Responsible AI Governance
Le è familiare questa situazione: qualcuno nel reparto finanziario usa uno strumento AI per scrivere report, nessuno all'IT sa che esiste, e se qualcosa va storto non è chiaro chi ne debba rendere conto. Oppure: lo strumento che figura nell'elenco IT è già stato sostituito da qualcosa che i dipendenti hanno trovato da soli, che funziona più velocemente, e che viene alimentato con dati aziendali senza che nessuno l'abbia mai esaminato. Non è un problema di registrazione. È un problema di responsabilità che diventa visibile solo nel momento in cui è troppo tardi per gestirlo con calma.
Questa pagina descrive cosa c'è sul tavolo non appena quel quadro è completo: non come promessa, ma come elenco di componenti.
La scansione non produce un unico documento, ma una serie di componenti che si collegano tra loro.
Per prima cosa, una panoramica delle applicazioni, costruita tramite uno strumento di rilevamento che raggiunge reparti e dipendenti e viene integrata attraverso una desk research guidata. Questa panoramica non comprende solo ciò che l'IT conosce, ma anche ciò che è cresciuto al di fuori di essa: le applicazioni che nessuno ha formalmente approvato, con chi le usa e per cosa.
Segue poi, per ciascuna applicazione, una classificazione: quale ruolo svolge l'organizzazione (fornitore o utilizzatore) e quale livello di rischio si applica. Questa classificazione proviene dai dataset aiacta, non da una stima fatta sul momento. Sulla base di ciò nasce una tempistica: cosa è ora un obbligo, e cosa può essere pianificato più avanti. In questo modo diventa visibile dove serve urgenza e dove non serve.
Segue quindi un framework di governance, elaborato come set di modelli. Questi modelli sono realizzati per inserirsi nella struttura di rischio esistente dell'organizzazione, in modo che non debba nascere un secondo processo accanto al primo. A ciò si aggiunge un report per il board, riassunto in una sola pagina, pensato per condividere il nucleo della situazione senza che tutti debbano esaminare il materiale sottostante.
Infine c'è un abbonamento a uno strumento di monitoraggio dell'orizzonte normativo, per seguire ciò che cambia nel tempo: nuove applicazioni, nuova normativa, spostamenti nel rischio. Ciò che è corretto al momento della scansione può essere superato pochi mesi dopo; l'abbonamento è la risposta a questo, non un report unico.
Come esattamente questi componenti vengono realizzati, dal rilevamento al modello, è illustrato su come funziona; chi vuole vedere concretamente come si presentano i risultati finali lo trova su risultati.
I dati provengono da due fonti. La panoramica delle applicazioni deriva da ciò che l'organizzazione stessa inserisce tramite lo strumento di rilevamento, integrata da una desk research che rende visibile su cosa si basa la panoramica. La classificazione di ruolo, rischio e obbligo proviene dai dataset aiacta: informazioni strutturate sull'AI Act, non da una valutazione isolata. Ciò significa che ogni risultato è riconducibile alla sua origine, e che nulla nel report si basa su una stima non motivata che non sia anche riscontrabile nella fonte. Chi vuole sapere come questi dataset sono costruiti e aggiornati può consultare la banca dati.
Tre cose restano fuori da ciò che questa scansione fa, e questo è intenzionale.
Non è uno strumento di conformità all'AI Act. Per registro, classificazione e alfabetizzazione secondo l'AI Act, aiacta.eu è la casa di riferimento; questo confine non si sposta. Questa scansione utilizza i dataset di quella casa, ma non la sostituisce.
Non è una prova di un percorso già svolto. La scansione struttura ciò che esiste al momento dell'esecuzione; non mostra un curriculum e non rivendica esperienza con percorsi precedenti già conclusi. Ciò che la scansione produce è una fotografia della situazione attuale, non un track record.
Non è un secondo processo accanto alla struttura esistente. I modelli sono realizzati per essere inseriti in ciò che già esiste in termini di risk management o compliance, non per condurre una vita propria accanto ad essa. Se questo inserimento avviene in modo fluido nella pratica dipende da come è costruita quella struttura esistente — cosa che la scansione stessa non può garantire.
Con la panoramica, la classificazione, la tempistica e i modelli sul tavolo, si crea un momento decisionale sul passo successivo. Alcune organizzazioni gestiscono autonomamente registro, modelli e tempistica, e organizzano l'alfabetizzazione tramite i corsi aiacta. Altre cercano un partner per la progettazione del processo di oversight e per l'inserimento nella struttura di rischio esistente. Altre ancora affidano l'intero percorso di governance a un partner, con la scansione come dossier da cui parte quel percorso. Quale percorso sia adatto dipende dalle dimensioni dell'organizzazione, dalla complessità delle applicazioni individuate e dalla capacità disponibile internamente — è una valutazione che l'organizzazione fa autonomamente, non qualcosa che la scansione impone.
Il pulsante per avviare la scansione si trova attualmente in una lista d'attesa; chi si iscrive riceverà una notifica non appena lo strumento sarà disponibile.
La governance dell'AI acquista significato solo quando è chiaro quali compiti, ore e sistemi essa coinvolge concretamente. Questa traduzione, dall'applicazione al carico di lavoro, è rendida visibile dalla werkscan di FTE TO AI (ftetoai.com).
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.