Il divario crescente tra le politiche sull’IA e la loro applicazione nel mondo reale

L’IA non ha un unico codice normativo

L’IA viene adottata in settori e applicazioni diversi a una velocità superiore a quella con cui possono maturare le politiche e i quadri di governance necessari a supervisionarla. Storicamente, le applicazioni dell’IA erano disciplinate in larga misura dalle normative esistenti in materia di tutela dei consumatori, privacy e settori specifici, oltre che dalle politiche interne delle aziende. I governi stanno ora introducendo requisiti specifici per l’IA, ma questi restano frammentari e spesso forniscono indicazioni limitate su come dovrebbero funzionare concretamente i sistemi. Le aziende devono quindi conciliare i requisiti esterni con la propria propensione al rischio, gli obiettivi di prodotto e le realtà operative.

L’UE sta ora applicando attivamente alcune disposizioni dell’AI Act, mentre la politica federale statunitense favorisce esplicitamente un quadro nazionale meno oneroso: l’Executive Order 14365 mira a limitare i requisiti statali in conflitto, anche se nel 2025 gli Stati hanno introdotto più di 1.000 misure relative all’IA. Ognuna di queste autorità indica una direzione diversa e spetta alle aziende che sviluppano e implementano i sistemi conciliare tali orientamenti.

Definire i requisiti normativi è però solo una parte della sfida. Man mano che l’IA viene impiegata in un numero crescente di applicazioni e contesti, le aziende devono tradurre i requisiti generali e le politiche interne in controlli operativi e decisioni specifiche dei sistemi di IA. Nessun quadro normativo può prevedere ogni applicazione, contesto o compromesso. Le organizzazioni devono quindi tracciare un percorso che colleghi i requisiti normativi e le politiche interne al comportamento dei sistemi, a risultati misurabili e ad attività di audit o revisione. Il framework di gestione dei rischi dell’IA del NIST adotta un approccio simile, sottolineando l’importanza di misurare e gestire i sistemi in modo continuativo, anziché considerare la governance un esercizio di conformità a sé stante. I requisiti scendono lungo la catena, mentre le prove risalgono: autorità di regolamentazione e dirigenti possono definire i risultati auspicati, ma le organizzazioni devono dimostrare che i propri sistemi li producano davvero.

Gran parte della responsabilità pratica per la governance dell’IA ricade così sulle organizzazioni che implementano questi sistemi.

La governance diventa difficile nella fase di implementazione

In genere, le normative e i quadri di governance definiscono principi, obblighi e risultati auspicati. I sistemi in produzione, tuttavia, devono tradurli in decisioni specifiche, ed è proprio in questa traduzione che la governance diventa difficile. Una politica può stabilire di prevenire la discriminazione, proteggere gli utenti, garantire la trasparenza o consentire un’effettiva revisione umana; un sistema operativo, però, deve rispondere a domande molto più specifiche: a quale soglia interviene, sulla base di quali prove e con quale livello di affidabilità, quando è necessaria una revisione umana, che cosa viene registrato e che cosa succede quando il sistema è incerto?

Le autorità di regolamentazione si aspettano già risposte a queste domande. FTC, DOJ, CFPB ed EEOC hanno dichiarato congiuntamente che applicheranno i poteri di cui già dispongono ai sistemi automatizzati; prima o poi, quindi, qualcuno chiederà a un’azienda di spiegare come decide il suo sistema.

Consideriamo una piattaforma con una chiara politica contro le molestie. Un messaggio volgare può essere uno scherzo innocuo tra amici, mentre un messaggio apparentemente innocuo può far parte di una campagna prolungata contro un altro utente. Il sistema deve determinare quale contesto può utilizzare in modo affidabile, quante prove siano sufficienti per intervenire e quale intervento sia opportuno: bloccare il messaggio, avvertire il mittente, sottoporlo a revisione umana o non fare nulla. Abbassare le soglie di rilevamento può aiutare a individuare più comportamenti dannosi, ma anche a sopprimere conversazioni legittime. Richiedere una revisione umana può migliorare il giudizio, ma ritardare l’intervento. Una politica generale che vieta le molestie non specifica nessuna di queste decisioni; nel loro insieme, tuttavia, sono proprio queste a determinare come la politica viene applicata concretamente.

Nessun documento programmatico risolve in anticipo questi compromessi: qualcuno all’interno dell’azienda deve prendere le relative decisioni, documentarle e riesaminarle. Di fatto, quella persona sta definendo la politica, che l’organigramma lo indichi o meno.

Che cosa richiede davvero un’IA responsabile

Se chi implementa un sistema finisce di fatto per definirne le politiche, l’IA responsabile non può ridursi a una dichiarazione d’intenti: deve riflettersi nel comportamento quotidiano del sistema. Ciò significa gestire nel tempo l’uso dell’IA, il modo in cui viene valutata e le eventuali correzioni, non limitarsi ad approvare una politica o superare una valutazione iniziale. Nella pratica contano soprattutto tre principi, ciascuno dei quali discende dai compromessi descritti sopra:

• La governance deve essere proporzionata alle conseguenze. Un sistema di IA che suggerisce testi, approva un prestito, segnala una minaccia alla sicurezza o contribuisce a una decisione medica comporta rischi molto diversi. Le organizzazioni devono stabilire dove siano giustificati controlli, revisioni e forme di supervisione più rigorosi, tenendo conto delle possibili conseguenze.
• La sola accuratezza non basta. Gli errori non hanno tutti lo stesso costo. Un falso positivo nella moderazione può sopprimere una legittima libertà di espressione, mentre un errore in ambito creditizio, sanitario o di sicurezza può avere conseguenze molto più gravi. La governance deve tenere conto dell’impatto concreto di una decisione, non soltanto delle prestazioni del modello.
• La valutazione e il feedback continui sono essenziali. Le decisioni annullate, i ricorsi, gli incidenti, i casi limite e gli esiti successivi dovrebbero tutti alimentare la valutazione continua.

Un quadro pratico per la governance interna dell’IA

Per mettere in pratica questi principi, la governance deve essere integrata nelle modalità di progettazione, distribuzione e gestione dei sistemi di IA. Quattro pratiche sono particolarmente importanti:

• Considerare fin dall’inizio i requisiti di governance come requisiti del prodotto e del sistema. I controlli di conformità introdotti dopo la distribuzione tendono a essere costosi e fragili. È molto più semplice integrare in un sistema la tutela della privacy, la trasparenza, la verificabilità e i meccanismi di revisione che aggiungerli in un secondo momento.
• Costruire una catena verificabile dalla policy alle decisioni. Le organizzazioni dovrebbero poter collegare il requisito normativo o la policy interna che disciplina il sistema al controllo applicato e alla decisione che ne deriva. Devono inoltre disporre delle prove necessarie per valutarla.
• Attribuire chiaramente responsabilità e titolarità. Definire chi è responsabile della policy, chi stabilisce il livello di rischio accettabile e chi monitora le prestazioni. Qualcuno dovrebbe inoltre avere l’autorità di intervenire quando il sistema si comporta al di fuori di quei limiti.
• Creare un’infrastruttura di governance condivisa e adattabile. I controlli sui dati, le tracce di audit, le policy configurabili, i flussi di lavoro per la revisione e la misurazione dovrebbero supportare diversi requisiti normativi e casi d’uso. I controlli e le soglie dovrebbero poter essere adattati in base alla giurisdizione, all’applicazione e al rischio, così da consentire alle organizzazioni di rispondere ai requisiti in evoluzione senza ricostruire i propri sistemi.

La governance deve funzionare nella pratica

La regolamentazione può definire obblighi e principi, ma le aziende devono comunque tradurli in sistemi capaci di prendere decisioni concrete su larga scala. Per questo la governance interna è una responsabilità operativa, non un semplice esercizio di conformità. Ogni azienda che distribuisce l’IA su larga scala sta già definendo le proprie policy attraverso le soglie, le regole di revisione e i percorsi di escalation; l’unica questione aperta è se lo faccia intenzionalmente.

Le autorità di regolamentazione continueranno a definire i risultati che intendono ottenere e non saranno sempre concordi; spetta quindi all’azienda decidere come tradurre queste aspettative in controlli e dimostrare, con prove, che i controlli funzionano. Le aziende che fin da ora definiranno chiaramente responsabilità, controlli misurabili, verificabilità e un’infrastruttura adattabile saranno meglio preparate mentre la regolamentazione continua a evolversi.

Ho osservato questo problema da diverse prospettive: negli ambiti della sicurezza informatica e della costruzione di modelli di rischio, e ora nella gestione di sistemi di IA su larga scala. In tutti questi contesti, la lezione è simile: un quadro di riferimento funziona solo se può essere tradotto in decisioni chiare, misurato nella pratica e migliorato quando la realtà mette in luce le lacune.