AI Compliance Officer (605088)

Il corso è rivolto principalmente a:

• dirigenti e manager;
• responsabili compliance;
• responsabili legali;
• DPO e privacy specialist;
• risk manager;
• internal auditor;
• responsabili IT e cybersecurity;
• responsabili delle risorse umane;
• responsabili acquisti e vendor management;
• responsabili qualità;
• project manager;
• consulenti aziendali;
• professionisti chiamati a coordinare progetti di adozione dell’IA.

L’AI Compliance Officer è la figura che supporta l’organizzazione nella definizione e nel mantenimento del sistema di conformità relativo all’Intelligenza Artificiale. Non coincide necessariamente con un ruolo previsto formalmente dalla normativa e non sostituisce il DPO, il responsabile della sicurezza informatica, il legale o il risk manager.

Opera come punto di coordinamento tra:

• direzione aziendale;
• funzione legale e compliance;
• responsabile della protezione dei dati;
• sistemi informativi e cybersecurity;
• risorse umane;
• acquisti e gestione dei fornitori;
• internal audit;
• responsabili dei processi nei quali vengono utilizzati sistemi di IA.

Il suo compito principale è trasformare le disposizioni normative e i principi di utilizzo responsabile dell’IA in procedure, controlli, responsabilità e documenti concretamente applicabili all’interno dell’organizzazione.

Al termine del percorso i partecipanti saranno in grado di:

• comprendere il quadro normativo europeo applicabile all’Intelligenza Artificiale;
• individuare i ruoli previsti dall’AI Act;
• distinguere tra provider, deployer, importatore, distributore e utilizzatore di sistemi di IA;
• identificare i sistemi di IA presenti nell’organizzazione;
• costruire un inventario aziendale delle applicazioni e dei casi d’uso;
• classificare i sistemi in base al livello di rischio;
• riconoscere pratiche vietate, sistemi ad alto rischio e obblighi di trasparenza;
• valutare l’impatto dei sistemi di IA sui diritti, sulla sicurezza e sui processi decisionali;
• integrare AI Act, GDPR, cybersecurity e gestione del rischio;
• definire una struttura di AI governance;
• stabilire ruoli, responsabilità e flussi autorizzativi;
• valutare fornitori, piattaforme e modelli di IA generativa;
• predisporre policy e procedure aziendali;
• organizzare attività di controllo, monitoraggio e audit;
• sviluppare un piano operativo di adeguamento.

1. Intelligenza Artificiale, organizzazioni e compliance

• evoluzione dell’Intelligenza Artificiale nei processi aziendali;
• sistemi predittivi, decisionali e generativi;
• differenza tra sistema di IA, modello e applicazione;
• principali ambiti di utilizzo aziendale;
• opportunità, rischi e responsabilità;
• significato di AI governance;
• significato di AI compliance;
• rapporto tra innovazione, controllo e responsabilità;
• compiti e posizionamento dell’AI Compliance Officer;
• coordinamento con DPO, CISO, IT, HR, legal e internal audit.

2. Il quadro normativo europeo

• struttura e finalità dell’AI Act;
• ambito territoriale e soggettivo di applicazione;
• definizioni fondamentali;
• approccio normativo basato sul rischio;
• soggetti e ruoli previsti dal Regolamento;
• provider e deployer;
• importatori e distributori;
• obblighi relativi ai modelli di IA per finalità generali;
• rapporto con GDPR, normativa sulla cybersecurity e protezione dei consumatori;
• responsabilità contrattuale e organizzativa;
• percorso temporale di applicazione delle disposizioni.

L’AI Act mira a promuovere sistemi di IA sicuri e affidabili, tutelando salute, sicurezza e diritti fondamentali. Le disposizioni si applicano in maniera progressiva e comprendono obblighi specifici per pratiche vietate, sistemi ad alto rischio e modelli di IA per finalità generali.

3. La classificazione dei sistemi di IA

• logica della classificazione basata sul rischio;
• sistemi esclusi o non soggetti a obblighi specifici;
• sistemi a rischio limitato;
• sistemi soggetti a obblighi di trasparenza;
• sistemi di IA ad alto rischio;
• pratiche vietate;
• sistemi integrati in prodotti regolamentati;
• applicazioni nei processi HR;
• selezione, valutazione e monitoraggio dei lavoratori;
• sistemi utilizzati nel credito e nei servizi essenziali;
• biometria e identificazione;
• utilizzo dell’IA nel settore pubblico;
• analisi dei casi dubbi;
• costruzione di una matrice aziendale di classificazione.

Gli orientamenti europei sulla classificazione dei sistemi ad alto rischio forniscono criteri ed esempi per supportare provider e deployer nella valutazione dei sistemi utilizzati.

4. Pratiche vietate e utilizzi non consentiti

• manipolazione e tecniche subliminali;
• sfruttamento delle vulnerabilità;
• social scoring;
• valutazione del rischio di commissione di reati;
• raccolta indiscriminata di immagini biometriche;
• riconoscimento delle emozioni nei luoghi di lavoro e nelle scuole;
• categorizzazione biometrica;
• identificazione biometrica remota;
• individuazione delle aree aziendali maggiormente esposte;
• procedure per bloccare utilizzi non autorizzati;
• gestione delle segnalazioni interne.

Le linee guida della Commissione europea forniscono interpretazioni ed esempi relativi alle pratiche vietate, comprese manipolazione dannosa, social scoring e alcuni impieghi dei sistemi biometrici.

5. Obblighi per i sistemi ad alto rischio

• sistema di gestione del rischio;
• qualità e governance dei dati;
• documentazione tecnica;
• registrazione automatica degli eventi;
• trasparenza e informazioni agli utilizzatori;
• supervisione umana;
• accuratezza, robustezza e cybersecurity;
• monitoraggio successivo all’implementazione;
• gestione degli incidenti;
• conservazione della documentazione;
• obblighi del provider;
• obblighi dell’organizzazione che utilizza il sistema;
• valutazione d’impatto sui diritti fondamentali;
• integrazione con la valutazione d’impatto GDPR;
• gestione delle modifiche al sistema.

6. IA generativa e modelli per finalità generali

• caratteristiche dei modelli di IA per finalità generali;
• modelli linguistici e sistemi generativi;
• differenza tra provider del modello e utilizzatore aziendale;
• applicazioni di ChatGPT, Copilot e strumenti analoghi;
• trasparenza degli output generati;
• contenuti sintetici e deepfake;
• copyright e proprietà intellettuale;
• utilizzo di dati personali e informazioni riservate;
• rischi di allucinazione e inaccuratezza;
• prompt injection e sicurezza;
• utilizzo di modelli pubblici, privati e aziendali;
• responsabilità nella validazione degli output;
• definizione di regole aziendali per l’IA generativa.

Per i fornitori di modelli di IA per finalità generali sono previsti obblighi riguardanti documentazione, copyright e informazioni sui dati di addestramento. Per i modelli con rischio sistemico sono richieste ulteriori misure di valutazione, mitigazione, sicurezza e segnalazione degli incidenti.

7. Inventario dei sistemi e mappatura dei casi d’uso

• censimento delle applicazioni di IA;
• strumenti acquistati e sviluppati internamente;
• applicazioni ufficiali e shadow AI;
• individuazione dei responsabili di processo;
• identificazione di dati, utenti e soggetti coinvolti;
• mappatura dei fornitori;
• descrizione delle finalità;
• valutazione del livello di autonomia del sistema;
• individuazione delle decisioni supportate o automatizzate;
• classificazione preliminare del rischio;
• costruzione dell’AI System Register;
• gestione e aggiornamento dell’inventario.

8. Valutazione e gestione del rischio

• identificazione dei rischi legali, operativi ed etici;
• rischi per i diritti fondamentali;
• discriminazione e bias;
• qualità dei dati;
• affidabilità degli output;
• perdita di controllo umano;
• sicurezza informatica;
• riservatezza delle informazioni;
• rischi reputazionali;
• dipendenza dal fornitore;
• probabilità e impatto;
• definizione delle misure di mitigazione;
• accettazione, riduzione, trasferimento o eliminazione del rischio;
• costruzione dell’AI Risk Register;
• definizione degli indicatori di rischio.

9. AI governance aziendale

• principi di governance dell’Intelligenza Artificiale;
• modello centralizzato, decentralizzato e federato;
• ruolo della direzione;
• AI governance committee;
• responsabilità delle funzioni aziendali;
• modello RACI;
• procedure di proposta, valutazione e approvazione;
• criteri per l’autorizzazione dei nuovi casi d’uso;
• gestione delle eccezioni;
• separazione dei compiti;
• supervisione umana;
• escalation e reporting;
• integrazione con enterprise risk management;
• coordinamento con privacy e cybersecurity;
• reporting al management e agli organi di controllo.

10. Policy e procedure aziendali

• struttura di una AI Policy;
• principi di utilizzo responsabile;
• strumenti autorizzati e non autorizzati;
• trattamento delle informazioni riservate;
• utilizzo di dati personali;
• verifica degli output;
• divieto di decisioni completamente automatizzate nei casi previsti;
• utilizzo dell’IA da parte dei dipendenti;
• regole per consulenti e collaboratori;
• gestione delle violazioni;
• processo di approvazione di un nuovo sistema;
• procedura di incident management;
• revisione periodica delle policy;
• comunicazione e formazione interna.

11. Valutazione e gestione dei fornitori

• due diligence del fornitore;
• informazioni tecniche e organizzative da richiedere;
• classificazione del ruolo contrattuale;
• documentazione di conformità;
• origine e qualità dei dati;
• livelli di servizio;
• sicurezza e continuità operativa;
• localizzazione e trattamento dei dati;
• utilizzo dei dati per l’addestramento;
• subfornitori e supply chain;
• diritti di audit;
• obblighi di notifica;
• gestione degli aggiornamenti del modello;
• clausole contrattuali;
• criteri di uscita e portabilità.

12. Controlli, monitoraggio e audit

• sistema dei controlli interni;
• controlli di primo, secondo e terzo livello;
• indicatori di conformità;
• controllo delle prestazioni del sistema;
• verifica della qualità degli output;
• monitoraggio di bias e anomalie;
• analisi dei log;
• gestione degli incidenti;
• segnalazioni e azioni correttive;
• audit periodici;
• raccolta delle evidenze;
• riesame da parte della direzione;
• aggiornamento del registro dei sistemi;
• miglioramento continuo.

13. Formazione e AI literacy

• obblighi e responsabilità relativi alla competenza del personale;
• individuazione dei diversi destinatari;
• formazione di base per tutti i lavoratori;
• formazione specialistica per funzioni e responsabili;
• formazione degli utilizzatori di sistemi ad alto rischio;
• sensibilizzazione sui rischi dell’IA generativa;
• verifica dell’apprendimento;
• tracciabilità delle attività formative;
• aggiornamento periodico delle competenze;
• costruzione del piano aziendale di AI literacy.

14. Costruzione del piano di conformità

• analisi del livello di maturità dell’organizzazione;
• gap analysis;
• identificazione delle priorità;
• definizione delle azioni;
• attribuzione delle responsabilità;
• pianificazione delle scadenze;
• individuazione delle risorse;
• definizione degli indicatori;
• reporting alla direzione;
• costruzione della roadmap di adeguamento;
• monitoraggio dell’avanzamento.

Il corso adotta un approccio pratico e interdisciplinare. Le lezioni teoriche possono essere integrate con:

• analisi di casi;
• discussioni guidate;
• checklist;
• modelli documentali;
• esercitazioni di classificazione;
• simulazioni di valutazione;
• lavori di gruppo.

L’obiettivo non è soltanto conoscere la normativa, ma acquisire un metodo per tradurre gli obblighi in un sistema organizzativo concretamente applicabile.

• Il corso è in modalità formazione a distanza, online live streaming, cioè con il docente in diretta che tiene la lezione.

• I partecipanti dovranno essere dotati di pc o laptop con  accesso Internet.

• Le lezioni saranno registrate e le registrazioni verranno messe a disposizione dei partecipanti per 2 mesi dalla fine delle lezioni.

• Coloro che avranno frequentato almeno l'80% delle ore di corso riceveranno un attestato di frequenza.

Non sono richieste competenze di programmazione.

È utile possedere una conoscenza generale:

• dei processi aziendali;
• dei sistemi di controllo interno;
• della gestione del rischio;
• della protezione dei dati personali;
• dei principali utilizzi aziendali dell’Intelligenza Artificiale.