Capitolo 1
Compliance Excellence
Una funzione compliance si giudica da ciò che sa dimostrare, non da ciò che ha scritto. Con l’AI questa differenza diventa più netta, perché scrivere costa quasi zero e dimostrare costa come prima.
Quattro spostamenti che separano le funzioni mature dalle altre
Dai documenti alle evidenze
Una policy dice cosa l’azienda intende fare. Un’evidenza prova cosa è successo: un log, un verbale firmato, un test di ripristino, una conferma del fornitore. Chi ti audita parte dalla seconda e usa la prima come indice.
Dal calendario al flusso
Le funzioni in affanno lavorano per picchi, a ridosso di audit e sorveglianze. Quelle mature trattano gli obblighi come un flusso continuo, con piccoli controlli distribuiti nel tempo e nessuna corsa finale.
Dal “no” al “sì, a queste condizioni”
Quando un progetto arriva tardi, la compliance diventa un freno. Quando entra nella fase di scelta, diventa il modo per far passare il progetto in sicurezza. Questo vale a maggior ragione per l’AI, che le funzioni adottano senza chiedere il permesso.
Da una norma alla volta a una mappa unica
GDPR, NIS2, DORA, AI Act e ISO parlano spesso della stessa cosa con parole e scadenze diverse. Chi ha una mappa unica degli obblighi risponde una volta sola e riusa le evidenze.
Il test dell’audit
Una funzione matura risponde in pochi minuti, e non in qualche giorno, a queste cinque domande su qualsiasi controllo:
- Dov’è la prova che il controllo funziona?
- Chi ne risponde, con nome e funzione?
- Quando è stato verificato l’ultima volta?
- Cosa è cambiato da allora?
- Cosa succede se il fornitore da cui dipende smette di operare?
Se per rispondere devi cercare nelle email, la funzione non è ancora a regime, per quanto siano belle le policy.
Dove entra l’AI
L’AI accorcia il tempo che serve per arrivare a una decisione: legge, confronta, riassume, propone una bozza. Non riduce il numero di persone che rispondono di quella decisione. Chi lo dimentica scopre il problema nel momento peggiore, davanti a chi chiede conto.
Regola di base. L’AI può ridurre il tempo per arrivare a una decisione. Non può ridurre il numero di persone che ne rispondono.
Quattro livelli di maturità
| Livello | Come lavora la funzione | Ruolo dell’AI |
|---|---|---|
| Reattivo | Risponde alle richieste man mano che arrivano. Le informazioni stanno nelle persone. | Uso individuale e non dichiarato, con rischio di dati fuori controllo. |
| Documentale | Ha policy e procedure, aggiornate prima degli audit. | Produce bozze di documenti che nessuno collega alle evidenze. |
| Basato su evidenze | Ogni controllo ha un responsabile, una prova e una data di verifica. | Aiuta a raccogliere, confrontare e individuare lacune. Le regole d’uso sono scritte. |
| Aumentato | La mappa degli obblighi è viva e il vertice riceve indicatori con fonte dichiarata. | Istruisce le decisioni. Il confine di cosa non si delega è esplicito e verificato. |
Il salto più difficile è quello dal secondo al terzo livello. È anche quello in cui l’AI rende di più, a patto di avere già deciso cosa conta come prova.
Da dove cominciare?
Il corso introduttivo all’AI Act è in preparazione: dura circa mezz’ora e ti dice se ti riguarda e quali sono i primi passi. Iscriviti alla lista d’attesa per sapere quando apre.