Il Tesoro degli Stati Uniti pubblica una Guida ai Rischi dell’IA per le Istituzioni Finanziarie
Il Tesoro degli Stati Uniti ha pubblicato vari documenti destinati al settore dei servizi finanziari, suggerendo un approccio strutturato per gestire i rischi dell’IA nelle operazioni e nelle politiche. Il Framework di Gestione del Rischio dell’IA nei Servizi Finanziari (FS AI RMF) è accompagnato da una Guida che fornisce dettagli sul framework, sviluppato grazie alla collaborazione di oltre 100 istituzioni finanziarie e organizzazioni del settore, con input da parte di regolatori e organismi tecnici.
Obiettivo del Framework
L’obiettivo del FS AI RMF è aiutare le istituzioni finanziarie a identificare, valutare, gestire e governare i rischi associati ai sistemi di IA, consentendo così alle aziende di adottare tecnologie IA in modo responsabile.
I sistemi di IA introducono rischi che i framework di governance tecnologica esistenti non affrontano. Questi rischi includono il pregiudizio algoritmico, la limitata trasparenza nei processi decisionali, le vulnerabilità informatiche e le dipendenze complesse tra sistemi e dati. I modelli linguistici di grandi dimensioni (LLM) sollevano preoccupazioni poiché il loro comportamento può essere difficile da interpretare o prevedere.
Applicazione del Framework
Sebbene le istituzioni finanziarie operino già sotto regolamentazioni estensive e ci siano linee guida generali come il Framework di Gestione del Rischio dell’IA del NIST, l’applicazione di framework generali alle operazioni delle istituzioni finanziarie manca di dettagli che riflettano le pratiche del settore e le aspettative normative.
Il FS AI RMF è posizionato come un’estensione del framework NIST, con controlli specifici per il settore e linee guida pratiche per l’implementazione. La Guida spiega come le aziende possono valutare la loro attuale maturità nell’IA e implementare controlli per limitare i rischi.
Componenti del Framework
Il framework contiene quattro componenti principali. Il primo è un questionario sullo stadio di adozione dell’IA che consente alle organizzazioni di determinare la maturità del loro utilizzo dell’IA. Il secondo è una matrice di rischi e controlli, contenente un set di dichiarazioni sui rischi e obiettivi di controllo in allineamento con le fasi di adozione.
Il framework definisce un totale di 230 obiettivi di controllo organizzati secondo quattro funzioni adattate dal framework NIST: governare, mappare, misurare e gestire. Ogni funzione contiene categorie e sottocategorie che descrivono elementi di gestione e governance efficace del rischio dell’IA.
Fasi di Adozione dell’IA
Il questionario aiuta le organizzazioni a determinare dove si trovano nello spettro dell’uso dell’IA attualmente, valutando fattori come l’impatto commerciale dell’IA, le disposizioni di governance, i modelli di distribuzione, l’uso di fornitori di IA di terze parti, gli obiettivi organizzativi e la sensibilità dei dati.
In base a questa valutazione, le organizzazioni sono classificate in quattro fasi di adozione dell’IA: fase iniziale, fase minima, fase in evoluzione, e fase integrata. Queste fasi aiutano le istituzioni a concentrare i loro sforzi sui controlli appropriati al loro livello di maturità.
Controlli e Obiettivi
Gli obiettivi di controllo per ciascuna fase di adozione dell’IA affrontano argomenti di governance e operativi, inclusi gestione della qualità dei dati, monitoraggio di equità e pregiudizio, controlli di cybersecurity, trasparenza nei processi decisionali dell’IA e resilienza operativa.
Il framework raccomanda di mantenere procedure di risposta agli incidenti specifiche per i sistemi di IA e di creare un repository centrale per il tracciamento degli incidenti IA. Questi processi aiuteranno le organizzazioni a rilevare i fallimenti e migliorare la governance nel tempo.
Principi di Affidabilità dell’IA
Il framework incorpora principi per un’IA affidabile, definiti come validità e affidabilità, sicurezza e resilienza, responsabilità, trasparenza, spiegabilità, protezione della privacy e equità. Questi principi forniscono una base per valutare i sistemi di IA lungo il loro intero ciclo di vita.
Conclusione
Per i leader delle istituzioni finanziarie, il FS AI RMF offre una guida per integrare l’IA nei framework di gestione del rischio esistenti. Adottare l’IA senza rafforzare le strutture di governance può esporre le istituzioni a fallimenti operativi, controllo normativo o danni alla reputazione. Al contrario, le aziende che costruiscono processi di governance chiari saranno più sicure nel distribuire sistemi di IA.
Il messaggio per i decisori del settore finanziario è che l’adozione dell’IA deve progredire di pari passo con la governance del rischio. Un framework strutturato come il FS AI RMF fornisce un linguaggio e un metodo comuni per gestire l’evoluzione.
