AI governance in azienda, guida pratica per le PMI

"Governance dell'AI" suona come qualcosa che riguarda le multinazionali con un comitato etico e un chief AI officer, non un'azienda di 30 persone che usa ChatGPT per le email e uno strumento di trascrizione per le riunioni. È un errore di percezione che costa caro, perché la governance, in una PMI, non è un comitato: è sapere chi ha approvato quale strumento, chi risponde se un output sbagliato genera un problema con un cliente, e cosa i dipendenti possono e non possono fare con l'AI durante il lavoro. Senza questo, l'AI in azienda non sparisce: si sposta nell'ombra.

Perché una PMI non può ignorarla

Tre ragioni concrete, non teoriche. La prima è che l'AI shadow, cioè l'uso non autorizzato e non tracciato di strumenti AI da parte dei dipendenti, sta già succedendo nella maggior parte delle aziende, che lo sappiano o no: qualcuno incolla dati di un cliente in ChatGPT per farsi scrivere un'email, qualcun altro usa uno strumento gratuito per generare contratti. La seconda è che l'AI Act impone obblighi specifici a chi utilizza sistemi di AI, i cosiddetti deployer, anche quando l'azienda non sviluppa nulla in proprio ma si limita ad acquistare strumenti da terzi. La terza è che quando una decisione presa con supporto AI genera un problema, un cliente scontento, un errore in un contratto, una discriminazione in una selezione del personale, qualcuno deve poter rispondere a "chi ha deciso di usare questo strumento per questo scopo, e perché".

Cos'è la governance dell'AI, e cosa non è

Non è solo compliance all'AI Act: è la struttura di decisioni, ruoli e controlli che un'azienda mette in campo per usare l'AI in modo consapevole. Si può pensare su tre livelli. Il livello strategico decide quali processi aziendali possono usare l'AI e quali no, per esempio "sì al supporto nella scrittura di contenuti, no alle decisioni di assunzione senza revisione umana". Il livello operativo definisce come i dipendenti usano gli strumenti nel lavoro quotidiano, quali strumenti sono approvati, quali dati possono essere condivisi, quando serve la supervisione umana. Il livello tecnico riguarda infrastruttura e sicurezza, cioè dove vivono i dati, chi ha accesso ai sistemi, come vengono monitorati gli output. Una PMI ha bisogno soprattutto del livello operativo: chiaro, scritto, comunicato.

Gestione dei rischi specifici per una PMI

Quattro categorie meritano attenzione prima di tutto il resto. Il rischio privacy e GDPR nasce quando dati personali di clienti o dipendenti finiscono in strumenti AI di terze parti senza le basi legali adeguate, per esempio incollando un curriculum in un chatbot pubblico per farsi scrivere una risposta. Il rischio di bias decisionale riguarda l'AI usata in selezione del personale, valutazioni delle performance o scoring dei clienti, dove un modello allenato su dati storici può riprodurre discriminazioni esistenti. Il rischio di dipendenza da un fornitore, il vendor lock-in, nasce quando un intero processo aziendale viene costruito attorno a uno strumento specifico, con dati e configurazioni che diventano difficili da migrare altrove. E il rischio di qualità degli output, le cosiddette allucinazioni, riguarda contenuti generati dall'AI che sembrano corretti ma contengono errori fattuali, particolarmente pericoloso quando gli output vengono usati senza verifica in comunicazioni con clienti o in documenti legali.

Come scrivere una policy d'uso in una pagina

Non serve un documento di 40 pagine che nessuno legge: serve una pagina che risponda a quattro domande. Quali strumenti sono approvati per l'uso aziendale, con un elenco esplicito, non una regola generica. Quali azioni sono vietate, per esempio condividere dati di clienti o contratti in corso in strumenti non approvati. Chi è responsabile degli output, cioè la regola che un contenuto generato dall'AI e inviato a un cliente resta responsabilità di chi lo ha inviato, non dello strumento. E come si segnala un problema, con un canale chiaro per chi nota un output sbagliato o un uso scorretto.

Chi è responsabile delle decisioni AI

Tre ruoli, non tre uffici. Un owner per ogni progetto AI attivo, la persona che sa esattamente come funziona quello strumento e risponde se qualcosa va storto, spesso chi lo ha proposto o implementato. Uno sponsor a livello executive, che approva l'adozione di nuovi strumenti e ha visibilità su tutti gli usi dell'AI in azienda, senza bisogno di capire i dettagli tecnici. E un canale operativo, anche solo un canale Slack o una casella email dedicata, dove chiunque può segnalare dubbi o problemi senza passare da una gerarchia formale.

Una governance leggera ma reale

Il risultato pratico di tutto questo non è un dipartimento, è una manciata di elementi concreti: una policy d'uso di una pagina, un elenco di strumenti approvati, un owner per ogni progetto, una riunione di revisione trimestrale e un canale per segnalare problemi. Per i sistemi AI ad alto rischio secondo l'AI Act, come strumenti usati in selezione del personale o nel credito, gli obblighi come deployer sono più stringenti e includono la valutazione d'impatto sui diritti fondamentali; per gli usi a rischio limitato, come i chatbot, l'obbligo principale è la trasparenza verso l'utente finale. Questa struttura richiede poche ore al mese per essere mantenuta, ma è la differenza tra un'azienda che sa cosa sta facendo con l'AI e una che lo scopre solo quando qualcosa va storto. La revisione trimestrale, in particolare, è il momento in cui la governance smette di essere un documento e diventa un'abitudine: si aggiorna l'elenco degli strumenti approvati, si verificano i nuovi usi emersi spontaneamente nei team, e si valuta se qualche processo merita di passare a un livello di supervisione più alto o più basso rispetto a prima. Se vuoi impostare una governance su misura per la tua azienda, parliamone.