L'elenco dei sistemi AI in azienda, tenuto aggiornato

Un gruppo della grande distribuzione con 85 punti vendita, un centro logistico e una sede centrale. Chiara, responsabile dell'ufficio rischi, ha fatto l'elenco dei sistemi AI un anno fa, per un audit. Era un foglio con quattordici righe.

Oggi quel foglio è sbagliato. Il marketing ha attivato un servizio che scrive le descrizioni dei prodotti. La logistica ne usa uno che prevede i riordini. Il fornitore della cassa ha aggiunto una funzione che segnala comportamenti anomali. Nessuno ha aggiornato il foglio, perché nessuno sapeva di doverlo fare.

Il revisore esterno torna tra due mesi. Chiara non vuole ricominciare da capo, e non vuole scoprire dal revisore un sistema che non conosceva.

Il registro non è un foglio da rifare: è un processo con un ingresso obbligato. Funziona così:

1. Una scheda per ogni sistema, sempre con gli stessi campi: nome, fornitore, finalità, reparto, responsabile, dati trattati, persone interessate, livello di rischio con il motivo, testi di trasparenza, prove previste, data dell'ultima revisione.
2. Un ingresso obbligato: l'ufficio acquisti non emette un ordine per un servizio che usa AI senza la scheda compilata. Lo stesso vale per le funzioni nuove dentro programmi già in uso.
3. Un calendario: ogni scheda ha una data di revisione. Quando si avvicina, il responsabile riceve un promemoria.
4. Una storia: ogni modifica resta registrata, con data e autore. Il revisore vede non solo com'è oggi, ma com'era e chi l'ha cambiato.
5. Una verifica a campione: una volta a trimestre l'IT confronta il registro con i servizi effettivamente raggiunti dalla rete aziendale.

• Controlla il sistema che ogni scheda abbia tutti i campi compilati prima di essere approvata.
• Controlla il sistema le scadenze di revisione e manda i promemoria al responsabile e, se la data passa, a Chiara.
• Controlla il sistema i nuovi ordini: se il fornitore o la descrizione indicano funzioni di AI, chiede la scheda.
• Controlla l'IT a campione che non ci siano servizi in uso fuori dal registro.
• Decide il responsabile di reparto cosa scrivere nella parte funzionale della scheda.
• Decide Chiara, con il legale, il livello di rischio e le azioni da intraprendere.

• L'AI Act, la legge europea sull'intelligenza artificiale, chiede a chi usa sistemi ad alto rischio di conservarne i registri di funzionamento e di sorvegliarli, dal 2 dicembre 2027 per quelli dell'allegato III; per alcuni utilizzatori pubblici prevede anche la registrazione in una banca dati europea. Un registro interno ordinato è il modo pratico di prepararsi.
• Il GDPR, la legge europea sulla privacy, chiede già il registro dei trattamenti: le due liste si collegano, così la stessa informazione non si scrive due volte.
• Per banche e assicurazioni, il registro dei contratti con i fornitori di tecnologia previsto da DORA usa molte delle stesse informazioni.

Un registro con ingresso obbligato funziona per qualsiasi elenco che deve restare vero: fornitori, attrezzature, certificati, contratti. Altri esempi in cosa possiamo fare.

Il primo elenco nasce spesso durante l'inventario del lavoro ripetitivo, quando emergono anche gli strumenti usati senza autorizzazione. Per le date della legge leggete AI Act: cosa cambia davvero. Le domande tecniche sono raccolte nella pagina per il responsabile IT.