AI Governance

La governance dell'AI è l'insieme di politiche, ruoli, processi e registrazioni che un'organizzazione usa per decidere quali sistemi di intelligenza artificiale sviluppa o acquista, chi è responsabile di ciascun sistema, quali evidenze sono richieste prima del rilascio e come i sistemi vengono monitorati, modificati e dismessi. L'etica dell'AI definisce i valori che un'organizzazione vuole che la propria AI rispetti. La governance traduce questi valori in poteri decisionali e controlli documentati che si applicano a ogni sistema lungo tutto il suo ciclo di vita, dall'assistente basato su un modello linguistico di grandi dimensioni acquistato da un fornitore al modello di visione artificiale sviluppato internamente su una linea di produzione.

Quadri di riferimento e normative#

La maggior parte dei programmi di governance si basa su pochi quadri di riferimento:

• Quadro di gestione del rischio dell'IA del NIST: Un quadro volontario statunitense, pubblicato nel gennaio 2023 e articolato in quattro funzioni. Govern definisce politiche e responsabilità; Map stabilisce il contesto e l'uso previsto di ciascun sistema; Measure valuta i rischi con test e metriche; Manage stabilisce le priorità e tratta i rischi.
• ISO/IEC 42001: pubblicato a dicembre 2023, è il primo standard internazionale per un sistema di gestione dell'AI. Le organizzazioni possono essere sottoposte ad audit e certificate in base a questo standard, proprio come avviene per la sicurezza delle informazioni secondo ISO/IEC 27001.
• Principi dell'OCSE sull'AI: adottati nel 2019 e aggiornati nel 2024, sono alla base di molte politiche nazionali e forniscono agli altri quadri normativi un vocabolario comune.

Il profilo NIST per l'AI generativa, NIST AI 600-1 (luglio 2024), applica il quadro di gestione dei rischi a rischi come le allucinazioni e la prompt injection.

L'AI Act dell'UE è un regolamento basato sul rischio, entrato in vigore nell'agosto 2024 e applicato per fasi. Dal 2 febbraio 2025 si applicano i divieti di pratiche come il punteggio sociale e il riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole, insieme all'obbligo di alfabetizzazione all'AI; dal 2 agosto 2025 si applicano gli obblighi per i fornitori di modelli di AI per finalità generali; dal 2 agosto 2026 si applicano gli obblighi di trasparenza, come la divulgazione dei deepfake. L'Omnibus digitale sull'AI, in vigore dal 27 luglio 2026, ha spostato al 2 dicembre 2027 i requisiti per i sistemi ad alto rischio elencati nell'allegato III, come le assunzioni e la valutazione del merito creditizio, e al 2 agosto 2028 quelli per l'AI nei prodotti regolamentati, come i dispositivi medici e i macchinari. Tali requisiti riguardano la gestione dei rischi, la governance dei dati, la registrazione, la supervisione umana e la valutazione della conformità.

Controlli fondamentali#

Il primo passo è creare un inventario, perché un'organizzazione non può governare sistemi di cui non è a conoscenza. Un inventario completo registra il responsabile, lo scopo, le fonti dei dati, le versioni del modello e i fornitori di ciascun sistema, facendo emergere anche l'AI ombra: strumenti adottati dai team senza revisione. Per i modelli sviluppati internamente, un registro dei modelli spesso funge da inventario.

La classificazione del rischio suddivide poi i sistemi in livelli in base allo scopo, all'autonomia, alle persone coinvolte e al costo degli errori. Un modello che classifica documenti interni richiede una revisione meno rigorosa di uno che seleziona candidati a un lavoro o controlla macchinari; i livelli di rischio più alti richiedono test, approvazioni e supervisione umana più rigorosi.

La documentazione consente di sottoporre le decisioni a revisione. Le schede dei modelli registrano l'uso previsto, i risultati delle valutazioni e i limiti noti, mentre i registri della provenienza dei dati documentano l'origine dei dati di addestramento e la licenza o il consenso in base ai quali sono stati raccolti. Anche la riproducibilità deve figurare nello stesso registro: la versione esatta del dataset, il modello di base, la versione del codice e le impostazioni utilizzate per ciascun modello candidato, così che un revisore possa risalire da qualsiasi modello distribuito ai relativi input. Per i modelli di visione addestrati su Ultralytics Platform, ogni esecuzione registra il modello padre, la versione di Ultralytics, l'ambiente host e il commit Git, se indicato, e una versione salvata del dataset fissa le immagini e le etichette esatte utilizzate per l'addestramento.

I test forniscono le prove necessarie per l'approvazione. Le soglie di accettazione vengono definite per ogni caso d'uso prima di ricevere i risultati; i test coprono l'accuratezza nei sottogruppi pertinenti per rilevare le distorsioni nell'AI, la robustezza a input diversi, come scarsa illuminazione o una nuova angolazione della fotocamera, e la sicurezza, spesso tramite il red teaming dell'AI. Il NCSC britannico e le agenzie partner pubblicano linee guida per lo sviluppo sicuro di sistemi di AI che coprono progettazione, sviluppo, distribuzione e funzionamento.

Dopo il rilascio, il monitoraggio dei modelli tiene traccia delle prestazioni e della deriva dei dati; un processo di gestione degli incidenti definisce chi può sospendere o ripristinare un sistema, mentre un processo di ritiro rimuove i modelli e i dati non più necessari. I diritti decisionali collegano i controlli: per ogni sistema, la governance identifica chi approva la distribuzione, chi può interromperla e chi accetta il rischio residuo dopo i test.

Differenze tra governance e pratiche correlate#

• Normativa: Legge imposta dall'esterno. La governance è il sistema interno adottato dall'organizzazione e il modo in cui questa dimostra di essere conforme.
• Gestione del rischio: Individuazione, misurazione e trattamento di rischi specifici. La governance stabilisce chi svolge queste attività, chi accetta il rischio residuo e come si registrano le decisioni.
• MLOps: Le pipeline per addestrare, distribuire e mantenere i modelli. La governance stabilisce i passaggi di approvazione e i requisiti che queste pipeline devono rispettare.
• Sicurezza dell'IA: Lo studio tecnico dei metodi per fare in modo che i sistemi di IA si comportino come previsto. La governance decide come i risultati relativi alla sicurezza determinano ciò che un'organizzazione può distribuire.