La maggior parte delle organizzazioni dispone ormai di una politica AI. Spesso è scritta bene, giuridicamente solida e completa. E spesso non viene letta, oppure viene letta il giorno in cui viene approvata e poi mai più. Non è una questione di malafede. È una questione di posizione nel processo.
I collaboratori che lavorano con l'AI hanno già un processo: il lavoro stesso. Una politica AI che si affianca a quel lavoro, come documento separato da consultare, entra in concorrenza con il tempo che qualcuno già non ha. Chi deve scrivere un testo, analizzare un dataset o rispondere a una domanda di un cliente, non consulta prima la politica. Usa lo strumento che funziona, e ci pensa solo quando qualcuno glielo chiede.
La conseguenza è prevedibile. Si crea una prassi che si discosta dal documento, senza che nessuno lo faccia in malafede. Nessuno ha ignorato la politica per cattiva volontà; semplicemente non si adattava al momento in cui veniva fatta la scelta. Una politica che vuole essere letta non deve quindi affiancare il lavoro, ma esservi integrata. Ciò significa che dà risposta alle domande che già si presentano — quale strumento è ammesso qui, chi è responsabile se qualcosa va storto, cosa succede con l'output — nel momento in cui quella domanda si presenta, non tre capitoli più avanti in un pdf.
Una politica AI che funziona nella pratica contiene, in sostanza, alcuni elementi riconoscibili. Primo, una classificazione per rischio: non ogni applicazione dell'AI richiede la stessa attenzione, e un documento che mette tutto sullo stesso piano non viene applicato seriamente da nessuno. Secondo, una risposta chiara alla domanda su chi decide quando un caso non rientra nella classificazione — questo va inserito in un elenco di decisioni di oversight che stabilisce chi si occupa di cosa, invece che in una nota a piè di pagina che nessuno ritrova.
Terzo, un percorso per quello che succede se qualcosa va storto o è dubbio: i percorsi di escalation che funzionano descrivono chi si chiama, non chi in teoria si dovrebbe informare. Una politica senza un'escalation funzionante è una politica che viene letta solo dopo l'incidente, e a quel punto è troppo tardi per correggere qualcosa.
Quarto, una forma di monitoraggio che non si ferma all'approvazione. Una politica scritta una volta e poi mai più verificata invecchia più rapidamente della prassi che dovrebbe disciplinare. Il monitoraggio che produce risultati non è un onere di rendicontazione in più, ma il meccanismo con cui la politica resta in linea con quello che accade realmente.
Un equivoco frequente è che la politica AI abbia bisogno di un nuovo quadro di governance. Nella maggior parte dei casi non è così. La maggior parte delle organizzazioni ha già una struttura di rischio — per la privacy, per i rischi finanziari, per la continuità operativa. Il rischio AI vi si inserisce nella maggior parte dei casi, come categoria aggiuntiva o domanda aggiuntiva all'interno delle linee decisionali esistenti, non come circuito separato con proprie riunioni e proprie linee di rendicontazione. Integrarsi nella struttura di rischio esistente è proprio per questo motivo spesso più efficace che costruire un nuovo quadro: le persone conoscono già il processo e non devono imparare dove si trova il nuovo documento.
Quell'integrazione è anche il punto dove, nella pratica, le cose si bloccano oppure riescono. Una politica che sulla carta si integra bene ma nella pratica resta un documento isolato viene ugualmente ignorata. La domanda non è solo cosa c'è scritto nel documento, ma come è inserito in quello che le persone già fanno — strutture di riunione, flussi di approvazione, momenti di rendicontazione che esistevano già prima che l'AI diventasse un tema. Come questo si presenta nella pratica dipende da come l'organizzazione già lavora, e su questo si approfondisce quanto descritto su come una politica di questo tipo si integra in quello che già esiste.
Una politica che funziona si lascia riassumere anche in poche frasi per chi non ci lavora quotidianamente. Un consiglio di amministrazione non ha bisogno del documento completo, ma di una risposta alla domanda se la situazione è sotto controllo e dove non lo è. Una rendicontazione al board di una pagina è il test per verificare se la politica funziona: se non si può riassumere in una pagina, probabilmente non è nemmeno applicabile nella pratica.
Una politica che si integra nella pratica presuppone che si sappia quale sia quella pratica: quali compiti vengono svolti, e quale parte di essi viene già eseguita con l'AI o potrebbe esserlo. È una domanda diversa dalla governance, e a quella domanda risponde la scansione del lavoro di FTE TO AI: essa calcola, per ogni compito, quale parte del lavoro può essere trasferita all'AI, in modo che la politica non si basi su ipotesi ma su un quadro concreto del lavoro stesso.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.