La domanda se un'applicazione di AI all'interno della sua organizzazione sia considerata ad alto rischio non è una domanda a cui si risponde una volta e poi si spunta. È l'esito di una serie di fattori che insieme determinano quanto pesa un'applicazione. Se uno di quei fattori cambia, può cambiare anche la classificazione. Ciò rende la classificazione del rischio meno una questione di compilazione e più una questione di monitoraggio continuo.
Questa pagina descrive il meccanismo dietro tale classificazione: da cosa dipende e cosa succede quando la situazione cambia. Le definizioni e le soglie normative attuali si trovano altrove; qui si tratta di ciò che deve poter vedere e dimostrare all'interno della propria organizzazione.
Una serie di fattori gioca un ruolo strutturale nella domanda se un'applicazione pesa molto.
Il primo è il dominio in cui viene impiegata l'applicazione. Alcuni domini — si pensi a decisioni su persone, le loro opportunità o i loro diritti — pesano più di applicazioni che sono esclusivamente interne e di supporto. Cosa fa esattamente l'applicazione all'interno di quel dominio fa la differenza: un sistema che consiglia pesa diversamente da un sistema che decide automaticamente.
Il secondo fattore è il ruolo che la sua organizzazione svolge rispetto al sistema. Lo costruisce lei stesso, lo acquista, o utilizza un servizio in cui è integrata AI senza che lo abbia acquistato come tale? Il ruolo che svolge — fornitore o utilizzatore — determina in parte quali obblighi ricadono su di lei e quale parte della responsabilità rimane in capo a un fornitore.
Il terzo fattore è cosa succede al modello dopo il primo impiego. Un sistema che viene utilizzato invariato come è stato fornito è una situazione diversa da un sistema che lei sottopone a fine-tuning, riconfigura o fa apprendere sui propri dati. Cosa cambia se lei adatta un modello autonomamente è quindi una domanda a cui bisogna rispondere separatamente — un adattamento può far cambiare categoria a un sistema.
Il quarto fattore è la portata: quante persone vengono coinvolte, con quale frequenza, e quanto è reversibile un errore. Un'applicazione utilizzata occasionalmente da un piccolo team pesa diversamente da un'applicazione che influenza quotidianamente decisioni per migliaia di clienti.
Questi fattori non sono statici. Un'applicazione che oggi è considerata a rischio limitato potrebbe non esserlo più domani — non perché le regole siano cambiate, ma perché l'applicazione stessa è cambiata. Un progetto pilota che si estende all'intera organizzazione, uno strumento interno che comincia a influenzare un processo rivolto ai clienti, un modello che viene riaddestrato su nuovi dati: ognuno di questi passaggi può far ribaltare la classificazione.
Ciò significa che la classificazione non è un esercizio da svolgere una sola volta. È una domanda che deve essere posta nuovamente ogni volta che cambia qualcosa in ciò che un sistema fa, chi coinvolge, o chi lo gestisce. Una struttura di governance che non segue questo passo, rimane indietro rispetto alla pratica.
Non tutte le applicazioni di AI devono seguire questo intero percorso. Una parte di ciò che funziona all'interno di un'organizzazione rientra fuori dall'ambito della classificazione del rischio — ad esempio perché non riguarda decisioni su persone o perché ha esclusivamente una funzione di supporto, non determinante. Dove si trovi esattamente quel confine e quali applicazioni rimangono fuori scope dipende dagli stessi fattori descritti sopra: dominio, ruolo, adattamento e portata. Non si tratta quindi di un elenco separato, ma dell'altra faccia della stessa valutazione.
Una classificazione di per sé non cambia nulla. Determina solo quali passi successivi sono all'ordine del giorno, e con quale urgenza. Alcune azioni sono necessarie immediatamente, altre possono essere pianificate — e cosa deve avvenire ora e cosa può essere pianificato dipende a sua volta da quanto pesa l'applicazione e da quante persone coinvolge.
Per rendere quei passaggi visibili e verificabili, le decisioni relative alla classificazione e alle azioni successive devono essere registrate da qualche parte — non come note sparse, ma come parte di un registro delle decisioni di supervisione che mostri chi ha deciso cosa e sulla base di quali informazioni. Senza tale registrazione, una classificazione è una fotografia del momento che nessuno può più ricostruire.
Questa domanda di classificazione può essere risolta correttamente solo se si sa cosa effettivamente è in funzione. Un elenco IT di strumenti approvati non è sufficiente a tale scopo: gran parte dell'utilizzo nasce fuori da quell'elenco, in team che hanno iniziato a usare uno strumento senza segnalarlo in alcun modo. Chi vuole mappare quell'utilizzo deve chiederlo — e farlo solo senza che vi sia una conseguenza legata a una resa dei conti, altrimenti la risposta non arriva.
Una volta chiaro quali applicazioni esistono e quanto pesano, emerge una domanda successiva che non riguarda più il rischio, ma il lavoro: quale parte di un compito può assumere un sistema di AI, e quale parte rimane lavoro umano. A quella domanda risponde la scansione del lavoro di FTE TO AI, che calcola per ogni compito quale parte del lavoro può essere ripresa — un punto di vista diverso dalla classificazione del rischio, ma che si basa sullo stesso inventario.
Questa pagina descrive il meccanismo dietro la classificazione. La Responsible AI Scan in sé è in fase di sviluppo; chi desidera utilizzare i risultati non appena saranno disponibili, può iscriversi alla lista d'attesa.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.