Governance dell'IA
La maggior parte delle piccole imprese non ha adottato l'IA di proposito. È arrivata uno strumento alla volta, nel browser di chiunque la trovasse utile. Questo incarico fa il punto su cosa è davvero in uso, scrive regole che le persone possono rispettare e imposta i registri che dimostrano che le regole sono rispettate — così quando un cliente, un assicuratore o un'autorità le chiede come usa l'IA, lei ha una risposta.
I segnali
Niente in questa lista dice che il danno è fatto. Dice che nessuno potrebbe affermarlo con certezza, ed è quello il rischio vero.
Il lavoro
Sei filoni, condotti sugli strumenti che la sua azienda usa davvero, non su un modello prestampato. Ognuno si chiude con qualcosa di scritto di cui una persona designata è responsabile.
Prima di scrivere qualsiasi regola, elenchiamo cosa è davvero in uso: gli strumenti che l'azienda paga e quelli a cui il personale si è iscritto per conto proprio. Per ciascuno, cosa tocca — dati dei clienti, dati finanziari, dati dei dipendenti, codice — e chi lo usa per cosa. La maggior parte delle sorprese di questo lavoro emerge qui, e una policy scritta senza questo passaggio disciplina un'azienda immaginaria.
Un documento breve che stabilisce dove l'IA può essere usata, quali dati possono entrarci e chi rivede cosa. Scritto per essere seguito: poche pagine in linguaggio piano con le motivazioni incluse, perché una regola che nessuno capisce è una regola che nessuno rispetta. La parte difficile non è la scrittura, sono le decisioni — dove passa il confine tra IA che redige e IA che decide, quali dati non lasciano mai i suoi sistemi — e quelle scelte le mettiamo davanti a lei invece di prenderle al posto suo. Il testo finale lo approva lei. È la sua policy, non la nostra.
Le condizioni di ogni strumento, lette da vicino: se i suoi dati addestrano i loro modelli, quanto restano sui loro server, dove vengono trattati e cosa ne è di loro quando disdice. I fornitori rivedono queste condizioni, e il piano a pagamento spesso risponde diversamente da quello gratuito — il che è di frequente l'intero argomento per passare a pagamento. Il verdetto su ogni strumento arriva senza giri di parole: tenere, aggiornare, limitare o eliminare.
Per ogni punto in cui l'IA entra nel lavoro vero, stabiliamo chi controlla il risultato prima che conti, e cosa viene registrato. Nei nostri sviluppi, nessun output destinato ai clienti esce senza l'approvazione di una persona designata, e lo stesso standard si applica qui: il passaggio di revisione è assegnato a qualcuno e messo a registro. Il registro conta quanto il controllo. Poter mostrare, a distanza di mesi, su cosa si è basata una decisione e chi ha firmato è ciò che significa, in pratica, poterne rispondere.
Un esame di come l'assetto attuale tratta i dati: quali account sono personali e quali aziendali, chi ha ancora accesso dopo essersene andato, se informazioni sensibili finiscono in strumenti le cui condizioni non le coprono, e come l'uso dell'IA si incastra con gli obblighi che già ha — norme sui dati sanitari, regole sulle carte di pagamento, la normativa europea sulla privacy, ciò che vale per il suo settore. È una revisione con conclusioni scritte, non un audit di certificazione. Dove le serve un'attestazione formale, glielo diciamo e la aiutiamo a prepararla, invece di fingere di rilasciarla noi.
Due cose tengono viva la policy dopo che ce ne andiamo. La prima è un percorso per gli incidenti: cosa fa il personale quando un output dell'IA risulta sbagliato davanti a un cliente, quando dei dati sono finiti dove non dovevano o quando uno strumento cambia le condizioni in sordina — chi avvisare, cosa registrare, cosa dire. La seconda è un ritmo di revisione: questi strumenti cambiano tanto in fretta che una policy datata l'anno scorso descrive un altro panorama, quindi il documento indica una scadenza e un responsabile per tenerla aggiornata, che quel responsabile sia lei o siamo noi.
Lo svolgimento
Parliamo con chi usa gli strumenti e componiamo l'inventario. Da parte sua servono risposte oneste e un elenco degli abbonamenti. Ciò che conta è cosa le persone fanno davvero giorno per giorno, non cosa si supponeva facessero. Ogni fase è quotata prima di iniziare.
Le portiamo le conclusioni e le decisioni che impongono: cosa permettere, cosa limitare, cosa eliminare. Le scelte le fa lei, con i compromessi messi in chiaro davanti, e noi mettiamo per iscritto ciò che ha deciso.
La policy, le conclusioni sui fornitori, le regole di supervisione e il percorso per gli incidenti vengono redatti, poi ripercorsi con lei riga per riga. Tutto ciò che ha peso legale è segnalato al suo legale — la stesura è nostra, l'ultima parola no.
La policy viene presentata al team in una sessione di lavoro, non come allegato a un'email: cosa cambia, perché, e cosa fare quando qualcosa va storto. Una regola che le persone si sono sentite spiegare tiene meglio di una che si sono viste recapitare.
Cosa le resta
Tutto ciò che viene prodotto le appartiene per intero: documenti nei suoi account, in formato modificabile, senza nulla che dipenda da noi per restare utile.
Prossimo passo
Se l'IA è già in azienda e le regole no, quello è il punto di partenza normale, non un'emergenza. Una breve chiamata basta per dirle cosa comporterebbe per un'azienda delle sue dimensioni.
Fissi una chiamataAnche a catalogo