L’adozione dell’intelligenza artificiale nelle organizzazioni richiede un sistema strutturato di responsabilità, regole, controlli e processi decisionali. Non è sufficiente introdurre singoli strumenti o pubblicare una policy aziendale: occorre definire un vero e proprio framework di AI Governance, capace di accompagnare l’intero ciclo di vita dei sistemi e dei casi d’uso di IA.
Il corso fornisce un metodo operativo per progettare e implementare un framework aziendale di AI Governance, definendo ruoli, responsabilità, procedure di approvazione, classificazione dei rischi, controlli, documentazione, monitoraggio e gestione degli incidenti.
L’impostazione integra i principi dell’EU AI Act, della norma ISO/IEC 42001 e del NIST AI Risk Management Framework. L’AI Act adotta infatti un approccio basato sul rischio, mentre ISO/IEC 42001 disciplina la creazione e il miglioramento continuo di un sistema di gestione dell’intelligenza artificiale. Il NIST AI RMF propone inoltre un modello strutturato per governare, individuare, misurare e gestire i rischi connessi all’IA.
Durante il percorso i partecipanti lavoreranno alla costruzione progressiva di un modello di governance applicabile alla propria organizzazione.
Il corso è rivolto a:
- AI Governance Manager e AI Compliance Officer;
- responsabili compliance, risk management e internal audit;
- responsabili privacy e Data Protection Officer;
- CIO, CTO, CISO e responsabili dei sistemi informativi;
- responsabili innovazione e trasformazione digitale;
- responsabili qualità e sistemi di gestione;
- responsabili legali e affari societari;
- project manager e responsabili di iniziative di IA;
- manager coinvolti nella selezione o nell’utilizzo di sistemi di intelligenza artificiale;
- consulenti direzionali, organizzativi e tecnologici.
Al termine del corso i partecipanti saranno in grado di:
- comprendere le componenti fondamentali di un framework di AI Governance;
- analizzare il contesto organizzativo e il livello di maturità nell’adozione dell’IA;
- identificare applicazioni, strumenti, modelli e processi aziendali che utilizzano l’intelligenza artificiale;
- costruire un inventario dei sistemi e dei casi d’uso di IA;
- classificare i casi d’uso in base a impatto, criticità e livello di rischio;
- definire ruoli, responsabilità e organismi decisionali;
- progettare il processo di proposta, valutazione, approvazione e monitoraggio delle iniziative di IA;
- stabilire controlli per privacy, sicurezza, trasparenza, qualità, supervisione umana e gestione dei fornitori;
- predisporre la documentazione essenziale del framework;
- definire indicatori, verifiche periodiche e meccanismi di miglioramento continuo;
- elaborare una roadmap per l’implementazione della governance dell’IA.
Modulo 1 – Progettare il modello di AI Governance
Dalla gestione degli strumenti alla governance aziendale
- Che cosa si intende per AI Governance
- Differenza tra governance, compliance, risk management e gestione operativa
- Perché una semplice AI Policy non costituisce un framework completo
- Principi di affidabilità, responsabilità, trasparenza e supervisione umana
- L’approccio basato sul rischio dell’EU AI Act
- Il sistema di gestione dell’IA previsto dalla ISO/IEC 42001
- Il modello Govern, Map, Measure e Manage del NIST AI RMF
- Collegamenti con GDPR, cybersecurity, qualità, procurement e internal audit
Analisi del contesto organizzativo
- Obiettivi aziendali nell’utilizzo dell’IA
- Processi, funzioni e stakeholder coinvolti
- Analisi delle aspettative delle parti interessate
- Individuazione dei vincoli normativi, contrattuali e organizzativi
- Valutazione iniziale della maturità aziendale
- Definizione del perimetro del framework
Modulo 2 – Inventario, classificazione e valutazione dei casi d’uso
Costruire l’inventario aziendale dell’IA
- Individuazione degli strumenti ufficialmente adottati
- Emersione dei sistemi utilizzati autonomamente dalle funzioni aziendali
- Shadow AI e utilizzo non autorizzato di applicazioni generative
- Sistemi sviluppati internamente e soluzioni acquistate da terzi
- Modelli embedded in software, piattaforme e servizi cloud
- Raccolta delle informazioni necessarie per ogni caso d’uso
Strutturare l’AI Register
- Denominazione e descrizione del sistema
- Finalità e processo aziendale interessato
- Responsabile interno e utilizzatori
- Fornitore, modello e origine della soluzione
- Tipologia di dati trattati
- Persone o categorie interessate
- Output prodotti e decisioni supportate
- Livello di autonomia del sistema
- Presenza della supervisione umana
- Dipendenze e integrazioni tecnologiche
Classificazione del rischio
- Sistemi vietati, ad alto rischio, con obblighi di trasparenza e a rischio limitato
- Rischio normativo e rischio organizzativo
- Impatto su persone, clienti, lavoratori e processi decisionali
- Gravità, probabilità, esposizione e rilevabilità
- Rischi di bias, errore, discriminazione e inaccuratezza
- Rischi relativi a privacy, proprietà intellettuale e riservatezza
- Rischi di cybersecurity e manipolazione degli output
- Reputazione, continuità operativa e dipendenza dai fornitori
- Definizione delle soglie di accettazione del rischio
Modulo 3 – Ruoli, processi decisionali e sistema dei controlli
Definire la struttura organizzativa
- Responsabilità del vertice aziendale
- Ruolo dell’AI Governance Board
- AI Officer, AI Compliance Officer e responsabili delle funzioni aziendali
- Coinvolgimento di IT, sicurezza, privacy, legale, HR e procurement
- System Owner, Process Owner e Data Owner
- Ruolo degli utilizzatori e dei supervisori umani
- Modello RACI applicato alla governance dell’IA
- Escalation e gestione dei conflitti decisionali
Processo di approvazione dei casi d’uso
- Proposta di una nuova iniziativa di IA
- Analisi preliminare e raccolta dei requisiti
- Valutazione del rischio e degli impatti
- Due diligence del fornitore
- Progettazione dei controlli
- Approvazione, autorizzazione condizionata o rifiuto
- Sperimentazione in ambiente controllato
- Passaggio dalla fase pilota alla produzione
- Modifiche rilevanti e nuova valutazione
- Dismissione del sistema
Definire i controlli
- Qualità, provenienza e adeguatezza dei dati
- Accuratezza, robustezza e affidabilità degli output
- Trasparenza e informazione degli interessati
- Supervisione umana significativa
- Gestione degli accessi e protezione delle credenziali
- Logging, tracciabilità e conservazione delle evidenze
- Controllo degli input e prevenzione della perdita di dati
- Validazione periodica dei risultati
- Human-in-the-loop e possibilità di revisione delle decisioni
- Gestione dei contenuti generati dall’IA
- Controlli sui sistemi di IA generativa
- Verifica dei fornitori e delle modifiche apportate ai servizi
Modulo 4 – Documentazione, monitoraggio e implementazione
Documentazione del framework
- AI Governance Framework aziendale
- AI Policy e procedure operative
- Registro dei sistemi e dei casi d’uso
- Modello di valutazione del rischio
- Scheda di approvazione delle iniziative
- Registro delle decisioni
- Checklist di due diligence dei fornitori
- Istruzioni per gli utilizzatori
- Documentazione della supervisione umana
- Registro degli incidenti e delle non conformità
- Evidenze delle attività di formazione e AI Literacy
L’articolo 4 dell’AI Act richiede a provider e deployer di assicurare un livello adeguato di AI Literacy al personale e alle altre persone che operano con sistemi di IA per loro conto. La formazione deve quindi essere integrata nel framework e differenziata in funzione dei ruoli, delle competenze e dei rischi delle applicazioni utilizzate.
Monitoraggio e miglioramento continuo
- Indicatori di rischio e indicatori di performance
- Monitoraggio degli errori e delle anomalie
- Segnalazioni degli utenti
- Incident management
- Gestione delle non conformità
- Audit periodici
- Riesame da parte della direzione
- Azioni correttive e preventive
- Aggiornamento dell’inventario e delle valutazioni
- Sorveglianza delle evoluzioni normative e tecnologiche
- Miglioramento continuo del sistema di governance
Roadmap di implementazione
- Identificazione delle priorità
- Interventi immediati e interventi strutturali
- Piano a 30, 60 e 90 giorni
- Definizione dei responsabili
- Risorse e competenze necessarie
- Integrazione con processi aziendali già esistenti
- Comunicazione interna
- Formazione differenziata per ruoli
- Verifica dell’effettiva applicazione del framework
Il corso adotta una metodologia operativa e laboratoriale, alternando:
- inquadramenti metodologici e normativi;
- analisi di casi aziendali;
- checklist e modelli di autovalutazione;
- esercitazioni progressive;
- simulazioni dei processi di approvazione;
- costruzione guidata di registri e matrici;
- confronto tra differenti modelli organizzativi;
- project work conclusivo.
La trattazione normativa viene utilizzata come riferimento per progettare processi concretamente applicabili, evitando un’impostazione esclusivamente giuridica o teorica.
Ai partecipanti potranno essere forniti modelli personalizzabili di:
- AI Governance Framework;
- AI Register;
- scheda di valutazione del rischio;
- matrice RACI;
- checklist di due diligence;
- modulo di approvazione dei casi d’uso;
- registro degli incidenti;
- piano di monitoraggio;
- roadmap di implementazione.
È consigliata una conoscenza generale:
- dei principali utilizzi aziendali dell’intelligenza artificiale;
- dei concetti fondamentali dell’EU AI Act;
- dei processi organizzativi, di compliance o di gestione del rischio.
Non sono richieste competenze di programmazione o sviluppo di modelli di machine learning.
Verifica dell’apprendimento
La verifica potrà avvenire attraverso:
- esercitazioni;
- discussione di casi;
- valutazione degli elaborati prodotti;
- test finale;
- eventuale presentazione del project work.
Attestato
Al termine del corso verrà rilasciato un attestato di partecipazione subordinatamente alla frequenza minima prevista, oppure un attestato di frequenza positiva rafforzato dall'esito positivo del test finale.
Al termine del percorso ogni partecipante disporrà di una struttura metodologica utilizzabile per avviare o rafforzare la governance dell’intelligenza artificiale nella propria organizzazione.
Il risultato non sarà soltanto la conoscenza dei principi di riferimento, ma una prima architettura operativa composta da:
- perimetro della governance;
- inventario dei sistemi di IA;
- criteri di classificazione;
- ruoli e responsabilità;
- processo decisionale;
- sistema dei controlli;
- documentazione minima;
- piano di monitoraggio;
- roadmap di implementazione.
