Il problema di governance dell’IA che nessuno vuole discutere
L’adozione dell’IA sta accelerando in tutte le organizzazioni, dai governi alle banche, fino a varie aziende private. Strumenti come copiloti interni, ricerche automatizzate e sistemi di supporto decisionale vengono implementati rapidamente. Tuttavia, il rischio più serio introdotto dall’IA non risiede nel modello, nell’algoritmo o nell’output, ma nell’accesso ai dati, nella loro visibilità, categorizzazione e gestione.
Molte organizzazioni non hanno una chiara comprensione operativa dei propri ambienti informativi. Non possono affermare con certezza quali informazioni possiedano, dove esse risiedano, quali parti siano sensibili o quali informazioni i loro sistemi di IA possano realmente accedere o inferire.
La regolamentazione dell’IA in Europa
I sistemi di IA raramente creano rischi in isolamento. Amplificano l’ambiente dati in cui vengono collocati. Se tale ambiente è frammentato, mal classificato e solo parzialmente compreso, il rischio cresce silenziosamente.
Il Regolamento sull’IA dell’UE è la prima normativa che costringe a mettere in evidenza questo problema. Le sue implicazioni vanno ben oltre l’UE e si fanno già sentire negli Stati Uniti. Qualsiasi organizzazione che opera in Europa o che vende nei mercati europei sarà influenzata, direttamente attraverso obblighi di conformità o indirettamente attraverso pressioni di approvvigionamento, poiché i compratori europei richiedono sempre più il controllo dimostrabile dei dati dai fornitori e dai partner tecnologici.
Le domande che le organizzazioni non possono rispondere
Quando la governance dell’IA passa dalle politiche ai sistemi reali, le lacune diventano evidenti. La maggior parte delle organizzazioni non può rispondere con affidabilità a domande fondamentali riguardo alle informazioni che detiene, alla loro ubicazione e alla loro movimentazione, e su quali dati siano sensibili o critici per la missione.
Modalità di fallimento nella governance dell’IA
Da esperienze con istituzioni pubbliche e organizzazioni di medie dimensioni, emergono frequentemente le stesse modalità di fallimento:
- Nessun inventario affidabile delle informazioni: Le organizzazioni non possono governare ciò che non possono elencare. I dati si disperdono tra sistemi di email, strumenti SaaS, archivi e piattaforme fornitore.
- Sensibilità assunta, non classificata: Poche organizzazioni possono distinguere in modo coerente tra dati pubblici, confidenziali, personali e critici. Le politiche esistono, ma la loro applicazione è irregolare.
- I sistemi di IA non rispettano le assunzioni: Gli strumenti di IA operano su permessi e logiche di recupero, non sull’intento.
- Governance imposta dopo l’inserimento dell’IA: Le funzionalità di IA vengono integrate nelle piattaforme di produttività prima che vengano scritti i quadri di governance.
- Rischio valutato teoricamente, non operativamente: La governance dell’IA spesso si ferma alla documentazione, ai comitati e alla formazione.
Un nuovo approccio alla governance dell’IA
In pratica, molte organizzazioni iniziano la governance dell’IA dal livello sbagliato, concentrandosi prima sulla selezione dei modelli e sulle politiche d’uso. Una governance efficace deve partire da un livello precedente, con visibilità e controllo dei dati.
Ciò significa:
- Scoperta automatizzata delle informazioni attraverso sistemi interni e piattaforme esterne;
- Classificazione continua dei dati per sensibilità e criticità operativa;
- Barriere applicabili che definiscono cosa i sistemi di IA possono accedere, recuperare o inferire.
Questo è anche il punto in cui i “dati oscuri” diventano visibili: informazioni che le organizzazioni non sapevano di possedere o non si rendevano conto fossero esposte all’accesso delle macchine.
Dalla conformità al controllo
I processi di approvvigionamento, i regolatori e le assicurazioni convergono su una semplice richiesta: prova di controllo. Le organizzazioni che non possono dimostrare visibilità, classificazione e controlli di accesso applicabili avranno sempre più difficoltà a implementare l’IA su larga scala.
Il futuro della governance dell’IA non sarà deciso da una migliore formulazione delle politiche, ma dalla capacità delle organizzazioni di vedere, classificare e controllare i propri ambienti informativi prima che vari sistemi di IA trasformino la trasparenza sicura in esposizione.
