La gestione dell’informazione come infrastruttura della fiducia

Abstract

Il passaggio dal documento analogico all’ecosistema dei dati ha disintegrato il concetto tradizionale di compliance. Attraverso la visione di Andy Potter (Convenor ISO/TC 46/SC 11/WG 20), l’articolo delinea un nuovo paradigma: il Records Management non è più una funzione di supporto, ma una capability (capacità operativa) strategica.

L’analisi si articola su tre pilastri:

1. Diagnosi operativa, ovvero il superamento della conformità formale per misurare la reale capacità dell’ente di sostenere e difendere le proprie decisioni nel tempo.
2. Triage dell’informazione per isolare i Vital Records dal rumore di fondo, ottimizzando investimenti in cybersecurity e ROI della sicurezza.
3. Governance invisibile e AI readiness tramite l’adozione dello Zero-click RM e la qualificazione del dato come infrastruttura necessaria per garantire l’accountability dell’intelligenza artificiale.

Gestire l’informazione diventa così il presupposto della governabilità: la condizione necessaria per agire in modo consapevole e difendibile in un mondo dominato dagli algoritmi.

Dalla compliance alla capability per un nuovo modello operativo di governo dell’informazione

Per secoli abbiamo gestito i documenti con un unico obiettivo: conservare e ritrovare.

Dai primi archivi amministrativi ai sistemi moderni, abbiamo accumulato nei secoli principi robusti, nati però per un mondo in cui l’informazione era tangibile, statica e verificabile fisicamente.

Questo modello, che ha visto il suo apice nel Ventesimo secolo, ha subito una spinta evolutiva fondamentale tra la Rivoluzione francese e l’Unità d’Italia, quando la necessità di trasparenza ha dato vita a strumenti come il registro di protocollo e il titolario di classificazione. Erano soluzioni perfette per l’era della carta, progettate per garantire ordine e responsabilità nell’azione pubblica.

Il problema è che quel mondo non esiste più. Negli ultimi quarant’anni, la digitalizzazione, il cloud e l’intelligenza artificiale non hanno solo cambiato il modo in cui lavoriamo, hanno disintegrato il concetto stesso di “documentazione”. Oggi, l’evidenza non è più racchiusa in un file isolato (PDF o Word) che simula il foglio di carta; risiede invece nella dinamicità delle relazioni tra dati, metadati e ambiente digitale che li ospita. In questo nuovo ecosistema, ogni database o flusso informativo diventa record nel momento in cui rappresenta in modo difendibile la transazione che lo ha generato.

Qui emerge il limite del paradigma tradizionale: possedere uno standard (il “cosa”) non garantisce affatto la capacità di implementarlo (il “come”), né assicura che le decisioni restino difendibili nel tempo.

Per colmare questo vuoto di governabilità nasce il lavoro dell’ISO/TC 46/SC 11/WG 20, guidato da Andy Potter. Il passaggio è epocale: la norma non è più vissuta come uno strumento burocratico, ma come uno strumento di capacità organizzativa (capability). È una “infrastruttura operativa” dove misurazione, operatività e responsabilità convergono in un sistema coerente per governare l’informazione e proteggere la legittimità dell’azione organizzativa.

 

Misurare la capability. Oltre il miraggio della compliance?

Il primo passo per cambiare rotta è smettere di guardare alla conformità come a una fotografia statica. Il records management tradizionale si accontenta spesso di aver raggiunto lo stato di compliance, ma raramente si chiede se l’organizzazione sia davvero in grado di mantenere quel risultato nel tempo.

È qui che il WG 20 introduce il modello di capability assessment (ISO/AWI TS 25174). Non si tratta di una semplice spunta su una lista di requisiti tecnici, ma di una vera diagnosi operativa: l’obiettivo è capire se l’ente possieda le risorse, la cultura e le competenze per proteggere il proprio patrimonio informativo o se ne conservi soltanto una facciata formale.

Il punto di rottura è chiaro: non valutiamo più solo la validità di un software o di una procedura, ma la capacità delle persone di farli funzionare in modo coerente. Dobbiamo individuare dove la “catena della fiducia” si interrompe e perché.

Questa visione pragmatica affonda le radici nell’esperienza di Andy Potter al NARA (National Archives and Records Administration), dove per decenni ha guidato la trasformazione digitale delle agenzie federali americane. Potter ha portato nel WG 20 una lezione fondamentale appresa sul campo: l’aumento della capacità operativa conta più della perfezione teorica delle policy.

Il risultato è una nuova specifica ISO che offre strumenti scalabili per misurare non quanto un’organizzazione sia “in regola”, ma quanto sia effettivamente capace di sostenere, spiegare e difendere le proprie decisioni nel tempo, trasformando la gestione documentale in una vera infrastruttura della responsabilità.

 

Il triage dell’informazione per sopravvivere al rumore digitale

Trattare ogni dato con lo stesso livello di attenzione non è un principio di equità: è un suicidio organizzativo che amplifica il rischio operativo. Andy Potter ribalta la prospettiva definendosi un triage archivist: proprio come un infermiere di pronto soccorso, il Records Manager deve identificare istantaneamente quali informazioni sono in condizioni critiche (“in really bad shape”) per dare loro priorità assoluta.

Questa filosofia nasce da un paradosso storico. Potter ricorda con ironia il 1985, anno della sua prima email: un collega che cercava di vendere un divano. “La mia prima email fu uno spam”, racconta. La lezione è brutale: se chiediamo agli utenti di gestire o classificare ogni singolo messaggio in un flusso di migliaia di comunicazioni, il sistema è destinato a fallire. Le persone cercheranno scorciatoie e l’informazione critica affogherà nel rumore di fondo.

In quest’ottica, la governance non può rimanere una classificazione statica, ma deve divenire una vera gestione del rischio.

Nell’interpretare questa visione, è possibile delineare un Information Criticality Framework (ICF) che mappi il patrimonio informativo attraverso classi dinamiche di valore e rischio:

• Vital records (classe critica): l’unica categoria a trovare un riscontro formale sia nelle pratiche del NARA sia negli standard di settore. Sono i record ad alto valore che devono essere prioritizzati immediatamente per garantire la continuità operativa e la tutela dei diritti.
• Accountability records: evidenze necessarie per ricostruire il “perché” delle decisioni. È il livello che Potter definisce “Documentation of Accountability”, essenziale per rispondere a audit e investigazioni, dove il rischio è legato alla perdita di trasparenza.
• Long-term assets & data reuse: evoluzione dei permanent records. Include dati che, pur avendo esaurito l’urgenza immediata, conservano un valore potenziale per il riuso (come i sistemi GIS citati da Potter) o per l’IA. Qui il rischio risiede nella perdita di memoria strategica.
• Ephemeral & low-value data: informazioni che Potter definisce “non così importanti”. Identificarle nel triage è fondamentale per evitare che il “rumore” di fondo soffochi i dati critici, permettendo uno smaltimento difendibile e mirato.

In questo quadro, il Records Management diventa una disciplina di prioritizzazione. Il suo compito non è più conservare tutto, ma decidere dove concentrare i massimi sforzi di protezione in funzione della criticità reale dell’evidenza.

Zero-click RM. Come progettare la governance invisibile

Il records Management fallisce ogni volta che introduce un ostacolo. Se archiviare un documento richiede anche un solo passaggio manuale di troppo, l’utente cercherà inevitabilmente una scorciatoia. È la “linea di minor resistenza”: l’essere umano sceglie sempre la via più semplice per portare a termine il proprio lavoro.

Ma l’attrito non è solo tecnico, è anche linguistico. “Ognuno parla una lingua diversa”, osserva Potter, “e non c’è motivo per cui un collega debba imparare il nostro gergo tecnico”. Per Potter, il Records Manager deve agire come un distillatore: deve prendere la complessità degli standard ISO e tradurla in un linguaggio chiaro e accessibile. Senza questa capacità di traduzione, non ci sarà mai adozione.

In questo senso, la gestione documentale diventa un “atto di persuasione”. Come avverte Potter: “Non puoi semplicemente lanciare uno standard sul tavolo e aspettarti che la gente lo usi”. La governance, per funzionare davvero, deve diventare invisibile.

Il paradigma dello Zero-click records management trasforma la conformità da un obbligo consapevole a una proprietà automatica del sistema:

• Cattura nativa: classificazione e metadati vengono applicati al momento della transazione, senza che l’utente debba fare nulla.
• Automazione delle priorità: le regole del triage sono incorporate direttamente nel design dei sistemi.
• Rimozione dell’errore umano: eliminando la discrezionalità, si eliminano i “trucchi” per fare prima e si garantisce la qualità dell’evidenza nel tempo.

In questo scenario, la competenza chiave non è più la conoscenza enciclopedica delle norme, ma lo storytelling. Se gli standard forniscono la trama (il plot), il professionista deve saper tessere la storia, spiegando ai vari dipartimenti perché la gestione dei dati conviene a loro, non solo all’archivio. Solo raccontando “cosa c’è dentro per l’utente” è possibile abbattere i silos aziendali.

 

La convergenza strategica del RM come intelligence per la cybersecurity

Nella governance moderna, records management e cybersecurity non sono più mondi separati, ma due facce della stessa medaglia: la protezione del valore. Andy Potter è netto su questo punto: qualunque investimento nella sicurezza informatica deve essere preceduto da una valutazione di ciò che si intende proteggere. Senza questa analisi, si rischia di allocare budget enormi per difendere dati irrilevanti, ignorando asset critici.

Il records management assume quindi una funzione di “Intelligence del valore”. Il suo compito non è presidiare i server, ma stabilire la gerarchia dell’importanza dei dati. Identificare ciò che è “vitale” permette ai team di Cybersecurity di orientare le difese in modo mirato, garantendo che l’impatto di una violazione non sia fatale per l’organizzazione. In questo quadro, la conformità smette di essere un costo burocratico e diventa lo strumento strategico per ottimizzare il ritorno sull’investimento (ROI) della sicurezza e difendere la reputazione aziendale.

 

Alimentare l’AI readiness con l’infrastruttura della fiducia

I sistemi di AI, inclusi i modelli linguistici più avanzati, non “pensano”. Sono essenzialmente dei “database potenziati” (souped up databases), capaci di riconoscere pattern a velocità incredibile ma privi di capacità interpretativa. Per questo, la “AI readiness” (la preparazione all’IA) non può essere un cerotto applicato a valle, ma deve essere progettata fin dall’inizio.

L’informazione non è pronta per l’IA se manca il contesto. Senza metadati arricchiti e un lavoro strutturale sulla qualità del dato, il rischio che l’algoritmo distorca la realtà o fornisca risultati errati aumenta drasticamente. Potter cita l’esempio del riutilizzo dei dati storici (come le mappe GIS o i rilievi climatici del XIX secolo): dati che sembravano aver esaurito la loro funzione diventano oggi materia prima preziosa per l’IA, a patto che siano stati preservati con la loro integrità semantica.

In un ecosistema dominato da automatismi, il principio del “human in the loop” (l’intervento umano nel processo) resta l’unico ancoraggio della responsabilità. Il giudizio umano deve supervisionare lo sviluppo di questi sistemi perché è l’unico luogo in cui risiede la responsabilità delle scelte.

Se un’organizzazione non è in grado di spiegare e documentare come un’intelligenza artificiale sia giunta a una conclusione, quella decisione resta indifendibile. Il records management non è un ostacolo all’innovazione, ma l’infrastruttura di fiducia che permette all’automazione di scalare senza scivolare nel caos.

 

Conclusioni

Per i vertici aziendali è tempo di un cambio di prospettiva: il records management non è un ufficio di supporto, è il presidio della governabilità. Il suo successo non si misura nella perfezione tecnica, ma nella capacità di gettare ponti tra legali, tecnici e manager, parlando a ciascuno l’unica lingua che conta: quella del valore e del rischio.

In un ecosistema saturo di dati e algoritmi, il vero asset non è la quantità di informazioni, ma la capacità di isolarne il senso e proteggerne il valore probatorio. Andy Potter lo sintetizza con una brutale verità: “Se non sai spiegare le tue decisioni, non puoi difenderle”.

Senza questa capacità, l’organizzazione non perde solo la memoria: perde la propria legittimità operativa. La gestione documentale, in linea con le sfide dell’EU AI Act, trasforma i requisiti di trasparenza e responsabilità in modelli operativi concreti. Non si tratta più di “essere in regola”, ma di essere in grado di sostenere le proprie scelte di fronte a un audit, a un giudice o a un algoritmo. Il records management non è un costo, ma l’infrastruttura della fiducia: la condizione necessaria per poter, oggi, continuare ad agire.

 

Nota sull’evoluzione dei lavori del WG 20

Il gruppo ISO/TC 46/SC 11/WG 20 è attualmente impegnato nello sviluppo di due progetti speculari, focalizzati sullo sviluppo della consapevolezza (awareness) e della capacità operativa (capability) all’interno delle organizzazioni:

• ISO/AWI TS 25174 – Records management capability assessment: già in fase di redazione tecnica attiva (Approved Work Item), questo progetto mira a fornire modelli per valutare la reale capacità di un’organizzazione di gestire i propri asset informativi.
• ISO/PWI 25952 – Records management awareness and capability development in organizations: attualmente in fase preliminare (Preliminary Work Item), si concentra sulla costruzione della cultura necessaria per supportare tale capacità.

Particolarmente significativa è la scelta metodologica di pubblicare lo standard sulla Capability come Technical Specification (TS). Questa opzione riflette la natura dinamica del dominio: la capacità organizzativa non è un dato statico, ma un’entità influenzata dall’accelerazione tecnologica.

La TS è, per definizione, uno strumento più agile rispetto ai tradizionali standard internazionali (International Standards – IS): consente di fornire al mercato linee guida autorevoli e immediatamente applicabili, mantenendo la flessibilità necessaria per evolvere insieme ai modelli operativi. È, in sostanza, uno standard progettato per il cambiamento, capace di testare approcci innovativi in contesti reali e preparare il terreno per le sfide della governance digitale.