L’adozione di policy e procedure sull’Intelligenza Artificiale rappresenta soltanto il primo passo verso la conformità. L’organizzazione deve anche verificare che le regole definite siano applicate, che i controlli funzionino concretamente e che siano disponibili evidenze adeguate a dimostrare le attività svolte.
Il corso fornisce metodologie e strumenti per progettare e realizzare audit interni sui sistemi di IA e sul programma aziendale di AI Compliance. I partecipanti imparano a definire il perimetro dell’audit, raccogliere le evidenze, verificare l’efficacia dei controlli, individuare le non conformità e predisporre un piano di azioni correttive.
Particolare attenzione viene dedicata alla costruzione di checklist, programmi di audit e test di controllo applicabili ai diversi processi aziendali: censimento dei sistemi, classificazione del rischio, gestione dei fornitori, supervisione umana, formazione, sicurezza, monitoraggio e gestione degli incidenti.
Il corso è rivolto a:
- Internal Auditor;
- Compliance Officer;
- AI Compliance Officer;
- Risk Manager;
- responsabili del controllo interno;
- Data Protection Officer e Privacy Officer;
- responsabili qualità;
- responsabili IT e cybersecurity;
- responsabili Legal e affari societari;
- membri degli organismi di vigilanza;
- responsabili dei sistemi di gestione;
- consulenti legali, organizzativi e tecnologici;
- manager coinvolti nella supervisione dei sistemi di IA.
Al termine del corso i partecipanti saranno in grado di:
- comprendere finalità e caratteristiche di un audit di AI Compliance;
- distinguere tra verifica di conformità, audit organizzativo e audit tecnico;
- definire obiettivi, criteri, perimetro e profondità dell’audit;
- verificare l’adeguatezza del sistema di governance dell’IA;
- valutare la corretta applicazione di policy e procedure;
- analizzare il registro dei sistemi e dei casi d’uso di IA;
- verificare la classificazione dei sistemi e la valutazione dei rischi;
- esaminare i controlli relativi a dati, sicurezza e supervisione umana;
- verificare i processi di selezione e controllo dei fornitori;
- raccogliere evidenze documentali e operative;
- classificare rilievi, anomalie e non conformità;
- predisporre un rapporto di audit;
- definire e monitorare le azioni correttive.
Fondamenti dell’AI Compliance Audit
- finalità dell’audit di AI Compliance;
- audit di conformità, organizzativo, procedurale e tecnico;
- differenze tra assessment iniziale, gap analysis, audit e monitoraggio;
- audit di prima, seconda e terza parte;
- indipendenza, competenza e obiettività dell’auditor;
- approccio basato sul rischio;
- materialità e rilevanza dei controlli;
- audit periodici e verifiche straordinarie;
- rapporti tra audit, compliance, risk management e governance;
- coordinamento con privacy, cybersecurity, qualità e controllo interno.
Pianificazione dell’attività di audit
- definizione degli obiettivi;
- individuazione del perimetro;
- identificazione dei processi e dei sistemi da verificare;
- selezione dei criteri di audit;
- identificazione degli stakeholder;
- analisi preliminare della documentazione;
- valutazione dei rischi dell’incarico;
- determinazione delle priorità;
- predisposizione del programma di audit;
- definizione del campionamento;
- pianificazione delle interviste;
- organizzazione delle attività e delle responsabilità.
Verifica della governance dell’IA
- approvazione e supervisione da parte della direzione;
- attribuzione di ruoli e responsabilità;
- funzionamento del comitato o gruppo di governance;
- individuazione dei responsabili dei sistemi;
- segregazione dei compiti;
- gestione delle deleghe;
- flussi informativi;
- processi di escalation;
- reporting verso gli organi di direzione e controllo;
- integrazione dell’AI Compliance nel sistema di controllo interno.
Verifica del censimento e della classificazione
- completezza del registro dei sistemi di IA;
- censimento degli strumenti ufficiali e non autorizzati;
- identificazione dei casi d’uso;
- attribuzione del ruolo dell’organizzazione;
- verifica della classificazione regolatoria;
- presenza di pratiche vietate;
- identificazione dei sistemi ad alto rischio;
- verifica degli obblighi di trasparenza;
- aggiornamento periodico del registro;
- tracciabilità delle decisioni di classificazione.
Verifica della valutazione dei rischi
- presenza di una metodologia formalizzata;
- identificazione dei rischi;
- valutazione della probabilità e dell’impatto;
- rischi per salute, sicurezza e diritti fondamentali;
- rischi di discriminazione e bias;
- rischi relativi a dati e privacy;
- rischi di sicurezza informatica;
- rischi contrattuali e reputazionali;
- definizione delle misure di mitigazione;
- accettazione del rischio residuo;
- riesame periodico della valutazione.
Verifica delle policy e delle procedure
- esistenza e approvazione della Policy aziendale sull’uso dell’IA;
- coerenza tra policy, procedure e comportamenti effettivi;
- regole sugli utilizzi consentiti, condizionati e vietati;
- procedure di richiesta e approvazione dei sistemi;
- gestione degli strumenti di IA generativa;
- protezione delle informazioni riservate;
- trattamento dei dati personali;
- verifica umana degli output;
- conservazione delle evidenze;
- gestione delle eccezioni;
- aggiornamento periodico della documentazione.
Audit dei controlli operativi
- disegno e funzionamento del controllo;
- controlli manuali e automatizzati;
- controlli preventivi, rilevativi e correttivi;
- verifica degli accessi e delle autorizzazioni;
- logging e tracciabilità;
- qualità e integrità dei dati;
- accuratezza e affidabilità degli output;
- gestione dei bias;
- supervisione umana;
- monitoraggio delle prestazioni;
- gestione delle modifiche;
- continuità operativa;
- sicurezza del sistema;
- gestione degli incidenti;
- dismissione dei sistemi.
Tecniche di verifica
- analisi documentale;
- interviste;
- osservazione diretta;
- walkthrough dei processi;
- ispezione delle configurazioni;
- campionamento;
- riesecuzione del controllo;
- verifica delle registrazioni;
- analisi delle eccezioni;
- test di conformità;
- test di efficacia operativa;
- raccolta e conservazione delle evidenze.
Audit dei fornitori di sistemi di IA
- processo di qualificazione;
- completezza della due diligence;
- documentazione tecnica e contrattuale;
- responsabilità del fornitore;
- sicurezza e protezione dei dati;
- livelli di servizio;
- gestione dei subfornitori;
- aggiornamenti e modifiche del sistema;
- segnalazione degli incidenti;
- monitoraggio delle prestazioni;
- diritto di audit;
- riesame periodico del rapporto.
Verifica dell’AI Literacy
- identificazione dei destinatari della formazione;
- differenziazione dei percorsi per ruolo;
- adeguatezza dei contenuti;
- registrazione delle attività formative;
- verifica dell’apprendimento;
- aggiornamento periodico;
- formazione dei nuovi assunti;
- sensibilizzazione degli utilizzatori;
- evidenze dell’efficacia della formazione.
Rilievi e non conformità
- differenza tra osservazione, anomalia e non conformità;
- classificazione per gravità;
- valutazione dell’impatto;
- identificazione delle cause;
- descrizione oggettiva del rilievo;
- collegamento tra requisito, evidenza e rilievo;
- individuazione dei controlli mancanti o inefficaci;
- discussione preliminare con le funzioni interessate;
- gestione delle contestazioni;
- priorità degli interventi.
Rapporto di audit e follow-up
- struttura del rapporto;
- executive summary;
- descrizione del perimetro;
- metodologia utilizzata;
- sintesi delle evidenze;
- rappresentazione dei rilievi;
- valutazione complessiva del sistema di controllo;
- raccomandazioni;
- attribuzione delle responsabilità;
- definizione delle scadenze;
- piano delle azioni correttive;
- monitoraggio dello stato di avanzamento;
- verifica dell’effettiva chiusura dei rilievi;
- reporting alla direzione e agli organi di controllo.
Il corso adotta una metodologia pratica e orientata all’applicazione immediata. Gli argomenti normativi e metodologici vengono collegati a casi aziendali, checklist e simulazioni di audit.
I partecipanti lavorano progressivamente sulla pianificazione di una verifica, sull’identificazione dei controlli chiave, sulla raccolta delle evidenze e sulla formulazione dei rilievi.
La metodologia comprende:
- lezioni interattive;
- analisi di casi;
- esame di documenti e registrazioni;
- utilizzo di checklist;
- simulazione di interviste;
- test di disegno e funzionamento dei controlli;
- classificazione delle non conformità;
- redazione di un rapporto sintetico;
- laboratorio conclusivo.
È consigliata una conoscenza generale dell’AI Act, dei sistemi di controllo interno e dei principali processi aziendali di compliance.
Per una partecipazione più efficace è utile aver frequentato uno dei seguenti corsi:
- AI Compliance Officer;
- Implementare un programma aziendale di AI Compliance;
- AI Governance;
- AI Risk Management;
- EU AI Act: obblighi e conformità per le imprese.
Verifica dell’apprendimento
La verifica potrà avvenire attraverso:
esercitazioni;
discussione di casi;
valutazione degli elaborati prodotti;
test finale;
eventuale presentazione del project work.
Attestato
Al termine del corso verrà rilasciato un attestato di partecipazione subordinatamente alla frequenza minima prevista, oppure un attestato di frequenza positiva rafforzato dall'esito positivo del test finale.
Al termine del corso i partecipanti disporranno di un metodo strutturato per valutare l’adeguatezza e l’effettiva applicazione del programma aziendale di AI Compliance.
Saranno inoltre in grado di verificare i principali processi di governance dell’IA, documentare le evidenze raccolte, individuare le carenze del sistema di controllo e formulare raccomandazioni concrete per il miglioramento.
