Coordinatori: Floricel Rugiero (AIFIRM); Paola Schwizer (Università di Parma); PMO: PROTIVITI, supervisione a cura di Corrado Meglio (Vicepresidente AIFIRM).
Il kick-off è previsto per il giorno lunedì 20 aprile ore 18:00
I soci possono iscriversi alla Commissione utilizzando il seguente form:
Negli ultimi anni, la rapida diffusione di strumenti di Artificial Intelligence, e in particolare di sistemi di AI avanzata e Generative AI, ha posto nuove e rilevanti sfide in termini di governance, gestione dei rischi, responsabilità e conformità normativa, non solo per il settore bancario e finanziario, ma anche per le imprese non finanziarie operanti in una pluralità di settori economici. L’adozione crescente di soluzioni di AI a supporto dei processi decisionali, operativi e di controllo rende necessario un presidio strutturato e consapevole, capace di bilanciare innovazione, affidabilità e tutela degli stakeholder.
L’attuale assetto regolatorio (avviato in Europa con il Regolamento 2024/1689 del Parlamento europeo e del Consiglio del 13 giugno 2024, noto come AI Act) richiede agli operatori l’adozione di modelli di governance degli strumenti di AI fondati su un approccio risk-based. In tale contesto, diventa centrale la capacità di individuare, mappare, classificare, monitorare e governare l’intero ciclo di vita dei sistemi di AI, assicurando trasparenza, tracciabilità, robustezza dei dati e accountability delle scelte.
Alla luce di tale contesto, la Commissione AIFIRM sulla Governance degli Strumenti di AI si propone di supportare intermediari finanziari e imprese non finanziarie nella definizione e nell’evoluzione di un framework di governance e risk oversight dei sistemi di AI, favorendo il confronto tra operatori, funzioni di controllo, esperti tecnologici e regolatori, e contribuendo allo sviluppo di linee guida operative e soluzioni applicative:
- coerenti con i principi e i requisiti dell’AI Act e delle ulteriori fonti normative;
- sostenibili dal punto di vista organizzativo, operativo e tecnologico;
- orientate a un utilizzo responsabile, trasparente e affidabile dell’AI;
- integrate nei complessivi framework di risk management, compliance e controllo interno.
In particolare, l’attività della Commissione si concentrerà sui seguenti ambiti di approfondimento:
- contesto regolamentare, aspettative di vigilanza e principi di standard setters, attraverso l’analisi dei requisiti inerenti all’approccio risk based nello sviluppo, adozione e utilizzo di strumenti AI con un focus sulle linee guida per la loro classificazione fondata sul livello di rischio, sugli obblighi per i sistemi ad alto rischio, sui principi di governance gestione e monitoraggio, nonché delle interazioni con altri framework normativi (es. GDPR, governance ICT, modelli di controllo interno) e delle principali implicazioni per intermediari finanziari e imprese non finanziarie;
- governance e accountability degli strumenti di AI, con focus su ruoli e responsabilità, processi decisionali, policy interne, meccanismi di approvazione e di escalation;
- adozione, governata e supervisionata, di strumenti AI all’interno delle aziende, includendo panoramiche relative a business case, analisi costi-benefici e trattazione della ri-progettazione dei processi secondo il principio “AI-First”
- mappatura degli strumenti di AI, finalizzata all’identificazione sistematica delle soluzioni di AI utilizzate all’interno dell’organizzazione, lungo i diversi processi aziendali e le diverse funzioni;
- classificazione del rischio dei sistemi di AI, in linea con l’approccio risk-based dell’AI Act, includendo criteri di valutazione del rischio intrinseco, dell’impatto su persone e processi e del livello di criticità operativa;
- monitoraggio e controllo dei sistemi di AI, con riferimento a performance, robustezza, bias, drift dei modelli, explainability e affidabilità nel tempo, inclusa la verifica continua del grado di soddisfacimento delle esigenze degli utenti;
- data governance a supporto dell’AI, includendo qualità dei dati, tracciabilità delle fonti, disclosure e conoscibilità dei dataset di training e testing, protezione dei dati personali e sicurezza delle informazioni;
- evoluzione degli strumenti operativi e dei presidi di controllo, valutando il contributo delle soluzioni tecnologiche e dei framework metodologici necessari a garantire un utilizzo dell’AI conforme, etico e coerente con gli obiettivi di business e di rischio;
- programmi di AI Literacy con specifico riferimento sia all’utilizzo all’interno delle proprie attività lavorative, sia alla consapevolezza dei rischi e della conformità ai requisiti normativi.
Il lavoro farà espliciti richiami sia a fonti regolatori e normative attualmente in vigore (es. AI Act) che di prossima pubblicazione (es. Digital Omnibus), con focus sui principali presidi richiesti per i sistemi di AI ad alto rischio dall’AI Act, tra cui: sistemi di risk management (art. 9), data governance e qualità dei dataset (art. 10), documentazione tecnica e tracciabilità (artt. 11–12), trasparenza e informazione agli utenti (art. 13), sorveglianza umana (art. 14), accuratezza, robustezza e cybersecurity (art. 15), nonché monitoraggio post-deployment e obblighi di reporting.
Sarà inoltre proposta, ove possibile, una declinazione settoriale dei requisiti di governance dell’AI, con un’analisi comparata delle implicazioni per intermediari finanziari e imprese non finanziarie, tenendo conto delle specificità dei modelli di business, dei processi decisionali supportati dall’AI e dei diversi profili di rischio operativo, reputazionale e legale. Il paper prodotto dalla Commissione intende fornire elementi teorici e strumenti operativi per l’attivazione di un assetto di AI risk governance, anche attraverso la definizione di framework organizzativi, checklist operative, casi e best practice, inerenti all’organizzazione, alle attività, alla gestione di un portafoglio di strumenti AI integrato nei processi decisionali, operativi e di governo.
