Propensione al rischio nell’IA: limiti, soglie e prove

In sintesi

• Una propensione al rischio più elevata costituisce una decisione assunta consapevolmente: accettare maggiore incertezza per accelerare l’adozione dell’IA. È una scelta che viene messa a verbale, non una postura di conformità che si dichiara.
• La propensione si colloca dentro la capacità di rischio: la capacità indica quanto l’organizzazione potrebbe assorbire, la propensione quanto decide di assumere.
• Il regolamento europeo sull’IA fissa soglie minime che nessuna dichiarazione supera: l’articolo 5 vieta integralmente alcune pratiche, l’articolo 9 richiede che il rischio residuo sia giudicato accettabile.
• La norma ISO/IEC 42001 e il NIST AI Risk Management Framework rimandano entrambi la decisione di accettazione all’organizzazione, per iscritto e con un titolare nominato.
• La propensione al rischio diventa operativa soltanto quando viene convertita in soglie misurate, in punti di controllo del ciclo di vita e in prove verificabili.

Che cosa significa davvero una propensione al rischio più elevata

La propensione al rischio indica la quantità e la tipologia di rischio che un’organizzazione è disposta a perseguire o a mantenere. La formulazione proviene dal vocabolario normalizzato ISO (guida ISO 73, ripubblicata come ISO 31073:2022), e due dei suoi termini reggono l’intero significato: disposta, e mantenere. Si tratta di una decisione presa in anticipo su un’esposizione che si intende conservare, non eliminare.

La definizione più rigorosa in circolazione resta quella pubblicata dal Financial Stability Board nel 2013, che parla del « livello aggregato e delle tipologie di rischio che un intermediario finanziario è disposto ad assumere entro la propria capacità di rischio per conseguire gli obiettivi strategici e il piano industriale ». Se si rimuove il perimetro bancario, la struttura resta valida per qualunque organizzazione che impieghi l’IA: un livello aggregato, tipologie nominate, un vincolo posto dalla capacità, una giustificazione fornita dall’obiettivo. È del resto la stessa architettura che Banca d’Italia richiede attraverso il Risk Appetite Framework nella Circolare 285.

Dichiarare una propensione al rischio più ampia significa dunque qualcosa di più circoscritto di quanto sembri. Significa che si è accettato un volume maggiore di un’esposizione definita, al servizio di un obiettivo enunciato, e che si è in grado di indicare dove passa ora il confine. Non significa tolleranza verso le sorprese e non significa documentazione più leggera. All’interno di un programma di governance dell’IA, una propensione più ampia si traduce di norma in percorsi autorizzativi abbreviati per i sistemi a bassa criticità, in un perimetro di sperimentazione più esteso, oppure nella disponibilità a rilasciare con una limitazione nota e resa esplicita.

Propensione, tolleranza, capacità e limiti

Questi quattro termini vengono impiegati come sinonimi nella maggior parte dei comitati. Non lo sono.

• La capacità di rischio rappresenta il soffitto. Il Financial Stability Board la definisce come « il livello massimo di rischio che l’intermediario può assumere date le risorse attuali, prima di violare i propri vincoli ». La capacità non si sceglie, si constata.
• La propensione al rischio è il livello al quale si decide di operare sotto quel soffitto.
• La tolleranza al rischio indica la variazione ammissibile attorno a un obiettivo specifico. Il NIST la descrive come « disponibilità a sostenere il rischio al fine di conseguire i propri obiettivi ».
• I limiti di rischio appartengono all’aritmetica. Il Financial Stability Board li considera « misure quantitative, basate su ipotesi prospettiche, che allocano la dichiarazione aggregata di propensione alle linee di business, alle entità giuridiche rilevanti, a specifiche categorie di rischio e alle concentrazioni ».

Una propensione priva di limiti resta un sentimento. Limiti privi di propensione dichiarata risultano arbitrari. È la combinazione dei due elementi a rendere una decisione difendibile diciotto mesi dopo, quando qualcuno chiederà perché quel modello sia stato autorizzato.

Perché l’IA manda in crisi la dichiarazione tradizionale

Le dichiarazioni di propensione al rischio sono state concepite per esposizioni quantificabili in denaro. Perdite su crediti, incidenti operativi, coefficienti patrimoniali: tutto si riconduce a un numero, e un numero si può delimitare. L’IA resiste a questa riduzione in quattro modi precisi.

I danni non sono denominati in euro. Uno strumento di prescreening delle candidature che esclude un gruppo protetto produce una discriminazione, non una voce di perdita. Non è possibile enunciare una quantità accettabile di discriminazione illecita, poiché tale quantità è pari a zero. Il ragionamento vale per i danni alla sicurezza delle persone in contesti sanitari o industriali. Quando la modalità di guasto riguarda i bias dell’IA, il linguaggio della propensione cessa di essere utile e subentra quello dei controlli. Il Garante per la protezione dei dati personali ha del resto ribadito con continuità che i diritti fondamentali non si bilanciano con un guadagno di prestazione.

Il comportamento deriva dopo la decisione. Una dichiarazione tradizionale viene rivista annualmente perché l’esposizione sottostante si muove lentamente. Le prestazioni di un modello, invece, seguono i dati. Un sistema entro la propensione dichiarata a marzo può trovarsi fuori a settembre senza che sia stata modificata una sola riga di codice.

L’opacità delimita ciò che è delimitabile. Non si fissa una soglia su una proprietà che non viene misurata. Per numerosi sistemi in produzione la risposta onesta è che la qualità delle spiegazioni, la robustezza in caso di spostamento della distribuzione e le modalità di guasto risultano osservabili solo in parte, il che rende qualunque cifra troppo precisa una falsa rassicurazione.

Spesso si eredita la propensione di altri. Quando il modello viene acquistato invece che costruito, le scelte compiute durante il pre-addestramento non sono le proprie. Chi impiega IA per finalità generali assorbe il giudizio di un fornitore a monte su quale comportamento sia accettabile, con visibilità limitata sul modo in cui tale giudizio si è formato.

L’Institute of Internal Auditors formula senza giri di parole la versione organizzativa del problema nel proprio quadro di audit dell’IA: « Having a higher risk appetite in pursuit of AI goals may not be appropriate for an organization that is risk averse in other aspects, whereas organizations with historically high-risk tolerance may be more willing to accept AI-related risks. Regardless of an organization’s risk tolerance, it is essential to recognize and map AI risks during AI strategic planning. » L’ultima frase costituisce la clausola operativa: la propensione non elimina mai l’obbligo di identificare ciò che si sta accettando.

Le soglie minime che nessuna propensione al rischio supera

Questa è la parte assente da quasi tutta la pubblicistica sul tema, ed è quella che determina se la dichiarazione reggerà. In materia di IA la propensione non è una variabile libera su tutta la sua estensione: il diritto ne taglia la parte inferiore.

L’articolo 5 del regolamento sull’IA enuncia un divieto, non un rischio. Il testo elenca pratiche che non possono essere immesse sul mercato né utilizzate, tra cui il punteggio sociale da parte delle autorità pubbliche, l’estrazione non mirata di immagini facciali per costituire banche dati di riconoscimento, l’inferenza delle emozioni sul luogo di lavoro e negli istituti di istruzione, e talune forme di polizia predittiva fondate unicamente sulla profilazione. Tali disposizioni si applicano dal 2 febbraio 2025. Una pratica vietata non è un’esposizione da bilanciare con un beneficio, è un’attività che si interrompe. L’articolo 99, paragrafo 3, ne tariffa l’errore fino a 35 000 000 EUR oppure al 7 per cento del fatturato mondiale totale annuo, se superiore.

L’articolo 9 fissa il test di accettazione per i sistemi ad alto rischio. Per questa classe il regolamento esige che « il pertinente rischio residuo associato a ciascun pericolo, così come il rischio residuo complessivo dei sistemi di IA ad alto rischio, sia considerato accettabile ». Conviene osservare che cosa fa questa formulazione: non indica dove si collochi l’accettabile, quindi il giudizio spetta a voi, ma rende quel giudizio obbligatorio, esplicito e imputabile.

L’articolo 9, paragrafo 5, impone inoltre un ordine delle operazioni che nessuna propensione al rischio può riorganizzare: eliminare o ridurre il rischio mediante progettazione e sviluppo nella misura in cui ciò sia tecnicamente possibile, poi applicare misure di attenuazione e controllo per quanto residua, poi fornire informazioni e formazione ai deployer. La documentazione è l’ultima linea di difesa, non un sostituto delle prime due. Nessuna organizzazione può dichiararsi più tollerante e saltare direttamente all’informativa.

La decisione non scade nemmeno in silenzio. L’articolo 9, paragrafo 2, descrive il sistema di gestione dei rischi come « un processo iterativo continuo pianificato ed eseguito nel corso dell’intero ciclo di vita di un sistema di IA ad alto rischio, che richiede un riesame e un aggiornamento sistematici periodici ». Per il dettaglio di questi obblighi, la nostra guida operativa al regolamento europeo sull’IA percorre l’intero tracciato di conformità.

Dove una propensione più ampia si applica legittimamente

Nulla di tutto questo svuota il concetto: lo sposta. Il margine effettivo si trova nei sistemi a rischio limitato e a rischio minimo, nonché nelle scelte operative che li circondano. Con quale rapidità un caso d’uso supera il riesame, quanta sperimentazione interna procede senza valutazione formale, quanti progetti pilota paralleli la seconda linea riesce ad assorbire, quale imprecisione residua si accetta su uno strumento interno di sintesi dal quale nessuno trae decisioni. È lì che una propensione al rischio più ampia si converte in velocità, ed è lì che lo scambio risulta onesto.

Ciò che gli standard obbligano a mettere per iscritto

Entrambi i principali quadri di riferimento per l’IA si rifiutano di stabilire la vostra propensione al posto vostro, ed entrambi impongono di registrare quella che adottate.

Il NIST AI Risk Management Framework è insolitamente diretto sul punto. La sezione 1.2.2 afferma: « While the AI RMF can be used to prioritize risk, it does not prescribe risk tolerance. » Ne spiega subito la ragione: « Risk tolerance and the level of risk that is acceptable to organizations or society are highly contextual and application and use-case specific. » Precisa inoltre che la tolleranza « can be influenced by legal or regulatory requirements », ossia esattamente il taglio descritto sopra. Il quadro chiude il cerchio con un’istruzione: « Where established guidelines do not exist, organizations should define reasonable risk tolerance. » Non esiste quindi un’opzione neutra. Astenersi dal definirla è già una posizione, e una posizione fragile in sede di verifica.

La sottocategoria GOVERN 1.3 del medesimo quadro richiede poi la meccanica: meccanismi di valutazione d’impatto, scale di misura degli impatti potenziali, un approccio di misurazione che combini impatto e probabilità, scale di rischio uniformi su tutto il portafoglio di IA e il riconoscimento esplicito che la tolleranza cambia lungo il ciclo di vita.

La norma ISO/IEC 42001 affronta la questione dal versante del sistema di gestione. Il punto 6.1.2 richiede di stabilire e mantenere criteri di rischio IA documentati prima di condurre le valutazioni, criteri che comprendono quelli di accettazione del rischio. La sequenza è il punto: prima i criteri, poi la valutazione, così che i risultati risultino comparabili tra sistemi e riproducibili nel tempo. Il punto 6.1.3 richiede quindi un processo di trattamento documentato e, elemento decisivo, l’approvazione del rischio residuo da parte dei titolari del rischio. Qualcuno firma. Sull’incastro con il regolamento si veda la nostra analisi dello stack normativo tra ISO 42001 e regolamento IA.

Lette insieme, le tre fonti convergono sulla medesima richiesta: mettere per iscritto i criteri, applicarli in modo costante, far accettare il residuo da un responsabile identificato e tornarci sopra.

Definire la propensione per sistema, non per azienda

Una singola dichiarazione a livello aziendale non può contenere insieme un modello di decisione creditizia e uno strumento interno per i verbali delle riunioni. Il tentativo produce una dichiarazione talmente generica da non vincolare più nulla, ed è il difetto più frequente nei programmi di governance dell’IA.

La struttura che funziona poggia su un numero ridotto di fasce di propensione, assegnate per sistema, determinate anzitutto dalla classe regolamentare e poi dall’esposizione propria del caso d’uso.

Livello del sistema	Fascia di propensione	Ciò che una propensione più ampia consente	Ciò che non consente mai
Pratica vietata (art. 5)	Nessuna	Nulla, l’attività non prosegue	Qualsiasi impiego, a qualunque livello di propensione
Alto rischio (allegato III o sicurezza dei prodotti)	Stretta, giustificata espressamente	Scelta del percorso di attenuazione, rilascio graduale, limitazioni residue rese esplicite	Aggirare la gerarchia dell’art. 9, par. 5, rischio residuo non approvato, accettazione non documentata
Rischio limitato (obblighi di trasparenza)	Moderata	Cicli di riesame più rapidi, progetti pilota più ampi, cadenza di monitoraggio ridotta	Omettere l’obbligo di trasparenza in sé
Rischio minimo, strumenti interni	Ampia	Adozione in autonomia, valutazione minima, dismissione rapida	Uso non dichiarato, slittamento silenzioso verso una catena decisionale

Due precisazioni sull’impiego della tabella. In primo luogo il livello è una proprietà del caso d’uso e non del modello, dunque lo stesso modello di base può comparire in due fasce diverse nella medesima azienda. In secondo luogo la tabella funziona soltanto su un inventario completo. I sistemi che nessuno ha dichiarato si collocano per definizione fuori da ogni fascia, ed è così che la shadow AI smonta silenziosamente un impianto di propensione: non si può avere accettato un rischio di cui si ignora l’esistenza.

Tradurre la propensione al rischio in soglie e controlli

Una fascia è una dichiarazione di intenti. Ciò che la rende esigibile è una catena di quattro anelli, ciascuno dei quali produce un artefatto.

1. Dalla fascia alla misura. Selezionate l’indicatore che esprime l’esposizione di quel sistema: divario nei tassi di selezione tra gruppi, tasso di falsi negativi su una classe critica per la sicurezza, tasso di affermazioni materialmente errate su un insieme di valutazione campionato, tasso di escalation verso un revisore umano.
2. Dalla misura alla soglia. Fissate il numero, e fissatene due: un valore operativo di riferimento e un livello di violazione che attivi un’azione. Un valore unico non fornisce alcun preavviso.
3. Dalla soglia al punto di controllo. Vincolate la soglia a un punto decisionale del ciclo di vita, così che possa effettivamente fermare qualcosa: autorizzazione prima dell’impiego, blocco di rilascio, riattestazione periodica. Una soglia che nessuno verifica in un punto di controllo è documentazione, non controllo.
4. Dal punto di controllo alla prova. Registrate la misurazione, il confronto, la decisione e chi ha approvato. È ciò che un audit dell’IA chiederà, ed è l’unica prova durevole che la propensione sia stata rispettata e non soltanto proclamata.

Due meccanismi completano l’impianto. Il primo è un percorso di deroga: un circuito autorizzativo definito e collocato a livello adeguatamente elevato per operare fuori soglia, corredato da una data di scadenza. I principi del Financial Stability Board presuppongono la medesima struttura attraverso l’allocazione dei limiti di rischio. In assenza di una via di eccezione legittima, i team aggirano semplicemente l’impianto.

Il secondo è la cadenza. Poiché l’articolo 9, paragrafo 2, tratta la gestione dei rischi come continua, le soglie richiedono un ritmo di riesame ancorato al comportamento del sistema anziché al calendario di audit. Quando il controllo è una persona e non un indicatore, la questione progettuale si sposta sulla profondità della supervisione, che trattiamo in supervisione umana nel ciclo o sul ciclo. Quando il superamento di una soglia diventa un evento da notificare, subentrano gli obblighi di segnalazione degli incidenti IA previsti dall’articolo 73.

Esempio concreto: dalla fascia alla prova

Una banca mette in esercizio un assistente conversazionale rivolto ai clienti, che risponde a domande sui prodotti senza assumere decisioni. Il caso d’uso ricade nel rischio limitato, si applicano gli obblighi di trasparenza, e il consiglio ha approvato una fascia moderata per rendere lo strumento disponibile entro un trimestre.

1. Indicatore prescelto: quota di affermazioni materialmente errate sui prodotti in una valutazione campionata di 500 domande, eseguita settimanalmente.
2. Soglie fissate: esercizio sotto l’1 per cento, violazione al 3 per cento.
3. Punti di controllo vincolati: rilascio bloccato oltre l’1 per cento all’avvio; una valutazione settimanale superiore al 3 per cento attiva entro un giorno lavorativo il ripiegamento automatico su un insieme di risposte predefinite.
4. Prove prodotte: il file di valutazione settimanale, il confronto con la soglia, il registro dei ripiegamenti e la firma del responsabile di prodotto sul rischio residuo all’avvio.

La decisione diventa così verificabile: una persona esterna al team può esaminare quattro artefatti e stabilire se l’organizzazione abbia fatto quanto aveva annunciato.

A chi appartiene la decisione

La propensione al rischio fallisce più spesso come problema di titolarità che come problema di metodo.

Il consiglio, o l’organo di governo equivalente, la stabilisce, poiché accettare rischio in nome dell’organizzazione costituisce un atto di governance e non può essere delegato al team che beneficia di tale accettazione. I principi del Financial Stability Board assegnano infatti doveri distinti al consiglio, all’amministratore delegato e al responsabile dei rischi proprio per questa ragione.

Il management, prima e seconda linea, calibra. Ciò comporta tradurre la fascia in soglie, condurre le valutazioni e presidiare i punti di controllo. Il quadro dell’Institute of Internal Auditors ripartisce questi ruoli secondo il modello delle tre linee, con la seconda linea chiamata a rispondere della corretta progettazione e dell’effettivo funzionamento dei controlli.

L’internal audit verifica il risultato. Non se la propensione fosse corretta, che è un giudizio di business, bensì se la propensione dichiarata corrisponda all’esposizione effettivamente sostenuta e se le prove sostengano le accettazioni registrate. È quello scarto, tra propensione annunciata e realtà operativa, il rilievo che conta.

Un avvertimento pratico in chiusura. Se nessuno riesce a indicare la persona che ha accettato il rischio residuo dei vostri tre sistemi di IA più rilevanti, non avete un impianto di propensione. Avete un documento.

Domande frequenti

Che cosa significa una propensione al rischio più elevata? Significa che l’organizzazione ha deciso di accettare un volume maggiore di una tipologia di rischio definita per perseguire un obiettivo, e ha spostato di conseguenza il proprio confine dichiarato. In ambito IA questo acquista di norma velocità: autorizzazioni più brevi, progetti pilota più ampi, rilascio con una limitazione resa esplicita. Non comporta minori registrazioni e non si estende alle esposizioni che il diritto pone fuori perimetro.

Una propensione al rischio elevata è un fatto positivo? Di per sé non è né positiva né negativa. Risulta appropriata quando è deliberata, delimitata, commisurata alla capacità dell’organizzazione e coerente con i comportamenti osservati negli altri ambiti. L’Institute of Internal Auditors osserva che una propensione più ampia verso l’IA può non addirsi a un’organizzazione per il resto avversa al rischio. Il difetto non è una propensione elevata, è una propensione non dichiarata.

Qual è la differenza tra propensione al rischio e tolleranza al rischio? La propensione indica il livello aggregato e le tipologie di rischio che si è disposti ad assumere su un portafoglio o un obiettivo. La tolleranza indica la variazione ammissibile attorno a un obiettivo o a un indicatore specifico, opera quindi a un livello inferiore e si esprime di solito come intervallo o soglia. La capacità è una terza nozione: il massimo assorbibile prima di violare vincoli rigidi, che si misura invece di scegliersi.

Quali sono i livelli di propensione al rischio? La maggior parte dei quadri di riferimento adotta tre o quattro fasce, spesso denominate avversa, prudente o conservativa, moderata, e aggressiva o aperta. Le etichette contano molto meno di ciò che ciascuna fascia autorizza. Per i sistemi di IA l’approccio più utile consiste nell’ancorare le fasce ai livelli di sistema, così che un sistema ad alto rischio porti una fascia stretta espressamente giustificata mentre gli strumenti interni a rischio minimo ne portino una ampia.

Il regolamento europeo sull’IA richiede una dichiarazione di propensione al rischio? Non sotto questo nome. Ciò che l’articolo 9 impone per i sistemi ad alto rischio è un sistema di gestione dei rischi esteso al ciclo di vita, nel quale il rischio residuo, pericolo per pericolo e complessivamente, sia considerato accettabile. Esprimere quel giudizio in modo costante su un portafoglio è impossibile senza criteri di accettazione documentati, che il punto 6.1.2 della norma ISO/IEC 42001 richiede direttamente. In pratica dai due obblighi nasce un oggetto che funziona come una dichiarazione di propensione.

Con quale frequenza va rivista la propensione al rischio nell’IA? La fascia in sé può seguire il ciclo di governance annuale. Le soglie sottostanti no, perché il comportamento dei modelli cambia tra due riesami. Ancorate il riesame delle soglie alle prove del sistema: una cadenza di valutazione stabilita, ogni modifica sostanziale ai dati o alla versione del modello, ogni superamento di soglia e ogni variazione della classificazione regolamentare. Il NIST formula la stessa osservazione, rilevando che tolleranza e livelli di rischio possono cambiare nel corso del ciclo di vita di un sistema di IA.

Conclusione

Una propensione al rischio più ampia costituisce una posizione strategica legittima, e i programmi di IA che rifiutano di enunciarne una assumono comunque le stesse decisioni, semplicemente senza lasciarne traccia. Ciò che separa una propensione difendibile da uno slogan è la catena che le segue: una fascia nominata per sistema, un indicatore, due soglie, un punto di controllo in grado di fermare qualcosa, e un approvatore il cui nome compare sul rischio residuo. Il regolamento europeo sull’IA, la norma ISO/IEC 42001 e il NIST AI Risk Management Framework convergono sulla medesima catena per vie diverse. Costruirla una volta sola, in un luogo dove le prove si accumulano invece di disperdersi, è la differenza tra una governance che si può dimostrare e una governance che si può soltanto descrivere. Il nostro confronto tra piattaforma di governance dell’IA e stack di strumenti circostante chiarisce dove tale registro debba risiedere.