Calvi & Partners

Quaderno di ricerca 09

Artificial Intelligence
Systemic Risk
Organizational Failure
Resilience Architecture

09

Il punto di rottura.

Un sistema può essere accurato, efficiente e perfettamente coerente con i propri obiettivi e contribuire comunque a produrre un disastro.

Il rischio più semplice è che un modello sbagli.Quello più difficile da governare emerge quando errore, automazione, velocità, scala, dipendenze e irreversibilità si combinano.In quel momento il problema non appartiene più al modello. Appartiene all’architettura.

01
Rischio di modello
e rischio architetturale

La domanda non è soltanto se il modello possa sbagliare. È che cosa succede all’organizzazione quando sbaglia.

Un errore di classificazione può essere irrilevante se produce soltanto una raccomandazione sottoposta a revisione umana.Lo stesso errore può diventare economicamente materiale quando produce automaticamente migliaia di decisioni.

Il rischio non è quindi una proprietà isolata del modello. Dipende dall’autorità attribuita all’output, dalla velocità di esecuzione, dalla scala dell’intervento, dalle dipendenze del sistema e dalla possibilità di annullarne gli effetti.

Model risk Quanto e come può sbagliare il modello.
Architectural risk Quanto danno può produrre l’architettura quando quell’errore entra in azione.

02
Meccanismi
del danno

Un disastro sistemico raramente dipende da una sola cosa andata storta.

Gli incidenti più gravi emergono quando più vulnerabilità, singolarmente gestibili, si combinano all’interno dello stesso processo.L’automazione può rendere queste combinazioni più rapide, più estese e più difficili da interrompere.

01 Errore amplificato Una deviazione minima può essere replicata automaticamente su migliaia o milioni di operazioni, trasformando un errore locale in un evento economicamente rilevante.
02 Proxy sbagliata Il sistema può ottimizzare perfettamente la metrica scelta mentre distrugge lentamente ciò che quella metrica avrebbe dovuto rappresentare.
03 Retroazione L’output modifica il contesto, il nuovo contesto diventa dato e il sistema trova progressivamente conferma delle proprie decisioni precedenti.
04 Correlazione Organizzazioni diverse che utilizzano dati, modelli o provider simili possono reagire contemporaneamente allo stesso segnale, trasformando una decisione razionale individuale in instabilità collettiva.
05 Perdita della capacità manuale Più un processo viene automatizzato, più l’organizzazione può perdere le competenze necessarie a gestirlo senza il sistema quando il sistema non è disponibile.
06 Velocità della propagazione Un sistema può trasformare una condizione anomala in migliaia di decisioni prima che la struttura umana abbia compreso che esiste un problema.

03
Danno
composto

L’errore è spesso soltanto il primo anello.

Ciò che trasforma una previsione imperfetta in una crisi non è necessariamente la gravità dell’errore iniziale.È il numero di meccanismi che gli permettono di propagarsi senza essere riconosciuto e fermato.

01 — ERROR

Errore

Un dato, una previsione o una classificazione devia dalla realtà.

02 — AUTOMATION

Automazione

L’errore viene trasformato direttamente in azione.

03 — SCALE

Scala

L’azione viene replicata su un numero elevato di soggetti o operazioni.

04 — FEEDBACK

Feedback

Gli effetti prodotti entrano nei nuovi dati e rafforzano il processo.

05 — DELAY

Ritardo

Il danno procede più rapidamente della capacità di riconoscerlo.

06 — LOSS

Perdita

Il problema diventa economico, operativo, reputazionale o patrimoniale.

Failure architecture

Il disastro non comincia necessariamente quando il sistema smette di funzionare. Può cominciare quando funziona troppo bene in condizioni che non dureranno.

04
Potenziale
catastrofico

Il danno cresce quando più proprietà diventano elevate nello stesso momento.

Il potenziale catastrofico non è una formula matematica, ma può essere letto attraverso cinque variabili architetturali.Più esse crescono insieme, più diminuisce il margine disponibile per riconoscere, contenere e correggere un errore.

02 — SCALE

Scala

Quante persone, operazioni, risorse o asset possono essere coinvolti simultaneamente.

03 — SPEED

Velocità

Quanto rapidamente il sistema può produrre effetti prima dell’intervento umano.

04 — COUPLING

Accoppiamento

Quanto altri processi, sistemi o organizzazioni dipendono direttamente dal suo output.

Il rischio più importante non è quindi soltanto la probabilità dell’errore. È la distanza tra l’errore e il momento in cui non è più possibile correggerne le conseguenze.

05
Successo
e fragilità

L’ottimizzazione può eliminare gli sprechi. E insieme agli sprechi eliminare i margini che assorbivano gli shock.

01 Scorte Ridurre sistematicamente l’inventario migliora l’efficienza finché una discontinuità non interrompe la fornitura.
02 Liquidità Ottimizzare il capitale riduce risorse inattive ma può restringere la capacità di assorbire eventi imprevisti.
03 Ridondanza Eliminare sistemi, fornitori o persone duplicati aumenta l’efficienza e contemporaneamente concentra la dipendenza.
04 Competenze Automatizzare attività apparentemente ripetitive può eliminare anche le competenze necessarie a riprendere il controllo durante un’anomalia.
05 Eccezioni Standardizzare i processi riduce la variabilità, ma può eliminare le vie alternative che permettevano al sistema di adattarsi.

06
Insolvenza
cognitiva

Un’organizzazione può perdere la capacità di comprendere prima di perdere la capacità di pagare.

L’insolvenza cognitiva compare quando l’organizzazione continua formalmente a prendere decisioni, ma non possiede più una rappresentazione sufficientemente affidabile delle strutture che stanno producendo i propri risultati.

Prima che un’organizzazione diventi insolvente economicamente, può diventarlo cognitivamente.

01 KPI senza causalità I risultati vengono misurati con precisione, ma nessuno sa più spiegare quali meccanismi li stiano producendo.
02 Modelli senza comprensione Le previsioni vengono utilizzate perché storicamente efficaci, anche quando la struttura che le rendeva valide sta cambiando.
03 Successo non spiegabile L’organizzazione continua a migliorare performance locali senza comprendere quali fragilità stiano accumulandosi altrove.
04 Perdita del dissenso Le evidenze contrarie vengono progressivamente trattate come eccezioni anziché come segnali di una struttura che cambia.

07
Progettare
per il fallimento

Un sistema robusto non è quello che presume di non sbagliare. È quello progettato perché l’errore non possa diventare distruzione.

01 Limiti di autorità Ridurre il numero e la gravità delle azioni che un sistema può compiere senza una nuova autorizzazione.
02 Circuit breaker Prevedere soglie, anomalie e condizioni che interrompano automaticamente la propagazione di un comportamento inatteso.
03 Reversibilità Conservare procedure, dati e infrastrutture che permettano di ripristinare condizioni precedenti.
04 Capacità manuale Mantenere competenze e procedure sufficienti a governare il processo quando l’automazione deve essere sospesa.
05 Ridondanza deliberata Accettare alcune inefficienze quando costituiscono margini di sicurezza, diversificazione o capacità di adattamento.
06 Stress contraddittorio Testare il sistema non soltanto nelle condizioni previste, ma contro scenari che ne contraddicono deliberatamente le assunzioni fondamentali.
Conclusione

La domanda decisiva non è quanto sia intelligente un sistema quando ha ragione. È quanto danno può produrre prima che qualcuno riesca a fermarlo quando ha torto.

Un’architettura intelligente non dovrebbe essere giudicata soltanto per la qualità dei risultati che produce nelle condizioni normali.Dovrebbe essere giudicata anche per il modo in cui fallisce. La maturità di un sistema non si misura soltanto nella sua capacità di generare valore, ma nella capacità dell’organizzazione di impedire che un errore diventi irreversibile.

Riferimenti
essenziali

Il Quaderno utilizza il concetto di rischio sistemico in senso architetturale e organizzativo.Per il quadro generale sulla gestione del rischio AI e per il significato regolatorio attribuito al rischio sistemico nell’AI Act europeo, si vedano inoltre le seguenti fonti istituzionali.

01 NIST — AI Risk Management Framework

Framework del National Institute of Standards and Technology per identificare, valutare e governare i rischi associati ai sistemi di intelligenza artificiale.

02 Commissione europea — AI Act e GPAI

Quadro istituzionale europeo sugli obblighi applicabili ai modelli di intelligenza artificiale per finalità generali, inclusi quelli classificati come portatori di rischio sistemico.

Calvi & Partners / Quaderni Quaderno 09 / 2026