Quando l’IA è Imposta sulla Conformità: La ECCP come Guida
Una email arriva senza preavviso. L’azienda ha selezionato una piattaforma di IA. L’IT è già in fase di integrazione e un progetto pilota è in corso. Il Consiglio di Amministrazione è favorevole ed entusiasta. È stato chiesto al Chief Compliance Officer di “fornire governance” entro una settimana.
Da Dove Iniziare?
La risposta è semplice. Puoi iniziare con la Valutazione dei Programmi di Conformità Aziendale (ECCP) del Dipartimento di Giustizia degli Stati Uniti (DOJ) del 2024.
L’ECCP stabilisce chiaramente che i pubblici ministeri valuteranno come le aziende identificano, gestiscono e controllano i rischi derivanti da nuove tecnologie emergenti, inclusa l’intelligenza artificiale, sia nelle operazioni aziendali che all’interno dei programmi di conformità stessi. Ma anche all’interno di questo mandato ci sono informazioni che ti possono fornire un punto di partenza per questa richiesta di gestione.
Ridefinire l’IA come Problema di Valutazione del Rischio
Il primo passo è smettere di trattare l’IA come un’implementazione tecnica e iniziare a considerarla come un obbligo di valutazione del rischio. L’ECCP è chiaro: le valutazioni del rischio devono evolvere man mano che i rischi interni ed esterni cambiano e indica specificamente l’IA come una tecnologia che richiede un’analisi affermativa. I pubblici ministeri chiederanno se l’azienda ha valutato come l’IA potrebbe influenzare la conformità alle leggi penali, se i rischi dell’IA sono stati integrati nella gestione dei rischi aziendali e se esistono controlli per garantire che l’IA venga utilizzata solo per scopi previsti.
Per il CCO, ciò significa incorporare formalmente i casi d’uso dell’IA nella valutazione del rischio di conformità. Se l’IA influisce su indagini, monitoraggio, formazione, due diligence di terzi o reporting, allora è sotto l’occhio del DOJ.
Inventario Prima di Redigere la Politica
L’ECCP non premia politiche aspirazionali non supportate da fatti. I pubblici ministeri vogliono capire perché un’azienda ha strutturato il proprio programma di conformità in un certo modo. Prima di redigere quadri di governance sull’IA, la conformità deve richiedere un inventario completo dell’uso dell’IA:
- Quali strumenti sono stati implementati o sono in fase di prova;
- Quali funzioni aziendali li utilizzano;
- Quali dati elaborano;
- Se gli output sono consultivi o influenzano le decisioni.
Questo inventario dovrebbe includere esplicitamente l’uso da parte dei dipendenti di strumenti di IA generativa. L’ECCP enfatizza la gestione dell’uso improprio interno e delle conseguenze indesiderate della tecnologia. L’uso “ombra” non gestito dell’IA è ora un fallimento di conformità, non un inconveniente IT.
Concentrare l’Integrità delle Decisioni, Non il Design del Modello
Una delle intuizioni più trascurate dell’ECCP è che il DOJ valuta i risultati e la responsabilità, non l’eleganza tecnica. Quando l’IA viene utilizzata, i pubblici ministeri chiederanno:
- Quali decisioni ha influenzato l’IA;
- Quale baseline di giudizio umano esisteva;
- Come è stata assegnata e applicata la responsabilità.
I funzionari della conformità dovrebbero quindi centrare la governance attorno alle decisioni, non agli algoritmi. Se nessuno può spiegare come è stato valutato, superato o escalato un output dell’IA, l’azienda non può dimostrare che il proprio programma di conformità funzioni nella pratica. L’ECCP chiede esplicitamente quale “baseline di decisione umana” è utilizzata per valutare gli output dell’IA e come viene monitorata e applicata la responsabilità sull’uso dell’IA. Questo si traduce direttamente in una delle frasi più diffuse sull’IA, il “Umano nel Loop”. Tuttavia, questo può essere visto come un controllo interno in un programma di conformità delle migliori pratiche. I controlli “Umano nel Loop” devono essere reali, documentati e potenziati.
Richiedere Spiegabilità per i Consigli e i Regolatori
Il DOJ non si aspetta che i consigli comprendano le architetture di machine learning. Si aspetta invece che i consigli esercitino un controllo informato. L’ECCP chiede ripetutamente se la conformità può spiegare rischi, controlli e fallimenti alla direzione senior e al consiglio. Se un ufficiale di conformità non può spiegare, in termini semplici, come l’IA influisce sulle decisioni di conformità, il programma non è difendibile. Ogni caso d’uso materiale dell’IA dovrebbe avere una narrazione pronta per il consiglio:
- Perché viene utilizzata l’IA;
- Quali rischi crea;
- Dove interviene il giudizio umano;
- Come vengono rilevati e corretti gli errori.
Questo non è facoltativo. I pubblici ministeri valuteranno quali informazioni sono state esaminate dai consigli e come hanno esercitato il controllo.
Integrare la Governance dell’IA nei Controlli Esistenti
L’ECCP avverte contro i “programmi di carta”. Ciò significa che la governance dell’IA non può trovarsi in un silo di politiche separato. I controlli relativi all’IA devono integrarsi con le strutture di conformità esistenti, come i protocolli di indagine, i meccanismi di reporting, la formazione, l’audit interno e la governance dei dati. Se l’IA identifica comportamenti illeciti, come viene escalato? Se l’IA supporta le indagini, come vengono preservati e documentati gli output? Se l’IA supporta la formazione, come viene misurata l’efficacia? Il DOJ cercherà coerenza nell’approccio, documentazione e monitoraggio, non novità.
Insistere su Risorse e Autorità
L’ECCP dedica attenzione significativa al fatto che le funzioni di conformità siano adeguatamente dotate di risorse, potere e autonomia. Questo viene tipicamente applicato agli ufficiali di conformità e ai professionisti della conformità. Sarebbe un’estensione logica che se la responsabilità della governance dell’IA è assegnata alla conformità, allora la conformità deve avere accesso ai dati, spiegazioni tecniche e autorità di escalation. Assegnare responsabilità senza risorse è, in termini di DOJ, prova di un programma che non viene applicato in buona fede. Un mandato forzato senza finanziamenti o autorità è esso stesso un rischio di conformità.
Documentare l’Evoluzione
Infine, gli ufficiali di conformità devono documentare non solo i controlli, ma anche l’evoluzione. L’ECCP enfatizza ripetutamente il miglioramento continuo, il testing e la revisione. La governance dell’IA non sarà perfetta. Il DOJ non si aspetta la perfezione. Si aspetta prove che l’azienda ha identificato rischi, testato controlli, imparato dagli errori e si è adattata. Verbali delle riunioni, revisioni dei progetti pilota, valutazioni dei rischi e passi di rimedio sono tutti importanti. Cosa significa questo? Documentare, documentare, documentare.
La Conclusione
Quando l’IA è imposta sulla conformità, la resistenza può essere comprensibile, ma alla fine inefficace. Il DOJ ha già superato la questione se l’IA debba essere governata. L’unica domanda rimanente è se la governance sia credibile. Per l’ufficiale di conformità di oggi, la governance dell’IA non è più opzionale, tecnica o teorica. È un test attuale di se il programma di conformità è ben progettato, potenziato e funzionante nella pratica.
Infine, se tu, come professionista della conformità, senti parlare dell’uso dell’IA della tua organizzazione solo quando questo incarico viene passato, hai davvero bisogno di un posto al tavolo.
