Un cliente scrive al team di supporto e chiede quali dati personali l'azienda detiene su di lui. Ai sensi del Regolamento generale sulla protezione dei dati (GDPR), di norma l'azienda ha un mese di tempo per rispondere. La richiesta arriva in una casella di posta condivisa, viene inoltrata all'IT, poi al marketing, poi a un responsabile vendite che conserva ancora un foglio di calcolo con i contatti raccolti in fiera. Tre settimane dopo, qualcuno chiede chi sia incaricato di raccogliere la risposta, e nessuno lo sa con certezza.

Nulla di tutto ciò è un problema di tecnologia. I dati esistono e i sistemi funzionano. Manca un accordo su chi sia il responsabile di quali dati, quali regole si applichino e chi decida quando qualcosa non è chiaro. Questo accordo è ciò che la governance dei dati garantisce.

Che cos'è la governance dei dati?

Nella pratica, la governance dei dati è un insieme di decisioni permanenti. Chi può approvare l'accesso ai dati dei clienti? Quale sistema contiene la versione ufficiale dell'anagrafica di un cliente? Per quanto tempo vengono conservati i contratti e chi dà l'approvazione prima che vengano eliminati? Che cosa succede quando qualcuno trova un errore in un report su cui si basa il Consiglio di Amministrazione? Un programma di governance fa in modo che ciascuna di queste domande abbia una risposta condivisa, un responsabile e un luogo in cui la risposta sia documentata.

L'obiettivo è disporre di dati di cui ci si possa fidare: abbastanza accurati da potervi fare affidamento, sicuri, accessibili alle persone giuste e gestiti in linea con gli obblighi legali e contrattuali.

Un esempio pratico: un rivenditore stabilisce che gli indirizzi email dei clienti sono di proprietà del team marketing, possono essere utilizzati solo per gli scopi per cui sono stati raccolti, vengono eliminati dopo un determinato periodo di inattività e sono accessibili al personale di supporto solo tramite il sistema di gestione delle relazioni con i clienti (CRM). Ognuna di queste è una decisione di governance, ed è su questo livello che si basano le funzionalità di governance dei dati di Formalize. Archiviare e sincronizzare gli indirizzi tra i vari sistemi, invece, è gestione dei dati.

Governance dei dati e gestione dei dati: qual è la differenza?

I due termini vengono spesso usati come sinonimi, ma svolgono funzioni diverse. Se la governance è il codice della strada, la gestione dei dati è la guida.

I confini non sono rigidi. I data steward e i responsabili dei sistemi operano spesso su entrambi i fronti: contribuiscono a definire le regole e le applicano nel lavoro quotidiano.

Perché la governance dei dati è importante?

Spesso le organizzazioni si avvicinano alla governance dei dati a partire da un sintomo: due report che si contraddicono, una richiesta di audit che richiede settimane, un'autorità di controllo che chiede evidenze. La governance interviene sulle cause che stanno dietro a questi sintomi:

• Fiducia nei numeri: quando definizioni e responsabilità sono condivise, i report dei diversi team sono più facili da riconciliare.

• Responsabilità chiare: ogni dataset importante ha un responsabile, e tutti sanno chi è.

• Privacy, sicurezza e conformità: normative come il GDPR e standard come l'ISO 27001 richiedono alle organizzazioni di sapere quali dati detengono, chi può accedervi e per quale motivo.

• Meno duplicazioni: regole coerenti riducono copie parallele, fogli di calcolo in conflitto e soluzioni improvvisate.

• Verificabilità e gestione del rischio: le decisioni di governance documentate lasciano una traccia, che consente di dimostrare come i rischi legati ai dati vengono individuati e gestiti.

• Una base per analytics e IA: dashboard e modelli sono affidabili solo quanto i dati su cui si fondano.

Quali sono i componenti fondamentali della governance dei dati?

Non esiste un modello ufficiale unico, ma la maggior parte dei programmi si regge su quattro elementi costitutivi. Quando si parla dei "quattro pilastri della governance dei dati", di solito si intendono questi.

1. Persone e responsabilità: data owner, data steward e figure con potere decisionale, dal comitato di governance ai team che gestiscono i dati ogni giorno.

2. Policy e standard: le regole su qualità, accesso, classificazione, conservazione e utilizzo dei dati.

3. Processi e controlli: come queste regole vengono applicate nella pratica e come l'organizzazione verifica che vengano rispettate.

4. Tecnologia e supervisione: i sistemi che supportano la governance con monitoraggio, evidenze e reporting.

Nessuno dei quattro funziona da solo. Le policy senza responsabili diventano obsolete, e i responsabili senza processi finiscono per improvvisare.

Che cos'è un framework di governance dei dati?

Un framework di governance dei dati è il modello strutturato che un'organizzazione utilizza per definire ruoli, policy, processi, controlli e responsabilità della governance e per collegarli tra loro. È proprio questo collegamento a distinguere un framework da un insieme di singole policy sui dati. Una policy di conservazione, una policy di accesso e uno schema di classificazione sono utili singolarmente, ma un framework stabilisce come si relazionano, chi decide in caso di conflitto e come viene misurato il loro rispetto.

Un framework tipico copre titolarità e poteri decisionali, standard e policy, processi e controlli, percorsi di escalation e indicatori per valutare se la governance funziona.

Framework di governance dei dati più diffusi

Diversi framework riconosciuti offrono alle organizzazioni un punto di partenza. Nessuno di essi è il migliore in assoluto, e ciascuno si adatta a un tipo diverso di sfida:

Questi framework non si escludono a vicenda. Molte organizzazioni prendono il vocabolario dal DAMA-DMBOK, adottano i ruoli del modello DGI e allineano i controlli a COBIT o all'ISO 27001, in base a ciò che si aspettano auditor e autorità di regolamentazione. La scelta del framework conta meno dell'applicazione coerente di responsabilità e controlli. Se il programma di governance dei dati deve integrarsi anche con framework normativi e di conformità come ISO 27001, NIS2 o DORA, scopri i blueprint di compliance di Formalize.

Come implementare la governance dei dati

Un modo pratico per mettere in atto i quattro componenti è seguire sei passaggi, partendo da un perimetro ristretto e ampliandolo nel tempo:

1. Definire obiettivi e ambito della governance

Si parte dai dati più rilevanti: quelli legati a obblighi normativi, alla fiducia dei clienti o a decisioni aziendali critiche. Un ambito circoscritto, come i dati personali dei clienti o i dati di rendicontazione finanziaria, porta più lontano del tentativo di governare tutto in una volta.

2. Stabilire titolarità e responsabilità

Si individuano i data owner, responsabili di un dataset e titolari delle decisioni sul suo utilizzo, e i data steward, che ne curano la qualità e la gestione quotidiana. La titolarità spetta al business, non all'IT per impostazione predefinita.

3. Mappare i dati critici e i requisiti

Si documenta quali dati esistono, dove si trovano, chi li utilizza e quali policy, rischi e normative si applicano. Per i dati personali, gran parte di questo lavoro coincide con il registro delle attività di trattamento previsto dal GDPR.

4. Definire policy, standard e controlli

Si stabiliscono le regole su accesso, qualità, classificazione, conservazione e uso accettabile, e si decide come verificarne il rispetto. Una policy senza un controllo resta una dichiarazione di intenti.

5. Integrare la governance nei flussi di lavoro operativi

Le regole si traducono in task, approvazioni, revisioni e percorsi di escalation che le persone incontrano nel lavoro di tutti i giorni. Se un nuovo sistema può entrare in produzione senza che nessuno riveda i dati che gestisce, la governance esiste solo sulla carta.

6. Monitorare e migliorare continuamente

Si tengono sotto controllo eccezioni, rischi aperti ed evidenze nel tempo, così che i problemi emergano per tempo e non durante un audit.

Un dataset, sei passaggi. Ecco come si sviluppa la sequenza per i dati dei clienti del rivenditore dell'esempio precedente:

Questo storico è ciò che servirà la prossima volta che qualcuno chiederà perché il modello è stato autorizzato a utilizzare quei dati.

Migliori pratiche di governance dei dati

Una volta poste le basi, poche abitudini fanno la differenza tra un programma che dura e uno che si esaurisce dopo la spinta iniziale:

• Misurare ciò che la governance cambia: monitorare pochi indicatori concreti, come la quota di dati critici con un titolare designato, le revisioni scadute o le eccezioni aperte.

• Portare le regole dove si prendono le decisioni: una policy ha molte più probabilità di essere rispettata se compare nel flusso di lavoro in cui si decide.

• Scrivere policy che si possano seguire: regole brevi, specifiche e in linguaggio semplice vengono applicate. I documenti di cinquanta pagine vengono archiviati.

• Mantenere le decisioni tracciabili: collegare ogni decisione all'azione intrapresa e alle evidenze che la supportano, così da poter dimostrare perché è stata presa.

• Pianificare le revisioni in base ai cambiamenti: nuove normative, nuovi sistemi e nuovi usi dei dati, come l'IA, sono i momenti in cui la governance richiede una nuova verifica.

Governance dei dati, compliance e IA

La normativa è uno dei principali motori della governance dei dati, perché la maggior parte delle regole sui dati richiede alle organizzazioni di dimostrare come le rispettano. E questa dimostrazione dipende dalla governance.

Il principio di responsabilizzazione del GDPR rende i titolari del trattamento responsabili del rispetto dei suoi principi e li obbliga a essere in grado di dimostrarlo. Registri delle attività di trattamento, regole di conservazione, controlli degli accessi e DPIA sono tutti lavoro di governance. Gli standard sulla sicurezza delle informazioni come l'ISO 27001 aggiungono requisiti in materia di inventario degli asset, classificazione delle informazioni e controllo degli accessi.

L'IA aggiunge un ulteriore livello. Ai sensi del Regolamento europeo sull'IA (AI Act), i fornitori di sistemi di IA ad alto rischio devono applicare pratiche di governance e gestione dei dati utilizzati per addestrare, convalidare e testare tali sistemi, compresi controlli su qualità, pertinenza ed eventuali distorsioni. A seguito dell'Omnibus digitale sull'IA, questi obblighi per i sistemi ad alto rischio si applicano dal 2 dicembre 2027 per i sistemi autonomi e dal 2 agosto 2028 per l'IA integrata in prodotti regolamentati, secondo la Commissione europea.

Anche al di fuori della categoria ad alto rischio, qualsiasi strumento di IA che utilizzi dati personali chiama in causa il GDPR. Le organizzazioni che sanno già quali dati detengono, e in base a quali regole, sono in una posizione molto migliore per usare l'IA in modo responsabile. La nostra pagina sull'AI Act approfondisce l'argomento.

Come Formalize supporta la governance dei dati

Formalize si concentra sul livello della governance: titolari, policy, rischi ed evidenze che si collocano al di sopra dei dati stessi.

• Attività di trattamento nel loro contesto: registri dei trattamenti collegati ai sistemi, ai fornitori e ai rischi coinvolti, insieme ai flussi di lavoro per la DPIA e per la valutazione d'impatto sul trasferimento (TIA).

• Policy con un ciclo di vita: redatte, approvate, pubblicate e monitorate per la presa visione, con cronologia delle versioni.

• Titolari, approvazioni e cronologia completa delle attività: ogni policy, controllo e task ha un titolare designato, con autorizzazioni basate sui ruoli, e ogni decisione viene registrata insieme alle relative evidenze.

• Governance dei dati accanto a GDPR, ISO 27001, NIS2 e AI Act, nello stesso sistema anziché in strumenti separati.