Il progetto di clausola AI della GSA trasforma la governance in un mandato contrattuale
Negli ultimi mesi, gran parte della conversazione sulla governance dell’AI si è svolta in documenti strategici, principi etici e presentazioni ai consigli. La proposta di clausola contrattuale dell’Amministrazione dei Servizi Generali cambia questo scenario. Se adottata, la clausola GSAR 552.239-7001 renderebbe la governance dell’AI un requisito contrattuale per le aziende che vendono capacità AI al governo federale, con significative implicazioni per i responsabili della conformità, i team legali, i leader degli acquisti e i professionisti del rischio di terze parti.
Un cambiamento significativo
Questa bozza ha un impatto che va ben oltre i contraenti governativi. Rappresenta un segnale precoce di dove si sta dirigendo la supervisione dell’AI in generale: verso controlli eseguibili, documentazione e responsabilità, allontanandosi da impegni volontari.
Dettagli della clausola proposta
La clausola proposta è particolarmente aggressiva. Essa conferirebbe al governo diritti di proprietà estesi su “Dati Governativi” e “Sviluppi Personalizzati”, vieterebbe ai contraenti di utilizzare i dati governativi per addestrare o migliorare modelli per altri clienti o scopi commerciali, imporrebbe un obbligo di segnalazione degli incidenti entro 72 ore e renderebbe i contraenti principali direttamente responsabili della conformità dei “Fornitori di Servizi” AI a valle. Inoltre, richiederebbe l’uso di “Sistemi AI Americani”, una notifica prima di cambiamenti sostanziali dei fornitori e formati e API aperte per supportare la portabilità e l’interoperabilità.
Problemi di governance
Il problema centrale è che l’Amministrazione dei Servizi Generali ha identificato un reale problema di governance negli acquisti AI, ma sta cercando di risolverlo con un approccio che alcuni definiscono “governance con un martello”. Il governo ha ragione a concentrarsi sul controllo dei dati, sul vendor lock-in, sulle catene di approvvigionamento AI stratificate e sulla supervisione delle prestazioni. Tuttavia, la bozza cerca di affrontare tutte queste preoccupazioni contemporaneamente, attraverso una singola clausola che si discosta nettamente dalla prassi commerciale consueta.
Implicazioni per i professionisti della conformità
Per i professionisti della conformità, la dimensione del rischio di terze parti è particolarmente importante. La bozza definisce “Fornitori di Servizi” in modo sufficientemente ampio da includere anche piattaforme AI commerciali a monte e fornitori di modelli, anche se non sono tradizionali subappaltatori. Ciò significa che la conformità AI potrebbe sempre più dipendere dalla capacità di un’azienda di avere visibilità sull’intero stack tecnologico, obblighi di flusso funzionabili e prove che tali obblighi possano essere effettivamente testati.
Governance dei dati
Gli aspetti di governance dei dati sono altrettanto significativi. La proposta di definizione di “Dati Governativi” si estende oltre i comandi e le uscite per includere metadati, registri, dati derivati e informazioni collegate all’uso. Ciò rappresenta una preoccupazione per il vantaggio informativo che i fornitori ottengono dall’uso governativo, inclusi i modelli comportamentali incorporati nelle interazioni di sistema.
Portabilità e standardizzazione
Le disposizioni sulla portabilità meritano particolare attenzione. La bozza richiede formati di dati e API aperti e standardizzati, vietando approcci proprietari che creano dipendenza o richiedono licenze aggiuntive per uscire da un sistema. Questo rappresenta una lezione per gli appalti federali con un valore ampio per il settore privato. La governance dell’AI non riguarda solo l’approvazione di uno strumento il primo giorno, ma anche la preservazione della capacità dell’organizzazione di monitorare cambiamenti, migrare dati e disimpegnarsi da un fornitore senza caos operativo.
Conclusioni e preoccupazioni
Naturalmente, la bozza solleva serie preoccupazioni. Il linguaggio “Sistemi AI Americani” sembra difficile da applicare in un mercato costruito su team di sviluppo globali, componenti open-source e catene di fornitura stratificate. I “Principi AI Imparziali” introducono ulteriore incertezza combinando aspettative di prestazione con terminologia politicamente carica e diritti di valutazione governativa che potrebbero dipendere da metodologie non divulgate.
La lezione più grande è chiara: la governance dell’AI sta diventando una questione contrattuale, di approvvigionamento e di controllo. I professionisti della conformità non dovrebbero aspettare una regola finale prima di agire. Dovrebbero già porsi domande sulla possibilità di mappare i fornitori di AI, tracciare i flussi di dati, documentare le modifiche ai modelli, gestire la risposta agli incidenti e provare la supervisione con prove credibili. Questa è la direzione in cui si sta dirigendo la bozza e dove il mercato potrebbe presto seguire.
