In sintesi
- Nessuna norma impone di istituire un comitato di governance dell’IA. Gli obblighi che esistono sono quattro, e l’organo vale soltanto per ciò che produce al fine di soddisfarli.
- Il regolamento europeo assegna i doveri a persone nominate, non a organi. L’allegato V, punto 8, esige il nome e la funzione di chi firma la dichiarazione di conformità, e l’articolo 26, paragrafo 2, impone di affidare la sorveglianza umana a persone fisiche dotate di competenza, formazione e autorità.
- L’articolo 17, paragrafo 1, impone ai fornitori di sistemi ad alto rischio un quadro di responsabilità che definisca le responsabilità della dirigenza e del personale. È quella frase, non un organigramma, che l’auditor verifica.
- Una cadenza trimestrale non regge i termini dell’articolo 73: 15 giorni, 10 giorni, 2 giorni. La cadenza è un controllo e presuppone una delega permanente.
- Dopo il regolamento (UE) 2026/1744 gli obblighi ad alto rischio dell’allegato III si applicano dal 2 dicembre 2027 e quelli dell’allegato I dal 2 agosto 2028, mentre alfabetizzazione e trasparenza sono già esigibili. Uno statuto scritto sul vecchio calendario è già sbagliato.
Chi cerca come costituire un comitato di governance dell’IA trova un consenso notevole. Mettere insieme legale, IT, sicurezza, data science, risorse umane e le funzioni di business. Riunirsi ogni trimestre. Scrivere uno statuto che si apre con un preambolo di principi. Approvare i casi d’uso. Formare tutti. Il consiglio è ragionevole ed è più o meno quello che dice ogni pagina della prima schermata di risultati. Preso da solo, però, non è verificabile. Nessuno dei primi quaranta risultati per questa ricerca cita una singola disposizione giuridica che la struttura dovrebbe soddisfare. Il modello di statuto che occupa la quarta posizione risale al 2023, prevede sette membri permanenti e cinque a rotazione, e il suo articolo dedicato alla conformità impegna l’organizzazione verso “tutti gli standard giuridici ed etici pertinenti” senza nominarne uno. Questa guida percorre la strada opposta. Parte dai quattro obblighi che esistono davvero, ne deduce i seggi, i diritti decisionali, la cadenza e le tracce che li onorano, e dice apertamente quando un comitato di governance dell’IA è la risposta sbagliata.
Che cos’è davvero un comitato di governance dell’IA
Un comitato di governance dell’IA è un organo permanente con autorità delegata per decidere se, come e a quali condizioni un’organizzazione progetta, acquista e gestisce sistemi di IA. La metà importante di quella frase sta in “autorità delegata”. Un gruppo che esamina e consiglia è un gruppo di lavoro. Un gruppo che può fermare un rilascio è un comitato di governance dell’IA. Una precisazione necessaria in italiano: l’organo interno non ha nulla a che vedere con il Comitato europeo per l’intelligenza artificiale istituito dall’articolo 65 del regolamento, che riunisce i rappresentanti degli Stati membri presso la Commissione. Entrambi compaiono sotto la parola “comitato”. Questa pagina tratta esclusivamente del comitato di governance dell’IA interno all’azienda. Poi tre organi si confondono con un comitato di governance dell’IA, e la confusione costa cara nel momento in cui un’autorità chiede chi ha deciso che cosa. Un comitato di indirizzo porta la strategia: dove investire, in quale ordine, per quale ritorno. Il suo prodotto è una roadmap e un budget. Un comitato etico esprime un parere sull’accettabilità di un uso, quasi sempre senza potere impositivo, e funziona meglio quando una parte dei membri viene dall’esterno. Un comitato di governance dell’IA sta in mezzo e porta le decisioni con conseguenza giuridica: la classificazione del rischio, le condizioni di rilascio, la designazione delle persone responsabili, lo spegnimento di un sistema. Poche organizzazioni hanno bisogno di tutti e tre. Serve un comitato di governance dell’IA con diritti decisionali espliciti e verbali onesti, più una persona nominata che firma. Quello che nella pratica viene costruito è un comitato di indirizzo con l’etichetta della governance, e per questo la seconda e la terza seduta finiscono per riguardare budget di strumenti invece della classificazione dei sistemi già in produzione. L’etichetta conta meno dei diritti decisionali. Comunque lo si chiami, mettete per iscritto che cosa può decidere, che cosa deve far salire e che cosa non deve mai raggiungerlo. Tutto il resto discende da qui. La nostra pagina sulla governance dell’IA descrive il modello operativo in cui questo organo si colloca.
Il comitato di governance dell’IA non è un obbligo di legge. Questi quattro punti lo sono
Ogni statuto di comitato di governance dell’IA dovrebbe aprirsi su questa sezione. Le pagine posizionate la saltano, ed è l’unica che interessa a un auditor.
Articolo 17, paragrafo 1: il quadro di responsabilità
I fornitori di sistemi di IA ad alto rischio devono istituire un sistema di gestione della qualità. L’articolo 17, paragrafo 1, ne elenca gli elementi, tra cui un quadro di responsabilità che definisce le responsabilità della dirigenza e degli altri membri del personale rispetto a tutti gli aspetti elencati. Quegli aspetti comprendono la strategia di conformità normativa, le procedure di progettazione e di prova, la gestione dei dati, la gestione dei rischi, il monitoraggio successivo all’immissione sul mercato, la segnalazione degli incidenti e la tenuta delle registrazioni. Leggete quell’elenco come l’indice dello statuto del vostro comitato di governance dell’IA. Per ogni elemento del sistema di gestione della qualità un ruolo nominato deve portarne il peso. Se lo statuto si limita a dire che il comitato di governance dell’IA è responsabile della “conformità”, l’articolo 17 non è soddisfatto. Se dice che il responsabile del data engineering porta la gestione dei dati ai sensi dell’articolo 10 e ne riferisce ogni trimestre, lo è.
Articolo 26, paragrafo 2: sorveglianza affidata a persone fisiche
I deployer di sistemi ad alto rischio affidano la sorveglianza umana a persone fisiche che dispongono della competenza, della formazione e dell’autorità necessarie, oltre che del sostegno necessario. In quella frase stanno tre verifiche distinte. Competenza significa che la persona comprende gli output del sistema e i loro limiti. Formazione significa che è stata formata su quel sistema specifico. Autorità significa che può effettivamente scavalcare il sistema o far salire il caso, il che in pratica esclude di collocarla alle dipendenze di chi ha gli obiettivi che il sistema serve. Un comitato di governance dell’IA non può esercitare direttamente la sorveglianza dell’articolo 26. Può soltanto designare chi la esercita, verificarne la capacità reale e conservarne la traccia. La nostra guida sulla sorveglianza umana spiega che cosa gli articoli 14 e 26 richiedono nella pratica.
Allegato V, punto 8: qualcuno firma
L’articolo 47 impone al fornitore di redigere, per ogni sistema ad alto rischio, una dichiarazione di conformità UE scritta, leggibile meccanicamente, firmata a mano o elettronicamente, e di tenerla a disposizione delle autorità nazionali competenti per dieci anni. L’allegato V ne fissa il contenuto, e il suo punto 8 richiede il nome e la funzione di chi l’ha firmata, l’indicazione della persona per conto della quale ha firmato e una firma. Un comitato non ha firma. Qualcuno, nella vostra organizzazione, attesterà personalmente che un sistema è conforme al regolamento, e lo farà sotto la sola responsabilità del fornitore. La cosa più utile che un comitato di governance dell’IA possa fare nella sua prima seduta è individuare quella persona e stabilire di che cosa avrà bisogno per firmare senza riserve. La maggior parte delle organizzazioni scopre la risposta durante la valutazione della conformità, cioè troppo tardi.
ISO/IEC 42001, punto 5.3, e NIST AI RMF GOVERN 2
Fuori dall’Unione europea la stessa aspettativa prende la forma di un requisito di sistema di gestione. Il punto 5.3 della norma ISO/IEC 42001 impone all’alta direzione di assegnare, comunicare e autorizzare ruoli, responsabilità e autorità relativi al sistema di gestione dell’IA, compresa la responsabilità di riferire all’alta direzione sulle prestazioni del sistema. Gli auditor leggono il punto 5.3 come un requisito di responsabilità documentata lungo l’intero ciclo di vita, non come un organigramma. Il framework di gestione del rischio del NIST colloca lo stesso contenuto in GOVERN 2. GOVERN 2.1 chiede che ruoli, responsabilità e linee di comunicazione siano documentati e compresi. GOVERN 2.2 chiede che personale e partner siano formati. GOVERN 2.3 colloca le scelte di propensione al rischio a livello di direzione generale e non presso chi ha costruito il modello. Il nostro framework di gestione del rischio NIST mette a confronto i tre regimi. Quattro obblighi, e nessun comitato tra questi. Il comitato di governance dell’IA si guadagna il posto soltanto producendo il quadro di responsabilità, i sorveglianti nominati, il firmatario e la prova che i primi tre sono reali.
Chi siede, e che cosa porta ogni seggio
Gli elenchi di membri di un comitato di governance dell’IA si leggono come un’elencazione di direzioni. È una stanza, non un organo di governance. Attaccate un dovere a ogni seggio. Presidenza, di norma una figura dirigenziale con responsabilità di risultato. Porta la propensione al rischio che il comitato di governance dell’IA applica e l’escalation verso il consiglio di amministrazione. GOVERN 2.3 colloca questa scelta a livello esecutivo per una ragione semplice: una propensione fissata da un gruppo di lavoro è una preferenza, non un mandato. Firmatario. La persona designata ai sensi dell’allegato V, punto 8, per le dichiarazioni di conformità. Spesso la presidenza stessa in un fornitore piccolo, spesso la direzione di prodotto o tecnica in uno più grande. Questo seggio esiste, che lo assegniate consapevolmente o no. Legale e regolatorio. Porta la decisione di classificazione ai sensi degli articoli 6 e 7 e la risposta alla domanda su quale ruolo l’organizzazione ricopra per ciascun sistema: fornitore, deployer, importatore, distributore o rappresentante autorizzato. La maggior parte dei contrasti interni sono in realtà contrasti sul ruolo. Protezione dei dati. Porta il raccordo con il GDPR, in particolare la questione se accanto alla valutazione d’impatto sui diritti fondamentali serva anche una valutazione d’impatto sulla protezione dei dati, e la base giuridica dei dati di addestramento. Il Garante per la protezione dei dati personali è l’interlocutore naturale di questo seggio. La nostra nota sulla valutazione d’impatto sull’IA chiarisce quale regime si applica. Sicurezza. Porta i requisiti di accuratezza, robustezza tecnica e cibersicurezza dell’articolo 15, i test avversariali e il raccordo con la risposta agli incidenti. In Italia l’Agenzia per la cybersicurezza nazionale è il riferimento istituzionale di questo seggio. Titolare di business del modello e dei dati. Porta il monitoraggio delle prestazioni, la deriva e la risposta onesta alla domanda sull’uso reale del sistema, che spesso differisce da quanto diceva la richiesta iniziale. Risorse umane o referente per le rappresentanze, quando è coinvolto il lavoro. Porta l’informazione ai lavoratori prevista dall’articolo 26, paragrafo 7, e il raccordo con gli obblighi informativi verso le rappresentanze sindacali. È il seggio dimenticato più spesso, e il solo la cui omissione può fermare un progetto. Due regole tengono onesta la stanza. Primo, distinguete nello statuto i membri che consigliano da quelli che rispondono, perché un membro responsabile non può astenersi. Secondo, mettete un tetto alla dimensione. Un comitato di governance dell’IA di quindici persone non decide nulla: assiste a presentazioni.
Diritti decisionali: che cosa il comitato può decidere e che cosa no
Scrivete i diritti decisionali del comitato di governance dell’IA prima della sua composizione. Un organo che ne è privo scivola verso il lavoro più facile disponibile, cioè l’acquisto di strumenti. Quattro disposizioni bastano: approvare, approvare con condizioni, rinviare in attesa di elementi, interrompere. Ciascuna riceve un titolare nominato e una data. L’approvazione con condizioni è la disposizione più utile e quella che manca alla maggior parte degli statuti, il che impone una scelta binaria a cui il comitato di governance dell’IA non è pronto. Alcune decisioni devono salire al consiglio: una pratica vietata ai sensi dell’articolo 5, ogni primo rilascio di un sistema classificato ad alto rischio, ogni accettazione di un rischio residuo contro il parere formale del titolare del rischio, ogni incidente grave che faccia scattare un obbligo di segnalazione. Il resto il consiglio non lo vuole, e il suo dovere di vigilanza si soddisfa con le eccezioni e con il quadro aggregato, non con la coda. Alcune decisioni non devono mai arrivare al comitato di governance dell’IA. Gli strumenti interni di produttività senza dati personali e senza output esterno rientrano in una politica permanente, e se il processo di ingresso li indirizza all’organo, questo vi consumerà la propria autorità. La classificazione per livello di rischio è il filtro che protegge l’ordine del giorno. Classificate in ingresso, instradate per livello e riservate la stanza ai sistemi con conseguenza giuridica. La nostra guida alla gestione del rischio IA spiega come definire i livelli. L’ultima regola non è sollevata da nessuna pagina posizionata. L’organo che approva un caso d’uso non può essere quello che ne dà assicurazione. L’Istituto degli internal auditor proietta la sorveglianza dell’IA sul modello delle tre linee, attraverso tre domini: governance, management e internal audit, dove l’ambiente di controllo è stabilito dal management in prima linea e l’organo di governo si appoggia alle informazioni fornite dall’internal audit. Un comitato di governance dell’IA che scrive il controllo, lo esegue e lo valida produce un documento, non un’assicurazione. Tenete l’audit IA indipendente dall’organo che ha approvato il sistema.
La cadenza è un controllo, non un calendario
Quasi tutti gli statuti di comitato di governance dell’IA in circolazione fissano un minimo trimestrale, con ritmo mensile a discrezione della presidenza. Confrontatelo con gli orologi che il regolamento fa davvero girare. L’articolo 73 impone al fornitore di segnalare un incidente grave all’autorità di vigilanza del mercato senza indebito ritardo e comunque entro 15 giorni da quando ne è venuto a conoscenza. Il termine scende a 10 giorni quando può essere stato causato un decesso, e a 2 giorni in caso di violazione diffusa o di grave e irreversibile perturbazione di un’infrastruttura critica. L’articolo 73, paragrafo 5, ammette una segnalazione iniziale incompleta da integrare in seguito, il che è una concessione esattamente a questo problema. Nessun comitato di governance dell’IA a cadenza trimestrale rispetta un termine di 2 giorni. Nemmeno uno mensile. Non è un argomento contro una cadenza regolare: è un argomento perché la cadenza porti soltanto il lavoro deliberativo e perché tutto ciò che è a termine poggi su una delega permanente. Tre meccanismi bastano. Una reperibilità, perché a qualunque ora una persona nominata possa qualificare un evento e far partire l’orologio. Un innesco di convocazione scritto nello statuto, che precisi chi può riunire l’organo entro ventiquattro ore e che cosa può decidere da solo nel frattempo. E un punto permanente all’ordine del giorno sul monitoraggio successivo all’immissione sul mercato, perché i segnali di deriva e i reclami che precedono la maggior parte degli incidenti arrivino nella stanza prima dell’incidente. La nostra guida alla segnalazione degli incidenti IA descrive in dettaglio il flusso dell’articolo 73. In Italia vale una nota aggiuntiva. La legge 132/2025 sull’intelligenza artificiale ha definito l’assetto nazionale designando l’Agenzia per l’Italia digitale come autorità di notifica e l’Agenzia per la cybersicurezza nazionale come autorità di vigilanza del mercato. L’interlocutore della segnalazione è quindi individuato, e un comitato di governance dell’IA dovrebbe aver percorso quel canale almeno una volta a freddo, prima che serva davvero. La cadenza deliberativa, a sua volta, si regola sul flusso e non sul calendario. Se l’ingresso produce dodici classificazioni ad alto rischio per trimestre, le sedute trimestrali garantiscono una coda, e la coda è esattamente il punto in cui comincia il rilascio clandestino.
Che cosa il comitato deve produrre come prova
Un’autorità non ispeziona un comitato di governance dell’IA: ispeziona registrazioni. Cinque artefatti portano il peso. I verbali come atti di decisione. Presenti e assenti giustificati, la decisione tra le quattro disposizioni, la motivazione, i dissensi nominativi, le condizioni, il titolare e la data. Un verbale che registra solo l’esito non vale nulla in un’indagine, perché la domanda sarà se la decisione fosse ragionevole rispetto alle informazioni disponibili allora, e solo la motivazione risponde. Il registro dei casi d’uso. Una riga per sistema, con il ruolo ricoperto, la classificazione e il suo ragionamento, il sorvegliante nominato ai sensi dell’articolo 26, la fase del ciclo di vita e la data di riesame. Questo registro è anche la risposta concreta all’IA clandestina, perché un sistema che nessuno ha registrato è un sistema che nessuno sorveglia. Si veda la nostra pagina sulla conformità IA per il contenuto atteso. I log. L’articolo 26, paragrafo 6, impone al deployer di conservare i log generati automaticamente da un sistema ad alto rischio, nella misura in cui sono sotto il suo controllo, per un periodo adeguato alla finalità prevista e comunque di almeno sei mesi, salvo diversa disposizione. Sei mesi sono un pavimento, non un obiettivo, e sono più corti della maggior parte dei tempi di indagine. La documentazione tecnica dell’allegato IV. Qualcuno la porta, deve essere aggiornata al momento dell’immissione sul mercato e seguire l’evoluzione del sistema. Il compito del comitato di governance dell’IA è verificare che quel titolare esista e che il documento non abbia diciotto mesi di ritardo sul modello in esercizio. La dichiarazione di conformità. Firmata, leggibile meccanicamente, conservata dieci anni dopo l’immissione sul mercato o la messa in servizio. Un test utile: chiedete che cosa il comitato di governance dell’IA potrebbe consegnare domani mattina a un’autorità senza preparare nulla. Se la risposta onesta è una presentazione, l’organo non è ancora un controllo.
Il calendario 2027 che uno statuto scritto oggi deve assumere
È sulle date che molte pubblicazioni dedicate al comitato di governance dell’IA sono ormai semplicemente sbagliate, perché il calendario si è spostato dopo la loro stesura. Già applicabile: le pratiche vietate dell’articolo 5 e il dovere di alfabetizzazione dell’articolo 4 si applicano dal 2 febbraio 2025, gli obblighi sui modelli per finalità generali dal 2 agosto 2025. L’alfabetizzazione è l’obbligo più trascurato e quello che un comitato di governance dell’IA può onorare più in fretta. Dal 2 agosto 2026: gli obblighi di trasparenza dell’articolo 50 su contenuti sintetici, informazione agli utenti dei chatbot, marcatura dei deepfake e riconoscimento delle emozioni. Se l’organizzazione genera o manipola contenuti, è la scadenza dura più vicina. Rinviati: il regolamento (UE) 2026/1744, il cosiddetto omnibus digitale sull’IA, approvato dal Parlamento europeo il 16 giugno 2026 e dal Consiglio il 29 giugno 2026, pubblicato nella Gazzetta ufficiale il 24 luglio 2026 ed entrato in vigore il 27 luglio 2026, ha spostato gli obblighi ad alto rischio autonomi dell’allegato III al 2 dicembre 2027 e quelli dell’allegato I al 2 agosto 2028. Le pratiche vietate e il regime dei modelli per finalità generali non sono stati modificati. Per un comitato di governance dell’IA questo rinvio non è una ragione per rallentare: è un budget. Il lavoro di classificazione, il quadro di responsabilità e il registro sono le voci a lungo termine, e chi tratta il 2 dicembre 2027 come una data di partenza invece che come una scadenza si troverà ad assemblare la documentazione dell’allegato IV per sistemi che girano senza sorveglianza da due anni. La nostra guida ai sistemi di IA ad alto rischio tratta la decisione di classificazione in sé.
Quando non bisogna istituire un comitato di governance dell’IA
Una delle pagine meglio posizionate per questa ricerca sostiene che non serva affatto questo organo. L’argomento merita una risposta invece del silenzio, perché ha ragione più spesso di quanto le guide dei fornitori ammettano. Un comitato di governance dell’IA permanente è la struttura sbagliata quando ricorrono tre condizioni insieme: l’organizzazione non è né fornitore né deployer di alcun sistema ad alto rischio, non gestisce un proprio modello per finalità generali e il suo uso dell’IA si limita a qualche strumento di mercato senza decisioni automatizzate su persone. In quel caso l’organo produce cerimoniale. La struttura giusta è un responsabile nominato, una politica sull’IA davvero applicata e un punto permanente in un comitato rischi o controllo interno già esistente. Un comitato di governance dell’IA è la struttura sbagliata anche quando serve a distribuire la responsabilità finché nessuno la porta più. Se lo statuto non nomina persone responsabili, l’organo ha reso la responsabilità più difficile da individuare di prima, ed è esattamente il difetto che l’articolo 17 e il punto 5.3 vogliono impedire. Due inneschi onesti: il primo sistema classificato ad alto rischio ai sensi dell’allegato III, e la prima volta che due funzioni sono in disaccordo su un rilascio senza che esista un luogo dove risolverlo lasciando traccia scritta. Prima di allora, un responsabile nominato e una buona politica sull’IA rendono più di un comitato di governance dell’IA.
Domande frequenti
Qual è il ruolo di un comitato di governance dell’IA? Il comitato di governance dell’IA detiene ed esercita diritti decisionali delegati sui sistemi di IA con conseguenza giuridica o materiale, e produce le tracce che provano che quelle decisioni sono state prese deliberatamente. In concreto: classificare i sistemi e il ruolo ricoperto per ciascuno, approvare o condizionare i rilasci, designare le persone responsabili della sorveglianza e della firma dei documenti di conformità, esaminare gli incidenti e il monitoraggio successivo all’immissione sul mercato. Il parere consultivo è una funzione secondaria: un organo che si limita a consigliare non ha bisogno di uno statuto. Chi è responsabile della governance dell’IA? Persone nominate, non il comitato di governance dell’IA. Il regolamento assegna i doveri al fornitore o al deployer come organizzazione, poi esige che quell’organizzazione individui persone fisiche: i sorveglianti dell’articolo 26, il personale le cui responsabilità figurano nel quadro di responsabilità dell’articolo 17 e chi firma la dichiarazione di conformità ai sensi dell’allegato V. Il punto 5.3 della ISO/IEC 42001 chiede lo stesso all’alta direzione. Se ne parla nella nostra pagina sulla responsabilità dell’IA. Che differenza c’è con un comitato di indirizzo sull’IA? Il comitato di indirizzo decide che cosa l’organizzazione debba costruire e finanziare. Il comitato di governance dell’IA decide se e a quali condizioni possa esercire ciò che è stato costruito. Idealmente i due non condividono la presidenza, perché chi risponde della consegna non dovrebbe anche approvare l’accettazione del rischio. Se l’organico impone un organo unico, separate l’ordine del giorno e verbalizzate i due ruoli distintamente. Ogni quanto deve riunirsi? Regolate la cadenza deliberativa sul volume in ingresso invece che sull’abitudine, e non affidate mai al calendario delle sedute nulla che sia a termine. L’articolo 73 fa girare orologi di 15, 10 e 2 giorni, quindi lo statuto ha bisogno di una reperibilità, di una regola di convocazione d’urgenza e di un perimetro scritto di ciò che una sola persona può decidere. Serve un comitato di governance dell’IA per la certificazione ISO 42001? No. Il punto 5.3 richiede ruoli, responsabilità e autorità assegnati e comunicati, oltre a un canale di riporto delle prestazioni del sistema di gestione verso l’alta direzione. Un organo è un modo comodo di dimostrarlo, ma l’auditor verifica che la responsabilità sia documentata, compresa ed esercitata, non che esista un organo con un nome particolare. La nostra guida alla certificazione ISO 42001 descrive che cosa gli auditor campionano davvero. Che cosa deve contenere lo statuto? Oggetto e perimetro, le quattro disposizioni decisionali e i loro titolari, la matrice di escalation verso il consiglio, i seggi con un dovere nominato per ciascuno, il quorum e la regola sul conflitto di interessi, l’innesco di convocazione e la reperibilità, l’ordine del giorno permanente, gli obblighi di conservazione con le rispettive durate e il ciclo di revisione dello statuto stesso. Aggiungete un allegato che associ ogni elemento dell’articolo 17, paragrafo 1, a un ruolo nominato: è quell’allegato che un auditor chiederà.
Conclusione
Le pagine posizionate per questa ricerca descrivono un assetto organizzativo. Il regolamento descrive una catena di responsabilità, e quella catena finisce su una persona con una penna. Un comitato di governance dell’IA vale esattamente nella misura in cui rende esplicita quella catena: chi ha classificato questo sistema e con quale ragionamento, chi lo sorveglia e con quale autorità, chi firmerà per esso e dove sta la traccia di tutti e tre. Costruite lo statuto a ritroso a partire dall’articolo 17, dall’articolo 26, dall’allegato V e dal punto 5.3. Date al comitato di governance dell’IA disposizioni vere e un percorso di escalation vero. Tenete l’assicurazione indipendente dall’approvazione. Regolate la cadenza sugli orologi degli incidenti e non sul calendario. E se i quattro obblighi non vi riguardano ancora, mettetelo per iscritto e nominate un responsabile. Un organo che esiste perché esistono i doveri è un controllo. Uno che esiste perché un concorrente ha annunciato il proprio è una riunione.