AI ACT: governare i fornitori AI prima che governino te

AI ACT: governare i fornitori AI prima che governino te

L’adeguamento all’AI Act viene ancora interpretato da molte organizzazioni come un’attività prevalentemente documentale: predisporre policy, aggiornare informative, creare procedure e costruire un impianto minimo di conformità.

Quando però il percorso entra nella fase operativa, emerge rapidamente una realtà più complessa. Il vero problema non consiste nella produzione di documenti, ma nella capacità concreta dell’organizzazione di governare i sistemi di intelligenza artificiale utilizzati ogni giorno.

Ed è proprio in questo momento che il tempo inizia a comprimersi.

Dalla conformità alla governance reale

Nella maggior parte dei casi le aziende non sviluppano internamente sistemi AI. Preferiscono acquistare piattaforme già pronte, integrare servizi cloud o utilizzare software SaaS che incorporano funzionalità di intelligenza artificiale.

Si tratta di una scelta perfettamente razionale. Non tutte le organizzazioni possiedono competenze, strutture o risorse per sviluppare modelli proprietari. Tuttavia, questa dipendenza tecnologica apre una delle aree più delicate dell’intero impianto di governance previsto dall’AI Act: il rapporto con il fornitore.

Quando un sistema AI entra nei processi aziendali, conoscere soltanto il risultato prodotto non basta più. L’organizzazione deve comprendere:

• quali dati alimentano il sistema;
• con quale frequenza il modello viene aggiornato;
• quali limiti dichiarano i fornitori;
• quali controlli tecnici e organizzativi esistono a monte.

Il rischio dell’asimmetria informativa

Molte aziende utilizzano strumenti che influenzano processi decisionali, classificazioni, valutazioni operative o generazione di contenuti senza avere una reale comprensione del loro funzionamento.

Il rischio più sottovalutato non coincide con il semplice errore tecnologico. Il problema più grave nasce dall’asimmetria informativa.

In pratica, l’organizzazione introduce il sistema nei propri processi prima ancora di sviluppare una reale capacità di analizzarne limiti, dipendenze e impatti. Di conseguenza, la possibilità di governare il rischio si riduce drasticamente.

L’AI Act cerca proprio di evitare questo scenario.

Il regolamento europeo non richiede soltanto documentazione o dichiarazioni formali di conformità. Chiede organizzazioni capaci di esercitare controllo reale sui sistemi AI utilizzati, anche quando tali sistemi vengono acquistati da soggetti terzi.

Il nuovo ruolo dei fornitori AI

Questa trasformazione modifica profondamente anche il ruolo dei contratti.

Le clausole standard sulla compliance non risultano più sufficienti. Le organizzazioni devono pretendere:

• accesso alla documentazione tecnica;
• trasparenza sui cicli di aggiornamento;
• informazioni sulla gestione delle anomalie;
• flussi comunicativi chiari in caso di incidenti;
• indicazioni precise sui dati trattati e sui livelli di supervisione disponibili.

In altre parole, il procurement non rappresenta più soltanto una funzione amministrativa o IT. Sta diventando una componente centrale della governance algoritmica.

AI, dati personali e GDPR

La questione diventa ancora più delicata quando i sistemi AI trattano dati personali o incidono su attività che coinvolgono dipendenti, clienti, utenti o soggetti vulnerabili.

In questi casi il dialogo con il Regolamento generale sulla protezione dei dati diventa inevitabile.

La protezione dei dati personali non si esaurisce nella semplice designazione dei ruoli o nella firma di clausole standard. Le organizzazioni devono comprendere concretamente:

• come i dati attraversano il sistema;
• dove vengono elaborati;
• quali soggetti possono accedervi;
• quali rischi emergono durante il trattamento.

Una nuova cultura tecnologica

Questa rappresenta una delle trasformazioni più interessanti che molte aziende stanno iniziando a percepire: l’intelligenza artificiale non cambia soltanto i processi operativi, ma modifica anche il modo in cui le organizzazioni leggono, valutano e acquistano tecnologia.

Fino a ieri bastava scegliere una soluzione efficiente.

Oggi diventa necessario comprenderla, interrogarla, governarla e, quando necessario, limitarla.

Perché nell’ecosistema dell’AI il rischio più grande non consiste nell’utilizzare una tecnologia avanzata.

Il vero rischio nasce dall’utilizzarla senza sapere davvero cosa si sta affidando ad essa.

AI in azienda?  Meglio documentarne l’utilizzo. Scopri come qui