Governare l’intelligenza artificiale in azienda, prima che ogni funzione decida da sola

Dipende. Il fatto di utilizzare uno strumento di uso generale non determina da solo quali obblighi si applichino: contano il modo in cui viene usato, la finalità, il ruolo dell’organizzazione e il contesto. Anche quando gli obblighi specifici sono limitati, l’uso di questi strumenti in azienda pone comunque questioni pratiche (quali dati si inseriscono, chi verifica gli output, quali strumenti sono ammessi) che una governance proporzionata può risolvere. Che cosa valga nel caso concreto va verificato sull’uso effettivo.

Non esiste una regola generale che imponga a ogni impresa di adottare una AI Policy. Può però essere un presidio organizzativo molto utile quando più persone utilizzano strumenti AI: definisce gli strumenti ammessi, i dati che si possono inserire, le responsabilità e le verifiche sugli output. Contenuto e livello di dettaglio vanno proporzionati all’uso reale dell’AI in azienda, e la policy funziona se è inserita in un processo, non se resta un documento isolato.

Non esiste un obbligo generale, valido per ogni PMI, di tenere un registro degli strumenti AI. Per determinati sistemi e ruoli possono però esserci obblighi specifici di documentazione e conservazione di informazioni. In ogni caso, censire strumenti e casi d’uso è spesso il presupposto pratico di una governance efficace: senza sapere che cosa si usa non è possibile qualificarlo né regolarlo.

Significa adottare misure, proporzionate, a supporto dello sviluppo delle competenze delle persone che utilizzano sistemi AI per conto dell’organizzazione, tenendo conto di ruolo, contesto d’uso e conoscenze di partenza. Non esiste un corso standard obbligatorio: la formazione può essere uno degli strumenti, insieme a regole operative chiare e a indicazioni sui limiti e sui rischi degli strumenti. Poiché il quadro normativo è stato oggetto di modifiche recenti, conviene verificarlo sul testo vigente.

Dipende dal rapporto concreto con il sistema e dalle attività svolte. In linea generale, chi utilizza sotto la propria responsabilità un sistema sviluppato da altri è un deployer; ma sviluppare o far sviluppare un sistema per metterlo a disposizione, modificarlo in modo rilevante o integrarlo in un prodotto proprio può comportare un ruolo diverso. Per questo il ruolo non va presupposto: si valuta caso per caso.

Si parte da un sistema concreto: finalità, contesto d’uso, dati coinvolti, ruolo dell’organizzazione e fornitore. Su queste basi si può stabilire come il sistema viene qualificato e quali verifiche siano davvero necessarie. Lo Studio ha sviluppato AI Risk Overview proprio per questo primo inquadramento: è un servizio preliminare, con esito revisionato dal professionista, che indica anche quando serve un approfondimento ulteriore. Non è una certificazione e non sostituisce un audit.

Quando un sistema AI tratta dati personali le due discipline si applicano in parallelo e vanno coordinate: ruoli, basi giuridiche, informative, contratti con i fornitori, valutazioni d’impatto. Non si sostituiscono a vicenda. Gli aspetti privacy sono trattati nella pagina dedicata a Privacy & Data Protection.

Almeno: che cosa fa il sistema e per quale finalità; quali dati dell’azienda o di terzi vi verranno inseriti; quale ruolo assumerà l’organizzazione; chi è il fornitore e quali informazioni e garanzie contrattuali mette a disposizione; condizioni d’uso, trattamento degli output ed eventuale uso dei dati per addestrare il sistema; il contesto di impiego e il livello di attenzione che richiede. Farlo prima dell’acquisto, quando le condizioni sono ancora negoziabili, è più semplice che correggere dopo.