Sicurezza delle informazioni, standard, normative, privacy e gestione del rischio.
Di Roy Kish – Infoguard, parte del Gruppo Idor
Oggi incontriamo sempre più organizzazioni che utilizzano già l’intelligenza artificiale, anche se non hanno ancora definito una politica strutturata in materia.
I dipendenti usano strumenti di Generative AI per redigere documenti, riassumere riunioni, analizzare dati e scrivere codice. I reparti marketing collegano l’IA alle informazioni sui clienti, i team di assistenza attivano chatbot e le unità di business iniziano a far girare AI Agent con accesso ai sistemi e ai dati aziendali.
Per noi di Infoguard la domanda non è più se l’IA entrerà in azienda. Nella maggior parte dei casi è già dentro.
La domanda importante è un’altra: chi la gestisce, chi la supervisiona e chi ne risponde quando qualcosa va storto?
La normativa non è più una questione di futuro
Nel mondo dell’intelligenza artificiale la regolamentazione avanza rapidamente.
L’AI Act europeo illustra il passaggio da principi generali a un quadro che fissa requisiti più chiari sull’uso dei sistemi di IA. Più un sistema incide su persone, diritti o decisioni significative, maggiori sono il controllo, la documentazione, la trasparenza e la supervisione che l’organizzazione deve garantire.
Ma noi di Infoguard, in quanto azienda di sicurezza delle informazioni, consigliamo alle organizzazioni di non guardare soltanto alla normativa sull’IA.
Nella pratica, l’uso dell’IA ricade già sotto obblighi esistenti in materia di privacy, sicurezza delle informazioni, gestione del rischio, contratti con i fornitori e responsabilità del management.
Anche un’organizzazione che non opera direttamente sotto la normativa europea deve chiedersi che cosa succede quando uno strumento di IA tratta dati personali, accede a informazioni sensibili o influenza decisioni di business.
Per come la vediamo, questa non è più solo una questione tecnologica. È una questione di gestione.
La privacy deve entrare già in fase di specifica
Uno dei punti che sottolineiamo continuamente è che non conviene aspettare la fine del progetto per parlare di privacy.
Se a un sistema di IA viene dato accesso al CRM, alla corrispondenza, ai documenti dei dipendenti, ai dati dei clienti o a informazioni aziendali sensibili, occorre fermarsi e porsi alcune domande di base:
- Abbiamo davvero bisogno di tutti questi dati?
- Siamo autorizzati a usarli per questa finalità?
- Vengono trasferiti a un fornitore esterno?
- Dove sono conservati?
- Vengono usati per addestrare il modello?
- Chi vi può accedere?
- Che fine fanno i dati quando smettiamo di usare il sistema?
Sono esattamente questi i punti in cui principi come Privacy by Design, Data Minimization e gestione del ciclo di vita delle informazioni passano dalla teoria a un processo operativo.
Noi di Infoguard preferiamo che le domande sulla privacy entrino già nella fase di valutazione dello use case, e non solo dopo che il sistema è andato in produzione.
Gli standard rendono la governance realmente gestibile
La normativa può dirci che cosa è richiesto. Ma l’organizzazione ha comunque bisogno di un metodo che la aiuti a gestirlo nella pratica.
Qui entra in gioco la ISO/IEC 42001, lo standard internazionale per un sistema di gestione dell’intelligenza artificiale.
Lo consideriamo un quadro importante perché obbliga l’organizzazione a guardare all’IA come a un sistema di gestione completo: politica, ruoli, rischi, controlli, obiettivi, monitoraggio e miglioramento continuo.
Accanto ad esso, la ISO/IEC 27001 fornisce la base per la gestione della sicurezza delle informazioni e la ISO/IEC 27701 aggiunge il livello di gestione della privacy.
Nella pratica i tre mondi si collegano:
- ISO 27001 – come gestiamo la sicurezza delle informazioni.
- ISO 27701 – come gestiamo la privacy e i dati personali.
- ISO 42001 – come gestiamo i sistemi di IA e i rischi connessi.
Per noi si tratta di un collegamento naturale. Un’organizzazione che ha già costruito buoni processi di governance su sicurezza delle informazioni e privacy non deve ripartire da zero, ma deve estenderli al mondo dell’intelligenza artificiale, degli Agent e dell’IA.
Una policy sull’IA è molto più di un elenco di strumenti
Vediamo parecchie organizzazioni che partono bene ma si fermano troppo presto.
Pubblicano un elenco di strumenti consentiti e vietati e pensano di avere una policy sull’IA.
È un inizio, ma una governance reale deve andare oltre.
Consigliamo di definire anche: quali informazioni possono essere inserite negli strumenti di IA, quali usi richiedono un’approvazione, come si valuta un nuovo fornitore, chi è autorizzato a collegare l’IA a un sistema aziendale, quando vengono coinvolti il CISO, il DPO o l’ufficio legale e quali decisioni richiedono Human Oversight.
Inoltre vale la pena costruire un AI Inventory strutturato.
Ovvero sapere quali sistemi e usi di IA esistono, chi ne è titolare, a quali dati accedono e qual è il loro livello di rischio.
Non si può gestire ciò di cui non si conosce l’esistenza.
Di chi è dunque la responsabilità?
È una delle domande che ci vengono poste più spesso.
La risposta è che non si può scaricare tutta la responsabilità su un unico reparto.
- L’IT gestisce i sistemi.
- Il CISO gestisce i rischi di sicurezza delle informazioni.
- Il DPO esamina gli aspetti privacy.
- L’ufficio legale si occupa di normativa e contratti.
- L’unità di business è di solito quella che richiede l’introduzione e risponde dell’impatto sul business (BIA).
Raccomandiamo quindi una responsabilità condivisa ma chiaramente definita.
Ogni sistema o use case significativo ha bisogno di un Owner. Parallelamente, l’organizzazione deve decidere chi detiene la responsabilità complessiva per la policy sull’IA e per la gestione del rischio.
Ci piace verificarlo con quattro domande semplici:
- Chi ha approvato l’uso?
- Chi lo supervisiona e lo documenta?
- Chi gestisce il rischio?
- Chi ne risponde se qualcosa va storto?
Se non c’è una risposta chiara a tutte e quattro, probabilmente la governance non è ancora abbastanza matura.
E i dipendenti?
Anche la migliore policy non serve se i dipendenti non sanno che esiste.
Oggi vediamo un rischio crescente di Shadow AI: dipendenti che usano strumenti di IA di cui l’organizzazione non è affatto a conoscenza.
AI Literacy e formazione del personale devono quindi far parte del processo.
I dipendenti devono sapere quali informazioni non vanno inserite, quando un risultato richiede una revisione umana e quando un nuovo strumento deve passare da un processo di approvazione.
Inoltre, un fornitore che gestisce i servizi di IA esternamente e in modo conforme permette di mappare o ridurre il fenomeno e i suoi rischi, e di riportare le modalità di lavoro entro quadri controllati e gestiti.
Come guardiamo a tutto questo noi di Infoguard
Noi di Infoguard affianchiamo le organizzazioni nel punto d’incontro tra sicurezza delle informazioni, privacy, normativa, standard e gestione del rischio.
Per come la vediamo, il passaggio all’IA non reinventa le regole del gioco. Richiede all’organizzazione di prendere i principi che già conosce e di estenderli a un mondo nuovo, più veloce e più dinamico.
Nell’ambito dei servizi di sicurezza delle informazioni per le aziende, aiutiamo le organizzazioni a collegare policy sull’IA, valutazioni del rischio, privacy, standard, responsabilità organizzativa e formazione dei dipendenti, in modo che l’adozione dell’IA avvenga come processo gestito e non come iniziativa isolata.
Da dove si comincia?
Consigliamo di iniziare in modo semplice:
- Mappare i sistemi e gli usi di intelligenza artificiale esistenti.
- Classificarli per dati, permessi e livello di rischio.
- Definire una policy sull’IA e regole di privacy.
- Assegnare un Owner e un processo di approvazione per gli usi significativi.
- Esaminare gli scostamenti rispetto a normative e standard rilevanti.
La domanda non è più se l’organizzazione userà l’IA.
La domanda è se l’intelligenza artificiale stia avanzando più velocemente del sistema di gestione che le sta attorno.
Per noi l’AI Governance non è un ostacolo all’innovazione. È ciò che permette a un’organizzazione di innovare senza rinunciare a controllo, privacy e responsabilità.
Questo articolo è stato scritto in collaborazione con gli esperti di sicurezza delle informazioni di Infoguard.