Il settore ICT occupa una posizione che nessun altro settore ha: qui l'AI non viene solo utilizzata, viene anche costruita, integrata e rivenduta. Uno sviluppatore che collega un modello linguistico a un'applicazione, un consulente che integra una funzione AI in un progetto per un cliente, un team che effettua il finetuning di un modello open-source — non sono eccezioni, è il lavoro quotidiano. Il rapporto tra ciò che l'organizzazione decide a livello centrale e ciò che un singolo dipendente o team aggiunge di propria iniziativa, in questo settore è diverso da quello di una banca o di un'impresa di costruzioni. Mentre in altri settori l'AI è un'aggiunta ai processi esistenti, nel settore ICT l'AI è spesso parte integrante del prodotto stesso. Ciò significa che la governance non riguarda solo gli strumenti interni, ma anche ciò che è contenuto nel software fornito a terzi.
In molti settori è il reparto IT ad avere una visione di ciò che è in uso. Nel settore ICT questa presunzione è più debole che altrove, precisamente perché praticamente chiunque possiede le competenze tecniche per richiedere una API-key, scaricare un modello o integrare una funzione AI in una codebase senza che ciò sia preceduto da una richiesta, una licenza o un percorso di approvazione. Uno sviluppatore che usa un modello linguistico per generare codice, un architetto che testa un agente AI in una sandbox, un team commerciale che costruisce una demo con un modello esterno — queste scelte vengono fatte a livello di progetto, non a livello dirigenziale. Un inventario che parte dalle licenze acquistate perde quindi una parte sostanziale di ciò che realmente accade. La domanda non è se esista una shadow-AI, ma quanto dell'ambiente di produzione ne dipenda ormai senza che nessuno lo abbia documentato.
Gli strumenti tecnici per rilevare l'uso dell'AI esistono, ma spesso vedono solo ciò che passa attraverso le reti aziendali e i dispositivi gestiti. In un settore dove gran parte del lavoro si svolge in ambienti di sviluppo propri, account personali e progetti per clienti con infrastruttura propria, questo offre un quadro limitato. Le informazioni più complete provengono dalle persone che svolgono il lavoro. Ciò funziona solo se la domanda viene posta senza conseguenze punitive: chi sa che una risposta onesta porta a una sanzione, non risponde onestamente. Come evitare che i dipendenti usino uno strumento che nessuno ha approvato non parte quindi dal controllo, ma da un invito a segnalare ciò che già accade. È un ordine diverso da quello a cui la maggior parte delle organizzazioni è abituata, e nel settore ICT questo ordine è particolarmente importante, poiché la diffidenza tra i team di sviluppo e i reparti di compliance qui è spesso già presente.
Non ogni uso dell'AI nel settore ICT richiede la stessa attenzione. Un modello che riassume documentazione interna è diverso da un modello che partecipa alle decisioni sui diritti di accesso o che opera come parte di un prodotto fornito a un cliente. La classificazione per ruolo e livello di rischio non è quindi qualcosa che avviene una volta sola, ma qualcosa che deve evolvere insieme a ciò che un team costruisce. È una dinamica diversa da quella dei settori con processi più stabili, come si legge nelle descrizioni della governance nei servizi finanziari o nel settore energetico, dove le applicazioni AI restano generalmente all'interno di una struttura operativa fissa. Nel settore ICT l'applicazione a volte cambia più velocemente di quanto la classificazione possa seguire, il che significa che la struttura di governance stessa deve lasciare spazio a una nuova valutazione, non solo a un'approvazione una tantum.
Un rischio che nel settore ICT assume una connotazione propria è l'uso di strumenti AI gratuiti o pubblici per lavoro che in realtà è confidenziale: codice sorgente, dati dei clienti, architettura interna, condizioni contrattuali. Uno sviluppatore che fa controllare rapidamente un pezzo di codice da un modello pubblico non pensa a cosa succede a quell'input. Come evitare che i dati aziendali finiscano in una finestra di chat gratuita descrive questo meccanismo, ed è più rilevante in questo settore che nella maggior parte degli altri, poiché i dati che filtrano non sono spesso solo dati personali, ma anche proprietà intellettuale e codice dei clienti. Una struttura di governance che non disciplina questo aspetto lascia il rischio in mano al singolo dipendente, mentre l'esposizione ricade sull'organizzazione.
Un amministratore o un General Counsel nel settore ICT dispone spesso già di quadri di rischio per la sicurezza informatica, la qualità del software e la gestione dei fornitori. L'AI-governance funziona meglio se si collega a questa struttura esistente piuttosto che diventare un percorso separato che nessuno riconosce. Questo vale qui più che in settori come il settore immobiliare o le costruzioni, dove l'AI-governance spesso parte ancora da un foglio bianco. Nel settore ICT esiste generalmente già un linguaggio del rischio; il compito è ampliare quel linguaggio senza sostituirlo.
La Responsible AI Scan mappa l'uso dell'AI presente nell'organizzazione, incluso ciò che è nato al di fuori dell'elenco ufficiale, e vi collega una classificazione per ruolo e livello di rischio. Il risultato è un insieme di regole di governance che si collega alla struttura esistente, non un nuovo quadro parallelo. Lo strumento che supporta questo processo è ancora in fase di sviluppo. Chi desidera utilizzarlo può iscriversi alla lista d'attesa; al momento non viene ancora fornito nulla al di là di questa iscrizione.
Non appena diventa visibile quali applicazioni AI esistono e quale livello di rischio comportano, segue naturalmente la domanda successiva: quale parte del lavoro attualmente svolto da persone è adatta a essere affidata a tali applicazioni. È una domanda diversa dalla governance, e a essa risponde la scansione del lavoro di FTE TO AI, che calcola per ogni compito quale parte del lavoro può essere trasferita all'AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.