Parte II: Come i regolatori stanno testando il loro approccio alla governance dell’IA
Questa è una serie in tre parti sulla governance dell’IA nel QA bancario e nei test software. La Parte II esplora come i regolatori stanno rispondendo ai rischi dell’IA, perché i loro approcci differiscono e come le funzioni di test siano diventate il meccanismo pratico di attuazione della governance dell’IA.
L’espansione degli obblighi di test
Se la Parte I di questa serie speciale sul QA finanziario ha esplorato perché la governance dell’IA sia giunta sulla scrivania del QA, la Parte II esamina come i regolatori stanno cercando di rispondere a questa realtà, e perché i loro sforzi stanno sempre più coinvolgendo il testing e l’ingegneria della qualità nel centro della supervisione dell’IA.
In diverse giurisdizioni, sta emergendo un modello chiaro. I regolatori non chiedono alle banche di smettere di utilizzare l’IA. Invece, chiedono alle aziende di dimostrare che i sistemi di IA siano controllati, testabili e responsabili nella pratica. Questa enfasi pone i team di QA e testing software al centro della conformità normativa.
Il Regolamento sull’IA dell’UE
Il Regolamento sull’IA dell’UE rappresenta il tentativo più ambizioso di regolamentare l’intelligenza artificiale a livello globale. Introduce un quadro orizzontale basato sul rischio che si applica a diversi settori, compresi quelli bancari e assicurativi. Sotto il Regolamento, molti casi d’uso comuni nel settore finanziario, come la valutazione della solvibilità, la rilevazione delle frodi e il profiling del rischio dei clienti, sono classificati come ad alto rischio.
I sistemi ad alto rischio devono soddisfare requisiti relativi alla gestione del rischio, alla governance dei dati, alla supervisione umana, alla robustezza e al monitoraggio post-mercato. Per i team di QA, ciò amplia l’ambito di ciò che significa testare.
Testare non è più solo verificare la correttezza funzionale
Il testing non è più limitato a verificare la correttezza funzionale prima del rilascio. I team di QA sono sempre più chiamati a convalidare la qualità dei dati di addestramento, testare per bias e deriva, valutare la robustezza in casi limite e monitorare il comportamento nel tempo. Questo è dove l’ambizione normativa collide con la realtà tecnica. I regolatori spesso assumono che le decisioni dell’IA possano essere completamente tracciate e spiegate. Tuttavia, i sistemi di IA, specialmente i modelli di linguaggio di grandi dimensioni, comprimono le informazioni in modi fondamentalmente non invertibili, rendendo impossibile la ricostruzione completa.
La governance si sposta dalla politica alla pratica
I regolatori stanno diventando sempre più consapevoli che i quadri di governance da soli non sono sufficienti. Ciò che conta è se la governance funzioni nei sistemi reali. Questo spostamento è visibile nell’enfasi crescente sui controlli del ciclo di vita piuttosto che sulla validazione puntuale. I rischi più gravi dell’IA spesso emergono dopo il deployment, poiché i sistemi si adattano, interagiscono con altri modelli o vengono esposti a nuovi dati.
Per i team di QA, questo rafforza la necessità di test e monitoraggio continui. I casi di test statici e i processi di approvazione pre-rilascio non sono più sufficienti quando il comportamento dell’IA può cambiare nel tempo.
Il passaggio della FCA ai test dal vivo
In alcune giurisdizioni, come il Regno Unito, le autorità hanno adottato un approccio sperimentale. Invece di emettere regole prescrittive per l’IA, hanno lanciato iniziative progettate per testare i sistemi di IA in condizioni reali sotto supervisione normativa. Questo segnala un cambiamento significativo. L’assicurazione dell’IA non riguarda più la presentazione di documentazione al termine dello sviluppo, ma dimostrare il comportamento in condizioni operative reali.
Singapore e la governance pragmatica
Altrove, i regolatori stanno adottando approcci diversi ma complementari. Alcuni paesi si sono posizionati come leader nella governance pragmatica dell’IA, enfatizzando l’umanocentricità, la trasparenza e la spiegabilità evitando regole rigide e prescrittive.
Con l’aumento della supervisione normativa, la responsabilità si sposta verso l’alto. I consigli di amministrazione vengono coinvolti più profondamente nella supervisione dell’IA, con un’enfasi crescente su metriche, report e garanzie. Gli artefatti di testing servono non solo come evidenza per i regolatori, ma anche per i consigli e i dirigenti superiori.
Perché il QA diventa il livello di enforcement
In conclusione, i regolatori non chiedono ai team di QA di diventare avvocati, ma di rendere reale la governance. Il testing è dove i principi normativi come robustezza, equità, responsabilità e resilienza vengono attualizzati. Quando i sistemi di IA non possono essere testati o monitorati in modo significativo, diventano passività normative indipendentemente dai loro vantaggi prestazionali. Questo spiega perché le banche stanno investendo pesantemente nelle capacità di testing e monitoraggio della qualità.
