Governance dell'IA: ecco come implementare l'intelligenza artificiale in azienda in modo sicuro e nel rispetto delle norme.
Un dipartimento introduce un assistente basato sull’intelligenza artificiale per gestire più rapidamente le richieste dei clienti. L’applicazione accede a documenti interni e formula autonomamente le risposte. Dopo alcune settimane emerge che nessuno è in grado di dire con esattezza quali dati vengano trattati, chi controlli i risultati e se siano state trasmesse informazioni riservate al fornitore.
Lo vediamo ripetutamente: situazioni del genere non derivano necessariamente da una tecnologia carente. Spesso mancano regole chiare, responsabilità e processi di controllo. È proprio qui che entra in gioco la governance dell’IA.
La governance dell’IA crea un quadro vincolante per un utilizzo sicuro, trasparente e conforme alla legge dell’intelligenza artificiale. Essa integra la gestione aziendale, la gestione dei rischi, la protezione dei dati, la sicurezza informatica e lo sviluppo tecnico. In questo modo, la governance diventa una componente centrale di ogni strategia di IA sostenibile.
Questa guida ti mostra come costruire un quadro di governance dell’IA, valutare i rischi e tradurre i requisiti normativi, come l’EU AI Act, in processi pratici.
Che cos’è la governance dell’IA?
La governance dell'IA indica l'insieme di tutte le regole, i ruoli, i processi e i controlli tecnici con cui un'azienda gestisce i propri sistemi di IA. Essa stabilisce:
quali applicazioni di IA possono essere utilizzate,
chi prende le decisioni relative all’utilizzo dell’IA,
come vengono valutati e gestiti i rischi,
quali dati possono essere utilizzati,
come le aziende devono documentare i sistemi di IA,
quando è necessario un controllo umano,
come vengono monitorati i modelli e i risultati,
e come viene dimostrata la conformità alle linee guida interne e alle normative.
In questo contesto, governance non significa rallentare ogni iniziativa di IA con ulteriore burocrazia. Una governance efficace crea piuttosto delle linee guida affidabili. In questo modo, i team sanno fin dall’inizio quali requisiti devono rispettare e a chi rivolgersi in caso di domande.
Quali sono i casi d'uso dell'IA nelle aziende?
Oggi i casi d’uso dell’IA si riscontrano in quasi tutti i settori aziendali. Che si tratti di elaborazione automatizzata dei documenti, chatbot intelligenti nel servizio clienti, previsioni per le vendite o manutenzione predittiva nella produzione. L’impiego dell’IA aumenta l’efficienza e favorisce decisioni ben fondate. Proprio per questo è importante una governance chiara dell’IA: essa garantisce che le applicazioni di IA vengano sviluppate e utilizzate in modo sicuro, trasparente e in conformità con le disposizioni di legge e le linee guida interne all’azienda.
Perché le aziende hanno bisogno di una governance adeguata quando utilizzano l’IA?
L'intelligenza artificiale si diffonde spesso nelle aziende più rapidamente delle strutture di controllo previste a tal fine. I collaboratori utilizzano l'IA generativa per redigere testi, sviluppare software o analizzare dati. I reparti specialistici testano i servizi di IA senza coinvolgere sempre i reparti IT, della protezione dei dati o degli acquisti.
Ciò comporta, tra l’altro, i seguenti rischi:
le informazioni riservate finiscono nelle mani di fornitori esterni,
i risultati contengono errori fattuali,
i dati di addestramento portano a decisioni discriminatorie,
le applicazioni di IA violano i diritti d’autore,
le responsabilità rimangono poco chiare,
i sistemi non soddisfano i requisiti dell’EU AI Act,
le decisioni non sono tracciabili a posteriori,
vengono acquistate più volte soluzioni di IA simili.
L’AI Index Report 2025 della Stanford University documenta sia un crescente utilizzo economico dell’IA sia un numero sempre maggiore di incidenti segnalati legati all’IA. Ciò evidenzia che, con l’aumento dell’utilizzo, crescono anche i requisiti in materia di controllo, trasparenza e gestione dei rischi. Sfide che affrontiamo regolarmente nella nostra attività di consulenza sull’IA!
Quali sono i 5 obiettivi della governance dell'IA?
Una governance efficace dell'IA non deve limitarsi a soddisfare i requisiti di conformità. Essa persegue diversi obiettivi correlati tra loro.
Obiettivo n. 1: garantire la sicurezza
I sistemi di IA devono essere protetti da manipolazioni, accessi non autorizzati e perdite di dati. Ciò riguarda sia i modelli interni che i servizi di IA esterni.
Obiettivo n. 2: garantire la conformità
L’utilizzo dell’IA deve essere conforme alle leggi vigenti, agli obblighi contrattuali e alle linee guida interne. Tra queste figurano in particolare l’EU AI Act, il Regolamento generale sulla protezione dei dati, il diritto d’autore e le normative specifiche del settore.
Obiettivo n. 3: garantire la trasparenza
L’azienda dovrebbe sapere quali sistemi di IA esistono, chi ne è responsabile e per quali casi d’uso vengono impiegati. Un registro centrale dell’IA costituisce la base per questo.
Obiettivo n. 4: Consentire decisioni responsabili
L’IA non deve operare in un vuoto organizzativo. La governance definisce quali decisioni possono essere automatizzate e in quali casi gli esseri umani devono verificare o approvare i risultati.
Obiettivo n. 5: promuovere la fiducia
I processi trasparenti rafforzano la fiducia dei collaboratori, dei clienti e dei partner commerciali. Dimostrano che l’azienda non utilizza l’IA in modo incontrollato, ma secondo criteri comprensibili.
Cosa distingue la governance dell’IA dalla governance IT classica?
La governance IT regola fondamentalmente l’utilizzo delle tecnologie dell’informazione. Si occupa, ad esempio, dell’architettura IT, degli investimenti, della sicurezza e della qualità del servizio. La governance dell’IA si basa su questi principi, ma tiene conto anche delle caratteristiche specifiche dell’intelligenza artificiale.
Il software tradizionale funziona solitamente secondo regole fissate in modo rigido. I modelli di IA, invece, ricavano i risultati dai dati e dalle correlazioni statistiche. Ciò comporta sfide particolari:
i risultati possono essere probabilistici e quindi variabili.
Dati distorti possono portare a risultati inequi.
L’IA generativa può produrre affermazioni false che sembrano convincenti.
Le decisioni dei modelli non sono sempre completamente spiegabili.
Le prestazioni di un modello possono peggiorare a causa di dati di input modificati.
Un modello può essere utilizzato al di fuori del suo ambito di applicazione previsto.
La governance dell’IA deve quindi coprire non solo lo sviluppo e l’implementazione, ma l’intero ciclo di vita di un sistema di IA. Se desideri introdurre l’IA nella tua azienda, siamo al tuo fianco dall’analisi iniziale dei processi fino al reporting e al monitoraggio dei risultati!
Come procedi nell'introduzione di una governance dell'IA?
Fase 1: Analizzare la situazione iniziale
Esamina le applicazioni di IA esistenti, le linee guida, i ruoli e i processi di controllo. Sfrutta le strutture esistenti in materia di protezione dei dati, sicurezza delle informazioni e gestione dei rischi.
Fase 2: Definire gli obiettivi e la propensione al rischio
Stabilisci quali strategie di IA l’azienda intende perseguire e quali rischi è disposta ad accettare. Una banca avrà bisogno di linee guida diverse rispetto a un’azienda manifatturiera.
Fase 3: Definire le responsabilità
Indica un coordinamento centrale, i responsabili di settore e gli organi decisionali. Documenta le competenze, ad esempio in una matrice RACI.
Fase 4: Creare un registro dell’IA
Registra i casi d’uso dell’IA esistenti e quelli pianificati. Inizia con pochi campi obbligatori e amplia gradualmente il registro.
Fase 5: Sviluppare una classificazione dei rischi
Definire criteri chiari per i rischi bassi, medi e alti. Tenere conto dell’EU AI Act e di altre normative.
Fase 6: Introdurre linee guida e processi
Definisci le regole relative all’utilizzo, all’approvvigionamento, allo sviluppo, all’autorizzazione, al monitoraggio e alla disattivazione.
Fase 7: Supportare tecnicamente i controlli
Ove possibile, utilizzare flussi di lavoro, controlli di accesso, registrazione degli eventi e verifiche automatizzate. La governance dovrebbe essere integrata negli strumenti esistenti.
Fase 8: Formare i collaboratori
Non limitarti a comunicare divieti. Mostra possibilità concrete e sicure di utilizzo e spiega le procedure di approvazione previste.
Fase 9: Misurare l’efficacia
Verifica regolarmente se i controlli funzionano effettivamente e se sono adeguati al rischio specifico.
Che cos’è un quadro di governance dell’IA?
Un quadro di governance dell’IA è un quadro normativo strutturato per l’utilizzo dell’IA. Esso traduce principi astratti in responsabilità, linee guida, controlli e procedure operative concrete. Nella pratica, il quadro si articola tipicamente in sei pilastri:
Strategia e principi
Ruoli e responsabilità
Inventario e classificazione
Gestione dei rischi e della conformità
Controlli tecnici e organizzativi
Monitoraggio e miglioramento continuo
Le aziende possono avvalersi di standard consolidati come punto di riferimento. Il NIST AI Risk Management Framework, ad esempio, suddivide la gestione dei rischi legati all’IA nelle funzioni Govern, Map, Measure e Manage. Con la norma ISO/IEC 42001 è inoltre disponibile uno standard internazionale per un sistema di gestione dell’intelligenza artificiale.
Tuttavia, un quadro di riferimento non dovrebbe mai essere adottato tal quale. È necessario adattarlo al settore, alle dimensioni dell’azienda, ai casi d’uso e alle strutture di governance esistenti. Per questo motivo analizziamo sempre ex novo la situazione dei nostri clienti!
Qual è il ruolo dell’EU AI Act in quanto prima legge sull’intelligenza artificiale?
L'EU AI Act, noto in tedesco anche come regolamento UE sull'IA, è il primo quadro normativo completo in materia di intelligenza artificiale nell'Unione europea. Il regolamento adotta un approccio basato sul rischio: maggiore è il rischio potenziale di un sistema di IA, più severi sono i requisiti.
L’EU AI Act è entrato in vigore il 1° agosto 2024. Le sue disposizioni si applicano in modo graduale:
dal 2 febbraio 2025 si applicano, tra l’altro, i divieti relativi a determinate pratiche di IA e i requisiti in materia di competenza in materia di IA.
Dal 2 agosto 2025 si applicano disposizioni fondamentali relative ai modelli di IA a uso generico.
A partire dal 2 agosto 2026, secondo il calendario previsto dalla legge, entreranno in vigore la maggior parte delle altre disposizioni.
Per determinati sistemi ad alto rischio che fungono da componenti di sicurezza di prodotti regolamentati, sono previsti periodi di transizione fino al 2027.
Le imprese dovrebbero verificare la situazione giuridica attuale e le eventuali modifiche al calendario. A tal fine, la Commissione europea mette a disposizione informazioni e linee guida sulla propria piattaforma dedicata all’AI Act.
Quali classi di rischio distingue il regolamento UE sull’IA?
In sintesi, l’AI Act distingue tra diversi livelli di rischio.
Pratiche vietate nell'ambito dell'IA
Alcune applicazioni sono considerate inaccettabili. Tra queste possono figurare, ad esempio, i sistemi manipolativi, determinate forme di social scoring o singole categorizzazioni biometriche. La classificazione esatta dipende dal caso specifico e dalle eccezioni previste dalla legge.
Sistemi di IA ad alto rischio
A questo gruppo possono appartenere i sistemi di IA impiegati in ambiti sensibili, quali:
nella selezione del personale,
nella valutazione del merito creditizio,
nelle infrastrutture critiche,
nei dispositivi medici,
nell’istruzione e negli esami,
in determinate decisioni amministrative.
A tali sistemi di IA si applicano requisiti rigorosi in materia di gestione del rischio, qualità dei dati, documentazione, registrazione, supervisione umana e robustezza.
IA con obblighi di trasparenza
In determinate applicazioni, deve essere chiaro agli utenti che stanno interagendo con un sistema di IA. Possono sussistere obblighi di etichettatura anche per i contenuti generati sinteticamente o manipolati.
IA a rischio minimo
Molte applicazioni di uso quotidiano non rientrano in una categoria soggetta a una regolamentazione rigorosa. Ciononostante, la protezione dei dati, la sicurezza delle informazioni, il diritto contrattuale o le direttive interne possono comunque essere rilevanti.
Quali sanzioni sono previste in caso di violazioni dell’AI Act?
Le possibili sanzioni dipendono dalla natura della violazione. Per le violazioni relative alle pratiche di IA vietate, l’AI Act dell’UE prevede in linea di principio ammende fino a 35 milioni di euro o pari al 7% del fatturato annuo globale. Per altre violazioni degli obblighi si applicano limiti massimi graduati.
Le sanzioni concrete dipendono, tra l’altro, dalle dimensioni dell’azienda, dalla gravità, dalla durata e dalle conseguenze della violazione. Per le piccole e medie imprese si applicano regole di limitazione speciali. Sono determinanti le disposizioni dell’articolo 99 dell’AI Act dell’UE.
Ma cosa significa questo in concreto? Le aziende non hanno bisogno solo di valutazioni giuridiche. Devono tradurre i requisiti in processi operativi, controlli tecnici e responsabilità documentate. È proprio questo il ruolo della governance dell’IA.
In che modo la governance dell’IA e la protezione dei dati sono collegate?
I sistemi di IA trattano spesso dati personali. In tali casi, oltre all’AI Act, rimane applicabile anche il GDPR. Entrambi i quadri normativi perseguono obiettivi diversi, ma in parte sovrapposti.
Prima di utilizzarli, dovresti verificare, tra l’altro:
Esiste una base giuridica per il trattamento?
Quali dati personali vengono inseriti nel sistema di IA?
Lo scopo del trattamento è definito in modo univoco?
I dati vengono utilizzati per l’addestramento di un modello esterno?
In quali paesi il fornitore tratta i dati?
Per quanto tempo vengono conservati i dati in entrata e in uscita?
Gli interessati possono esercitare i propri diritti?
È necessaria una valutazione d’impatto sulla protezione dei dati?
Il sistema prende decisioni con effetti giuridici o di rilevanza comparabile?
La protezione dei dati non deve essere valutata solo poco prima della messa in funzione. Deve essere integrata già nelle fasi di selezione, progettazione e sviluppo. Questo approccio viene spesso definito «Privacy by Design».
Perché la trasparenza e la spiegabilità sono così importanti?
La trasparenza significa che le parti interessate possano comprendere dove, perché e a quali condizioni viene impiegata l’IA. La spiegabilità va oltre: descrive in che misura i singoli risultati o il funzionamento generale di un sistema possano essere presentati in modo comprensibile.
Non tutte le persone hanno bisogno delle stesse informazioni. Uno sviluppatore necessita di dettagli diversi rispetto a un cliente, a un responsabile della protezione dei dati o alla direzione aziendale. Una buona governance dell’IA definisce quindi una trasparenza adeguata al gruppo di destinatari.
Tra questi figurano, ad esempio:
lo scopo e i limiti del sistema di IA,
tipi di dati utilizzati,
l’unità organizzativa responsabile,
indicatori chiave di prestazione,
rischi di errore noti,
controlli umani necessari,
identificazione dei contenuti generati dall’IA,
canali di reclamo e di escalation.
La trasparenza aiuta inoltre a individuare i rischi in fase precoce. Se un’azienda non conosce le proprie applicazioni di IA, non può né valutarle né monitorarle.
Cosa deve contenere un registro centrale dell'IA?
Un registro dell'IA documenta tutti i sistemi di IA e i casi d'uso dell'IA noti all'interno dell'azienda. Rappresenta quindi una base fondamentale per la conformità in materia di IA e la gestione dei rischi.
Per ogni voce dovresti inserire almeno le seguenti informazioni:
nome e descrizione dell’applicazione,
finalità aziendale,
dipartimento responsabile,
gestore tecnico,
produttore o fornitore esterno,
modello utilizzato,
gruppi di utenti interessati,
tipi di dati trattati,
carattere personale dei dati,
Classe di rischio ai sensi dell’AI Act dell’UE,
stato della verifica giuridica,
supervisione umana richiesta,
interfacce con altri sistemi,
Data dell'ultima verifica,
modifiche previste e cicli di manutenzione.
Il registro dovrebbe includere sia le soluzioni di IA sviluppate internamente sia i servizi acquistati. Ciò comprende anche le funzionalità che i fornitori integrano successivamente nei prodotti software esistenti.
Come si individuano le applicazioni di IA non documentate all’interno dell’azienda?
Un registro sull'IA vuoto non significa che l'IA non venga utilizzata. Spesso esistono già numerosi strumenti non documentati. Questa cosiddetta "Shadow AI" nasce quando i dipendenti utilizzano l'IA senza un'approvazione formale.
Un'analisi della situazione può combinare diversi metodi:
Sondaggio tra i reparti specialistici
Analisi dei contratti software esistenti
Verifica dei servizi cloud e SaaS
Valutazione delle estensioni del browser autorizzate
Workshop con i reparti IT, acquisti e protezione dei dati
Analisi dei processi di automazione esistenti
Monitoraggio tecnico del traffico dati nei limiti consentiti dalla legge
La comunicazione è fondamentale in questo contesto. Se i collaboratori temono sanzioni, potrebbero non segnalare le applicazioni. Spiega quindi che il registro IA ha lo scopo di consentire un utilizzo sicuro e non di impedirlo in modo indiscriminato.
Quali sono le responsabilità necessarie nella governance dell’IA?
Competenze poco chiare causano ritardi e lacune nei controlli. Un modello di governance dovrebbe quindi definire in modo univoco chi ha il compito di informare, chi deve essere coinvolto e chi ha il potere decisionale.
Direzione aziendale
La direzione aziendale definisce la strategia in materia di IA, la propensione al rischio e i principi guida fondamentali. Mette a disposizione le risorse e si assume la responsabilità generale di garantire un’organizzazione adeguata.
Comitato di governance dell’IA
Un comitato di governance dell’IA è un organo decisionale interfunzionale. Può essere composto da rappresentanti dei settori IT, legale, protezione dei dati, sicurezza delle informazioni, conformità, gestione dei rischi, risorse umane e delle divisioni operative.
Il comitato decide, ad esempio, in merito a:
casi di applicazione dell’IA particolarmente rischiosi,
deroghe alle linee guida,
standard a livello di gruppo,
escalation e incidenti gravi,
priorità relative alle misure di governance.
Responsabili dell’IA nei reparti specialistici
Per ogni caso d’uso dovrebbe essere designato un responsabile di settore. Questa persona è responsabile della finalità, della qualità tecnica e dell’utilizzo conforme alla destinazione d’uso.
IT e sviluppo dell’IA
I team tecnici implementano i requisiti relativi all’architettura, alla sicurezza, alla registrazione, ai test e alla manutenzione. Documentano i modelli e monitorano le prestazioni tecniche.
Protezione dei dati, aspetti legali e conformità
Queste funzioni valutano i requisiti legali e contrattuali. Dovrebbero essere coinvolte tempestivamente e in base alla valutazione dei rischi.
Utenti
Anche gli utenti hanno delle responsabilità. Devono conoscere i limiti dei sistemi, verificare adeguatamente i risultati ed essere in grado di segnalare eventuali incidenti.
Come dovrebbe essere un processo di approvazione efficace?
Non tutte le applicazioni di IA richiedono lo stesso livello di controllo. Uno strumento di traduzione per testi pubblici presenta un profilo di rischio diverso rispetto a un sistema che effettua una preselezione dei candidati.
Un processo di approvazione graduale potrebbe presentarsi così:
Segnalazione del caso d’uso: il dipartimento di competenza descrive lo scopo, i dati e gli utenti.
Effettuare una verifica preliminare: un breve questionario individua i primi rischi.
Definizione della classe di rischio: l’azienda valuta i criteri legali e interni.
Avviare le verifiche specialistiche: i responsabili della protezione dei dati, della sicurezza, degli aspetti legali o della rappresentanza dei lavoratori effettuano le verifiche necessarie.
Definizione dei controlli: i responsabili stabiliscono test, autorizzazioni e supervisione umana.
Documentare la decisione: un organo autorizzato approva, limita o vieta l’utilizzo.
Monitorare il funzionamento: il team controlla le prestazioni, i rischi e le modifiche.
Rivalutare l’applicazione: le modifiche sostanziali danno luogo a una nuova verifica.
I processi standardizzati end-to-end riducono le richieste di chiarimenti. Allo stesso tempo, impediscono che ogni team sviluppi le proprie pratiche di governance.
Come valuti i rischi legati ai sistemi di intelligenza artificiale?
La gestione del rischio non si limita a considerare la probabilità di un errore, ma ne valuta anche le possibili ripercussioni sulle persone, sulle aziende e sull'ambiente.
Le dimensioni di rischio rilevanti sono:
rischi legali e normativi,
rischi relativi alla protezione dei dati,
sicurezza delle informazioni,
discriminazione ed equità,
risultati errati o fuorvianti,
mancanza di spiegabilità,
ripercussioni finanziarie,
danni alla reputazione,
dipendenza dai fornitori,
danni ai collaboratori o ai clienti,
consumo di energia e risorse.
Un semplice sistema di punteggio può combinare la probabilità di verificarsi e l’entità del danno. I casi d’uso ad alto rischio richiedono una valutazione approfondita, misure documentate e un monitoraggio più stretto.
È importante anche il contesto di utilizzo. Lo stesso modello può rappresentare un rischio minimo per la sintesi di un documento pubblico, ma avere conseguenze significative nel caso di raccomandazioni mediche.
Come garantisci l'equità e la non discriminazione?
I modelli di IA apprendono dai dati. Se questi dati contengono distorsioni storiche, il modello può riprenderle o amplificarle. Ciò è particolarmente rilevante nelle decisioni relative all’occupazione, ai prestiti, alle assicurazioni o all’accesso ai servizi.
Le misure adeguate sono:
verificare la rappresentatività dei dati di addestramento e di test,
valutare separatamente i gruppi rilevanti,
definire metriche di equità,
far controllare i risultati da esperti del settore,
esaminare le caratteristiche indirettamente discriminatorie,
consentire la presentazione di reclami e l'apporto di correzioni,
monitorare le prestazioni del modello dopo l’implementazione.
L'equità non può essere risolta solo a livello tecnico. Criteri di equità diversi possono contraddirsi a vicenda. Pertanto, i dipartimenti specializzati, gli esperti di dati, gli uffici legali e le parti interessate devono definire congiuntamente ciò che è considerato appropriato nel rispettivo contesto.
Perché la supervisione umana rimane necessaria?
La supervisione umana non significa che una persona confermi meccanicamente ogni risultato dell'IA. Una semplice conferma senza una vera e propria verifica non garantisce un controllo efficace.
La supervisione funziona solo se la persona responsabile:
comprenda il funzionamento e i limiti del sistema,
riceva informazioni sufficienti per prendere una decisione,
possa effettivamente mettere in discussione i risultati,
disponga del tempo necessario per la verifica,
possa rifiutare o correggere una raccomandazione,
e possa segnalare un incidente a un livello superiore.
Un esempio pratico: un sistema di intelligenza artificiale assegna una priorità alle segnalazioni di sinistri in arrivo. L’addetto alla gestione dovrebbe essere in grado di capire perché a una pratica sia stata assegnata una priorità bassa. Deve poter modificare la classificazione qualora manchino informazioni importanti o il risultato risulti inverosimile.
Di quali linee guida sull’IA hanno bisogno le aziende?
Una linea guida centrale sull'IA descrive le regole fondamentali per l'utilizzo dell'IA. Dovrebbe essere formulata in modo comprensibile e orientato all'azione.
I contenuti tipici sono:
applicazioni consentite e non consentite,
gestione dei dati riservati,
regole per l’IA generativa,
identificazione dei contenuti generati dall’IA,
requisiti relativi al controllo umano,
processi di approvazione e approvvigionamento,
Obblighi di documentazione,
Requisiti di sicurezza e protezione dei dati,
canali di segnalazione di errori e incidenti,
conseguenze in caso di violazioni.
Inoltre, possono risultare utili standard specifici per lo sviluppo, la validazione dei modelli, il prompt engineering, la verifica dei fornitori o l’utilizzo dell’IA generativa.
Le linee guida da sole, tuttavia, non sono sufficienti. Devono essere tradotte in processi concreti, impostazioni tecniche e corsi di formazione.
Come gestisci l'IA generativa?
L'IA generativa crea nuovi contenuti quali testi, immagini, codice di programmazione o audio. Il suo utilizzo comporta rischi specifici, tra cui allucinazioni, diritti d'autore poco chiari, "prompt injection" e la divulgazione involontaria di informazioni riservate. Una governance per l'IA generativa dovrebbe stabilire, tra l'altro:
quali strumenti sono autorizzati,
quali dati possono essere inseriti,
quando i risultati devono essere verificati,
come vengono verificate le fonti,
se i contenuti generati dall’IA devono essere contrassegnati,
come viene testato il codice prima dell'adozione,
se i fornitori possono utilizzare gli input per il loro addestramento,
quali plug-in e interfacce sono consentiti.
Per semplici bozze di testo possono essere sufficienti controlli sommari. Se invece i risultati vengono pubblicati o utilizzati per decisioni rilevanti, è necessaria una verifica tecnica vincolante.
Come valuti i fornitori esterni di IA?
Molte aziende non sviluppano l’IA in proprio, ma acquistano modelli o servizi da terzi. Ciò non esonera comunque dalla responsabilità. Prima dell’acquisto, dovresti valutare il fornitore in modo strutturato. Alcune domande importanti sono:
Dove vengono archiviati ed elaborati i dati?
Il fornitore utilizza dati di input per l’addestramento del modello?
Quali subappaltatori sono coinvolti?
Quali certificazioni di sicurezza sono disponibili?
In che modo il fornitore segnala le vulnerabilità e gli incidenti?
Quale documentazione mette a disposizione riguardo al modello?
Come vengono comunicate le modifiche al modello?
Quali opzioni sono disponibili per la registrazione e la cancellazione dei dati?
Quali sono i ruoli del fornitore e del cliente ai sensi dell’AI Act?
È possibile migrare dati e processi alla scadenza del contratto?
Anche dopo la stipula del contratto è necessaria una verifica periodica. I modelli di IA basati sul cloud possono subire modifiche, anche se l’azienda stessa non installa una nuova versione.
Come monitori l'IA durante il funzionamento?
L'implementazione non segna la fine del processo di governance. Con il passare del tempo, i modelli possono perdere qualità. Questo fenomeno è noto come "model drift" e si verifica quando i dati reali o le correlazioni cambiano rispetto alla fase di sviluppo.
A seconda del caso d’uso, il monitoraggio dovrebbe rilevare:
precisione e tassi di errore,
frequenza delle correzioni manuali,
differenze di prestazioni tra i gruppi,
input e output anomali,
incidenti relativi alla protezione dei dati e alla sicurezza,
reclami degli utenti,
modifiche al modello o al servizio del fornitore,
disponibilità e tempi di risposta,
utilizzo al di fuori dello scopo autorizzato.
Definisci dei valori soglia per ogni indicatore. Se un valore viene superato, deve essere chiaro chi effettua la verifica e quali misure devono essere adottate. Queste possono variare da un controllo aggiuntivo fino alla sospensione temporanea del servizio.
Cosa comprende la gestione degli incidenti legati all’IA?
Un incidente legato all'IA può essere una fuga di dati, una decisione discriminatoria, un errore sistematico o una manipolazione del modello. I processi esistenti per gli incidenti informatici e relativi alla protezione dei dati costituiscono una buona base, ma devono essere integrati con aspetti specifici dell'IA.
Un flusso di lavoro completo comprende:
Rilevamento e segnalazione dell’incidente
Limitare le ripercussioni
Identificazione dei sistemi e dei dati interessati
Analisi delle cause tecniche e funzionali
Verifica degli obblighi di segnalazione interni e previsti dalla legge
Informare adeguatamente le persone interessate
Correggere gli errori
Adeguare i controlli e le linee guida
Documentare i risultati
I collaboratori hanno bisogno di un canale di segnalazione facilmente accessibile. Se non è chiaro se un risultato anomalo generato dall’IA sia da considerarsi un incidente, dovrebbe comunque essere possibile segnalarlo.
Quali competenze in materia di IA devono possedere i dipendenti?
L'AI Act dell'UE richiede ai fornitori e agli operatori di adottare misure volte a garantire un livello adeguato di competenze in materia di IA da parte delle persone coinvolte. La formazione specifica dovrebbe essere adeguata al ruolo, alle conoscenze, al contesto operativo e ai rischi.
Un'introduzione generale può trattare i seguenti argomenti:
funzionamento di base dell’intelligenza artificiale,
limiti ed errori tipici,
protezione dei dati e sicurezza delle informazioni,
strumenti di IA consentiti,
verifica dei contenuti generati,
procedure interne di segnalazione e approvazione.
Gli sviluppatori necessitano inoltre di conoscenze relative alla qualità dei dati, alla robustezza e ai test dei modelli. I dirigenti devono comprendere i rischi, le responsabilità e le implicazioni normative. Coloro che supervisionano sistemi ad alto rischio necessitano di una formazione specifica per l’applicazione. Un corso di e-learning una tantum raramente è sufficiente. Le tecnologie di IA, le normative e le applicazioni interne sono in continua evoluzione. Affinché i tuoi collaboratori acquisiscano una padronanza sicura dell’IA
Con quali indicatori è possibile misurare la governance dell'IA?
La governance diventa gestibile solo quando l'azienda definisce indicatori adeguati. Tra i possibili indicatori figurano:
percentuale di sistemi di IA registrati,
percentuale di casi d'uso valutati integralmente,
durata media di un processo di approvazione,
numero di misure ad alto rischio in sospeso,
percentuale di collaboratori formati,
numero di incidenti relativi all'IA segnalati,
Frequenza delle correzioni manuali,
numero di strumenti di IA non approvati,
percentuale di applicazioni verificate entro i termini previsti,
Tempo necessario per la risoluzione di criticità individuate.
Gli indicatori non devono generare falsi incentivi. Un numero esiguo di incidenti segnalati può, ad esempio, significare anche che i collaboratori non individuano i problemi o non li segnalano.
Quali errori tipici dovresti evitare?
Spesso, nella nostra attività di consulenza sull’IA, ci troviamo di fronte a situazioni in cui le aziende hanno già tentato di introdurre l’IA, ma si sono scontrate con i propri limiti al più tardi quando si è trattato di governance. In alcuni casi, i clienti si sono rivolti a noi dopo aver già dovuto pagare multe salate. Questi sono gli errori che riscontriamo ripetutamente:
Errore n. 1: la governance viene intesa solo come un progetto di natura giuridica
L’utilizzo dell’IA riguarda la tecnologia, i dati, i processi e le persone. Una prospettiva puramente giuridica non è quindi sufficiente.
Errore n. 2: tutte le applicazioni seguono lo stesso processo
Un processo eccessivamente complesso frena i casi d’uso a basso rischio e favorisce la «Shadow AI». Utilizzate invece requisiti graduali.
Errore n. 3: le responsabilità rimangono astratte
Un organo privo di chiari poteri decisionali non risolve i problemi. Definisci ruoli concreti e percorsi di escalation per ogni processo.
Errore n. 4: il registro dell’IA non viene aggiornato
Un registro obsoleto offre solo una trasparenza apparente. Collega gli aggiornamenti agli acquisti, alle modifiche e alle revisioni periodiche.
Errore n. 5: la documentazione viene redatta solo a posteriori
La documentazione a posteriori è soggetta a errori e richiede molto tempo. Integrala direttamente nei processi di sviluppo e approvazione.
Errore n. 6: il controllo umano esiste solo sulla carta
Una persona che non è in grado di comprendere o modificare le decisioni non garantisce una supervisione effettiva.
Quali sono le best practice che si sono dimostrate efficaci?
Una governance dell'IA di successo si basa su pochi principi applicati in modo coerente:
Agire in base al rischio: maggiore è il potenziale impatto, più rigoroso deve essere il controllo.
Sfruttare le strutture esistenti: evitare di duplicare le strutture relative alla protezione dei dati, alla sicurezza informatica e agli acquisti.
Verificare tempestivamente: integrare la governance già in fase di ideazione e non solo prima del lancio.
Assegnare chiaramente le responsabilità: ogni caso d’uso richiede un responsabile tecnico.
Garantire la trasparenza a livello centrale: registrare tutti i sistemi di IA in un registro dedicato.
Automatizzare i controlli: integrare le verifiche nei processi di sviluppo e di approvvigionamento.
Coinvolgere gli utenti: valutare sistematicamente feedback e reclami.
Aggiornare regolarmente: i modelli, i rischi, i requisiti e le leggi cambiano.
Partire in modo pragmatico: un modello minimo funzionante è meglio di un framework perfetto che non verrà mai implementato.
Esempio pratico: governance dell’IA nel settore delle risorse umane
Un'azienda desidera utilizzare l'IA generativa per redigere annunci di lavoro e sintetizzare i documenti di candidatura.
In primo luogo, distingue i diversi casi d’uso:
la creazione di una prima bozza di testo per un annuncio di lavoro presenta rischi relativamente bassi, a condizione che il testo venga verificato da un esperto. La valutazione o la classificazione automatizzata dei candidati, invece, può rientrare nelle disposizioni ad alto rischio dell’AI Act e tocca questioni delicate quali l’equità e la protezione dei dati.
L’azienda stabilisce quindi quanto segue:
I dati dei candidati possono essere trattati solo in sistemi autorizzati.
Il modello non può prendere alcuna decisione definitiva in merito all’assunzione.
I criteri e i risultati devono essere documentati.
Il personale delle risorse umane verifica ogni raccomandazione.
Il sistema viene sottoposto a verifica per individuare eventuali discriminazioni.
I candidati ricevono le informazioni necessarie sull’utilizzo dell’IA.
Le modifiche apportate al modello comportano una nuova valutazione.
L’esempio dimostra che non è la tecnologia di per sé a determinare il rischio. Sono determinanti lo scopo, i dati, le ripercussioni e il grado di controllo umano.
Come può un’azienda mantenere la propria capacità operativa nonostante la governance dell’IA?
Spesso la governance fallisce a causa di un numero eccessivo di approvazioni manuali. L’obiettivo dovrebbe quindi essere la “Governance by Design”. In questo modo, i requisiti vengono integrati direttamente nei processi tecnici e organizzativi.
Un esempio: al momento dell’ordine di un nuovo servizio software, il flusso di lavoro degli acquisti verifica automaticamente se il prodotto contiene funzioni di IA. Se la risposta è affermativa, viene creata una voce nel registro dell’IA e ha inizio la verifica basata sul rischio. Il reparto competente non deve cercare un processo separato.
Allo stesso modo, i controlli possono essere integrati nelle piattaforme di sviluppo. Le mappe dei modelli, i risultati dei test e le approvazioni possono diventare parte integrante della pipeline di integrazione continua. In questo modo, la governance si integra nella routine lavorativa quotidiana, anziché essere percepita come un compito aggiuntivo a posteriori.
La governance dell’IA definisce linee guida affidabili
La governance dell’IA garantisce un utilizzo sicuro, etico e conforme alla legge dell’intelligenza artificiale. Va ben oltre una singola linea guida. Le aziende necessitano di un sistema coordinato che comprenda responsabilità, classificazione dei rischi, registro dell’IA, processi di approvazione, controlli tecnici e monitoraggio continuo.
L’AI Act dell’UE accelera la necessità di agire. Allo stesso tempo, la governance non dovrebbe essere intesa solo come un compito di conformità. Linee guida chiare accelerano le iniziative responsabili nell’ambito dell’IA, poiché i team conoscono i requisiti e i processi decisionali fin dall’inizio.
Inizia con un'analisi della situazione attuale, censisci i tuoi sistemi di IA e dai priorità ai casi d'uso ad alto impatto. Successivamente, sviluppa gradualmente il quadro di governance dell'IA. In questo modo la tua azienda manterrà la propria capacità operativa senza perdere di vista i rischi, la protezione dei dati o la responsabilità umana.
Non sai bene come e da dove iniziare con l’IA? Contattaci e metteremo i nostri esperti al tuo fianco! Grazie alla nostra esperienza maturata in numerose consulenze sull’IA, ti garantiamo un utilizzo conforme dell’IA!
FAQ: Domande frequenti sulla governance dell'IA
La governance dell'IA comprende tutte le regole, i ruoli e i controlli con cui un'azienda gestisce l'intelligenza artificiale. Tra le altre cose, stabilisce quali sistemi possono essere utilizzati, chi ne è responsabile e come vengono monitorati i rischi.
Non esiste un obbligo generale di introdurre un sistema denominato “governance dell’IA”. Tuttavia, la legge dell’UE sull’IA e altre normative richiedono numerose misure organizzative e tecniche. Un quadro di governance aiuta ad attuare tali requisiti in modo strutturato.
L'AI Act può riguardare fornitori, gestori, importatori e distributori di sistemi di intelligenza artificiale. Esso ha inoltre un effetto extraterritoriale. In determinate circostanze, pertanto, possono essere interessate anche le imprese al di fuori dell'UE.
Un registro dell'IA è un elenco centralizzato di tutti i sistemi e i casi d'uso dell'IA di un'azienda. Esso documenta, tra l'altro, lo scopo, i responsabili, i dati, i fornitori, la classe di rischio e lo stato di verifica.
La responsabilità generale ricade sulla direzione aziendale. L'attuazione operativa è tipicamente ripartita tra i reparti specialistici, l'IT, lo sviluppo dell'IA, la protezione dei dati, l'ufficio legale, la compliance, la sicurezza delle informazioni e la gestione dei rischi. Ogni caso d'uso dovrebbe avere un responsabile chiaramente designato.
Non necessariamente. Una piccola impresa può concentrare le responsabilità all’interno di un organo già esistente. Le organizzazioni più grandi o soggette a una forte regolamentazione traggono spesso vantaggio da un comitato di governance dell’IA trasversale, dotato di chiari poteri decisionali.
La conformità in materia di IA si concentra sul rispetto dei requisiti legali, contrattuali e interni. La governance dell'IA ha un ambito più ampio: comprende inoltre la strategia, le responsabilità, la gestione dei rischi, il controllo tecnico e il monitoraggio continuo.
La frequenza dipende dal livello di rischio. I sistemi ad alto rischio o soggetti a frequenti modifiche richiedono controlli più ravvicinati. Inoltre, è opportuno effettuare una nuova verifica qualora il modello, il fornitore, i dati, la finalità o i gruppi di utenti interessati subiscano modifiche sostanziali.
Dipende dallo strumento, dal contratto e dal tipo di dati. Le informazioni riservate o personali dovrebbero essere inserite solo in sistemi espressamente autorizzati. È necessario verificare preventivamente la protezione dei dati, la sicurezza, la posizione di archiviazione e il possibile utilizzo dei dati inseriti per l'addestramento del modello.
Il termine "Shadow AI" indica le applicazioni di intelligenza artificiale utilizzate dai dipendenti senza l'autorizzazione ufficiale o a insaputa degli organi competenti. Ciò può comportare fughe di dati, violazioni della conformità e dipendenze incontrollate dai fornitori.
La norma ISO/IEC 42001 per i sistemi di gestione dell’IA, la norma ISO/IEC 23894 per la gestione dei rischi legati all’IA e il quadro di riferimento NIST per la gestione dei rischi legati all’IA forniscono importanti indicazioni. Le aziende dovrebbero adattare questi approcci alla propria struttura organizzativa specifica e ai propri requisiti normativi.
Inizia con un'analisi della situazione attuale. Individua quali applicazioni di IA sono già in uso o in fase di pianificazione, chi ne è responsabile e quali dati trattano. Su questa base potrai stabilire le priorità dei rischi e mettere in atto strutture di governance adeguate.
