Le aziende rispondono spesso all'arrivo dell'IA con una carta di poche pagine: non condividere dati riservati, verificare i risultati e rispettare la legge. Queste regole sono necessarie, ma non permettono di sapere quali sistemi vengono utilizzati, chi decide, quali versioni sono in produzione né se i rischi sono realmente monitorati.
Al contrario, un programma troppo pesante spinge le squadre a aggirare il processo. La governance deve quindi essere proporzionata: leggera per un assistente alla scrittura senza dati sensibili, esigente per un agente connesso al sistema informativo o una decisione che riguarda delle persone.
La governance deve essere adattata al contesto dell'organizzazione e avvicinata ai suoi obblighi legali, contrattuali, settoriali e di sicurezza.
La governance non è un comitato
Un comitato può arbitrale, ma non costituisce da solo un sistema di gestione. Una governance operativa risponde costantemente a sei domande:
- quali sistemi esistono;
- chi ne è responsabile;
- quali usi sono permessi;
- quali prove sostengono la decisione;
- quali cambiamenti sono avvenuti;
- quando bisogna rivalutare o fermarsi.
Si integra nei processi già presenti: acquisto, sicurezza, protezione dei dati, architettura, sviluppo, controllo interno, risorse umane e gestione degli incidenti.
Definire un perimetro chiaro
Il termine « sistema di IA » deve essere tradotto nel linguaggio dell’azienda. Il registro può includere:
- modelli sviluppati internamente;
- API esterne;
- funzioni IA di un SaaS;
- RAG documentari ;
- agenti e automazioni;
- strumenti per la generazione di contenuti;
- assistenti allo sviluppo ;
- modelli incorporati ;
- sperimentazioni utilizzando dati reali.
Un semplice motore di regole non ha necessariamente bisogno dello stesso circuito. L’obiettivo non è gonfiare artificialmente il registro, ma coprire i sistemi il cui comportamento, i dati o l’autonomia creano un rischio particolare.
Scrivere una politica che aiuti a decidere
Una politica utile si basa su alcuni principi comprensibili, completati da procedure. Essa precisa:
- gli usi liberamente autorizzati;
- gli strumenti approvati;
- i dati vietati o condizionati;
- gli usi che richiedono una revisione;
- le decisioni che restano umane;
- le regole di trasparenza;
- la proprietà dei contenuti e del codice;
- i requisiti di sicurezza;
- la segnalazione di errori e incidenti;
- le sanzioni o misure in caso di elusione volontaria.
Gli esempi concreti sono più utili di una formula generale. «Non inviare dati personali» è spesso impraticabile. È meglio distinguere dati pubblici, interni, riservati, segreti, dati personali comuni e dati sensibili, quindi associare a ciascun livello gli ambienti autorizzati.
Il registro minimo vitale
Il registro inizia con un numero limitato di campi obbligatori:
- identificativo e nome;
- descrizione della finalità;
- proprietario del mestiere;
- proprietario tecnico ;
- stato del ciclo di vita;
- utenti e persone interessate;
- fornitore, modello e versione;
- dati utilizzati;
- sistemi connessi;
- livello di autonomia;
- rischi principali;
- valutazioni disponibili ;
- decisione e condizioni;
- data della prossima revisione.
Deve accettare l'incertezza. Un valore « versione sconosciuta » è preferibile a un campo vuoto, perché provoca un'azione. La qualità del registro si misura dalla sua capacità di rivelare gli sconosciuti e non dal suo aspetto perfetto.
Modello di dati di un registro IA che collega casi d'uso, responsabili, versioni, dati, valutazioni, decisioni e incidenti.
Classificare gli usi per livello di controllo
Una classificazione interna semplice facilita la proporzionalità.
Livello 1: assistenza senza dati sensibili
Redazione, traduzione o ideazione a partire da contenuti pubblici, senza decisione significativa. Controlli: strumento approvato, formazione, revisione umana e regole di proprietà.
Livello 2: dati interni o raccomandazione professionale
Riepilogo di documenti interni, supporto all’analisi o ricerca aumentata. Controlli aggiuntivi: contratto, accesso, conservazione, valutazione, fonti e monitoraggio degli errori.
Livello 3: azione o impatto significativo
Agente connesso, automazione di un processo, raccomandazione che influenza una persona o utilizzo di dati sensibili. Controlli rafforzati: analisi dell'impatto, sicurezza, approvazione, supervisione, registrazioni, rimedi, test avversi e piano d'incidente.
Livello 4: uso vietato, regolamentato o critico
Il progetto è bloccato fino alla qualificazione da parte dei ruoli competenti e all'implementazione dei requisiti specifici.
Questa scala interna non sostituisce le classificazioni legali. Serve a orientare il processo.
Mettere in atto delle porte di decisione
Il ciclo di vita comprende almeno quattro passaggi.
Idea verso sperimentazione
Verificare finalità, proprietario, strumento, dati autorizzati e ambiente isolato. Un POC non deve ricevere automaticamente gli accessi di produzione.
Sperimentazione verso pilota
Richiedere un set di valutazione, i risultati, un'analisi degli errori, la mappatura dei dati, i costi e una prima revisione sicurezza/GDPR.
Pilota verso produzione
Convalidare soglie, monitoraggio, responsabilità, supporto, contratto, ripresa, documentazione utente, supervisione umana e piano di ritiro.
Produzione verso un cambiamento importante
Una nuova versione del modello, un nuovo strumento, un'altra popolazione o un diritto di scrittura aggiuntivo innesca una rivalutazione mirata.
Ogni porta produce una decisione datata: approvato, approvato con condizioni, rifiutato o informazioni aggiuntive.
Distribuire le responsabilità
Il proprietario del business è responsabile della finalità, dell’uso e dei risultati attesi. Il proprietario tecnico è responsabile dell’architettura, delle versioni, delle integrazioni e dell’esercizio. Il DPO, la sicurezza, il legale e il controllo interno intervengono a seconda del rischio.
Il comitato IA non deve esaminare ogni prompt. Arbitra i casi complessi, definisce i livelli, segue gli incidenti e decide sulle eccezioni. I casi standard seguono un percorso automatizzato o delegato.
Un tipo di RACI specifica chi:
- propone ;
- valuta ;
- approva ;
- dispiegare;
- sorveglia ;
- informa le persone;
- gestisce gli incidenti;
- decide il ritiro.
Organizzare le prove
Ogni voce del registro punta ai documenti, non a una semplice casella « conforme ». Le prove comprendono:
- scheda del fornitore ;
- contratto e subappaltatori;
- architettura e flusso;
- analisi AI Act/GDPR/sicurezza ;
- gioco di valutazione;
- rapporto dei risultati;
- modello di supervisione;
- avvisi e percorsi;
- decisioni;
- incidenti ;
- cronologia delle versioni.
L'organizzazione può ispirarsi alla ISO/IEC 42001 per strutturare leadership, rischi, ciclo di vita, misurazione e miglioramento continuo, senza pretendere di essere certificata se non lo è.
Governare i cambiamenti
Un sistema di IA evolve talvolta senza distribuzione di codice: il fornitore sostituisce un modello, modifica un filtro, aumenta una finestra di contesto o aggiunge una memoria. Il contratto e la supervisione devono permettere di rilevare questi cambiamenti.
Definire gli eventi che innescano una revisione:
- nuova versione;
- nuovo dato;
- nuova popolazione ;
- nuova azione;
- calo di qualità;
- incidente ;
- evoluzione normativa ;
- fine del supporto ;
- cambio di subappaltatore.
Un giornale collega l'evento alla decisione e ai test effettuati.
Misurare la governance
Gli indicatori utili non sono il numero di riunioni o di pagine prodotte. Seguire piuttosto:
- percentuale di sistemi con proprietario;
- proporzione di versioni conosciute;
- copertura delle valutazioni;
- tempi di elaborazione delle richieste;
- numero di eccezioni scadute;
- incidenti per livello ;
- sistemi senza revisione recente;
- azioni di rimedio in ritardo;
- usi rilevati fuori registro;
- tempo di ritiro o di rollback.
Queste metriche rivelano la reale capacità di controllare il portafoglio.
Gestire le eccezioni senza creare una porta di accesso
Un'eccezione contiene una giustificazione, un perimetro, un proprietario, misure compensative e una data di scadenza. Non si rinnova automaticamente.
Ad esempio, un test limitato può utilizzare un fornitore non standard con dati sintetici, un ambiente separato e una cancellazione verificata. L'eccezione non consente il passaggio silenzioso in produzione.
Collegare governance ed esperienza utente
La governance si concretizza nel prodotto: messaggi di trasparenza, fonti, possibilità di correggere, consensi se necessari, controllo umano, storico e ricorso. Non è solo un lavoro di back-office.
I feedback degli utenti alimentano il registro: errori ricorrenti, incomprensioni, bias, abbandono o aggiramenti. Un sistema « conforme sulla carta » ma inutilizzabile crea i propri rischi.
Iniziare in piccolo, ma con un modello scalabile
Un'azienda può iniziare in sei settimane:
- nominare un responsabile;
- inventariare i venti usi più visibili ;
- adottare tre o quattro livelli di controllo;
- definire le porte di decisione;
- creare una scheda registro versionata;
- trattare i cinque rischi prioritari;
- integrare l'acquisto e la sicurezza ;
- pubblicare una politica semplice;
- formare le squadre;
- misurare e regolare.
Partitech può progettare il registro, automatizzare i flussi di lavoro, collegare le prove e integrare i controlli nel ciclo di sviluppo. Una buona governance non impedisce l'esperimento: permette di sapere dove si sperimenta, con quali limiti e chi è responsabile del seguito.
Parliamo del tuo progetto
Progettare un sistema di governance IA proporzionato e integrato nei vostri processi con Partitech. Contatta Partitech.