Quando si applica la gestione dei rischi AI e cosa fare dopo

La gestione dei rischi AI si applica quando un sistema, una funzione, una capacità di un fornitore o un processo interno può avere conseguenze rilevanti per persone, dati, sicurezza, clienti o azienda. Non occorre che il sistema sia già classificato ad alto rischio ai sensi dell’AI Act: privacy, sicurezza, affidabilità, contratti e rischio operativo possono richiedere controlli autonomamente.

Il test pratico per un team SaaS è semplice: l’uso può modificare una decisione, esporre informazioni protette, incidere su una persona, generare contenuti per clienti, automatizzare un compito importante o creare un impegno aziendale? Se sì, o se la risposta non è chiara, registrate il caso, nominate un owner e svolgete una valutazione proporzionata prima dell’adozione o del lancio.

Quando serve una revisione

Includete AI rivolta ai clienti, modelli interni, API, funzioni integrate dei fornitori e strumenti usati dai dipendenti. La revisione è normalmente necessaria se vengono trattati dati personali o riservati; se l’output influenza accesso, priorità o altre conseguenze; se manca un’efficace supervisione umana; se l’AI può compiere azioni; oppure se cambiano scopo, dati, modello, fornitore, mercato o utenti. Per usi a basso impatto la revisione può essere leggera, purché la decisione sia esplicita e documentata.

Obblighi giuridici specifici

Gestione generale dei rischi e conformità all’AI Act sono collegate ma diverse. Gli obblighi dipendono dal sistema, dalla finalità prevista, dal ruolo dell’organizzazione, dalla categoria di rischio e dalla data di applicazione. Una società SaaS può essere provider per una funzione e deployer per uno strumento interno.

L’articolo 9 impone ai provider di sistemi AI ad alto rischio di istituire, attuare, documentare e mantenere un sistema di gestione dei rischi. È un processo continuo e iterativo lungo il ciclo di vita: identifica rischi noti e ragionevolmente prevedibili, li valuta nell’uso previsto e nell’uso improprio prevedibile, integra il monitoraggio post-commercializzazione, adotta misure mirate e verifica il sistema. Poiché il calendario è cambiato, consultate la pagina ufficiale aggiornata della Commissione europea.

Cinque domande di triage

1. Qual è lo scopo reale, chi usa il sistema e chi ne subisce gli effetti?
2. Quali dati entrano, quali output escono e come sono conservati?
3. L’output è bozza, consiglio, raccomandazione, priorità o azione automatica?
4. Cosa può fallire: accuratezza, equità, privacy, sicurezza, proprietà intellettuale o continuità?
5. Quali norme, contratti, impegni e policy interne rilevano?

Flusso operativo ed evidenze

Create un inventario stabile con owner, scopo, modello o fornitore, utenti, persone interessate, dati, automazione, mercati e data di revisione. Documentate ruolo, contesto e impatti. Il NIST AI RMF organizza il lavoro in Govern, Map, Measure e Manage, con la governance trasversale al ciclo di vita.

Scegliete verifiche adatte: accuratezza, modalità di guasto, privacy e sicurezza, impatto, red teaming o evidenze del fornitore. Definite criteri di accettazione e registrate limiti e incertezze. Fate derivare i controlli dai rischi: minimizzazione dei dati, input vietati, accessi, conferma umana, limiti alle azioni, log, informative, fallback, monitoraggio ed escalation. Registrate owner, prova e decisione finale.

Conservate inventario, analisi di ruolo, valutazione, flussi dati, documenti del fornitore, test, approvazioni, controlli, supervisione, incidenti e cronologia. Rivalutate quando cambiano scopo, utenti, dati, modello, fornitore, automazione, territorio, legge o comportamento osservato.

FAQ

Si applica solo ai sistemi ad alto rischio?

No. L’articolo 9 stabilisce un obbligo specifico per i provider di sistemi ad alto rischio. Altri sistemi possono richiedere una gestione proporzionata per privacy, sicurezza, contratti, aspettative dei clienti o impegni volontari.

Cosa documentare per primo?

Scopo, owner, utenti, interessati, dati, modello o fornitore, uso dell’output, supervisione umana, ruolo, rischi, controlli, approvazione e trigger di rivalutazione.