Per rimanere competitive, le aziende stanno adottando rapidamente l'IA su larga scala.
Tuttavia, poche organizzazioni comprendono realmente i rischi aggiuntivi che l'IA comporta o quanto sia inadeguata la loro attuale metodologia di gestione del rischio.
Questa tensione è il cuore stesso della sfida. I rischi legati all'IA stanno crescendo in modo esponenziale e non possono essere affrontati senza una governance solida ed efficace. Allo stesso tempo, la governance dell'IA può funzionare davvero solo se nasce come pratica interdisciplinare, capace di riunire sicurezza, privacy, gestione del rischio, team legali, ingegneria e funzioni commerciali attorno a obiettivi comuni.
Le organizzazioni stanno cercando di affrontare questo cambiamento epocale e i leader possono imparare dai loro colleghi che stanno già sviluppando programmi di IA responsabili e scalabili.
La specificità del rischio IA
L'IA introduce nuovi tipi di incertezze che i processi tradizionali di sicurezza o di gestione del rischio di terze parti non erano stati concepiti per affrontare. Anche solo identificare la presenza dell'IA all'interno di un ambiente è già di per sé una sfida. I dipendenti adottano strumenti in modo indipendente, le terze parti integrano silenziosamente funzionalità di IA nelle loro piattaforme e i team interni iniziano a sperimentare modelli prima che siano stati messi in atto processi formali.
I team di sicurezza si stanno adeguando integrando la scoperta dell'IA nei loro strumenti di visibilità e nei sistemi di gestione delle risorse esistenti. Stanno catalogando i sistemi di IA allo stesso modo di qualsiasi altra tecnologia critica per l'azienda e utilizzando protezioni contrattuali per ridurre l'esposizione nelle aree in cui i dipendenti fanno affidamento su strumenti esterni. Tuttavia, la visibilità è solo l'inizio.
La sfida più profonda è che i sistemi di IA sono dinamici, probabilistici e in continua evoluzione. I modelli apprendono dai nuovi dati, i fornitori rilasciano nuove funzionalità e il comportamento del sistema può cambiare nel corso del tempo. Questo richiede un passaggio dalle valutazioni statiche e puntuali verso un monitoraggio continuo e un controllo programmatico.
Richiede inoltre un approccio organizzativo chiaro alla propensione al rischio. Cosa costituisce un utilizzo accettabile? Quali tipi di dati possono essere inseriti nei sistemi di IA? Quali funzioni devono essere soggette a revisione umana? Senza adeguate misure di governance, ogni team risponderà a queste domande in modo diverso, rendendo impossibile la gestione del rischio.
Una solida base in termini di governance dell'IA dà ai team di gestione del rischio quello di cui hanno bisogno per lavorare in modo efficace:
- chiarezza su finalità e casi d'uso;
- categorie di rischio ben definite;
- aspettative in termini di trasparenza e documentazione;
- un processo condiviso per determinare se costruire o acquistare sistemi di IA;
- policy per dati, selezione dei modelli e uso accettabile.
Con questi strumenti a disposizione, la gestione dei rischi legati all'IA diventa più snella anziché opprimente.
Costruire un modello operativo: i comitati di governance dell'IA
La maggior parte delle organizzazioni che stanno accelerando l'adozione dell'IA stanno istituendo comitati di governance dell'IA per unificare la supervisione e il processo decisionale. Questi comitati fungono da collegamento tra innovazione e controllo responsabile.
Il nucleo è formato dai team che si occupano di privacy, sicurezza, rischio, compliance, aspetti legali, IT e strategia. I responsabili dell'ingegneria, dei prodotti e dei dati si uniscono ai comitati secondo necessità. A seconda del modello di business, anche i team che si occupano di operazioni o finanza possono svolgere un ruolo centrale.
Responsabilità dei comitati
- Definizione della strategia aziendale in materia di IA e delle relative linee guida: ciò comporta la definizione di policy e linee guida per un utilizzo accettabile, la selezione dei modelli e la garanzia dell'allineamento con i quadri normativi quali gli standard NIST, OCSE e ISO, nonché con il mosaico emergente di normative internazionali in materia di IA.
- Revisione dei casi d'uso ad alto rischio: sebbene circa l'80% delle iniziative di IA possa procedere attraverso procedure di appalto e valutazioni tecniche standard, il livello superiore richiede una valutazione più approfondita e interfunzionale dell'uso previsto, dei potenziali danni, dell'impatto sui clienti e della tolleranza al rischio dell'organizzazione.
- Guida alle decisioni di sviluppo interno o acquisto: i team valutano se sviluppare internamente le funzionalità di IA o acquisirne la licenza dai fornitori, tenendo conto delle competenze disponibili, delle implicazioni in termini di sicurezza e dei costi a lungo termine.
- Garanzia di trasparenza per clienti e stakeholder: quando le organizzazioni rilasciano funzionalità basate sull'IA, devono documentare la finalità delle funzionalità, i modelli utilizzati, le modalità di trattamento dei dati e le aspettative relative alla revisione umana in documenti chiari e accessibili, come i rapporti sulla trasparenza.
Questa struttura non solo tutela l'organizzazione, ma accelera anche l'innovazione responsabile. I team acquisiscono fiducia perché le regole sono chiare, il processo è coerente e l'azienda comprende come trasformare le idee dalla fase di sperimentazione a quella di produzione.
Impatto sulla gestione del rischio terze parti
Man mano che le organizzazioni adottano l'IA, questa si interseca sempre più con la gestione del rischio terze parti in modi che i quadri tradizionali non sono stati progettati per gestire. Molti fornitori ora incorporano l'IA nelle loro piattaforme senza indicarlo chiaramente, il che significa che i team di gestione del rischio devono identificare dove l'IA opera all'interno delle applicazioni esistenti, piuttosto che affidarsi a strumenti che si promuovono esplicitamente come IA.
I responsabili della sicurezza e della privacy sottolineano l'importanza di processi aggiornati di raccolta e valutazione che rilevino come i fornitori utilizzano l'IA, quali dati vengono inseriti nei loro modelli, se le informazioni dei clienti vengono utilizzate per l'addestramento e come vengono introdotte nel tempo le nuove funzionalità.
Poiché i sistemi di IA evolvono in modo continuo, un approccio statico alla valutazione dei fornitori non è più sufficiente. I programmi di governance dell'IA possono offrire le linee guida necessarie ai processi di TPRM: una supervisione chiara, adeguate tutele contrattuali, policy sempre aggiornate e un monitoraggio costante che consente alle organizzazioni di bilanciare l'innovazione con una gestione responsabile del rischio.
Dalla governance alla crescita: un percorso graduale
Una volta che le strutture di governance sono state implementate, le organizzazioni possono adottare l'IA in modo operativo e sicuro. Il ciclo di vita rispecchia sempre più la gestione del rischio terze parti, ma con importanti modifiche.
Acquisizione: questa fase iniziale del processo richiede ora un contesto molto più ricco. I team aziendali devono raccogliere informazioni su input e output, sensibilità dei dati, provenienza dei modelli, risultati attesi e potenziale deriva o distorsione degli algoritmi. L'obiettivo è valutare non solo l'esposizione alla sicurezza e alla privacy, ma anche il modo in cui l'IA si allinea con gli obiettivi aziendali e le aspettative normative.
Valutazione: questa procedura è stata ampliata sia in termini di portata che di approfondimento. I team legali, preposti alla privacy e alla sicurezza, collaborano per stabilire se i contratti con i fornitori contengano le garanzie necessarie, se i dati possano essere utilizzati per l'addestramento dei modelli e come verranno comunicati gli aggiornamenti.
Monitoraggio: i sistemi di IA cambiano rapidamente, il che significa che anche l'esposizione al rischio può cambiare rapidamente. Le organizzazioni stanno incorporando nuove domande specifiche sull'IA nelle rivalutazioni, aggiornando le policy man mano che i modelli evolvono e mantenendo una visibilità continua su come i fornitori modificano le loro funzionalità di IA.
Quando le organizzazioni agiscono in modo corretto, la governance non è più vista come un ostacolo, ma come un mezzo per favorire la crescita. Guarda questo webinar su richiesta per ottenere maggiori informazioni da Tim Mullen, CISO di OneTrust, e Brett Tarr, Head of Privacy and AI Governance.
