Che cos'è un quadro di governance dell'IA?
Un quadro di governo dell’IA è il sistema di gestione alla base della politica aziendale sull’IA: stabilisce chi può approvare uno strumento o un uso dell’IA, che cosa va registrato, come si verificano i rischi e quando si riesaminano le decisioni. La politica di uso accettabile dice ai dipendenti che cosa fare; il sistema di governo decide che cosa includere in quella politica e la mantiene accurata.
La maggior parte dei modelli di riferimento pubblicati è pensata per grandi organizzazioni che sviluppano sistemi di IA. Un'azienda con un organico da 5 a 200 persone che usa assistenti pronti all'uso ha bisogno della stessa logica, ma su scala molto più ridotta. L'obiettivo è che ogni utilizzo approvato abbia un responsabile, una motivazione e una data di revisione, e che nessuno debba chiedersi chi prende le decisioni.
Questa pagina fornisce informazioni generali, non consulenza legale. Se integri l'IA nei prodotti, automatizzi decisioni sulle persone o lavori in un settore regolamentato, serve una valutazione specialistica che vada oltre quanto descritto qui.
Come si applica il quadro NIST per la gestione dei rischi dell’IA a una piccola impresa?
Il quadro NIST per la gestione dei rischi dell'IA è un riferimento volontario, pubblicato il 26 January 2023, che organizza le attività relative ai rischi dell'IA in quattro funzioni: governare, mappare, misurare e gestire. NIST dichiara che è pensato per un uso volontario, non è specifico per un settore e non dipende dal caso d'uso, offrendo flessibilità a organizzazioni di ogni dimensione. Precisa inoltre che gli utenti possono scegliere tra le sue categorie in base alle proprie risorse e capacità: esattamente ciò che dovrebbe fare un piccolo gruppo di lavoro.
Governare è una funzione trasversale: cultura, politiche, ruoli e responsabilità. Mappare definisce il contesto in cui viene utilizzato un sistema e i rischi presenti in quel contesto. Misurare analizza e monitora tali rischi con metodi qualitativi o quantitativi. Gestire assegna risorse ai rischi individuati e comprende piani di risposta agli incidenti e di ripristino. La pagina del NIST segnala che il quadro è in fase di revisione: verifica quindi la versione attuale prima di citarlo.
La tabella seguente è un nostro adattamento per piccoli team. Non è un profilo NIST ufficiale e usarla non rende un'azienda conforme ad alcuna normativa o standard.
| Funzione NIST | Cosa significa per un'azienda di 30 persone | Risultato concreto |
|---|---|---|
| Governare | Nomina un responsabile, scrivi la policy, forma il personale, decidi chi approva i nuovi utilizzi | Policy con i nomi dei responsabili, registro della formazione |
| Mappare | Per ogni utilizzo dell'IA, annota il compito, le informazioni coinvolte e chi subirebbe le conseguenze di un errore | Una riga per ogni utilizzo nel registro |
| Misurare | Verifica i risultati a campione, raccogli i problemi segnalati, controlla periodicamente le condizioni dei fornitori | Note di revisione e registro dei problemi |
| Gestisci | Approva, limita o interrompi gli utilizzi in base a quanto hai riscontrato; gestisci gli incidenti | Registro aggiornato e note sugli incidenti |
Chi dovrebbe essere responsabile della governance dell'IA in una piccola impresa?
La responsabilità della governance dell'IA dovrebbe essere assegnata a una persona, con un processo di approvazione chiaro per le decisioni che non può prendere da sola. In pratica, nelle aziende con meno di 50 persone si tratta spesso del fondatore o del direttore operativo, mentre in quelle più grandi è un responsabile operativo o informatico che risponde alla direzione. Le indicazioni Govern del NIST prevedono che i vertici aziendali si assumano la responsabilità delle decisioni sui rischi dell'IA e che siano definiti ruoli e canali di comunicazione.
Una suddivisione attuabile per Kestrel Systems, un’azienda fittizia di software con 60 persone: il direttore operativo è responsabile del registro e approva i nuovi strumenti; il responsabile della protezione dei dati autorizza qualsiasi uso che coinvolga dati personali; ogni responsabile di reparto approva i flussi di lavoro e verifica i risultati nella propria area; l’amministratore delegato approva la revisione annuale. Quattro nomi coprono tutto, e ciascuno sa quali questioni gli competono.
Responsabile
Tiene il registro, coordina le revisioni ed è il primo punto di contatto. Una persona designata e un sostituto.
Approvazione dell'uso dei dati
Approva qualsiasi utilizzo che coinvolga informazioni personali e decide se è necessaria una valutazione d'impatto.
Responsabili dell'approvazione del flusso di lavoro
Responsabili di reparto che conoscono il lavoro, approvano gli usi nella propria area e designano chi verifica i risultati.
Direzione
Accetta il livello complessivo di rischio e approva la revisione annuale.
Che cosa dovrebbe riportare un registro dei sistemi di IA?
Un registro dell’IA dovrebbe riportare ogni strumento e uso approvato, indicando il piano, il compito consentito, le informazioni ammesse, il responsabile, chi effettua il riesame e la data del riesame. Le indicazioni NIST sulla funzione di governo includono meccanismi per censire i sistemi di IA, con risorse proporzionate alle priorità di rischio; per una piccola azienda basta un foglio di calcolo condiviso.
Registra anche i dettagli delle terze parti, perché quasi tutti i sistemi di IA usati da una piccola azienda appartengono a un fornitore. Il materiale NIST sulla governance tratta le politiche per i rischi dell'IA di terze parti e le procedure di emergenza in caso di malfunzionamento dei loro sistemi. Nel registro, questo significa indicare che cosa prevedono le condizioni del fornitore in materia di addestramento, conservazione ed eliminazione dei dati, quando le hai verificate l'ultima volta e che cosa faresti se lo strumento non fosse più disponibile o cambiasse le proprie condizioni.
Esempio di voce per Kestrel: "Strumento: spazio di lavoro aziendale di [assistente]. Uso: stesura di documenti interni e sintesi di ricerche pubbliche. Informazioni: solo pubbliche e interne. Responsabile: direttore operativo. Revisore: responsabile diretto dell'autore per qualsiasi contenuto destinato all'esterno. Condizioni del fornitore verificate: [data]. Alternativa: stesura senza IA. Prossima verifica: [data]."
Vuoi vedere come si collega a un ruolo?
Scopri la prova per i team prevista ↗Come dovrebbe essere approvato un nuovo utilizzo dell'IA?
Ogni nuovo uso dell’IA dovrebbe essere approvato tramite una breve richiesta scritta che risponda a cinque domande, così il responsabile può decidere rapidamente e la decisione resta documentata. In una piccola azienda, la maggior parte delle richieste presenta un rischio basso e dovrebbe richiedere un giorno, non una riunione di comitato. Una procedura lenta spinge le persone ad aggirarla.
Il modulo di richiesta di Kestrel è lungo cinque righe. Se una risposta riguarda dati personali o una decisione su una persona, la richiesta passa al controllo per l'autorizzazione al trattamento dei dati prima dell'approvazione.
Strumento e piano
Quale prodotto e quale account verrebbero usati nello specifico?
Compito
Quale lavoro svolgerebbe e chi lo userebbe?
Informazioni
Quali categorie di informazioni verrebbero inserite?
Conseguenza dell'errore
Chi subisce le conseguenze se il risultato è sbagliato e quanto sono gravi?
Revisione
Chi controlla il risultato prima che venga utilizzato?
Su quali principi dovrebbe basarsi una politica di governance dell'IA?
Non esiste un unico elenco condiviso di principi di governo dell'IA; i diversi quadri di riferimento ne adottano di differenti, quindi scegli un insieme ristretto che il tuo gruppo possa applicare. NIST elenca le caratteristiche di un'IA affidabile: valida e attendibile, sicura, protetta e resiliente, responsabile e trasparente, spiegabile e interpretabile, rispettosa della riservatezza ed equa, con una gestione delle distorsioni dannose. Il manuale sull'IA del governo britannico, pubblicato a febbraio 2025 per i dipendenti pubblici, definisce dieci principi, a partire dalla conoscenza di cosa sia l'IA e dei suoi limiti, e include un controllo umano significativo nelle fasi opportune.
Per una piccola impresa, di solito bastano tre principi operativi: ogni utilizzo ha un responsabile identificato; le informazioni vanno solo dove è consentito; una persona controlla ogni risultato utilizzato e se ne assume la responsabilità. Se un utilizzo proposto non può rispettarli tutti e tre, non è pronto per essere approvato.
A volte si chiede quali siano i tre pilastri della governance dell'IA. Non esiste un insieme standard. Un modo pratico per affrontarla è considerare le persone (chi decide e chi riceve formazione), i processi (come vengono approvati e riesaminati gli utilizzi) e la documentazione (il registro e le decisioni che contiene).
Con quale frequenza andrebbero riesaminate le decisioni sulla governance dell'IA?
Rivedi l'intero registro almeno una volta all'anno e le singole voci ogni volta che un fornitore modifica le proprie condizioni, cambia un piano, un contratto con un cliente introduce clausole sull'IA o un problema segnalato rivela che un flusso di lavoro non funziona. Le indicazioni Govern del NIST riguardano il monitoraggio continuo e la revisione periodica del processo di gestione del rischio.
Per una piccola azienda spesso basta mezz’ora ogni trimestre: il responsabile legge il registro dei problemi, controlla due o tre condizioni contrattuali dei fornitori, chiede ai responsabili di reparto se qualche utilizzo è cambiato e dismette ciò che nessuno usa. Dismettere gli strumenti inutilizzati fa parte della gestione e del controllo; le indicazioni NIST sulla governance includono processi per dismettere in sicurezza i sistemi di IA.
Qual è il ruolo della formazione nella governance dell'IA?
La formazione è la parte della governance che rende applicabili le regole. Le indicazioni di NIST sulla governance prevedono che il personale riceva formazione sulla gestione dei rischi dell'IA. Per l'UE, le domande e risposte della Commissione europea sull'alfabetizzazione in materia di IA relative all'articolo 4 dell'EU AI Act precisano che non esiste un approccio valido per tutti, che non sono richiesti certificati e che è sufficiente un registro interno della formazione.
Registra chi ha ricevuto formazione e su quali argomenti, e concentra la formazione sulle attività che le persone svolgono davvero. Tosheo.ai è in fase di sviluppo per offrire esercitazioni specifiche per ruolo e una vista per i responsabili sui progressi nelle competenze e sul completamento; non è una piattaforma di governance e non tiene il tuo registro.
Quando una piccola azienda ha bisogno di qualcosa in più?
Serve più di un quadro di riferimento essenziale se sviluppi sistemi di IA, integri l'IA in un prodotto, la usi per prendere o supportare decisioni rilevanti sulle persone, tratti categorie particolari di dati su larga scala o operi in un settore regolamentato. In questi casi possono essere necessarie valutazioni formali dei rischi o d'impatto, sistemi di gestione certificabili e una verifica legale.
Esistono software dedicati alla gestione e al controllo dell'IA, rivolti soprattutto alle organizzazioni più grandi. Per un gruppo che usa pochi assistenti, di solito bastano un registro su foglio di calcolo, una breve policy e una data di revisione, che sono anche più facili da tenere aggiornati.
Fonti e ambito
NIST, Quadro per la gestione dei rischi dell'IA 1.0 (NIST IA 100-1), January 2023 ↗
GOV.UK, Manuale sull'IA per il governo del Regno Unito, 10 febbraio 2025 ↗