L’«AI Omnibus» dell’UE ha concesso alle imprese più tempo per adeguarsi ad alcuni dei requisiti più impegnativi dell’AI Act. Tuttavia, tale proroga non deve essere interpretata come una sospensione generale.
Le norme relative ai sistemi di AI ad alto rischio utilizzati in ambiti come occupazione, istruzione, infrastrutture critiche e accesso ai servizi essenziali si applicheranno a partire dal 2 dicembre 2027. I sistemi ad alto rischio integrati in prodotti regolamentati, tra cui macchinari e dispositivi medici, hanno tempo fino al 2 agosto 2028.
Questa proroga è necessaria. Le imprese si sono preparate all’AI Act mentre gli standard, le linee guida e i meccanismi di applicazione della normativa hanno continuato a evolversi. La proroga offre alle imprese maggiori opportunità per affrontare le attività operative necessarie alla conformità, anziché affrettarsi a rispettare una scadenza alla quale molte non erano ancora preparate.
Molte aziende continuano ad avere difficoltà nella governance dell’AI
Tuttavia, non dovrebbero approfittare della proroga per attendere che ogni dettaglio ancora in sospeso venga definito.
Quando parlo di governance dell’AI con i team aziendali chiedo spesso se sarebbero in grado di ricostruire una decisione supportata dall’AI qualora un’autorità di regolamentazione la contestasse. Potrebbero conoscere il modello che ha prodotto l’output, ma non sapere con precisione quali dati siano arrivati al modello, quanto fossero aggiornate tali informazioni o cosa sia successo dopo che è stata formulata la raccomandazione.
Queste lacune non possono essere colmate semplicemente rivedendo una policy. Le aziende dovrebbero utilizzare questo tempo aggiuntivo per individuare dove viene impiegata l’AI, comprendere i dati alla base delle decisioni importanti e creare una documentazione affidabile sul comportamento dei sistemi una volta entrati in produzione.
Priorità n. 1: individuare l’AI che prende già decisioni
Le funzionalità dell’AI sono sempre più spesso integrate nei software che le aziende già utilizzano. Possono essere presenti all’interno di piattaforme di selezione del personale, sistemi antifrode, strumenti di assistenza clienti, apparecchiature industriali o applicazioni fornite da terze parti. In alcuni casi, il sistema potrebbe aver subito modifiche significative a seguito di un aggiornamento da parte del fornitore, senza che l’organizzazione abbia considerato tale aggiornamento come una nuova implementazione.
Nelle conversazioni con i clienti, mi rendo spesso conto che è proprio in questi casi che un inventario dei sistemi AI può rivelarsi utile. Questo spinge i team ad andare oltre le applicazioni chiaramente etichettate come “AI” e a esaminare dove gli algoritmi influenzano le decisioni, definiscono le priorità delle attività o forniscono raccomandazioni che le persone tendono a seguire.
Priorità n. 2: risalire ai dati alla base di una decisione
Un esercizio che trovo particolarmente rivelatore consiste nel prendere una decisione importante supportata dall’AI e ripercorrerne a ritroso il processo. Quale versione del sistema ha prodotto l’output e quali informazioni aveva ricevuto in quel momento?
Spesso i team sono in grado di rispondere ad alcune di queste domande. Sono però ben pochi quelli che riescono a rispondere a tutte senza dover ricostruire manualmente la sequenza degli eventi attraverso diversi sistemi.
Si pensi a una banca che valuta una richiesta di credito, a un assicuratore che calcola il rischio o a un datore di lavoro che seleziona i candidati. La documentazione relativa all’output finale fornisce solo una parte delle evidenze. L’organizzazione potrebbe anche dover stabilire la fonte, l’età e le condizioni dei dati su cui si basa.
Un processo di questo tipo coinvolge più di un singolo modello e di un singolo database. Attraversa diversi ambiti, dal consenso dei clienti ai fornitori esterni di dati, fino ai sistemi applicativi e ai processi decisionali automatizzati. Un’azienda potrebbe dover dimostrare quali record sono stati ottenuti, se il consenso era valido, come le informazioni sono state elaborate e quali fattori hanno contribuito al risultato.
Ecco perché è importante che le imprese esamino l’intero percorso dei dati piuttosto che concentrarsi esclusivamente sul modello. La documentazione di quest’ultimo può descrivere come un sistema sia stato progettato e testato, ma non può, di per sé, mostrare quali informazioni fossero a disposizione del sistema nel momento in cui ha formulato una determinata raccomandazione.
Priorità n. 3: Considerare il monitoraggio dei sistemi in produzione parte integrante della governance
L’approvazione non rappresenta la fine del processo di governance. Un sistema può funzionare bene durante i test, ma comportarsi in modo diverso dopo il deployment.
I requisiti dell’AI Act per i sistemi ad alto rischio coprono aree quali la qualità dei dati, la registrazione delle attività, la documentazione tecnica, la supervisione umana, la robustezza, la sicurezza informatica e l’accuratezza. La normativa attribuisce inoltre ai fornitori e a chi implementa i sistemi la responsabilità di monitorarli dopo la loro messa in funzione.
Una dashboard convenzionale che mostra che un’applicazione è ancora online non fornirà questa risposta. Le organizzazioni devono decidere quali eventi relativi ai sistemi e ai dati debbano essere registrati, quali segnali di allarme richiedano un’indagine e in che modo queste registrazioni debbano essere raccolte e integrate durante un incidente.
Priorità n. 4: Non creare un sistema di governance separato per l’AI
Un’altra tendenza che si osserva è la tentazione di considerare la governance dell’AI come un nuovo programma che opera parallelamente a tutto ciò di cui l’azienda dispone già.
Ciò comporta la creazione di un team aggiuntivo, una documentazione separata e un ulteriore iter di approvazione che i team tecnici devono seguire. Può generare attività visibili, ma può anche lasciare lacune tra la governance dell’AI e i controlli già in atto per i dati, la sicurezza, gli acquisti e il rischio operativo.
Come esempio si può citare Siemens, che ha adottato un approccio integrato nelle proprie attività industriali.
L’azienda utilizza una piattaforma centralizzata di data streaming per trasferire le informazioni tra sistemi operativi, applicazioni aziendali, data warehouse e piattaforme di AI e machine learning.
Questo offre ai team un modo più coerente per accedere ai dati e gestire la governance all’interno di un’organizzazione ampia e diversificata.
Sfruttare il tempo per migliorare ciò che si è in grado di dimostrare
Il messaggio per le organizzazioni è piuttosto chiaro. La governance funziona sistematicamente meglio quando viene integrata nei workflow dove i dati già transitano, piuttosto che essere gestita come un processo parallelo.
Naturalmente, le aziende hanno ancora bisogno di indicazioni sul funzionamento concreto di alcune disposizioni dell’AI Act e gli stessi standard sono ancora in fase di sviluppo. Tuttavia, entro dicembre 2027 e agosto 2028, le organizzazioni dovranno fornire evidenze del funzionamento dei propri sistemi, non soltanto dimostrare di conoscere le norme.
È importante lavorare fin da ora.
A cura di Nick Payne, Director, Solutions Engineering, Confluent
