Red Hat ha presentato asago, acronimo di AI Safety and Governance Orchestration, un progetto open source progettato per trasformare le politiche aziendali di governance dell’intelligenza artificiale in controlli operativi utilizzabili negli ambienti Kubernetes e hybrid cloud. Annunciato il 4 agosto 2026, il progetto punta a collegare direttamente requisiti normativi, configurazioni tecniche e verifiche, conservando una traccia immutabile dell’intero processo.
La società, controllata da IBM, descrive asago come un ponte tra funzioni che nelle imprese operano spesso su piani differenti: compliance, data science e infrastruttura. Una regola formulata in un documento di governance può così essere interpretata, associata a uno standard riconosciuto e convertita in artefatti pronti per gli ambienti di produzione. L’obiettivo è ridurre il ricorso a script manuali e limitare gli errori nel passaggio dalla policy alla sua applicazione concreta.
Il primo livello del sistema riguarda l’interpretazione e la mappatura dei requisiti. Asago collega le prescrizioni a riferimenti come il NIST AI Risk Management Framework, la OWASP Top 10 for LLMs e l’EU AI Act, utilizzando l’IBM AI Risk Atlas. La governance viene quindi tradotta in una struttura leggibile anche dai team tecnici, mantenendo il legame tra la disposizione originaria, il rischio individuato e il controllo destinato a mitigarlo.
La fase successiva riguarda test e raccomandazioni. Il progetto genera prove di sicurezza legate allo specifico caso d’uso e suggerisce i guardrail da applicare, registrando anche la motivazione delle scelte. Questo meccanismo permette di non separare la configurazione tecnica dal ragionamento che l’ha prodotta: test, misure raccomandate ed evidenze rimangono parte dello stesso percorso documentale, disponibile per le successive attività di controllo.
Una volta definiti i controlli, asago li converte in componenti distribuibili negli ambienti operativi. Tra gli output previsti figurano manifesti Kubernetes, template Terraform e script Ansible. La policy non resta quindi una prescrizione astratta, ma viene tradotta in configurazioni che i responsabili dell’infrastruttura possono integrare nei processi di rilascio e gestione, tanto nel cloud quanto nelle architetture ibride.
Il quarto elemento è l’auditabilità. Asago mantiene una traccia immutabile che collega i controlli attivi alle clausole delle policy da cui derivano. Gli auditor possono risalire dalle configurazioni in esecuzione alle evidenze che le sostengono, ricostruendo il percorso compiuto dal requisito iniziale fino all’implementazione. La continuità tra regola, test e artefatto tecnico offre una base verificabile per il confronto tra chi governa il rischio e chi gestisce i sistemi.
Il progetto nasce sulla base del lavoro già svolto da Red Hat e NVIDIA attraverso la Open Secure AI Alliance. Nella fase di formazione viene distribuito con licenza Apache 2.0, repository pubblico su GitHub e un modello di governance comunitaria. Collaborano all’iniziativa IBM Research, Microsoft, NVIDIA, Alquimia AI e Brave Software, insieme a partner accademici tra cui MIT Lincoln Laboratory, North Carolina State University, Alan Turing Institute, IT:U Austria ed EvalEval.
L’automazione proposta assume un peso particolare con il passaggio verso agenti autonomi capaci di operare a lungo: la moltiplicazione delle azioni e delle configurazioni rende più fragile una gestione affidata a procedure manuali. Asago cerca di inserire i vincoli di governance direttamente nel ciclo operativo, rendendo consultabili gli artefatti tecnici e preservando la catena delle decisioni. La sfida si sposta così dalla sola definizione delle regole alla possibilità di applicarle e verificarle nei sistemi reali.