Punto 5 della ISO 42001: la leadership nell’autoregolamentazione dell’IA

Nel precedente articolo di questa serie abbiamo esaminato il punto 4, Contesto dell’organizzazione, e il modo in cui la comprensione del proprio contesto, delle parti interessate e del proprio ruolo nell’ecosistema dell’IA getta le basi per un’IA responsabile. Conoscere il proprio contesto, tuttavia, è solo il primo passo. Qualcuno deve agire di conseguenza e, nella ISO/IEC 42001, tale responsabilità parte dal vertice.

Il punto 5, Leadership, stabilisce ciò che l’alta direzione deve fare per rendere concreto un sistema di gestione dell’intelligenza artificiale (AIMS). Comprende la leadership e l’impegno, la politica per l’IA e l’assegnazione di ruoli, responsabilità e autorità. Nel loro insieme, tali requisiti rispondono a una domanda che ogni programma di autoregolamentazione deve affrontare: chi risponde quando l’IA sbaglia? 

Perché l’autoregolamentazione richiede una leadership visibile 

La supervisione interna funziona solo quando le persone credono che sia importante. Se la governance dell’IA viene considerata un’attività marginale, delegata a un team di conformità, verrà aggirata non appena una scadenza o un obiettivo di fatturato ne ostacoleranno il percorso. Quando i dirigenti se ne fanno carico in modo visibile, la finanziano e ne chiedono conto, la governance diventa parte integrante del modo in cui l’organizzazione opera. 

La ISO/IEC 42001 ne tiene conto attribuendo i requisiti di leadership direttamente all’alta direzione, ossia alle persone che guidano e tengono sotto controllo l’organizzazione al livello più alto. Le responsabilità sui singoli compiti possono essere delegate. La responsabilità ultima del sistema di gestione, invece, non può esserlo. 

5.1 Leadership e impegno 

L’alta direzione deve dimostrare leadership e impegno nei confronti dell’AIMS. In pratica, ciò significa: 

• Definizione dell’orientamento: garantire che la politica sull’IA e gli obiettivi relativi all’IA siano stabiliti e risultino compatibili con l’orientamento strategico dell’organizzazione. 
• Integrare la governance: inserire i requisiti dell’AIMS nei processi aziendali quotidiani anziché gestirli in parallelo. 
• Mettere a disposizione le risorse: assicurare che siano disponibili le persone, il budget, gli strumenti e il tempo necessari all’AIMS. 
• Comunicarne l’importanza: spiegare perché una gestione efficace dell’IA è importante e perché è richiesto il rispetto dei requisiti AIMS. 
• Ottenere i risultati: garantire che l’AIMS consegua i risultati prefissati, oltre che a dirigere e sostenere le persone che vi contribuiscono. 
• Promuovere il miglioramento: incoraggiare il miglioramento continuo e sostenere gli altri manager nel dimostrare la propria leadership nelle rispettive aree di responsabilità. 

Ai fini dell’autoregolamentazione, è questa la differenza tra un programma che esiste solo sulla carta e uno realmente incisivo. Quando i vertici impegnano risorse e si aspettano risultati, è molto più probabile che le misure di controllo interne vengano applicate, rispettate e migliorate. 

5.2 Politica per l’IA 

L’alta direzione deve stabilire una politica per l’IA appropriata alle finalità dell’organizzazione, che fornisca un quadro di riferimento per fissare gli obiettivi per l’IA e che includa l’impegno a soddisfare i requisiti applicabili e a migliorare in modo continuo l’AIMS. La politica deve essere disponibile come informazione documentata, comunicata all’interno dell’organizzazione e resa disponibile alle parti interessate, per quanto appropriato. 

Una solida politica sull’intelligenza artificiale costituisce il regolamento interno dell’organizzazione. Essa definisce, in termini chiari, cosa l’organizzazione intende fare – e non intende fare – con l’IA. Una buona politica  definisce solitamente i principi che orientano l’uso dell’IA, quali equità, trasparenza, responsabilità, privacy e sicurezza, e si collegano alle politiche correlate in materia di sicurezza delle informazioni, protezione dei dati e qualità. La politica dovrebbe essere sufficientemente specifica da orientare decisioni concrete e sufficientemente flessibile da evolvere con il mutare della tecnologia e della normativa. 

5.3 Ruoli, responsabilità e autorità 

Infine, l’alta direzione deve garantire che le responsabilità e le autorità relative ai ruoli pertinenti siano assegnate e comunicate. Come minimo, deve essere prevista una figura responsabile di assicurare che l’AIMS sia conforme alla norma e di riferire all’alta direzione in merito alle sue prestazioni. 

È in questo requisito che l’autodisciplina diventa una questione personale. Ogni sistema di IA dovrebbe avere un responsabile chiaramente definito. Ogni decisione sui rischi dovrebbe avere un approvatore designato. Ogni percorso di escalation dovrebbe portare auna conclusione precisa. Senza ruoli definiti, i problemi restano sospesi tra un team e l’altro e nessuno si sente autorizzato a fermare un sistema che si comporta in modo scorretto. 

Mettere in pratica il punto 5: passi concreti 

1. Individua uno sponsor esecutivo. Scegli un dirigente di alto livello che promuova l’AIMS, rimuova gli ostacoli e risponda delle sue prestazioni. 
2. Redigi la politica per l’IA con contributi concreti. Coinvolgi i responsabili delle funzioni legale, IT, dati, operations e business, affinché la politica rifletta l’uso effettivo dell’IA.
3. Collega la politica agli obiettivi. Assicurati che ogni impegno contenuto nella politica sia riconducibile a obiettivi per l’IA misurabili, definiti ai sensi del punto 6.
4. Crea una matrice delle responsabilità. Utilizza una matrice RACI o uno strumento analogo per indicare chi esegue, chi ne risponde, chi viene consultato e chi viene informato per ciascun sistema e processo di IA. 
5. Dai alle persone l’autorità di dire stop. Chiarisci chi può sospendere o ritirare un sistema di IA quando produce risultati dannosi o inattesi. 
6. Inserisci la governance dell’IA nell’agenda della direzione. Pianifica report periodici sulle prestazioni dell’AIMS, affinché i vertici vedano i risultati e non solo le attività. 

Errori comuni da evitare 

• Delegare la responsabilità ultima. Affidare interamente la governance dell’IA a un unico reparto segnala che la direzione non è realmente coinvolta. 
• Una politica che nessuno legge. Una politica per l’IA generica, copiata e incollata, mai comunicata né applicata, non fornisce alcun orientamento reale. 
• Responsabilità senza autorità. Incaricare persone di supervisionare l’IA senza conferire loro il potere di intervenire su ciò che rilevano compromette l’intero programma. 
• Ignorare la Shadow AI (IA ombra). I vertici che non si chiedono come venga utilizzata l’IA all’interno dell’azienda potrebbero non accorgersi dei punti in cui la loro politica viene aggirata. 

In sintesi 

Il punto 4 indica a un’organizzazione qual è la sua posizione. Il punto 5 stabilisce chi la guida. L’autoregolamentazione dell’IA dipende da vertici che impegnano risorse, fissano regole chiare attraverso la politica per l’IA e si assicurano che ogni ruolo all’interno del sistema sappia di che cosa è responsabile. Quando la responsabilità è visibile al vertice, tende a essere presa sul serio a tutti i livelli. Nel prossimo articolo esamineremo il punto 6, Pianificazione, in cui tale leadership si traduce in valutazioni dei rischi, valutazioni d’impatto e obiettivi per l’IA concreti. Per ulteriori informazioni scriveteci a italy@pjr.com oppure, per richiedere un preventivo per la certificazione ISO 42001, cliccate qui: https://pjritaly.wpenginepowered.com/contattateci/preventivo-gratuito