Come impostare una governance dell'IA pratica in una PMI?

Cosa significa davvero la governance dell'IA per una PMI

La governance non è burocrazia, ma un insieme di decisioni chiare: chi può usare quale strumento di IA, per quale scopo, con quali dati, e come si verifica il risultato? Per una PMI non significa copiare i framework delle grandi aziende, ma costruire una versione praticabile, adatta al team e realmente applicata.

La pressione è concreta. Senza regole nasce la shadow AI: il personale incolla dati dei clienti, contratti o codice sorgente in chatbot gratuiti senza sapere dove finiscono i dati. Al contempo, la legge sulla protezione dei dati riveduta (revLPD) e l'EU AI Act extraterritoriale richiedono sempre più una diligenza dimostrabile. Una governance snella protegge da entrambi - fuga di dati e non conformità - e rende il valore dell'IA prevedibile anziché casuale.

Ruoli: chi è responsabile della governance dell'IA in un piccolo team

Non serve un Chief AI Officer. Serve una persona designata e responsabile e alcune attività chiaramente assegnate. La chiave è la responsabilità: una persona precisa tiene aggiornato l'inventario, risponde alle domande e approva i nuovi casi d'uso. Il resto può restare distribuito e leggero.

• Sponsor (direzione): definisce il quadro, fornisce budget e sostegno, ha la responsabilità ultima.
• Responsabile IA (spesso IT lead o titolare): cura policy e inventario, valuta i nuovi strumenti, è il punto di riferimento.
• Referente protezione dati: verifica gli aspetti sui dati personali; in una PMI spesso la stessa persona, coinvolta nei casi rilevanti per la revLPD.
• Utenti (tutto il personale): rispettano la policy, segnalano i contenuti generati dall'IA e comunicano gli incidenti.

La policy sull'IA di una pagina: cosa includere

Una buona policy per PMI sta in una pagina e viene letta perché breve e concreta. Risponde alle domande che sorgono davvero ogni giorno: quali strumenti sono ammessi, quali dati non vanno mai inseriti, chi resta responsabile e come si rende trasparente l'uso dell'IA.

• Strumenti ammessi e vietati - un breve elenco di servizi approvati più la regola di far approvare in anticipo le novità.
• Classificazione dei dati - indicare chiaramente cosa non va mai inserito: dati personali, segreti aziendali, credenziali, contenuti riservati dei clienti.
• Responsabilità umana - l'IA assiste, non decide; il personale resta responsabile del risultato.
• Trasparenza - dove sensato o richiesto, etichettare i contenuti generati dall'IA, all'interno e all'esterno.
• Obbligo di verifica - controllare i risultati su fatti, bias e riservatezza prima che escano o supportino una decisione.

Supervisione umana: mantenere una persona nel ciclo

Non ogni uso dell'IA richiede lo stesso controllo. La bozza di un'email interna è diversa dalla preselezione di candidature. La regola: maggiore è l'impatto sulle persone, più vincolante è la revisione umana. L'EU AI Act richiede esplicitamente una supervisione umana efficace per i sistemi ad alto rischio, un buon riferimento anche dove non si è (ancora) obbligati per legge.

• Sempre revisione umana: decisioni su assunzioni, credito, licenziamento, prezzi, salute o sicurezza e tutto ciò che è giuridicamente vincolante.
• Basta un campione: per rischi bassi come bozze interne o brainstorming, bastano controlli sporadici.
• Nessuna fiducia cieca: chi verifica deve poter contraddire l'output dell'IA e non affidarvisi automaticamente (automation bias).

Documentazione: l'inventario dell'IA come spina dorsale

L'unico documento davvero necessario è un semplice inventario dell'IA - un foglio di calcolo, non un raccoglitore. Mostra a colpo d'occhio dove l'IA è usata in azienda, con quali dati e chi ne è responsabile. Questo registro è la base per la valutazione del rischio, la due diligence sui fornitori e la dimostrabilità richiesta da revLPD ed EU AI Act.

• Per ogni caso d'uso registrare: strumento, scopo, tipi di dati usati, responsabile, livello di rischio, stato del contratto di trattamento dati.
• Due diligence sul fornitore: sede di hosting, sub-responsabili, se gli input sono usati per l'addestramento, e un adeguato DPA.
• Per i dati personali: valutare se serve una valutazione d'impatto sulla protezione dei dati e registrare l'attività nel registro dei trattamenti.

Valutazione del rischio snella e quadro giuridico svizzero

Prima che un nuovo caso d'uso entri in produzione basta una breve triage di pochi minuti: quali dati sono coinvolti, chi è toccato dal risultato e cosa succede in caso di errore? L'EU AI Act ragiona per classi di rischio - inaccettabile, alto, limitato, minimo - e la stessa logica aiuta le PMI a concentrare gli sforzi dove contano. La maggior parte degli usi in PMI è a rischio minimo o limitato; i pochi delicati si individuano così per tempo.

Per le PMI svizzere valgono in parallelo due riferimenti. Primo, la revLPD, vigilata dall'IFPDT - non il GDPR, anche se molto è simile. Secondo, l'EU AI Act, che si applica extraterritorialmente quando i risultati sono usati nell'UE o si servono clienti UE. Considerarli entrambi per tempo evita rifacimenti successivi. Iniziative come Innosuisse e modelli svizzeri nell'ambito di ETH ed EPFL (come Apertus) mostrano inoltre che opzioni di IA locali e rispettose della privacy sono sempre più disponibili.

Pronti in 90 giorni: una tabella di marcia realistica

• Giorni 1-30: nominare il responsabile IA, rilevare l'uso esistente inclusa la shadow AI e popolare per la prima volta l'inventario.
• Giorni 31-60: adottare la policy di una pagina, definire gli strumenti approvati e svolgere una breve formazione del team.
• Giorni 61-90: applicare la triage del rischio ai casi in corso, verificare i DPA e fissare una revisione trimestrale ricorrente.
• In continuo: mantenere aggiornato l'inventario, approvare nuovi casi d'uso, registrare gli incidenti e rivedere la policy ogni anno.