Che cos'è la governance dell'AI?

La governance dell'AI è costituita da policy, framework e meccanismi di supervisione che garantiscono lo sviluppo, l'implementazione e il monitoraggio dei sistemi di Artificial Intelligence in modo sicuro, etico e conforme alle normative applicabili. Per le organizzazioni che scalano l'AI in tutte le operations aziendali, la governance determina se tali sistemi creano fiducia o introducono rischi incontrollati.

La posta in gioco è alta. L'AI ora influenza le decisioni di assunzione, l'approvazione del credito, le diagnosi mediche e le operazioni della supply chain, e ciascuna di queste applicazioni può causare pregiudizi, violazioni della privacy o guasti. Senza una governance strutturata, le organizzazioni si espongono a sanzioni normative, danni alla reputazione e interruzioni operative che possono minare gli stessi vantaggi che l'AI intendeva offrire.

Questo articolo spiega cosa comporta la governance dell'AI, perché è importante, i principali framework che la definiscono e come le organizzazioni possono implementare programmi di governance che bilanciano innovazione e responsabilità.

L'ascesa della governance dell'AI

La governance dell'AI come disciplina formale è emersa dall'intersezione tra governance dei dati, etica aziendale e pressione normativa. Le sue origini risalgono ai primi anni 2010, quando il modello di Machine Learning ha iniziato a influenzare le decisioni consequenziali in materia di finanza, sanità e giustizia penale, spesso senza un controllo significativo.

Diversi guasti di alto profilo hanno accelerato la domanda di governance. Il pregiudizio algoritmico degli strumenti di condanna penale, degli algoritmi discriminatori di assunzione e dei chatbot che hanno prodotto risultati tossici ha dimostrato cosa succede quando l'AI opera senza guardrail. Questi incidenti hanno spinto governi e gruppi di settore ad agire.

L'Organizzazione per la Cooperazione e lo Sviluppo Economico (OCSE) ha pubblicato i suoi Principi di AI a maggio 2019, stabilendo il primo benchmark intergovernativo per l'AI responsabile. Oggi, 47 paesi hanno adottato questi principi. Lo stesso anno la Commissione europea ha seguito le sue Linee guida sull'etica per l'AI affidabile. Entro il 2024, l'UE aveva adottato l'AI Act, la prima legislazione completa al mondo specifica per l'AI. Negli Stati Uniti, il National Institute of Standards and Technology (NIST) ha rilasciato il proprio AI Risk Management Framework a gennaio 2023, fornendo uno standard volontario ma ampiamente adottato.

Oggi, la governance dell'AI è passata da una discussione teorica a un requisito operativo. Le organizzazioni che un tempo lo consideravano opzionale ora lo riconoscono come fondamentale per scalare l'AI in modo sicuro.

Componenti chiave di un framework di governance dell'AI

Un efficace framework di governance dell'AI opera nell'intero ciclo di vita dell'AI, dalla raccolta dei dati alla formazione dei modelli, fino al deployment, al monitoraggio e al ritiro. Anche se i framework specifici variano, la maggior parte condivide diversi componenti chiave.

Politiche e standard

La governance inizia con policy documentate che definiscono l'uso accettabile dell'AI all'interno di un'organizzazione. Queste policy riguardano la gestione dei dati, le pratiche di sviluppo dei modelli, i requisiti di test, i workflow di approvazione e le restrizioni sulle applicazioni ad alto rischio. Senza standard scritti, la governance diventa incoerente e inapplicabile.

Le policy efficaci definiscono anche ruoli e responsabilità. Specifica chi approva nuovi progetti di AI, chi monitora i modelli distribuiti e chi è responsabile quando qualcosa va storto.

Valutazione e classificazione dei rischi

Non tutti i sistemi di AI comportano lo stesso rischio. Un motore di raccomandazioni per i suggerimenti sui prodotti pone preoccupazioni diverse rispetto a un algoritmo che approva le richieste di mutui. I framework di governance classificano i sistemi di AI in base al livello di rischio e applicano una supervisione proporzionale.

L'EU AI Act formalizza questo aspetto attraverso quattro livelli di rischio:

• Rischio inaccettabile: Le applicazioni di AI sono state vietate completamente, come i sistemi di valutazione sociale e la sorveglianza biometrica in tempo reale negli spazi pubblici
• Rischio elevato: Sistemi che influiscono su salute, sicurezza o diritti fondamentali, soggetti a valutazioni di conformità obbligatorie, gestione dei rischi e supervisione umana
• Rischio limitato: Applicazioni con specifici obblighi di trasparenza, come i chatbot che devono rivelare di essere basate sull'AI
• Rischio minimo: Sistemi a basso rischio senza requisiti aggiuntivi oltre alla legge esistente

Strutture di responsabilità

La governance richiede una chiara proprietà. Nella maggior parte delle organizzazioni aziendali, la responsabilità si estende a più ruoli: Il CEO e la leadership senior definiscono la direzione strategica, i team legali e di conformità valutano l'esposizione normativa, i team di data science gestiscono le performance dei modelli e le funzioni di audit convalidano che i controlli funzionino come previsto.

Secondo una ricerca di PwC, il 56% dei dirigenti ha riferito che i team di prima linea, IT, ingegneria, dati e AI, ora guidano iniziative di AI responsabili, riflettendo un cambiamento rispetto a pochi anni fa, quando la governance dell'AI è scesa a causa delle carenze organizzative.

Monitoraggio e miglioramento continuo

I modelli AI non sono statici. Si spostano man mano che cambiano i modelli di dati in entrata, producendo output che divergono dal loro intento originale. I framework di governance richiedono un monitoraggio continuo per verificare la presenza di bias, peggioramento della precisione, vulnerabilità della sicurezza e scostamenti di conformità.

Questo monitoraggio deve essere automatizzato per la scalabilità. Le revisioni manuali non sono in grado di tenere il passo con le organizzazioni che eseguono centinaia o migliaia di modelli in tutti gli ambienti di produzione.

Governance dell'AI e governance dei dati

La governance dell'AI e la governance dei dati sono discipline correlate ma distinte. Confondere i due fattori porta a lacune che nessuno dei due programmi copre adeguatamente.

La governance dei dati è un prerequisito per la governance dell'AI. Non puoi gestire l'AI in modo responsabile senza prima controllare i dati che utilizza. Ma la governance dell'AI si estende ulteriormente, affrontando i rischi specifici del processo decisionale algoritmico, dell'opacità del modello e del comportamento autonomo del sistema che la sola governance dei dati non copre.

Principali framework e standard normativi

Il panorama normativo per la governance dell'AI si sta evolvendo rapidamente, con più framework che ora definiscono il modo in cui le organizzazioni sviluppano e implementano i sistemi di AI.

Legge UE sull'AI

L'EU AI Act è la legislazione più completa specifica per l'AI a livello globale. Adottata nel 2024, adotta un approccio basato sul rischio, classificando i sistemi di AI in quattro livelli con requisiti crescenti. I sistemi ad alto rischio sono soggetti a valutazioni di conformità obbligatorie, documentazione tecnica, monitoraggio post-commercializzazione e obblighi di supervisione umana.

Le sanzioni possono essere significative: fino a 35 milioni di euro o al 7% del fatturato annuo globale per le violazioni più gravi. La legge è entrata in vigore il 1° agosto 2024, con piena applicabilità per i sistemi ad alto rischio entro agosto 2026.

NIST AI Risk Management Framework (AI RMF)

LAIRMF AI del NIST, pubblicato a gennaio 2023, fornisce un framework flessibile e volontario basato su quattro funzioni principali: 

1. Governo: Definizione di responsabilità e cultura
2. Mappa: Comprensione del contesto e dei rischi 
3. Misura: Valutazione e monitoraggio dei rischi
4. Gestisci: Dare priorità e agire in base ai rischi 

Il framework è diventato lo standard di fatto per le organizzazioni con sede negli Stati Uniti che creano programmi di governance dell'AI.

ISO 42001

ISO/IEC 42001, pubblicato a dicembre 2023, è il primo standard internazionale per i sistemi di gestione dell'AI. Definisce i requisiti per sviluppare, implementare, gestire e migliorare un sistema di gestione dell'AI. La certificazione ISO 42001 fornisce un benchmark riconosciuto per la maturità della governance dell'AI.

Normative specifiche per settore

Oltre ai framework orizzontali, le regole specifiche del settore aggiungono ulteriori requisiti:

• Servizi finanziari: Le linee guida SR 11-7 della Federal Reserve degli Stati Uniti richiedono la gestione del rischio per tutti i modelli utilizzati nel settore bancario, compresi i modelli AI/ML.
• Sanità: Le implicazioni dell'HIPAA si estendono ai sistemi di AI che elaborano le informazioni sanitarie protette (Protected Health Information, PHI), che richiedono una governance sul modo in cui i dati dei pazienti alimentano i modelli di AI.
• Governo: La Direttiva canadese sul processo decisionale automatizzato impone di effettuare valutazioni d'impatto per i sistemi di AI utilizzati nei servizi della pubblica amministrazione federale.

Le organizzazioni che operano in più giurisdizioni devono affrontare l'ulteriore complessità di riconciliare requisiti normativi sovrapposti e a volte contrastanti.

Vantaggi aziendali della governance dell'AI

La governance dell'AI è spesso inquadrata come un onere di conformità, ma le organizzazioni che la implementano realizzano efficacemente un valore aziendale tangibile.

• Riduzione dei rischi. La governance strutturata rileva i guasti dei modelli, i problemi di bias e le vulnerabilità della sicurezza prima che raggiungano la produzione o causino danni. Il costo della risoluzione di un guasto dell'AI dopo il deployment, tra cui responsabilità legale, sanzioni normative e danni alla reputazione, supera di gran lunga il costo dei controlli di governance.
• Conformità normativa. Con l'EU AI Act, il NIST AI RMF e le normative specifiche di settore che creano requisiti obbligatori, i programmi di governance impediscono costose violazioni. La sola inosservanza della legge UE AI Act può comportare sanzioni che raggiungono il 7% del fatturato globale.
• Fiducia e trasparenza. Clienti, partner e autorità di regolamentazione chiedono sempre più visibilità sul modo in cui i sistemi di AI prendono le decisioni. Le organizzazioni in grado di dimostrare la spiegabilità, i test di equità e gli audit trail ottengono un vantaggio competitivo nei processi di approvvigionamento e nelle trattative di partnership.
• Efficienza operativa. La governance standardizza il modo in cui i progetti di AI vengono valutati, approvati e monitorati, riducendo gli sforzi ridondanti, accelerando le tempistiche di deployment ed eliminando il processo decisionale ad hoc che rallenta i team.
• Scalabilità più rapida. Le organizzazioni con una governance matura possono implementare l'AI in nuovi casi d'uso più rapidamente perché le policy, i processi di revisione e l'infrastruttura di monitoraggio sono già in atto. Senza governance, ogni nuovo progetto di AI diventa un esercizio di conformità una tantum.

Come implementare la governance dell'AI

L'implementazione della governance dell'AI non è un progetto una tantum. È un programma continuo che matura nel tempo. Ecco un approccio graduale che si allinea con il modo in cui la maggior parte delle organizzazioni aziendali sviluppa le proprie capacità di governance.

Fase 1: Valutazione e inventario

Inizia catalogando tutti i sistemi di AI attualmente in uso o in fase di sviluppo. Molte organizzazioni sono sorprese di scoprire l'entità dell'adozione dell'AI tra i vari reparti, compresi gli strumenti adottati in modo informale dai singoli team senza supervisione centrale.

Per ogni sistema, documenta il suo scopo, i dati che utilizza, chi ne è il proprietario e le decisioni che influenza. Questo inventario costituisce la base per la classificazione dei rischi.

Fase 2: Definire le policy e assegnare la proprietà

Sviluppa policy specifiche per l'AI che coprono l'uso accettabile, i criteri di classificazione dei rischi, i requisiti di test e le procedure di escalation. Assegna una chiara responsabilità all'interno dell'organizzazione: Sponsor esecutivi, responsabili della governance, proprietari di modelli e funzioni di audit hanno tutti bisogno di ruoli definiti.

Non iniziare da zero. I framework come l'RMF AI del NIST forniscono modelli strutturati che le organizzazioni possono adattare al loro contesto specifico e alla loro tolleranza al rischio.

Fase 3: Implementare controlli e strumenti

Implementa i controlli tecnici e gli strumenti necessari per applicare le policy su vasta scala. Ciò include il rilevamento automatizzato dei bias, il monitoraggio delle performance dei modelli, il rilevamento delle derive, i controlli degli accessi ai dati di addestramento e la registrazione degli audit.

La governance manuale non è scalabile. Le organizzazioni che eseguono più di una manciata di modelli di AI hanno bisogno di strumenti a livello di piattaforma che integrino la governance nei workflow delle operazioni di ML esistenti.

Fase 4: Monitoraggio, audit e iterazione

La governance deve essere continua. Stabilisci cadenza di revisione regolare per i modelli distribuiti, inclusi avvisi automatizzati per il peggioramento delle performance e la deriva dei bias. Condurre audit interni ed esterni periodici per verificare il funzionamento dei controlli.

Man mano che le normative si evolvono e le capacità di AI progrediscono, i framework di governance devono adattarsi. Integra i cicli di revisione nel tuo programma per aggiornare le policy, riaddestrare gli stakeholder e integrare le lezioni apprese da incidenti o mancati incidenti.

Sfide nella governance dell'AI

Anche le organizzazioni con risorse adeguate possono affrontare sfide reali nell'implementazione efficace della governance dell'AI. tra cui:

• Bilanciare innovazione e controllo. Una governance eccessivamente restrittiva può rallentare l'adozione dell'AI e spingere i team verso l'AI ombra, implementando strumenti al di fuori della supervisione della governance. I programmi efficaci trovano l'equilibrio tra velocità e sicurezza, applicando controlli più pesanti solo dove il rischio lo richiede.
• Complessità intergiurisdizionale. Le organizzazioni che operano a livello globale devono esplorare contemporaneamente diversi framework normativi. Ciò che l'EU AI Act richiede può differire dalle norme specifiche del settore statunitense o dalle normative emergenti nell'area Asia-Pacifico. L'armonizzazione della conformità tra le varie regioni richiede architetture di governance flessibili.
• Modella l'opacità. Molti modelli di AI avanzati, in particolare i modelli di linguaggio di grandi dimensioni e le reti neurali profonde, operano come black box, rendendo difficile spiegare come vengono prese decisioni specifiche. I programmi di governance devono investire in strumenti di spiegabilità e tecniche di interpretabilità per colmare questo divario.
• Disponibilità di talenti e organizzazioni. La governance dell'AI richiede competenze che coprono tecnologia, legge, etica e gestione dei rischi. Poche organizzazioni hanno questa combinazione in-house. La creazione di team di governance interfunzionali e gli investimenti in formazione sono necessari, ma richiedono passi lunghi.
• Al passo con l'evoluzione dell'AI. La diffusione dell'AI, sistemi in grado di intraprendere azioni autonome, non solo di generare raccomandazioni, introduce sfide di governance che i framework esistenti non affrontano completamente. Le organizzazioni hanno bisogno di programmi di governance che possano evolversi rapidamente come la tecnologia stessa.

Il ruolo dell'infrastruttura dati nella governance dell'AI

La governance dell'AI non esiste sotto vuoto. Dipende dall'infrastruttura dati sottostante che memorizza, protegge e fornisce i dati utilizzati dai sistemi di AI.

L'addestramento dell'integrità dei dati influisce direttamente sul comportamento del modello. Se i set di dati di addestramento contengono dati imprecisi, parziali o provenienti in modo improprio, nessuna supervisione algoritmica può correggere i risultati risultanti. La governance inizia a livello di storage, garantendo che i dati siano correttamente classificati, controllati in base all'accesso, crittografati e conservati secondo la policy.

Lo storage immutabile svolge un ruolo cruciale nella conformità agli audit. I framework di governance richiedono sempre più spesso alle organizzazioni di mantenere registri a prova di manomissione dei dati di addestramento dei modelli, dei registri delle decisioni e delle valutazioni di conformità. I sistemi di storage che supportano snapshot immutabili e policy di scrittura una tantum costituiscono la base per questi audit trail.

I requisiti di sovranità e residenza dei dati aggiungono un'altra dimensione. Normative come il GDPR e l'EU AI Act richiedono che alcuni dati rimangano entro limiti geografici specifici. L'architettura storage deve supportare questi requisiti in modo nativo, non come se fosse un'altra opinione.

Man mano che i workload di AI sono scalabili, l'infrastruttura di storage deve scalare con loro, mantenendo al contempo i controlli di governance richiesti dalla conformità. È qui che le piattaforme di storage appositamente progettate per i workload di AI e analytics offrono un chiaro vantaggio rispetto alle alternative generiche.

Prospettive future

La governance dell'AI si intensificherà man mano che le funzionalità dell'AI cresceranno in modo più autonomo e profondamente integrato nelle operazioni critiche.

I sistemi di AI possono pianificare, eseguire attività in più fasi e interagire con strumenti esterni in modo indipendente, rappresentando la prossima frontiera per la governance. Questi sistemi richiedono meccanismi di supervisione in tempo reale che vanno oltre il monitoraggio degli output dei modelli fino alle azioni di governance e alle relative conseguenze a valle.

L'attività normativa continuerà ad accelerare a livello globale. I paesi dell'area Asia-Pacifico, America Latina e Medio Oriente stanno sviluppando i propri framework di governance dell'AI, che si aggiungono alla matrice di conformità che le organizzazioni devono affrontare. Le organizzazioni che ora creano programmi di governance adattabili, con policy flessibili, monitoraggio automatizzato e infrastruttura progettata per la conformità, saranno in grado di assorbire nuovi requisiti senza ricostruirli da zero.

Conclusione

La governance dell'AI è la disciplina che determina se le organizzazioni possono scalare l'AI in modo responsabile mantenendo la conformità, gestendo i rischi e preservando la fiducia man mano che l'adozione accelera. Si estende a policy, framework, responsabilizzazione e monitoraggio continuo nell'intero ciclo di vita dell'AI.

Per le aziende, l'impatto sul business è diretto: Le organizzazioni con programmi di governance maturi riducono gli incidenti correlati all'AI, accelerano le tempistiche di deployment e soddisfano i requisiti normativi che comportano sanzioni pecuniarie significative per la non conformità. Poiché normative come l'EU AI Act, il NIST AI RMF e ISO 42001 passano dalla guida all'applicazione, la governance diventa un requisito competitivo, non un esercizio facoltativo.

La base di una governance efficace dell'AI inizia con l'infrastruttura dati alla base dei workload di AI. Everpure™ FlashBlade® e FlashArray™ offrono le performance elevate e la sicurezza dello storage richieste dalla governance dell'AI, con crittografia integrata, SafeMode™ Snapshots per audit trail immutabili e la scalabilità necessaria per supportare i workload di AI dallo sviluppo alla produzione. Insieme all'AI-Ready Infrastructure AIRI®, Everpure offre l'infrastruttura che rende l'AI responsabile raggiungibile su scala enterprise.