Capitolo 3
Il ciclo operativo: Mappa, Prova, Decidi, Migliora
La funzione compliance deve continuare a lavorare mentre si trasforma. Il ciclo che segue serve a questo: quattro tempi, e in ognuno una divisione chiara tra ciò che fa l’AI e ciò che resta a una persona.
Il ciclo non è una procedura da certificare. È un modo di guardare ogni attività della funzione e chiedersi in quale tempo ci si trova, e quindi che tipo di aiuto è sensato chiedere.
Mappa: dagli obblighi ai controlli
Si parte da cosa l’azienda deve rispettare e si arriva a quali controlli lo garantiscono. È il tempo in cui si decide l’ambito: quali norme si applicano, a quali processi e con quali responsabili.
L’AI fa bene
- Estrarre obblighi da testi normativi e da contratti
- Confrontare due versioni di una norma o di un contratto
- Proporre collegamenti tra obblighi simili in norme diverse
L’AI fa male
- Stabilire se un obbligo si applica al tuo caso
- Distinguere con affidabilità “deve”, “dovrebbe” e “può” quando il testo è ambiguo
- Citare norme recenti o locali senza una fonte che le sostenga
Solo la persona
- Decidere l’ambito e l’applicabilità
- Scegliere la fonte di riferimento quando due testi divergono
Prova: dalle evidenze alla dimostrazione
Per ogni controllo serve una prova che esista, sia recente e sia attribuibile a qualcuno. È il tempo che più spesso viene sacrificato quando mancano risorse.
L’AI fa bene
- Classificare documenti e collegarli ai controlli
- Individuare i controlli senza evidenza o con evidenza scaduta
- Preparare le richieste ai responsabili che devono fornire la prova
L’AI fa male
- Valutare se un’evidenza basterebbe davanti a un auditor
- Riconoscere un documento formalmente corretto ma non veritiero
- Evitare di inventare riferimenti quando non trova la prova
Solo la persona
- Attestare che il controllo funziona
- Giudicare la sufficienza della prova
Decidi: dal rischio alla scelta
Qui l’istruttoria diventa decisione: trattare il rischio, accettarlo, trasferirlo. È il tempo in cui l’aiuto dell’AI è più utile e in cui è più pericoloso farsi sostituire.
L’AI fa bene
- Preparare l’istruttoria con scenari e precedenti interni
- Redigere la bozza di un parere o di una DPIA
- Mettere in evidenza i punti su cui le fonti divergono
L’AI fa male
- Pesare rischio e opportunità secondo la tolleranza reale dell’azienda
- Tenere conto di accordi non scritti e della storia con la controparte
Solo la persona
- Firmare il parere
- Accettare il rischio residuo
- Comunicare con le autorità
Migliora: dalla non conformità al cambiamento
Incidenti, non conformità e rilievi degli auditor contengono ciò che serve per cambiare. Il tempo del miglioramento si salta facilmente perché non ha scadenze esterne.
L’AI fa bene
- Trovare ricorrenze tra incidenti e non conformità
- Proporre in bozza l’aggiornamento di una procedura
- Preparare materiali di formazione a partire da casi reali
L’AI fa male
- Capire perché le persone non seguono una procedura
- Valutare quanto una modifica sia sostenibile per un reparto
Solo la persona
- Scegliere cosa cambiare e in che ordine
- Parlare con chi deve applicare la modifica
Il confine di fiducia
Questa tabella è il cuore del capitolo. Puoi stamparla e adattarla alla tua funzione.
| Delega | Delega con verifica | Non delegare |
|---|---|---|
| Riassunto di un testo che hai fornito tu Confronto tra due versioni di un contratto Bozza di verbale o di email di sollecito Riformattazione di un documento |
Bozza di policy o di procedura Prima risposta a un questionario di sicurezza Istruttoria per una DPIA Individuazione delle clausole critiche in un DPA |
Parere di conformità firmato Accettazione del rischio residuo Giudizio sulla sufficienza di una prova per un audit Comunicazioni alle autorità, come la notifica di una violazione di dati |
Tre domande per ogni nuovo uso dell’AI
- Posso verificare il risultato in meno tempo di quanto servirebbe per produrlo?
- Se sbaglia, chi se ne accorge e quando?
- So spiegare a un auditor come l’ho usata e cosa ho controllato?
Se la risposta a una di queste è no, l’uso va ridotto o accompagnato da un controllo in più, oppure va fermato.
Come cominciare in 90 giorni
| Periodo | Cosa fare | Cosa ottieni |
|---|---|---|
| Giorni 1-30 | Costruisci la mappa degli obblighi per un solo ambito, per esempio la gestione degli incidenti. Censisci gli strumenti AI già in uso tramite i responsabili di funzione. | Un perimetro chiaro e un primo elenco di ciò che esiste davvero. |
| Giorni 31-60 | Associa a ogni controllo un responsabile e un’evidenza. Scrivi la regola d’uso dell’AI in una pagina e la tabella del confine di fiducia. | Un registro con prove, date e nomi, e regole che le persone possono applicare. |
| Giorni 61-90 | Prepara il primo report al vertice con pochi indicatori e le decisioni richieste. Rivedi cosa ha funzionato e allarga a un secondo ambito. | Un ciclo completo compiuto una volta, da ripetere con meno fatica. |
Da dove cominciare?
Il corso introduttivo all’AI Act è in preparazione: dura circa mezz’ora e ti dice se ti riguarda e quali sono i primi passi. Iscriviti alla lista d’attesa per sapere quando apre.