L’Intelligenza Artificiale è già entrata nelle organizzazioni.
ChatGPT, Copilot e numerosi strumenti integrati nei software aziendali vengono utilizzati ogni giorno per cercare informazioni, analizzare documenti, generare contenuti, elaborare dati e supportare attività operative.
Ma mentre l’utilizzo dell’AI cresce, cresce anche una domanda fondamentale: chi governa il modo in cui l’Intelligenza Artificiale viene utilizzata all’interno dell’organizzazione?
È proprio su questo tema che interviene l’AI Act, il Regolamento europeo sull’Intelligenza Artificiale, che introduce un quadro comune per lo sviluppo, l’immissione sul mercato e l’utilizzo dei sistemi di AI nell’Unione Europea.
L’obiettivo non è semplicemente regolamentare una tecnologia. È fare in modo che l’Intelligenza Artificiale venga utilizzata secondo criteri di sicurezza, trasparenza, responsabilità e tutela dei diritti fondamentali.
L’AI Act riguarda anche chi utilizza l’Intelligenza Artificiale
Uno degli aspetti importanti da comprendere è che l’AI Act non interessa soltanto chi sviluppa sistemi di Intelligenza Artificiale.
Il Regolamento distingue infatti diversi soggetti coinvolti nella catena del valore dell’AI, attribuendo obblighi differenti in funzione del ruolo ricoperto.
Tra questi troviamo anche i deployer, cioè i soggetti che utilizzano un sistema di AI sotto la propria autorità, salvo l’utilizzo nell’ambito di attività personali non professionali.
Per un’organizzazione, quindi, la prima domanda non dovrebbe essere soltanto:
“Utilizziamo l’Intelligenza Artificiale?”
ma anche:
“Quali sistemi di AI utilizziamo, per quali attività e con quali responsabilità?”
Ed è qui che il tema normativo incontra direttamente quello dei Sistemi di Gestione.
Non tutti i sistemi di AI presentano lo stesso livello di rischio
Uno dei principi centrali dell’AI Act è l’approccio basato sul rischio.
Il Regolamento prevede infatti requisiti differenti in funzione delle caratteristiche e degli utilizzi dei sistemi di Intelligenza Artificiale.
Alcune pratiche sono vietate, mentre determinati sistemi vengono classificati come ad alto rischio e sono sottoposti a requisiti specifici. Per altri sistemi sono previsti obblighi di trasparenza, mentre molte applicazioni dell’AI non rientrano nelle categorie sottoposte agli obblighi più stringenti.
Questo significa che non è sufficiente creare una generica “policy sull’Intelligenza Artificiale”.
Occorre prima comprendere dove e come l’AI viene utilizzata.
Il primo passo: conoscere l’AI presente nell’organizzazione
Pensiamo a una situazione ormai piuttosto comune.
Il reparto Marketing utilizza strumenti di AI generativa per creare contenuti.
Le Risorse Umane utilizzano funzionalità AI integrate in una piattaforma.
L’ufficio tecnico utilizza un assistente per analizzare documentazione.
Il personale utilizza ChatGPT o altri strumenti per sintetizzare documenti, elaborare dati o predisporre comunicazioni.
Nel frattempo, alcuni software aziendali iniziano a introdurre funzionalità basate sull’Intelligenza Artificiale.
L’organizzazione potrebbe quindi utilizzare molti più sistemi AI di quanto formalmente conosca.
Per questo una governance efficace può partire da un vero e proprio censimento degli utilizzi dell’AI.
Per ogni sistema diventa utile identificare almeno:
Sistema AI → Scopo → Utilizzatori → Dati utilizzati → Processo coinvolto → Responsabilità → Rischio → Controlli
In questo modo l’AI smette di essere semplicemente uno “strumento utilizzato dalle persone” e diventa un elemento governato dell’organizzazione.
AI literacy: non basta introdurre una policy
Un altro elemento significativo introdotto dall’AI Act riguarda l’AI literacy.
Provider e deployer devono adottare misure per garantire, per quanto possibile, un livello sufficiente di alfabetizzazione in materia di AI del personale e delle altre persone che utilizzano sistemi AI per loro conto, tenendo conto delle conoscenze tecniche, dell’esperienza, della formazione e del contesto nel quale tali sistemi vengono utilizzati.
Questo porta il tema oltre la semplice formazione sull’utilizzo di uno strumento.
Le persone dovrebbero comprendere almeno cosa può fare il sistema, quali sono i suoi limiti, quali rischi possono derivare dal suo utilizzo e quando è necessario l'intervento umano.
Sapere utilizzare un prompt non significa necessariamente sapere utilizzare responsabilmente l’Intelligenza Artificiale.
La supervisione umana rimane centrale
Questo principio diventa ancora più importante quando l’AI viene integrata nei processi aziendali.
Un sistema può analizzare informazioni, proporre una classificazione, individuare anomalie, predisporre una registrazione oppure suggerire un'azione.
Ma supportare una decisione non significa necessariamente sostituire chi ne ha la responsabilità.
Pensiamo a un sistema AI utilizzato per supportare:
- l'analisi di una Non Conformità;
- la valutazione di un rischio;
- l'interpretazione di un requisito;
- la predisposizione del Riesame della Direzione;
- l'analisi di documenti e procedure;
- la gestione di prescrizioni e adempimenti.
In questi casi è fondamentale stabilire cosa può fare l'AI e cosa deve rimanere sotto il controllo della persona.
Il principio può essere sintetizzato così: l’AI supporta il processo. La responsabilità rimane alle persone.
Scopri come possiamo aiutarti a introdurre l'AI in azienda.