La domanda se un'applicazione di IA sia considerata ad alto rischio suona come una qualificazione tecnica. In pratica è una classificazione che dipende da una serie di fattori concreti, e quella classificazione determina poi quanta supervisione, documentazione e dimostrabilità le viene richiesta. Le definizioni e le soglie legali attuali non sono riportate in questa pagina; le trova altrove. Qui spieghiamo da cosa dipende la classificazione e cosa cambia nella sua organizzazione se quella classificazione cambia.
Non esiste una singola caratteristica che rende un'applicazione ad alto rischio. È una combinazione di fattori che insieme compongono il quadro: il dominio in cui l'applicazione viene impiegata, la misura in cui una decisione ha conseguenze direttamente per una persona, e la questione se ci sia un essere umano in grado di valutare effettivamente il consiglio o il risultato dell'IA e, se necessario, correggerlo prima che abbia effetto. Un'applicazione che si limita a riassumere testi si colloca solitamente in modo diverso in questa classificazione rispetto a un'applicazione che pesa in una decisione riguardante un individuo. Anche il contesto in cui un'applicazione viene utilizzata conta: la stessa tecnologia sottostante può essere considerata a basso rischio in un dominio e ad alto rischio in un altro, a seconda di ciò che accade con il risultato.
Questo è uno dei motivi per cui un elenco di software approvato non è sufficiente. La classificazione non dipende dall'etichetta sul pacchetto, ma da come viene effettivamente utilizzato e da dove si colloca nel processo decisionale.
Se un'applicazione viene valutata come a rischio più elevato, cambia qualcosa in ciò che si aspetta dall'organizzazione: più documentazione su come funziona e come è stata testata l'applicazione, un meccanismo di controllo più chiaro sui risultati, e un modo per poter dimostrare a posteriori chi ha vigilato su cosa. Non si tratta di un'azione unica ma di un obbligo continuo: la documentazione e la supervisione devono rimanere aggiornate per tutto il periodo in cui l'applicazione è in uso.
La classificazione inoltre non è statica. Un'applicazione considerata oggi a rischio limitato può domani essere impiegata diversamente — in un altro dominio, con un impatto maggiore sugli individui, o con un intervento umano minore rispetto a prima. Chi stabilisce la classificazione una sola volta e poi non la rivede più, corre il rischio che la classificazione non corrisponda più all'uso effettivo. Questo vale altrettanto per le applicazioni che vengono modificate dopo essere state acquistate; cosa cambia esattamente quando lei modifica personalmente un modello dipende dalla natura di tale modifica, come descritto nella pagina sulle modifiche a un modello.
La classificazione di un'applicazione ha senso solo se viene applicata a ciò che viene effettivamente utilizzato. Buona parte dell'utilizzo in un'organizzazione avviene fuori dall'inventario ufficiale: team che impiegano un modello linguistico per una bozza di e-mail, un analista che utilizza un modello esterno per una prima versione di un rapporto, un reparto che ha acquistato uno strumento senza segnalarlo. Questo utilizzo non nasce da malafede. Nasce perché la via ufficiale è più lenta del bisogno, oppure perché nessuno sapeva che bisognava seguire una procedura.
La conseguenza è che l'elenco IT raramente offre un quadro completo. Chi vuole sapere di cosa ha realmente bisogno in termini di classificazione del rischio deve mappare l'utilizzo stesso — e questo richiede di porre domande alle persone che svolgono il lavoro, senza che ne segua una punizione. Chi già al primo colloquio percepisce che una risposta onesta avrà delle conseguenze, non risponde onestamente. Ciò rende l'inventario inutilizzabile ancora prima che sia completato.
Non ogni applicazione di IA rientra nel quadro in cui la classificazione del rischio è rilevante. Alcune applicazioni, per natura o finalità, non rientrano nell'ambito di applicazione della normativa, ed è consigliabile fare questa distinzione in anticipo prima di dedicare tempo a una classificazione non necessaria; quali applicazioni siano interessate è descritto nella pagina sulle applicazioni che non rientrano nell'ambito degli obblighi. Anche il ruolo svolto dalla sua organizzazione — come fornitore di un sistema o come utilizzatore dello stesso — influisce su quali obblighi sono legati a una classificazione del rischio, e quel ruolo non è sempre chiaro in anticipo; ciò che è determinante a questo riguardo lo trova nella pagina sulla distinzione tra fornitore e utilizzatore. Quello stesso ruolo può peraltro cambiare non appena lei modifica un sistema o lo offre a proprio nome, un aspetto ulteriormente approfondito nella pagina sulle circostanze in cui il suo ruolo cambia.
Una classificazione per livello di rischio suscita quasi sempre la domanda successiva su cosa sia urgente e cosa possa ancora essere pianificato. Questa distinzione non è uguale per ogni organizzazione e dipende da quali applicazioni sono già in produzione e quali sono ancora in fase di sviluppo. Una panoramica di ciò che generalmente richiede attenzione prioritaria e ciò che può seguire in seguito è disponibile nella pagina su cosa deve essere fatto ora e cosa può essere pianificato.
Una volta chiarito quali applicazioni nella sua organizzazione sono considerate ad alto rischio, segue naturalmente un'altra domanda: quanta parte del lavoro sottostante viene effettivamente svolta dall'IA, e quanta da persone che controllano o completano il risultato. Questa domanda esula dall'ambito di questa scansione, ma trova risposta nella scansione del lavoro di FTE TO AI, che calcola per ogni compito quale parte del lavoro può ragionevolmente essere trasferita all'IA.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.