Il modo più veloce per rendere costoso un implementazione dell'IA in un secondo momento è quello di considerarla fin dall'inizio come un semplice progetto informatico.
Sembra un po’ drastico, ma è proprio lì che, nella pratica, sorgono molti problemi. Un dipartimento scopre uno strumento di intelligenza artificiale, il reparto IT ne valuta sommariamente l’integrazione tecnica, il fornitore presenta una demo convincente, tutti parlano di efficienza e, all’improvviso, quella che doveva essere una semplice fase di test si è quasi trasformata in un’implementazione su larga scala. Protezione dei dati, Gli aspetti legali e di sicurezza vengono aggiunti solo quando il caso d'uso è già stato definito. Sembra una questione di velocità. In realtà, spesso si tratta solo di un volo alla cieca fatto con buon umore.
L’IA non si limita a modificare solo la superficie. L’IA interviene nei processi, nei flussi di dati, nelle decisioni, nelle responsabilità e, talvolta, anche nei rapporti di potere all’interno di un’organizzazione. Proprio per questo non è sufficiente che un progetto funzioni solo dal punto di vista tecnico. Deve anche essere spiegabile, giustificabile, verificabile e controllabile. Chi pone queste domande solo poco prima del lancio, nella maggior parte dei casi non ha integrato una governance, ma ha semplicemente aggiunto a posteriori alcune domande di controllo a un progetto già pronto.
È proprio questo il punto in cui molti progetti di IA generano inutili attriti.
Perché la governance dell'IA non è un mandato a sé stante
Nei progetti IT tradizionali, per molto tempo si è potuto fingere che esistesse una sequenza chiara: prima il reparto specialistico, poi l’IT, poi gli acquisti, poi la protezione dei dati, poi l’ufficio legale. Nel campo dell’IA, questa sequenza funziona ormai solo in misura limitata. Lo scopo funzionale, l’implementazione tecnica, la base dati, la valutazione giuridica e la responsabilità successiva sono troppo strettamente interconnessi.
Il CIO si occupa di architettura, integrazione, gestione operativa, sicurezza, scalabilità e dipendenze dai fornitori. Il responsabile della protezione dei dati deve capire se Dati personali se sono interessati, se lo scopo è descritto in modo chiaro, se Diritti degli interessati occorre valutare se una Valutazione dell'impatto sulla protezione dei dati diventerà necessario e se occorrerà adeguare le procedure esistenti in materia di protezione dei dati. L’ufficio legale è interessato alla situazione contrattuale, Responsabilità civile, ripartizione dei ruoli, condizioni d’uso, questioni relative alla proprietà intellettuale, impegni dei fornitori e obblighi normativi. Il reparto di sicurezza informatica vuole sapere quali dati vengono trasmessi e dove, come vengono controllati gli accessi, come funziona la registrazione degli eventi e quali rischi derivano dalle interfacce o dall’utilizzo dei modelli. Il dipartimento specialistico, dal canto suo, conosce il processo vero e proprio e deve essere in grado di spiegare quale problema debba essere risolto tramite l’IA.
Se questi ruoli operano in modo disgiunto, il progetto subisce ritardi. Se invece non collaborano in modo efficace, l’azienda perde il controllo.
La normativa dell’UE rafforza proprio questo aspetto. L’AI Act adotta un approccio basato sul rischio per i fornitori e gli operatori di determinati sistemi di intelligenza artificiale. Per i sistemi ad alto rischio, la Commissione europea stabilisce, tra l’altro, requisiti in materia di gestione del rischio, qualità dei dati, registrazione, Documentazione, informazioni per gli operatori, supervisione umana, affidabilità, sicurezza informatica e precisione. Non si tratta di tematiche che un singolo ruolo all’interno dell’azienda possa chiarire in modo attendibile da solo. (Strategia digitale dell'UE)
La governance dell'IA non diventa quindi professionale semplicemente pubblicando una politica. Diventa professionale quando i ruoli giusti collaborano fin dall'inizio alla stessa decisione.
L'errore di ragionamento: prima testare, poi regolamentare
Molte aziende si avvicinano all’intelligenza artificiale con una frase apparentemente innocua: „Per ora lo stiamo solo provando“.“
Non c’è nulla da obiettare. Senza test non si acquisisce esperienza. Il problema sorge quando il test produce già effetti concreti prima che l’organizzazione abbia compreso cosa si sta effettivamente testando. Uno strumento che si limita a riassumere dei testi può risultare acritico. Lo stesso strumento può essere valutato in modo diverso se serve a preselezionare le candidature, a preparare la comunicazione con i clienti, a rispondere a questioni giuridiche interne o a influenzare le decisioni nel processo di assistenza.
Il nome dello strumento non dice molto. È il caso d'uso concreto a fare la differenza.
È proprio per questo che l’implementazione dell’IA senza una governance condivisa è così rischiosa. Il CIO può implementare un sistema in modo tecnicamente corretto, senza però cogliere tutte le implicazioni relative alla protezione dei dati. Il responsabile della protezione dei dati può individuare i rischi senza conoscere appieno l’architettura tecnica. L’ufficio legale può individuare i rischi contrattuali senza comprendere il processo operativo effettivo. E il reparto operativo può essere convinto dei vantaggi senza sapere quali prove saranno richieste in seguito.
Ogni ruolo coglie una parte della verità. La governance dell’IA deve ricavarne un quadro comune della situazione.
Il NIST AI Risk Management Framework descrive la gestione dei rischi legati all’IA come un’attività che abbraccia lo sviluppo, l’utilizzo e la valutazione dei sistemi di IA e mira a integrare gli aspetti relativi all’affidabilità nel ciclo di vita dei prodotti, dei servizi e dei sistemi di IA. Si tratta di un approccio utile, poiché non considera l’IA solo come una questione di strumenti, ma come una gestione organizzativa del rischio. (NIST)
In pratica, ciò significa che un caso d’uso dell’IA deve poter trovare un percorso all’interno dell’organizzazione. Non ha bisogno di un labirinto infinito di comitati. Ha bisogno di un processo chiaro.
Cosa occorre chiarire prima di implementare l'intelligenza artificiale
Un progetto di IA non dovrebbe iniziare con ogni dipartimento che sperimenta la propria soluzione preferita per poi aggiungere a posteriori le funzioni di controllo. Dovrebbe invece partire da una descrizione oggettiva del caso d’uso. A cosa serve l’IA? Quale compito svolge? Si limita ad assistere le persone nella preparazione o influenza effettivamente le decisioni? Quali dati vengono inseriti? Quali risultati ne derivano? Chi utilizza i risultati? Chi si assume la responsabilità se il risultato è errato, discriminatorio, incompleto o semplicemente inutilizzabile?
Queste domande sembrano semplici. Ma raramente lo sono.
Prendiamo un esempio tratto dalla quotidianità aziendale. Un team delle risorse umane desidera utilizzare l’intelligenza artificiale per esaminare più rapidamente i dossier di candidatura. Dal punto di vista del reparto di competenza, la questione riguarda l’efficienza. Dal punto di vista dell’IT, riguarda l’integrazione, i diritti, l’accesso e la gestione. Dal punto di vista della protezione dei dati, riguarda Dati del richiedente, Trasparenza, base giuridica, Stanziamento di fondi, i termini di cancellazione e le possibili ripercussioni su Parti interessate. Dal punto di vista dell'ufficio legale, si tratta della situazione contrattuale, Responsabilità civile, gli impegni dei fornitori e la classificazione normativa. Dal punto di vista del management, alla fine la questione è se l’azienda possa assumersi la responsabilità di tale applicazione.
Se queste domande vengono poste troppo tardi, non si ottiene un processo snello. Si finisce per dover rifare il lavoro.
La situazione diventa ancora più evidente nel caso delle funzionalità di IA nei sistemi SaaS esistenti. Molte aziende non acquistano un nuovo strumento di IA. Improvvisamente, l’IA diventa una funzionalità integrata nel software che già utilizzano. Ciò rende più difficile la governance, perché nessuno annuncia un’implementazione su larga scala. Una funzione è semplicemente lì. Il reparto la utilizza. L’organizzazione si accorge solo in un secondo momento che è emerso un nuovo flusso di dati, un nuovo rapporto con un fornitore o un nuovo supporto decisionale.
È proprio in questo momento che si vede se la governance dell'IA funziona all'interno dell'organizzazione.
Perché il triangolo decisionale composto da CIO, DPO e ufficio legale non è sufficiente, ma è comunque necessario
Il CIO, il responsabile della protezione dei dati e l’ufficio legale non costituiscono l’intera governance dell’IA. Il dipartimento di riferimento rimane fondamentale, e la sicurezza ne fa parte, Conformità spesso anche questo, e in molti casi anche gli acquisti. Ciononostante, il triangolo costituito da CIO, DPO e ufficio legale rappresenta un buon punto di partenza, poiché in esso convergono tre prospettive che, nel campo dell’IA, sono quasi sempre coinvolte.
Il CIO valuta se una soluzione sia tecnicamente fattibile. Il DPO verifica se il trattamento dei dati personali e i rischi per gli interessati siano correttamente disciplinati. L’ufficio legale verifica se la struttura contrattuale, Responsabilità civile, il ruolo normativo e gli obblighi esterni siano in armonia. Se queste tre prospettive rimangono separate, il progetto rischia di diventare troppo tecnico, troppo giuridico o troppo astratto. Se invece vengono integrate, ne emerge un quadro solido.
L'obiettivo non è quello di trasformare ogni caso d'uso dell'IA in un grande dibattito di principio. Una buona governance deve saper distinguere. Uno strumento di traduzione interno per contenuti non critici non richiede lo stesso livello di verifica di un sistema che preseleziona le candidature o classifica i clienti. Proprio per questo motivo sono necessari una registrazione strutturata, una prima valutazione dei rischi e soglie chiare che definiscano quando coinvolgere quale figura di riferimento.
Una governance matura dell'IA, quindi, non si limita a individuare i rischi, ma impedisce anche che casi d'uso semplici rimangano inutilmente bloccati nel processo.
Questo è importante per le aziende. Chi frena l’IA viene scavalcato. Chi lascia che l’IA operi senza una struttura perde il controllo della situazione. La strada da seguire a livello professionale è quella di un processo in grado di fare entrambe le cose: favorire l’innovazione e mantenere il controllo.
Dalla politica al flusso di lavoro
Molte politiche sull’IA sembrano ragionevoli. Contengono principi, responsabilità, usi consentiti e non consentiti, riferimenti alla protezione dei dati, alla sicurezza e al controllo umano. È un buon inizio. Ma nella pratica quotidiana la carta si scontra con tre realtà scomode: le persone raramente leggono le politiche per intero, i reparti interpretano le regole astratte in modi diversi e le nuove funzionalità di IA vengono introdotte nell’organizzazione più rapidamente di quanto non venga pubblicata la versione successiva della politica.
Una policy di per sé non genera ancora un processo.
Un processo di governance efficace deve quindi seguire il percorso di un caso d’uso. Un dipartimento segnala un caso d’uso dell’IA. Il caso d’uso viene descritto. Dati, fornitori, modello, finalità e colpiti Vengono registrati i dati delle persone. Una prima valutazione del rischio determina quali verifiche siano necessarie. I reparti Protezione dei dati, Affari legali, Sicurezza informatica ed eventualmente altri ruoli ricevono i propri compiti al momento opportuno. La decisione viene documentata. L’approvazione è soggetta a determinate condizioni. Viene registrata la data della revisione. Qualora cambino il fornitore, il modello, le fonti dei dati o la finalità, il caso d’uso viene rivalutato.
In questo modo, la governance dell'IA diventa un processo operativo.
La norma ISO/IEC 42001 segue una linea di pensiero simile, poiché descrive i requisiti di un sistema di gestione dell’IA e affronta i processi relativi allo sviluppo, alla fornitura o all’utilizzo responsabile dei sistemi di IA all’interno delle organizzazioni. L’ISO descrive espressamente il sistema di gestione come un insieme di elementi attraverso i quali vengono attuate politiche, obiettivi e processi per un uso responsabile dell’IA. (ISO)
Questa è la differenza fondamentale tra una presentazione sulla governance e la governance nell’azienda. La presentazione spiega cosa si vuole. Il processo garantisce che ciò avvenga.
Perché il concetto di “Tempo” viene spesso frainteso
In molte organizzazioni si sospetta che la governance rallenti i processi. È comprensibile, perché una governance inadeguata ha proprio questo effetto. Quando competenze poco chiare, consultazioni infinite e verifiche a posteriori bloccano l’implementazione, i reparti operativi percepiscono la governance come un freno.
Il problema, però, non è la governance. Il problema è una cattiva governance.
Una buona governance dell’IA fa risparmiare tempo, perché chiarisce fin dall’inizio quali informazioni sono necessarie, chi deve prendere le decisioni e quali rischi sono realmente rilevanti. Impedisce che un progetto debba ricominciare da capo dopo l’implementazione tecnica. Riduce le discussioni, poiché la base decisionale è più chiara. Tutela i reparti specialistici, poiché questi non devono cercare di indovinare da soli quali siano le questioni giuridiche, tecniche o organizzative rilevanti.
La rapidità non si ottiene ignorando la protezione dei dati, gli aspetti legali e la sicurezza. La rapidità si ottiene quando non si è costretti a improvvisare ogni volta.
Questo è particolarmente importante per le aziende che intendono adottare l’IA su scala più ampia. Un singolo caso d’uso può ancora essere discusso manualmente. Forse anche dieci casi d’uso. Ma quando si arriva a cinquanta o cento applicazioni di IA, l’improvvisazione diventa una categoria di rischio a sé stante. A quel punto l’azienda ha bisogno di una logica di piattaforma che strutturi i casi d’uso, assegni le responsabilità, avvii i controlli e generi automaticamente la documentazione di verifica all’interno del processo.
Come Ailance AI Governance rappresenta questo processo
Ailance AI Governance interviene proprio su questo punto. Il punto di partenza non è la questione astratta se l’IA sia consentita o vietata. Il punto di partenza è il caso d’uso concreto. Cosa deve fare l’IA? Quale sistema viene utilizzato? Quali dati vengono trattati? Chi è il responsabile tecnico? Quali fornitori sono coinvolti? Quali rischi ne derivano? Quali verifiche sono necessarie? Chi dà l’approvazione? Quando è necessario procedere a una nuova valutazione?
Queste informazioni non devono essere sparse in varie e-mail né contenute in un semplice foglio Excel. Devono essere inserite in un flusso di lavoro strutturato. Solo così il CIO, il responsabile della protezione dei dati, l’ufficio legale, il reparto sicurezza e il reparto operativo potranno lavorare sulla stessa base.
Il dipartimento di competenza definisce lo scopo e la realtà operativa. L'IT integra il sistema, l'integrazione e le condizioni tecniche di base. La protezione dei dati verifica il carattere personale dei dati, Trasparenza, Stanziamento di fondi, i rischi per gli interessati e i possibili fattori scatenanti della DSFA. Il reparto Legale valuta le questioni contrattuali e normative. Il reparto Sicurezza esamina gli accessi, i flussi di dati, i rischi tecnici e le misure di protezione. Alla fine, il management non si affida a un’intuizione, ma dispone di una base decisionale trasparente.
È proprio lì che la governance dell'IA diventa concreta.
Non come un ulteriore livello burocratico, ma come traduzione della normativa, della tecnologia e della realtà aziendale in un processo gestibile. Questo è anche l’obiettivo generale di Ailance: la legge deve essere tradotta in tecnologia e processi, altrimenti rimane solo sulla carta.
L'implementazione dell'IA richiede un linguaggio decisionale comune
Molti conflitti nei progetti di IA sorgono perché i vari soggetti coinvolti parlano lingue diverse. Il dipartimento tecnico parla di vantaggi. Il reparto IT parla di architettura. Il reparto sulla protezione dei dati parla di base giuridica e rischi per gli interessati. L’ufficio legale parla di Responsabilità civile e il contratto. Il reparto Sicurezza parla di esigenze di protezione e punti vulnerabili. Il reparto Gestione parla di velocità, budget e rischio.
Hanno tutti ragione, ma ognuno vede solo una parte della situazione.
Una buona governance dell'IA crea un linguaggio decisionale comune. Non impone a tutte le parti coinvolte lo stesso ruolo, ma presenta le informazioni rilevanti in un formato con cui tutti possano lavorare. In questo modo, il caso d'uso non viene frantumato in mille pezzi, ma diventa comprensibile.
Questa è la differenza tra un progetto di IA sostenuto dall’azienda e un progetto di IA che in seguito fallisce a causa di responsabilità non chiarite.
Chi desidera implementare l'IA in modo produttivo non dovrebbe quindi chiedersi innanzitutto quale sia lo strumento che sembra migliore. La domanda iniziale più appropriata è: come possiamo, come organizzazione, prendere una decisione solida in materia di IA?
Se il CIO, il responsabile della protezione dei dati, l’ufficio legale, il reparto sicurezza e il reparto operativo non hanno una risposta comune al riguardo, il lancio non è ancora maturo. Forse la tecnologia è matura. Forse il fornitore è convincente. Forse il business case è solido. Ma l’organizzazione non è ancora pronta a gestire correttamente il caso d’uso.
Domande e risposte
Perché l'implementazione di un sistema di intelligenza artificiale richiede una valutazione congiunta da parte del CIO, del responsabile della protezione dei dati, dell'ufficio legale e del reparto sicurezza?
L’implementazione dell’IA non riguarda solo l’introduzione tecnica di uno strumento. L'IA può modificare i flussi di dati, i processi, le responsabilità, le decisioni e i rischi all'interno dell'azienda. Per questo motivo, il CIO, il responsabile della protezione dei dati, l'ufficio legale, il reparto di sicurezza informatica e il reparto specialistico dovrebbero valutare insieme sin dall'inizio quale caso d'uso debba essere implementato, quali dati vengano trattati, quali requisiti normativi siano rilevanti e chi ne assuma la responsabilità in seguito.
In che modo il CIO, il DPO e l'ufficio legale dovrebbero collaborare nell'ambito della governance dell'IA?
Il CIO, il responsabile della protezione dei dati e l’ufficio legale non dovrebbero operare in modo sequenziale, ma sulla base di un quadro decisionale comune. Il CIO valuta l’architettura, l’integrazione, il funzionamento e i rischi tecnici. Il responsabile della protezione dei dati verifica il carattere personale dei dati, Trasparenza, Stanziamento di fondi, Diritti degli interessati e i possibili fattori scatenanti della DSFA. Legal valuta la situazione contrattuale, Responsabilità civile, gli impegni dei fornitori e gli obblighi normativi. Solo quando queste prospettive vengono integrate tra loro si crea una governance dell’IA solida.
Perché una politica sull'IA non è sufficiente da sola per la governance dell'IA?
Una politica sull’IA descrive i principi, le responsabilità e gli usi consentiti o non consentiti. Tuttavia, da sola non genera ancora un flusso operativo. Una governance efficace dell’IA richiede inoltre un flusso di lavoro in cui vengano registrati i casi d’uso dell’IA, valutati i rischi, coinvolti i ruoli, documentate le decisioni, concesse le autorizzazioni e pianificate le revisioni. Altrimenti, la governance rimane solo sulla carta e viene facilmente aggirata nella pratica quotidiana.
Quali aspetti devono chiarire le aziende prima di implementare l'intelligenza artificiale?
Prima di implementare l’IA, le aziende dovrebbero chiarire a quale scopo verrà utilizzata, quali compiti svolgerà, quali dati verranno trattati, quali risultati ne deriveranno, chi utilizzerà tali risultati e chi sarà responsabile in caso di errori. Inoltre, devono essere documentati il fornitore, il modello, lo scopo, i rischi, le questioni relative alla protezione dei dati, i requisiti di sicurezza, le condizioni di autorizzazione e le scadenze per le revisioni.
Quando un test di IA diventa un rischio per la governance?
Un test di IA diventa un rischio di governance quando produce di fatto effetti operativi prima che siano stati chiariti lo scopo, i flussi di dati, le responsabilità e i rischi. Ciò vale in particolare per le funzioni di IA nei sistemi SaaS esistenti, che vengono attivate apparentemente in modo casuale. Quando si creano nuovi flussi di dati, rapporti con i fornitori o sistemi di supporto decisionale, anche un test richiede una verifica strutturata della governance.
Quale software supporta le aziende nella governance dell'IA, nei casi d'uso dell'IA, nella gestione dei rischi e nelle autorizzazioni?
Per la governance dell’IA, le aziende dovrebbero utilizzare un software in grado di registrare in modo strutturato i casi d’uso dell’IA e di collegare tra loro dati, fornitori, modelli, rischi, ruoli, verifiche, approvazioni e revisioni. Ailance AI Governance supporta proprio questo approccio: il caso d’uso concreto è al centro dell’attenzione e il CIO, il responsabile della protezione dei dati, l’ufficio legale, la sicurezza e il reparto specialistico operano sulla base delle stesse informazioni decisionali.
Conclusione
L’implementazione dell’IA senza il responsabile della protezione dei dati (DPO), l’ufficio legale e il CIO sembra più veloce solo a prima vista. In pratica, però, non fa altro che rimandare le questioni più complesse. In questo modo, la protezione dei dati, l’ufficio legale e la sicurezza non diventano fattori abilitanti, ma organismi correttivi a posteriori. Ed è proprio questo che genera attriti, ritardi e sfiducia.
Il percorso migliore inizia prima. Un caso d’uso dell’IA necessita fin dall’inizio di una base comune. Scopo, dati, sistema, fornitore, rischio, responsabilità, verifica, approvazione e revisione devono essere strutturati in modo tale che l’organizzazione possa operare con essi. In questo modo, la governance dell’IA non diventa un ostacolo, ma un presupposto per un’implementazione solida.
Le aziende che intendono espandere seriamente l'uso dell'IA non hanno quindi bisogno di un ulteriore gruppo di coordinamento informale. Hanno bisogno di un processo decisionale che riunisca, al momento giusto, il CIO, il responsabile della protezione dei dati, l'ufficio legale, il reparto sicurezza e il reparto specialistico.
Solo allora l’euforia per l’IA si trasformerà in un processo aziendale gestibile.
German 
English 
Italian 
French