AI Governance: governare rischi, processi e sistemi di intelligenza artificiale

Che cos'è l'AI Governance e perché riguarda la tua organizzazione

L'AI Governance è l'insieme di regole, ruoli, processi e controlli con cui un'organizzazione decide quali sistemi di intelligenza artificiale adottare, per quali scopi, con quali rischi accettabili e sotto la responsabilità di chi. Non è un documento di principi etici: è il modo in cui le decisioni sull'AI vengono prese, registrate e verificate nel tempo.

Riguarda qualsiasi azienda o ente che usa l'AI, anche solo tramite strumenti di terze parti come assistenti generativi, funzioni AI integrate nel CRM o nei gestionali, sistemi di screening dei curricula o chatbot verso i clienti. Senza governance, l'adozione avviene per iniziativa dei singoli reparti (la cosiddetta shadow AI) e i rischi su dati, decisioni e conformità restano invisibili al vertice.

Inventario e classificazione dei sistemi AI

Il primo passo è sapere cosa si usa. Costruiamo un registro dei sistemi AI che comprende soluzioni sviluppate internamente, servizi in cloud, funzioni AI incluse in software già acquistati e strumenti usati dal personale senza autorizzazione formale.

Per ogni sistema registriamo finalità, processo coinvolto, dati trattati, fornitore e modello, persone interessate dagli output e ruolo dell'organizzazione ai sensi dell'AI Act (provider o deployer). Su questa base classifichiamo il livello di rischio normativo e la criticità per il business.

• Censimento tramite interviste, analisi dei contratti e dei log di accesso
• Scheda per sistema: finalità, dati, fornitore, utenti, output
• Classificazione del rischio secondo l'AI Act
• Valutazione di criticità per processi e persone

Rischi, responsabilità e ruoli

Ogni sistema AI deve avere un responsabile identificato (AI owner) che ne risponde per finalità, prestazioni e rischi. Definiamo con il management chi approva l'introduzione di nuovi sistemi, chi valuta i rischi, chi esercita la supervisione sugli output e chi interviene quando qualcosa non funziona.

Nelle organizzazioni più strutturate il modello prevede un comitato AI con funzioni legali, privacy, sicurezza, IT e business; nelle PMI le stesse responsabilità vengono assegnate a poche persone con deleghe chiare. In entrambi i casi il vertice riceve un reporting periodico sul portafoglio AI e sui rischi aperti.

• Matrice delle responsabilità (RACI) per ciclo di vita dei sistemi
• Procedura di approvazione dei nuovi casi d'uso
• Policy aziendale sull'uso dell'AI generativa
• Reporting periodico al vertice

Governance dei dati, supervisione umana e tracciabilità

La qualità di un sistema AI dipende dai dati con cui è addestrato, configurato o alimentato. Verifichiamo provenienza, base giuridica, qualità e rappresentatività dei dati, e quali informazioni aziendali o personali il sistema può leggere o restituire.

La supervisione umana è efficace solo se chi la esercita ha tempo, informazioni e autorità per intervenire. Progettiamo i punti di controllo nei processi in cui l'AI incide su persone, clienti o denaro, e la tracciabilità necessaria a ricostruire a posteriori quale output è stato prodotto, su quali dati e con quale decisione umana.

• Mappatura dei flussi di dati verso e dai modelli
• Regole su dati personali e informazioni riservate
• Punti di supervisione umana con potere di intervento
• Log e registrazioni per audit e indagini

Valutazione dei rischi tecnici, organizzativi e normativi

L'AI risk assessment valuta tre famiglie di rischio. Tecnici: errori e allucinazioni, degrado delle prestazioni, vulnerabilità come prompt injection o fuga di dati. Organizzativi: dipendenza da un fornitore, competenze insufficienti, processi che si affidano agli output senza verifica. Normativi: obblighi dell'AI Act, del GDPR e delle normative di settore.

Come riferimento metodologico usiamo il NIST AI Risk Management Framework, con le sue funzioni Govern, Map, Measure e Manage, e le linee guida ISO/IEC 23894 sulla gestione del rischio AI. Ogni rischio viene stimato, assegnato a un responsabile e collegato a misure di trattamento verificabili.

• Registro dei rischi AI con probabilità, impatto e owner
• Piano di trattamento con misure e scadenze
• Criteri di accettazione del rischio approvati dal vertice
• Riesame periodico e dopo ogni cambiamento rilevante

AI Governance, GDPR, cybersecurity e sistemi di gestione

L'AI Governance funziona meglio quando si appoggia a ciò che l'organizzazione ha già. La valutazione d'impatto privacy (DPIA) prevista dal GDPR e la valutazione d'impatto sui diritti fondamentali prevista dall'AI Act per alcuni deployer condividono gran parte delle informazioni. Le misure di sicurezza richieste da NIS2 e ISO/IEC 27001 si estendono ai sistemi AI. Il sistema di gestione ISO/IEC 42001 fornisce la struttura per rendere stabile e certificabile la governance.

Come lavoriamo: assessment, roadmap e accompagnamento

Il servizio parte da un assessment di AI Governance e prosegue, se richiesto, con l'accompagnamento nell'attuazione. Le attività sono modulari e calibrate su dimensioni e maturità dell'organizzazione.

• 1. Call iniziale per definire perimetro e obiettivi
• 2. Inventario dei sistemi AI e raccolta delle informazioni
• 3. Classificazione normativa e valutazione dei rischi
• 4. Gap analysis rispetto ad AI Act, GDPR e ISO/IEC 42001
• 5. Restituzione dei risultati al management
• 6. Roadmap con priorità, responsabili e misure
• 7. Su richiesta: policy, procedure e formazione
• 8. Su richiesta: riesame periodico del portafoglio AI

Cosa ricevi al termine dell'assessment

I deliverable sono documenti di lavoro pensati per essere usati dall'organizzazione, aggiornati nel tempo ed esibiti in caso di audit o richiesta delle autorità.

• Registro dei sistemi AI con schede di dettaglio
• Classificazione e mappa degli obblighi applicabili
• Registro dei rischi e piano di trattamento
• Gap report e roadmap di adeguamento
• Bozza della policy aziendale sull'uso dell'AI
• Sintesi per il vertice con le decisioni da prendere