Quali approcci vengono utilizzati per promuovere una maggiore coerenza e interoperabilità nella gestione del rischio dell’IA
Con la maturazione della governance dell’IA, stanno emergendo numerosi framework e standard di gestione del rischio. Per prevenire la frammentazione e garantire un’implementazione efficace di un’IA affidabile, è in corso una spinta verso una maggiore coerenza e interoperabilità. Ciò implica la cooperazione tra attori statali e non statali, sia a livello nazionale che internazionale, concentrandosi sulla gestione del rischio dell’IA, sulla progettazione (ad es. “affidabilità by design”) e sulle valutazioni d’impatto.
Approcci chiave all’interoperabilità:
- Mappatura dei framework: Confrontare e mappare diversi framework di gestione del rischio dell’IA è un passaggio fondamentale. L’obiettivo è identificare le aree di equivalenza funzionale e di divergenza tra questi framework.
- Fasi comuni di gestione del rischio: La maggior parte dei framework si allinea a quattro fasi di alto livello: “DEFINIRE” (ambito, contesto e criteri), “VALUTARE” (rischi a livello individuale, aggregato e sociale), “TRATTARE” (rischi per mitigare gli impatti negativi) e “GOVERNARE” (processi di gestione del rischio). Queste fasi forniscono una struttura comune per l’interoperabilità.
- Affrontare le differenze di governance: I framework spesso variano nel modo in cui gestiscono la funzione “GOVERNARE”. Alcuni includono esplicitamente le attività di governance, mentre altri le distribuiscono durante il processo di gestione del rischio o le omettono del tutto. L’armonizzazione degli approcci di governance è fondamentale.
- Allineamento concettuale e terminologico: L’analisi dei concetti chiave e della terminologia nelle diverse iniziative è essenziale. L’identificazione delle aree di consenso e dei componenti incompatibili può aiutare a chiarire i dibattiti su concetti come trasparenza, spiegabilità e interpretabilità.
- Framework di due diligence: Sfruttare i framework di due diligence esistenti, come le Linee guida OCSE sulla due diligence per una condotta aziendale responsabile (OECD DDG), per sviluppare buone pratiche per un’IA responsabile è una strada promettente.
- Allineamento degli schemi di certificazione: Ricercare e analizzare l’allineamento degli schemi di certificazione dell’IA con la condotta aziendale responsabile (RBC) dell’OCSE e gli standard dell’IA può migliorare la qualità, la comparabilità e l’interoperabilità di questi schemi.
- Strumenti interattivi: Sviluppare strumenti online che consentano alle organizzazioni e alle parti interessate di confrontare i framework e navigare tra i metodi, gli strumenti e le buone pratiche esistenti per la gestione del rischio dell’IA può facilitare l’interoperabilità.
Sebbene gli approcci generali siano allineati, esistono differenze di alto livello, principalmente attorno alla funzione “GOVERNARE”. Anche gli ambiti dei singoli framework causano incongruenze. Ad esempio, l’OECD DDG considera i rischi associati alle relazioni commerciali in modo più ampio, mentre ISO 31000, NIST AI RMF, HUDERIA, EU AIA, AIDA e IEEE 7000-21 si concentrano su approcci più incentrati sul prodotto o guidati dal valore alla gestione dei rischi dell’IA. Affrontare queste differenze sarà fondamentale per promuovere una gestione del rischio dell’IA coerente e interoperabile.
Quali sono le principali differenze osservate tra i vari framework di gestione del rischio dell’IA
I framework di gestione del rischio dell’IA stanno convergendo su una serie di principi fondamentali, ma persistono differenze significative nel loro approccio. Queste discrepanze riguardano principalmente la funzione “GOVERN”, che comprende elementi come il monitoraggio, la comunicazione, la documentazione, la consultazione e l’integrazione delle pratiche di gestione del rischio.
Sebbene la maggior parte dei framework cerchi di “DEFINIRE”, “VALUTARE” e “TRATTARE” i rischi dell’IA, i metodi per governare questi processi divergono sostanzialmente.
Approcci di Governance: Livelli di Enfasi Variabili
Alcuni framework incorporano esplicitamente queste attività di governance in una funzione distinta “GOVERN”, mentre altri le distribuiscono lungo l’intero ciclo di vita della gestione del rischio o le omettono del tutto.
Per esempio:
- L’AI Act dell’UE (EU AIA) e l’AI and Data Act (AIDA) del Canada richiedono ai fornitori di sistemi di IA ad alto rischio di identificare, analizzare e mitigare i rischi. Tuttavia, la consultazione e l’integrazione della gestione del rischio nella cultura organizzativa sono assenti.
- La bozza di valutazione del rischio e dell’impatto dei diritti umani, della democrazia e dello stato di diritto (HUDERIA) del Consiglio d’Europa è parzialmente allineata, ma gli elementi relativi a GOVERN non sono presenti.
- La guida ISO/IEC 51 ha lo scopo di informare lo sviluppo di standard di sicurezza dei prodotti e non include l’incorporazione di politiche di gestione del rischio e la consultazione delle parti interessate.
Ambito e focus: una questione di prospettiva
I framework differiscono anche per quanto riguarda l’ambito, il pubblico di destinazione e il panorama dei rischi, portando a diversi approcci alla governance.
- OECD DDG: Un ambito più ampio include i rischi associati alle relazioni commerciali. Raccomanda la mitigazione del rischio sulla vendita e la distribuzione di beni.
- ISO 31000: Un ambito più ristretto considera i rischi e gli impatti sull’organizzazione.
- NIST AI RMF: Si concentra sui danni alle persone, alle organizzazioni e agli ecosistemi.
- HUDERIA: Affronta i rischi per i diritti umani, la democrazia e lo stato di diritto.
- EU AIA & AIDA: Adotta un approccio di sicurezza del prodotto
- IEEE 7000-21: Integra considerazioni basate sul valore e i punti di vista delle parti interessate nella progettazione di prodotti o servizi.
- Pubblico di destinazione: L’OECD DDG e gli standard ISO sono rivolti ai cambiamenti organizzativi a livello di consiglio di amministrazione. Gli altri offrono raccomandazioni a livello di consiglio di amministrazione, ma l’implementazione è principalmente a livello tecnico.
L’EU AIA e l’AIDA incorporano anche una caratteristica normativa unica in cui i regolatori definiscono ciò che costituisce un sistema “ad alto rischio”, dando di fatto la priorità agli sforzi di gestione del rischio per le aziende.
Quali sono le azioni future pianificate per migliorare le pratiche di gestione del rischio dell’IA
Diverse iniziative strategiche sono in cantiere per rafforzare la gestione del rischio dell’IA, con un focus sulla promozione dell’interoperabilità e dell’implementazione pratica. Ecco una sintesi delle aree chiave:
Armonizzazione della terminologia e dei concetti dell’IA
Il prossimo passo immediato prevede un’analisi approfondita delle somiglianze e delle differenze nel linguaggio e nei concetti utilizzati nei vari quadri di valutazione dell’impatto dell’IA e di gestione del rischio. Ciò comprenderà:
- L’identificazione di definizioni e concetti che godono di un ampio consenso.
- L’individuazione di aree potenzialmente incompatibili o poco chiare che potrebbero ostacolare l’implementazione pratica. Ad esempio, dibattiti sui significati di trasparenza, spiegabilità e interpretabilità.
- Lo sviluppo di una comprensione comune della catena del valore dell’IA, compresi i diversi attori coinvolti e i vari rischi presenti in ogni fase.
Sviluppo di buone pratiche per una condotta aziendale responsabile nell’IA
Un approccio promettente per l’implementazione della gestione del rischio dell’IA è quello di sfruttare i quadri esistenti per una condotta aziendale responsabile. Ciò implicherebbe l’allineamento della terminologia e dei quadri specifici per l’IA con i principi delle Linee guida OCSE per le imprese multinazionali (MNE) e della Guida al dovere di diligenza (DDG). I risultati potrebbero includere workshop e linee guida pratiche, che chiariscano come i principi della Guida al dovere di diligenza per una condotta aziendale responsabile potrebbero essere applicati specificamente all’IA.
Allineamento dei sistemi di certificazione con gli standard RBC e AI
Per migliorare la qualità, la comparabilità e l’interoperabilità degli standard e delle iniziative di certificazione, l’OCSE sta sviluppando un processo di valutazione dell’allineamento per valutare l’allineamento delle iniziative con le raccomandazioni del DDG dell’OCSE. Questa mossa pone le basi per fornire raccomandazioni concrete per tradurre e allineare le pratiche di IA con le pratiche di condotta aziendale responsabile (RBC) e viceversa:
Sviluppo di uno strumento online interattivo
Verrebbe creato uno strumento online interattivo per assistere le organizzazioni e le parti interessate nel confrontare i quadri di riferimento. Questo strumento includerà sia i quadri di confronto derivati dai passaggi menzionati in precedenza, sia l’aiuto agli utenti a navigare tra metodi, strumenti e buone pratiche esistenti per identificare, valutare, trattare e governare i rischi dell’IA. Questo sarebbe collegato al Catalogo di strumenti e metriche per un’IA affidabile.
Quando si tratta di disciplinare il rischio dell’IA, un aspetto fondamentale emerso da un recente rapporto dell’OCSE è che, sebbene vari framework di gestione del rischio dell’IA siano generalmente allineati sui passaggi di alto livello (DEFINIRE, VALUTARE, TRATTARE e GOVERNARE), emergono differenze significative nel modo in cui affrontano la funzione “GOVERNARE”. Ciò influisce sull’interoperabilità di questi framework.
Principali Differenze nella Governance
Ecco un’analisi delle aree principali in cui gli approcci di governance divergono:
- Governance Esplicita vs. Distribuita: alcuni framework includono esplicitamente le attività di governance nella funzione designata “GOVERNARE”, mentre altri le distribuiscono o le omettono durante il processo di gestione del rischio.
- Coinvolgimento delle Parti Interessate: alcune normative, come la proposta di legge sull’IA dell’UE (EU AIA) e la legge sull’IA e i dati del Canada (AIDA), potrebbero non prevedere requisiti di consultazione con le parti interessate interne ed esterne, un aspetto fondamentale della funzione “GOVERNARE” secondo le linee guida dell’OCSE sull’interoperabilità.
- Integrazione della Gestione del Rischio: Allo stesso modo, l’integrazione della gestione del rischio nella cultura organizzativa, un altro elemento “GOVERNARE”, non è sempre esplicitamente affrontata nella legislazione proposta.
Considerazioni Regolamentari
Diverse importanti sfumature normative influiscono sulla funzione “GOVERNARE”:
- EU AI Act e AIDA: Sebbene richiedano l’identificazione, l’analisi e la mitigazione del rischio per i sistemi di IA ad alto rischio, queste proposte di legge sembrano mancare di alcune misure di gestione del rischio “GOVERNARE” tratte dal Framework di Interoperabilità, come la consultazione delle parti interessate. Tuttavia, l’articolo 17 dell’EU AI Act richiede un “sistema di gestione della qualità” per garantire la conformità, potenzialmente incorporando la gestione del rischio e la responsabilità.
- HUDERIA: Il progetto di Valutazione dei Rischi e degli Impatti sui Diritti Umani, la Democrazia e lo Stato di Diritto (HUDERIA) del Consiglio d’Europa è parzialmente allineato, ma sembra mancare di elementi del Framework di Interoperabilità relativi a GOVERNARE, come la comunicazione pubblica sulla conformità agli standard e il coinvolgimento della leadership nell’integrazione della gestione del rischio in tutta l’organizzazione.
- NIST AI RMF: Sebbene il documento includa i sotto-elementi di GOVERNARE all’interno dei suoi passaggi, questi sono integrati in diversi framework.
Implicazioni Pratiche
Per i professionisti della governance e della conformità dell’IA, queste discrepanze nella funzione “GOVERNARE” hanno implicazioni significative:
- Complessità e Costi: La mancanza di interoperabilità tra i framework può complicare e aumentare i costi associati all’implementazione di un’IA affidabile.
- Efficacia ed Esecutività: Framework non interoperabili possono ridurre l’efficacia e l’esecutività degli sforzi di gestione del rischio dell’IA.
- La personalizzazione è fondamentale: Il contesto della norma ISO 31000 raccomanda di personalizzarla per qualsiasi organizzazione e per i suoi specifici contesti.
Invito all’Azione
Per garantire un’efficace governance dell’IA, i professionisti del legal-tech, i responsabili della conformità e gli analisti politici dovrebbero sostenere:
- Cooperazione e Coordinamento: Incoraggiare la collaborazione tra gli sviluppatori di standard e framework, sia a livello nazionale che internazionale.
- Metriche Chiare: Dare priorità a metriche e definizioni chiare per garantire un’implementazione coerente della gestione del rischio in diversi casi d’uso.
- Allineamento con le Pratiche Aziendali più Ampie: Collegare la governance dell’IA ai framework di condotta aziendale responsabile come le Linee Guida dell’OCSE sulla Due Diligence.
In futuro, l’attenzione dovrebbe essere rivolta all’armonizzazione degli approcci di governance dell’IA e alla garanzia dell’interoperabilità per una gestione del rischio dell’IA pratica ed applicabile.
