La conformità all’AI Act non è soltanto un adempimento normativo: richiede di conoscere i sistemi AI utilizzati, valutarne i rischi e integrarli nei processi di governance aziendale.
Un collaboratore utilizza un assistente generativo. Il CRM introduce nuove funzionalità basate sull’AI. Un servizio cloud già in uso attiva strumenti di analisi automatica. Una funzione aziendale acquista autonomamente un’applicazione AI.
Situazioni di questo tipo sono ormai comuni e pongono una domanda concreta:
Sappiamo davvero quali sistemi di Intelligenza Artificiale vengono utilizzati nella nostra organizzazione, per quali finalità e con quali rischi?
È da qui che dovrebbe partire un percorso di AI Governance.
Con buona parte delle disposizioni dell’AI Act ormai applicabili, il tema per le aziende non è più soltanto comprendere gli obblighi normativi, ma costruire un modello che consenta di governare nel tempo l’utilizzo dell’Intelligenza Artificiale.
L’AI Act riguarda anche le aziende che utilizzano sistemi AI
L’AI Act non riguarda soltanto chi sviluppa modelli o produce soluzioni di Intelligenza Artificiale.
Le organizzazioni che utilizzano sistemi AI possono assumere specifiche responsabilità in funzione del ruolo ricoperto, del sistema utilizzato e del relativo scenario di impiego.
Il tema riguarda quindi anche aziende che utilizzano:
- assistenti generativi e Copilot;
- strumenti di analisi documentale;
- funzionalità AI integrate in ERP e CRM;
- chatbot;
- sistemi di scoring o supporto decisionale;
- piattaforme SaaS con funzionalità AI incorporate.
La domanda da porsi non è quindi soltanto “sviluppiamo sistemi AI?”, ma soprattutto “dove e come utilizziamo l’AI?”.
Shadow AI: il primo problema è sapere quali AI utilizziamo
Molte organizzazioni potrebbero utilizzare più Intelligenza Artificiale di quanto credano.
L’AI può infatti entrare in azienda attraverso software acquistati formalmente dall’IT, nuove funzionalità introdotte dai provider SaaS, iniziative autonome delle business unit o strumenti generativi utilizzati direttamente dai collaboratori.
È un’evoluzione dello shadow IT che possiamo definire Shadow AI.
Per questo una delle prime attività da realizzare è la mappatura dei sistemi AI presenti nell’organizzazione.
Non serve necessariamente creare un nuovo processo indipendente. È possibile partire dagli strumenti già disponibili: inventari applicativi, registri dei fornitori, processi di procurement, CMDB, registri dei trattamenti o piattaforme GRC.
Per ogni utilizzo dovrebbe essere possibile ricostruire almeno:
Sistema AI → processo → dati → decisione supportata → rischio → controllo
La mappatura consente così di passare da un semplice elenco di tecnologie a una vera comprensione del rischio.
Dalla mappatura all’AI Risk Assessment
Una volta individuati i sistemi AI, occorre valutarne il rischio.
Non tutte le applicazioni richiedono infatti lo stesso livello di controllo.
Un assistente generativo utilizzato per migliorare il testo di una presentazione e un sistema che supporta decisioni sul credito presentano profili di rischio profondamente differenti.
Un AI Risk Assessment dovrebbe quindi considerare elementi quali:
- finalità e processo interessato;
- dati utilizzati;
- impatto delle decisioni supportate;
- livello di autonomia del sistema;
- affidabilità delle informazioni prodotte;
- dipendenza da fornitori esterni;
- cybersecurity;
- supervisione umana.
Le organizzazioni che dispongono già di processi strutturati di Risk Management possono partire dai propri framework, integrandoli con criteri specifici per l’AI.
AI Governance: cinque priorità operative
Per costruire una governance efficace non è necessario creare immediatamente nuove strutture organizzative. È più utile partire da cinque attività concrete.
1. Mappare gli utilizzi dell’AI
Costruire e mantenere un inventario dei sistemi e degli scenari di utilizzo dell’AI, coinvolgendo IT, funzioni di business, Risk Management, Compliance, Data Protection e Procurement.
2. Valutare i rischi
Applicare criteri proporzionati per distinguere gli utilizzi a basso impatto da quelli che possono influire su processi, persone, dati o decisioni rilevanti.
3. Definire ruoli e responsabilità
Stabilire chi può autorizzare nuovi utilizzi, chi valuta i rischi, chi controlla i fornitori e chi deve intervenire in caso di problemi.
4. Integrare i controlli esistenti
Privacy, cybersecurity, gestione dei fornitori, incident management, business continuity e change management contengono già molti dei controlli necessari anche per l’AI.
L’obiettivo dovrebbe essere integrarli, non creare un nuovo silo.
5. Formare e monitorare
Policy e controlli devono essere accompagnati da formazione e AI literacy, tenendo conto delle diverse responsabilità di utilizzatori, sviluppatori, manager e funzioni di controllo.
La governance deve inoltre prevedere un monitoraggio continuo dei nuovi sistemi e delle nuove funzionalità AI introdotte in azienda.
AI Act, GDPR, NIS2 e DORA: integrare i rischi invece di creare nuovi silos
Uno stesso sistema AI può generare contemporaneamente rischi diversi.
Un servizio cloud che utilizza AI per analizzare documenti aziendali può avere implicazioni relative a:
- AI Act, per caratteristiche e modalità di utilizzo del sistema;
- GDPR, se tratta dati personali;
- cybersecurity e NIS2, per sicurezza, accessi e supply chain;
- DORA, per le organizzazioni finanziarie interessate dalla gestione del rischio ICT e delle terze parti;
- Vendor Management, quando tecnologia e dati dipendono da fornitori esterni.
Il sistema è lo stesso. Cambiano le prospettive dalle quali viene valutato.
Per questo l’AI Governance dovrebbe essere integrata nei processi di controllo già esistenti, evitando duplicazioni e nuovi silos organizzativi.
ISO/IEC 42001: un riferimento per strutturare la governance
Un riferimento utile è la ISO/IEC 42001, lo standard internazionale dedicato ai sistemi di gestione dell’Intelligenza Artificiale.
Lo standard propone un approccio strutturato basato su responsabilità, gestione dei rischi, controlli, monitoraggio e miglioramento continuo.
Non rappresenta un requisito obbligatorio dell’AI Act, ma può fornire un modello utile soprattutto alle organizzazioni che già adottano sistemi di gestione come ISO 27001, ISO 22301 o ISO 9001.
Dalla compliance all’AI Risk Management
L’obiettivo non dovrebbe essere semplicemente completare un assessment e dichiarare la conformità all’AI Act.
Nuovi strumenti entreranno continuamente in azienda e funzionalità oggi sperimentali diventeranno parte dei processi quotidiani.
L’AI deve quindi diventare un nuovo dominio del Risk Management aziendale.
Una governance efficace permette di conoscere gli utilizzi dell’AI, attribuire responsabilità, valutare i rischi prima di introdurre nuovi sistemi e applicare controlli proporzionati.
La compliance AI Act diventa così il risultato di una buona AI Governance, non il suo punto di partenza.
FAQ su AI Act e AI Governance
Cos’è l’AI Governance?
L’AI Governance è l’insieme di ruoli, responsabilità, processi e controlli utilizzati da un’organizzazione per governare l’adozione e l’utilizzo dell’Intelligenza Artificiale.
Comprende la mappatura dei sistemi AI, la valutazione dei rischi, le regole di utilizzo, il monitoraggio e la formazione delle persone.
L’AI Act riguarda anche le aziende che utilizzano sistemi AI?
Sì. L’AI Act non riguarda soltanto chi sviluppa o commercializza sistemi di Intelligenza Artificiale.
Anche le organizzazioni che li utilizzano possono avere responsabilità specifiche, in funzione del proprio ruolo, delle caratteristiche del sistema e dello scenario di utilizzo.
Da dove dovrebbe partire un’azienda per adeguarsi all’AI Act?
Un buon punto di partenza è identificare quali sistemi e funzionalità AI vengono già utilizzati, all’interno di quali processi e con quali finalità.
La mappatura permette successivamente di valutare i rischi, attribuire le responsabilità e individuare i controlli necessari.
Che cos’è la Shadow AI?
Con Shadow AI si indica l’utilizzo di sistemi o funzionalità di Intelligenza Artificiale che non sono completamente conosciuti o governati dall’organizzazione.
Può riguardare strumenti utilizzati autonomamente dai dipendenti, applicazioni acquistate dalle business unit o nuove funzionalità AI introdotte all’interno di software e servizi SaaS già in uso.
AI Governance e AI Risk Management sono la stessa cosa?
Sono strettamente collegati, ma non coincidono.
L’AI Risk Management riguarda principalmente l’identificazione, la valutazione e il trattamento dei rischi derivanti dall’AI.
L’AI Governance ha un perimetro più ampio e comprende anche responsabilità, processi decisionali, policy, controlli, formazione e monitoraggio.
È necessario creare nuovi processi dedicati esclusivamente all’AI?
Non necessariamente.
Molti controlli necessari per governare l’AI possono essere integrati nei processi già esistenti di Risk Management, Compliance, Data Protection, Cybersecurity, Vendor Management e Business Continuity.
L’obiettivo dovrebbe essere evitare nuovi silos e costruire un modello di governance integrato.
Come può supportarti Augeos
Augeos supporta le organizzazioni nella costruzione di percorsi di AI Governance proporzionati al proprio contesto, dalla mappatura dei sistemi AI all’AI Risk Assessment, fino alla definizione di ruoli, policy, procedure e controlli.
L’approccio consente di integrare la gestione dell’Intelligenza Artificiale con i processi già esistenti di Risk Management, GDPR, NIS2, DORA, cybersecurity e gestione dei fornitori.
Se vuoi comprendere quali sistemi AI sono già presenti nella tua organizzazione e quali priorità affrontare, possiamo partire da un assessment iniziale e costruire insieme un percorso di AI Governance sostenibile.
Post Correlati
