AI Governance as an Organizational System
Portaluppi Research & Innovation
AI Governance as an Organizational System
AI Act, ISO/IEC 42001, accountability, risk management e governance operativa
Research Paper · AI Governance · Digital Governance · Management Systems · Audit · Accountability
Autrice: Maria Luisa Portaluppi Research Unit: Portaluppi Research & Innovation Framework: The Compliance Intersection Area di ricerca: AI Governance · AI Act · ISO/IEC 42001 · Risk Management · Accountability
Abstract
Il presente Research Paper analizza la AI Governance come sistema organizzativo e non come insieme isolato di adempimenti tecnici o normativi.
La ricerca esamina l'interazione tra AI Act, ISO/IEC 42001, risk management, accountability, supervisione umana, governance dei dati, cybersecurity, audit e sistemi di gestione.
L'ipotesi centrale è che una governance affidabile dei sistemi di intelligenza artificiale dipenda dalla capacità dell'organizzazione di integrare ruoli, responsabilità, controlli, evidenze e processi lungo l'intero ciclo di vita del sistema.
La AI Governance viene quindi interpretata come infrastruttura organizzativa capace di collegare regolazione, tecnologia e responsabilità operative.
Parole chiave
AI Governance · AI Act · ISO/IEC 42001 · Artificial Intelligence Management System · Risk Management · Accountability · Human Oversight · Audit · Data Governance · Cybersecurity · Compliance
1. Contesto di ricerca
La crescente diffusione di sistemi di intelligenza artificiale all'interno delle organizzazioni modifica il rapporto tra tecnologia, responsabilità e governance.
L'AI non viene utilizzata soltanto come strumento tecnico.
Può intervenire in:
- processi decisionali;
- analisi;
- produzione di contenuti;
- selezione;
- classificazione;
- monitoraggio;
- automazione;
- supporto alle attività professionali;
- gestione delle informazioni.
Di conseguenza, il problema della governance non riguarda soltanto il funzionamento del sistema, ma il modo in cui l'organizzazione decide di utilizzarlo, controllarlo e documentarlo.
2. Domanda di ricerca
Research Question
In che misura la AI Governance deve essere considerata un sistema organizzativo integrato, e quali condizioni sono necessarie affinché AI Act, ISO/IEC 42001, risk management, supervisione umana e accountability possano tradursi in processi effettivamente governati e verificabili?
3. Obiettivi della ricerca
La ricerca persegue i seguenti obiettivi:
- analizzare la AI Governance come sistema organizzativo;
- studiare la relazione tra AI Act e ISO/IEC 42001;
- identificare il ruolo di accountability, risk management e human oversight;
- valutare l'importanza delle evidenze e dell'auditabilità;
- osservare le intersezioni con Data Protection e cybersecurity;
- definire le principali condizioni di maturità organizzativa per una governance effettiva.
4. Metodologia
La ricerca utilizza un approccio interdisciplinare basato su:
- analisi di fonti normative;
- studio dei sistemi di gestione;
- osservazione dei modelli di governance;
- analisi delle responsabilità;
- valutazione dei processi di risk management;
- analisi delle evidenze;
- osservazione dei sistemi AI utilizzati in contesti professionali;
- interpretazione trasversale attraverso The Compliance Intersection.
La metodologia privilegia il confronto tra requisiti formali e funzionamento reale dei sistemi organizzativi.
5. AI Governance come infrastruttura organizzativa
La AI Governance richiede l'esistenza di una struttura organizzativa capace di definire:
- finalità;
- ruoli;
- responsabilità;
- criteri di utilizzo;
- controlli;
- processi di approvazione;
- monitoraggio;
- gestione degli incidenti;
- audit;
- miglioramento.
Il sistema AI non opera quindi in modo indipendente.
È inserito all'interno di una rete di decisioni e responsabilità umane.
6. AI Act e governance operativa
L'AI Act introduce requisiti che devono essere tradotti in processi organizzativi concreti.
L'organizzazione deve essere in grado di determinare:
- quali sistemi utilizza;
- quale ruolo assume;
- quali obblighi sono applicabili;
- quali rischi devono essere gestiti;
- quali evidenze devono essere conservate;
- come vengono controllati i sistemi nel tempo.
La conformità non può quindi essere affidata esclusivamente a documenti statici.
7. ISO/IEC 42001 come modello di sistema
Dal requisito alla governance sistematica
ISO/IEC 42001 introduce una logica di sistema di gestione che consente di organizzare in modo strutturato la governance dell'intelligenza artificiale.
Il modello collega:
- leadership;
- policy;
- obiettivi;
- responsabilità;
- pianificazione;
- risk management;
- competenze;
- processi operativi;
- monitoraggio;
- audit;
- riesame;
- miglioramento continuo.
Questa impostazione può contribuire a rendere la governance ripetibile e verificabile.
8. AI Act e ISO/IEC 42001
AI Act e ISO/IEC 42001 non coincidono.
Il primo appartiene alla dimensione regolatoria.
Il secondo appartiene alla dimensione dei sistemi di gestione.
La loro interazione può tuttavia creare una struttura nella quale gli obblighi normativi vengono tradotti in processi, controlli e responsabilità organizzative.
Le principali aree di convergenza includono:
- risk management;
- governance;
- documentazione;
- supervisione;
- monitoraggio;
- accountability;
- controllo;
- miglioramento.
9. Inventario dei sistemi AI
Una organizzazione non può governare ciò che non conosce.
Un inventario dei sistemi AI dovrebbe consentire di identificare:
- sistema;
- fornitore;
- finalità;
- utenti;
- dati;
- processi interessati;
- rischi;
- livello di criticità;
- responsabile interno;
- controlli;
- eventuali dipendenze tecnologiche.
L'inventario rappresenta quindi uno dei primi strumenti di governance.
10. Risk Management
Il risk management deve accompagnare il sistema lungo l'intero ciclo di vita.
Tra i rischi rilevanti:
- errori;
- bias;
- indisponibilità;
- utilizzo improprio;
- compromissione dei dati;
- dipendenza dal fornitore;
- impatti sulle persone;
- effetti sui processi;
- rischi reputazionali;
- rischi di compliance;
- cybersecurity.
La gestione del rischio deve tradursi in controlli concreti e verificabili.
11. Human Oversight
La supervisione umana deve essere effettiva
La presenza di una persona nel processo non è sufficiente a dimostrare una supervisione effettiva.
La governance deve stabilire:
- chi supervisiona;
- con quali competenze;
- quali informazioni può consultare;
- quando deve intervenire;
- quali decisioni può modificare;
- quando può sospendere il sistema;
- come documenta le proprie valutazioni.
La supervisione umana deve quindi essere progettata, attribuita e verificabile.
12. Accountability
La accountability richiede che l'organizzazione possa dimostrare come governa il sistema AI.
Le evidenze possono includere:
- policy;
- registri;
- inventari;
- valutazioni;
- decisioni;
- log;
- autorizzazioni;
- audit;
- riesami;
- report di monitoraggio;
- gestione degli incidenti;
- azioni correttive.
La governance non deve essere soltanto dichiarata, ma dimostrabile.
13. Data Governance
La governance dei dati costituisce una componente fondamentale.
Tra gli elementi rilevanti:
- origine;
- qualità;
- accesso;
- aggiornamento;
- sicurezza;
- responsabilità;
- rappresentatività;
- integrità;
- tracciabilità;
- documentazione.
La qualità della governance del sistema AI dipende anche dalla maturità della governance dei dati.
14. Data Protection
Quando vengono trattati dati personali, AI Governance e Data Protection devono essere coordinate.
Le principali intersezioni riguardano:
- basi giuridiche;
- privacy by design;
- minimizzazione;
- trasparenza;
- diritti;
- sicurezza;
- valutazione del rischio;
- decisioni automatizzate;
- accountability.
Queste aree non dovrebbero essere gestite attraverso silos separati.
15. Cybersecurity
La sicurezza costituisce parte integrante della AI Governance.
Tra gli elementi da governare:
- account;
- API;
- infrastrutture;
- piattaforme;
- dati;
- modelli;
- autorizzazioni;
- monitoraggio;
- fornitori;
- incidenti.
Un sistema AI non può essere considerato affidabile se non è inserito in un ambiente adeguatamente protetto.
16. Sistemi AI di terze parti
La maggior parte delle organizzazioni utilizza almeno in parte sistemi AI sviluppati da terzi.
Questo introduce questioni relative a:
- vendor assessment;
- responsabilità contrattuali;
- documentazione;
- gestione delle modifiche;
- sicurezza;
- utilizzo dei dati;
- continuità;
- trasparenza;
- possibilità di verifica.
L'esternalizzazione tecnologica non elimina la responsabilità dell'organizzazione che utilizza il sistema.
17. Auditabilità
Governance verificabile
L'auditabilità permette di verificare la distanza tra modello dichiarato e funzionamento effettivo.
Le evidenze possono comprendere:
- registri;
- log;
- configurazioni;
- versioni;
- autorizzazioni;
- valutazioni del rischio;
- monitoraggio;
- incidenti;
- riesami;
- azioni correttive.
Questa dimensione collega la ricerca alla Case & Evidence Library.
18. Competenze e AI Literacy
La governance richiede competenze adeguate al ruolo svolto.
Le organizzazioni devono sviluppare consapevolezza e competenze relative a:
- funzionamento dei sistemi AI;
- rischi;
- limiti;
- uso corretto;
- sicurezza;
- Data Protection;
- responsabilità;
- supervisione;
- gestione degli output.
La competenza costituisce quindi un controllo organizzativo.
19. Evidenze di governance
Un modello di AI Governance maturo produce evidenze durante il normale funzionamento.
Tra queste:
- inventari;
- risk assessment;
- approvazioni;
- policy;
- log;
- registri;
- audit trail;
- report;
- incident records;
- decisioni;
- verifiche;
- azioni correttive.
Queste evidenze consentono di ricostruire il funzionamento della governance nel tempo.
20. Integrazione con altri sistemi di gestione
La AI Governance può essere integrata con sistemi già presenti nell'organizzazione.
Tra le principali intersezioni:
- ISO/IEC 27001;
- ISO 9001;
- Data Protection;
- risk management;
- business continuity;
- governance;
- internal audit.
L'integrazione può aumentare la coerenza e ridurre duplicazioni.
21. Findings
Principali risultati
L'analisi supporta i seguenti risultati:
- La AI Governance deve essere trattata come sistema organizzativo.
- AI Act e ISO/IEC 42001 operano su livelli differenti ma complementari.
- L'inventario dei sistemi costituisce una precondizione della governance.
- Risk management e human oversight devono essere processi continui.
- Accountability richiede evidenze verificabili.
- Data Governance, Data Protection e Cybersecurity non possono essere separate dalla AI Governance.
- I sistemi di terze parti richiedono specifici modelli di vendor governance.
- L'auditabilità rappresenta un elemento essenziale di fiducia.
- Le competenze costituiscono parte del sistema di controllo.
- L'integrazione con altri sistemi di gestione può aumentare la maturità organizzativa.
22. The Compliance Intersection Perspective
La AI Governance rappresenta un caso paradigmatico del framework The Compliance Intersection.
Il sistema si trova all'intersezione tra:
- regolazione;
- tecnologia;
- Data Protection;
- cybersecurity;
- risk management;
- sistemi di gestione;
- audit;
- accountability;
- governance dei dati;
- processi organizzativi;
- competenze.
La ricerca conferma quindi la necessità di modelli integrati capaci di osservare il sistema nel suo complesso.
23. Implicazioni per la ricerca
Le future linee di ricerca includono:
- AI Act implementation models;
- sistemi di gestione ISO/IEC 42001;
- AI audit methodology;
- human oversight effectiveness;
- vendor governance;
- AI literacy;
- AI risk assessment;
- accountability evidence;
- AI e Data Protection;
- AI e cybersecurity;
- integrazione dei management systems;
- governance dell'AI generativa.
24. Conclusioni
La governance dell'intelligenza artificiale non può essere ridotta a una checklist normativa o a un insieme di controlli tecnici.
Richiede un sistema organizzativo capace di attribuire responsabilità, governare rischi, produrre evidenze, esercitare supervisione e monitorare il comportamento dei sistemi nel tempo.
AI Act e ISO/IEC 42001 possono essere letti come due componenti di questo percorso: il primo definisce il quadro regolatorio, il secondo offre una possibile infrastruttura di gestione.
La maturità della AI Governance dipenderà quindi soprattutto dalla capacità delle organizzazioni di trasformare requisiti e principi in processi reali, responsabilità chiare ed evidenze verificabili.
Materiali collegati
Portaluppi Research & Innovation Research Paper · AI Governance · AI Act · ISO/IEC 42001 · Accountability · Audit