Governance dell'IA: policy, registri e sistema di gestione qualità

Adeguarsi all'AI Act non è un singolo documento: è un sistema organizzativo permanente che presidia l'uso dell'intelligenza artificiale in azienda. Iusprivacy.eu costruisce con te questo sistema.

Dalla conformità episodica alla compliance strutturata

C'è una differenza importante tra il rispondere a un singolo obbligo dell'AI Act — per esempio redigere una FRIA per un sistema specifico — e il costruire un sistema organizzativo che gestisca nel tempo tutti gli usi dell'IA in azienda. Il primo approccio è episodico: ogni volta che emerge un'esigenza, si interviene puntualmente. Il secondo approccio è strutturato: l'azienda si dota di processi, policy, ruoli, strumenti che garantiscono la conformità in modo continuativo. È quello che il diritto della protezione dei dati ha già imparato a chiamare accountability, e che oggi diventa centrale anche per l'AI Act.

Per i fornitori di sistemi ad alto rischio, l'articolo 17 dell'AI Act richiede esplicitamente l'adozione di un sistema di gestione della qualità documentato, che copra tutti gli aspetti rilevanti: strategia di conformità, tecniche e procedure di progettazione e sviluppo, gestione dei dati, monitoraggio post-implementazione, comunicazione con le autorità, gestione delle risorse. Per i deployer, gli obblighi dell'articolo 26 — uso secondo le istruzioni, supervisione umana, monitoraggio, log di sei mesi, informativa ai lavoratori, FRIA dove richiesta — implicano comunque l'adozione di processi organizzativi specifici. Anche per le aziende che usano l'IA solo a rischio minimo o limitato, costruire un minimo di governance interna è la differenza tra essere preparati e essere esposti.

I tre pilastri della governance IA

Il servizio di governance di iusprivacy.eu si articola su tre pilastri che lavorano in modo coordinato.

Pilastro 1: Le policy interne

Le policy aziendali sull'uso dell'IA sono il documento di livello più alto. Definiscono cosa l'azienda fa e non fa con l'IA, chi è responsabile di cosa, come si gestiscono le decisioni di acquisto o sviluppo, come si gestiscono gli incidenti. Una policy efficace è scritta in un linguaggio che il personale capisce, è breve abbastanza da essere letta, è coerente con le altre policy aziendali (privacy, sicurezza, etica), ed è approvata dalla direzione.

Iusprivacy.eu redige policy IA personalizzate sul contesto del cliente. Le aree tipicamente coperte includono: principi generali (uso responsabile, supervisione umana, non discriminazione), regole sull'uso di IA generativa (cosa si può inserire e cosa no, riservatezza, qualità degli output), governance degli acquisti (chi approva l'acquisto di nuovi sistemi di IA), governance dello sviluppo interno (come gestire i progetti che incorporano IA), gestione degli incidenti, formazione e aggiornamento.

Pilastro 2: Il registro dei sistemi di IA

Il registro dei sistemi di IA è il documento operativo che mantiene la mappa aggiornata di cosa l'azienda usa, sviluppa, fornisce. È l'analogo, per l'AI Act, del registro dei trattamenti dell'art. 30 GDPR: uno strumento di documentazione interna che alimenta tutti gli altri adempimenti. Per ciascun sistema il registro riporta una serie strutturata di informazioni: descrizione del sistema, finalità d'uso, ruolo aziendale, livello di rischio, base giuridica del trattamento dati (se rilevante), responsabili interni, fornitori, contratti, valutazioni d'impatto effettuate, formazione del personale, log e monitoraggio.

Il registro è mantenuto sulla piattaforma iusprivacy.eu, che fornisce un'interfaccia strutturata per inserire, aggiornare ed esportare le informazioni. Quando un nuovo sistema entra in azienda, il responsabile inserisce le informazioni nel registro; quando un sistema viene dismesso, viene aggiornato lo stato. Il registro così mantenuto è il documento di sintesi che si presenta in caso di controllo o di richiesta da parte di clienti business.

Pilastro 3: Il sistema di gestione qualità (per i fornitori)

Per le aziende che sono fornitori di sistemi di IA ad alto rischio, l'articolo 17 dell'AI Act richiede l'adozione di un sistema di gestione della qualità documentato. Questo sistema deve coprire: strategia di conformità, procedure di progettazione e sviluppo (con riferimento alle norme tecniche armonizzate quando disponibili), procedure di test e validazione, gestione dei dati di addestramento, monitoraggio post-implementazione, gestione delle modifiche, gestione della documentazione tecnica, sistema di reportistica degli incidenti gravi, comunicazioni con le autorità.

Iusprivacy.eu accompagna le aziende fornitrici nella costruzione del sistema di gestione qualità. La Quality Manager dello staff (Francesca Pernice) lavora con il cliente sull'analisi dei processi esistenti, sull'integrazione con eventuali certificazioni ISO già in essere (ISO 9001, ISO/IEC 27001, ISO/IEC 42001), sulla redazione delle procedure, sull'organizzazione delle evidenze documentali. L'obiettivo è arrivare a un sistema che soddisfi i requisiti dell'AI Act in modo integrato con la qualità complessiva dell'organizzazione.

Le procedure operative

Accanto ai tre pilastri principali, la governance IA include una serie di procedure operative che danno corpo ai principi delle policy. Tra queste: la procedura di supervisione umana, che descrive come le persone effettivamente verificano gli output del sistema prima che producano effetti rilevanti; la procedura di gestione degli incidenti, che definisce cosa fare quando un sistema produce risultati anomali, discriminatori o errati; la procedura di informazione ai lavoratori, che coordina gli obblighi dell'art. 26 AI Act con il Decreto Trasparenza italiano; la procedura di gestione dei contratti con i fornitori, che assicura il rispetto dell'art. 25 sulla catena del valore.

La supervisione permanente

La governance non è un progetto che si chiude: è un'attività permanente. I sistemi di IA evolvono (versioni nuove, aggiornamenti, nuove funzioni), la normativa evolve (decreti delegati della Legge 132/2025, linee guida del Garante e di ACN, sentenze della Corte di Giustizia), i casi d'uso evolvono. Per questo iusprivacy.eu propone, accanto al servizio di costruzione iniziale, un servizio di supervisione continuativa: revisione annuale del registro, aggiornamento delle policy in caso di novità normative, formazione di aggiornamento del personale, gestione delle nuove valutazioni d'impatto quando entrano nuovi sistemi.