software, per un progetto pilota interno o per la propria infrastruttura — il problema non è la qualità dell’algoritmo, ma il governo dell’autonomia che gli è stata concessa.I data space come base della sovranità delle decisioniÈ qui che entrano in gioco i data space, ambienti decentralizzati in cui organizzazioni indipendenti condividono dati e servizi secondo regole concordate, senza cedere il controllo sui propri asset. Per un’impresa la loro utilità non è astratta: i data space mettono a disposizione una parte degli elementi tecnici su cui la sovranità delle decisioni può essere costruita – non l’unica, come vedremo, ma una parte rilevante.Meccanismi di identità, attestazione e delega, quando effettivamente implementati nell’ecosistema, possono consentire di ricondurre l’azione di un agente a un’organizzazione legalmente responsabile. Policy leggibili dalle macchine permettono di tradurre condizioni contrattuali – chi può usare un dato, per quale scopo, con quali limiti – in regole che il layer di governance può applicare in modo deterministico. È una distinzione da tenere ferma: è l’enforcement delle policy a poter essere deterministico, mentre il comportamento del modello che l’agente utilizza resta di natura probabilistica, e nessuna infrastruttura di governance lo rende prevedibile al cento per cento.Metadati di provenienza (provenance) e meccanismi di audit possono aiutare a tracciare l’origine e le trasformazioni dei dati che alimentano una decisione, senza che questo implichi necessariamente un registro centralizzato o una specifica tecnologia come la blockchain. Cronologie di interazione, se raccolte e conservate correttamente, permettono di ricostruire a posteriori la sequenza di eventi che ha portato a un determinato esito.Presi insieme, questi elementi possono aiutare a rispondere alle domande che un’azienda deve porsi quando un agente attraversa i propri confini organizzativi: sotto quali regole ha operato, quali fonti ha usato, come si è evoluta la delega nel tempo. Ma da soli non bastano: contribuiscono a un’architettura più ampia che include anche AI governance e model governance (per governare il comportamento del modello stesso), identity management, logging e, soprattutto, il controllo su quali strumenti un agente può invocare, con quali autorizzazioni e attraverso quali workflow.Su questo livello la standardizzazione è ancora in corso: il paper indica come questioni aperte la dichiarazione formale della delega a un agente, la pubblicazione di modelli e test come asset governati e la delega a cascata tra organizzazioni. Oggi, quindi, la sovranità delle decisioni si costruisce con scelte architetturali e contrattuali, non si acquista.Cosa mostrano i primi casi applicativiIl compliance monitor sviluppato nell’ambito del progetto tedesco Mission-KI ha esplorato proprio questa strada: generare automaticamente policy verificabili a partire da condizioni contrattuali e licenze. Il proof of concept ha funzionato, ma ha soprattutto chiarito dove si ferma. Per la valutazione giuridica, dove la proprietà decisiva è la riproducibilità, le policy deterministiche classiche si sono rivelate più affidabili di quelle generate dall’AI, con costi unitari significativi.È una lezione che vale più di un successo: conferma che l’AI può proporre e assistere, ma la decisione su cosa è permesso deve restare a un layer che risponde sempre allo stesso modo. Lo stesso progetto mostra il rovescio positivo con il motore di ricerca dei dataset, che unisce controllo empirico di qualità e ricerca per similarità – e che, non a caso, nel proof of concept non usa un LLM proprio per restare riproducibile e a basso costo.Cosa cambia per chi decide oggiPer una PMI, il primo passo è semplicemente capire cos’è un data space e perché conviene parteciparvi invece di gestire ogni scambio di dati caso per caso, con un contratto diverso per ogni fornitore o partner. Filiere, consorzi di settore e piattaforme distrettuali stanno già costruendo questi ambienti condivisi: è il caso, ad esempio, di Catena-X nell’automotive, dove un fornitore che entra nell’ecosistema può beneficiare di identità verificate, credenziali e policy di condivisione già standardizzate a livello di filiera, invece di doverle negoziare una ad una con ogni cliente o partner.Per una grande impresa, spesso già parte di filiere e consorzi digitali, la domanda diventa più strategica: la propria infrastruttura dati è predisposta a partecipare a questi ecosistemi e a rendere le condizioni di condivisione tecnicamente applicabili, o si limita a custodire i dati senza governare le decisioni che ne derivano e i meccanismi di condivisione che possono creare valore?In entrambi i casi, la posta in gioco non riguarda solo normative come l’AI Act europeo: un’architettura di questo tipo può contribuire a soddisfare i requisiti di tracciabilità, accountability e governance che il regolamento richiede, ma resta l’impresa a doverne rispondere. Riguarda anche la fiducia commerciale tra partner che condividono dati, modelli e servizi senza un rapporto di subordinazione reciproca – la base su cui si reggono sempre più le filiere produttive e i mercati B2B.La sovranità delle decisioni nel quadro delineato dal paperLa sovranità delle decisioni è solo una delle tessere di un mosaico più ampio. Il paper affronta, in modo sistematico, gli ostacoli che oggi impediscono alle imprese di sfruttare davvero l’AI su dati esterni alla propria organizzazione: la difficoltà di fidarsi di dati e modelli di cui non si conosce l’origine, la scarsa qualità o disponibilità di certi dataset, l’assenza di condizioni chiare su chi può accedere a cosa e a quali condizioni, il problema di remunerare equamente chi i dati li mette a disposizione, la mancanza di strumenti per osservare e tracciare cosa succede una volta che un dato lascia l’organizzazione, e infine un panorama normativo che si muove a velocità diverse tra Europa, Stati Uniti e Asia.Su questo sfondo, il paper passa poi in rassegna casi reali già in corso – dal consorzio giapponese xIPF alla sperimentazione di negoziazione automatica tra NEC ed EverySense, fino a un progetto sull’ecosistema dati per la robotica AI-based (RoX) – a dimostrazione che la convergenza tra AI e data space non è un esercizio teorico, ma un fronte su cui più Paesi stanno già lavorando in parallelo.È in questo quadro più ampio che la sovranità delle decisioni assume il suo peso specifico: non è un tema a sé, ma la condizione che rende sostenibile tutto il resto. Un catalogo ben popolato, un motore di negoziazione efficiente o un agente che scopre nuove fonti di dati hanno poco valore se, alla fine, nessuno può spiegare perché una decisione presa da quegli strumenti sia andata in un certo modo.Il passaggio decisivo per le imprese europee, piccole e grandi, non sarà quindi accumulare più dati o adottare agenti più sofisticati, ma costruire le condizioni perché ogni decisione che l’AI prende in loro nome resti spiegabile, contestabile, verificabile e basata su dati e transazioni di qualità su larga scala. I data spaces rappresentano oggi uno dei tasselli fondamentali per costruire decision sovereignty negli scenari inter-organizzativi, quelli in cui dati, modelli e servizi attraversano i confini di più imprese.
