L’utilizzo sempre più diffuso di strumenti di Intelligenza Artificiale generativa all’interno delle organizzazioni richiede regole chiare, responsabilità definite e criteri condivisi.
Dipendenti e collaboratori utilizzano applicazioni di IA per produrre testi, analizzare documenti, elaborare dati, generare immagini, sviluppare software, preparare presentazioni e supportare decisioni. In assenza di una Policy aziendale, questi utilizzi possono però esporre l’organizzazione a rischi relativi alla riservatezza delle informazioni, alla protezione dei dati personali, alla proprietà intellettuale, alla sicurezza informatica, alla qualità dei contenuti e alla responsabilità delle decisioni.
Il corso fornisce un metodo operativo per progettare, redigere, approvare e introdurre una Policy aziendale sull’uso dell’Intelligenza Artificiale.
Attraverso esempi, checklist, analisi di casi e attività di laboratorio, i partecipanti costruiranno progressivamente una Policy adattabile alla propria organizzazione, definendo gli strumenti autorizzati, gli utilizzi ammessi e vietati, le responsabilità, i controlli e le procedure per la gestione dei rischi.
Il percorso considera i principi dell’EU AI Act, del GDPR e dei principali framework internazionali per la governance e la gestione del rischio dell’IA, tra cui ISO/IEC 42001 e NIST AI Risk Management Framework.
Il corso è rivolto a:
- responsabili della compliance;
- AI Compliance Officer;
- responsabili AI Governance;
- Data Protection Officer e referenti privacy;
- responsabili delle risorse umane;
- responsabili IT e cybersecurity;
- risk manager;
- responsabili legali e affari societari;
- responsabili qualità e sistemi di gestione;
- responsabili organizzazione e processi;
- dirigenti e manager;
- consulenti aziendali;
- componenti di comitati etici o comitati per l’Intelligenza Artificiale;
- responsabili della formazione e dello sviluppo delle competenze;
- Pubbliche Amministrazioni ed enti interessati a regolamentare l’uso interno dell’IA.
Al termine del percorso i partecipanti saranno in grado di:
- comprendere la funzione della Policy aziendale sull’IA;
- distinguere Policy, procedura operativa, linea guida e regolamento interno;
- individuare gli utilizzi dell’IA presenti nell’organizzazione;
- classificare gli strumenti e i casi d’uso in base al rischio;
- identificare dati, informazioni e documenti che non devono essere inseriti nei sistemi di IA;
- definire gli utilizzi consentiti, condizionati e vietati;
- stabilire criteri per la selezione e l’autorizzazione degli strumenti;
- disciplinare l’uso professionale dell’IA generativa;
- definire obblighi di controllo, verifica e supervisione umana;
- regolamentare la produzione di testi, immagini, software e analisi;
- gestire i rischi relativi a privacy, sicurezza e proprietà intellettuale;
- attribuire ruoli e responsabilità;
- predisporre procedure per segnalazioni, incidenti e violazioni;
- progettare il processo di approvazione e aggiornamento della Policy;
- definire un piano di comunicazione e formazione interna;
- redigere una Policy aziendale completa e applicabile.
Modulo 1 – Perché l’organizzazione ha bisogno di una AI Policy
La diffusione dell’IA nei processi aziendali
- IA tradizionale e IA generativa.
- Strumenti general purpose e applicazioni specialistiche.
- Utilizzo ufficiale e utilizzo non autorizzato dell’IA.
- Il fenomeno dello Shadow AI.
- Strumenti gratuiti, account personali e account aziendali.
- Integrazione dell’IA nei software già utilizzati dall’organizzazione.
- Casi d’uso ricorrenti nelle diverse funzioni aziendali.
Funzione e valore della Policy
- Che cos’è una Policy aziendale sull’IA.
- Differenze tra Policy, procedura, regolamento e linea guida.
- Obiettivi organizzativi, legali e di sicurezza.
- Ambito soggettivo e oggettivo di applicazione.
- Policy generale e Policy specifiche per funzione.
- Collegamento con il sistema di controllo interno.
- Policy come componente dell’AI Governance.
Il quadro normativo e organizzativo
- Principi fondamentali dell’EU AI Act.
- Approccio basato sul rischio.
- Obblighi e responsabilità degli utilizzatori professionali.
- AI Literacy e formazione del personale.
- Collegamenti con il GDPR.
- Riservatezza e segreto aziendale.
- Sicurezza delle informazioni.
- Proprietà intellettuale e diritto d’autore.
- Responsabilità per i contenuti prodotti mediante IA.
- Riferimenti a ISO/IEC 42001.
- Riferimenti al NIST AI Risk Management Framework.
Modulo 2 – Analizzare i rischi e definire le regole di utilizzo
Costruire l’inventario degli strumenti di IA
- Identificazione degli strumenti utilizzati.
- Fornitore, versione e modello di servizio.
- Strumenti gratuiti e strumenti enterprise.
- Account individuali e account aziendali.
- Localizzazione e conservazione dei dati.
- Utilizzo dei prompt e degli output per l’addestramento.
- Integrazione con documenti, posta elettronica e sistemi aziendali.
- Verifica delle condizioni contrattuali del fornitore.
Classificare i casi d’uso
- Utilizzi a rischio basso.
- Utilizzi che richiedono autorizzazione.
- Utilizzi soggetti a controllo rafforzato.
- Utilizzi incompatibili con le regole aziendali.
- Processi che incidono sulle persone.
- Processi decisionali e attività ad alto impatto.
- Utilizzo dell’IA in ambito HR.
- Utilizzo nell’assistenza ai clienti.
- Utilizzo nella produzione di documenti legali o contrattuali.
- Utilizzo nell’analisi di dati finanziari.
- Utilizzo nello sviluppo di software.
Protezione dei dati e delle informazioni
- Dati personali e categorie particolari di dati.
- Informazioni riservate.
- Segreti commerciali e industriali.
- Dati di clienti, fornitori e partner.
- Informazioni soggette ad accordi di riservatezza.
- Credenziali, password e configurazioni di sicurezza.
- Codice sorgente e documentazione tecnica.
- Documenti non ancora pubblicati.
- Principio di minimizzazione.
- Anonimizzazione e pseudonimizzazione.
- Classificazione delle informazioni.
Definire gli utilizzi ammessi e vietati
- Utilizzi liberamente consentiti.
- Utilizzi consentiti con condizioni.
- Utilizzi soggetti ad autorizzazione preventiva.
- Utilizzi vietati.
- Inserimento di dati nei prompt.
- Caricamento di documenti e file.
- Connessione dell’IA agli archivi aziendali.
- Produzione e pubblicazione dei contenuti.
- Uso dell’IA per prendere decisioni.
- Uso personale degli strumenti sui dispositivi aziendali.
Modulo 3 – Strutturare e redigere la Policy aziendale
Architettura del documento
La Policy viene articolata nelle principali sezioni:
- finalità;
- ambito di applicazione;
- destinatari;
- definizioni;
- principi generali;
- strumenti autorizzati;
- utilizzi consentiti;
- utilizzi soggetti ad autorizzazione;
- utilizzi vietati;
- protezione dei dati e delle informazioni;
- verifica e supervisione umana;
- proprietà intellettuale;
- trasparenza e comunicazione;
- sicurezza informatica;
- ruoli e responsabilità;
- gestione degli incidenti;
- controlli e sanzioni;
- formazione;
- aggiornamento della Policy.
Principi generali di utilizzo responsabile
- Legalità.
- Trasparenza.
- Responsabilità.
- Necessità e proporzionalità.
- Controllo umano.
- Accuratezza e affidabilità.
- Non discriminazione.
- Protezione dei dati.
- Sicurezza.
- Tracciabilità.
- Rispetto dei diritti di terzi.
Verifica degli output
- Obbligo di controllo dei risultati.
- Errori e allucinazioni.
- Informazioni incomplete o non aggiornate.
- Verifica delle fonti.
- Controllo di dati, calcoli e riferimenti.
- Revisione dei documenti destinati all’esterno.
- Divieto di affidamento esclusivo all’output dell’IA.
- Responsabilità dell’utilizzatore.
- Documentazione delle verifiche effettuate.
Proprietà intellettuale
- Utilizzo di materiali protetti nei prompt.
- Produzione di testi, immagini, audio e codice.
- Rischio di riproduzione di contenuti di terzi.
- Verifica delle licenze.
- Attribuzione e citazione delle fonti.
- Tutela del patrimonio informativo aziendale.
- Clausole contrattuali con fornitori e collaboratori.
- Utilizzo commerciale dei contenuti generati.
Trasparenza
- Quando dichiarare l’utilizzo dell’IA.
- Contenuti destinati a clienti e utenti.
- Documenti interni ed esterni.
- Comunicazioni, relazioni e presentazioni.
- Chatbot e assistenti virtuali.
- Contenuti sintetici e deepfake.
- Criteri per l’etichettatura dei contenuti.
Modulo 4 – Governance, approvazione e applicazione della Policy
Ruoli e responsabilità
- Direzione aziendale.
- Responsabile AI Governance.
- AI Compliance Officer.
- Funzione legale.
- Data Protection Officer.
- IT e cybersecurity.
- Risorse umane.
- Responsabili di funzione.
- Utilizzatori.
- Fornitori e consulenti.
- Comitato per l’IA.
Processo di autorizzazione
- Richiesta di utilizzo di un nuovo strumento.
- Valutazione preliminare del caso d’uso.
- Verifica tecnica e contrattuale.
- Valutazione privacy.
- Valutazione di sicurezza.
- Valutazione dei rischi.
- Approvazione, limitazione o rifiuto.
- Registrazione delle decisioni.
- Revisione periodica delle autorizzazioni.
Gestione degli incidenti
- Inserimento accidentale di dati riservati.
- Diffusione di informazioni errate.
- Produzione di contenuti discriminatori o inappropriati.
- Violazione del diritto d’autore.
- Utilizzo di strumenti non autorizzati.
- Compromissione di account e credenziali.
- Segnalazione interna.
- Escalation dell’incidente.
- Contenimento e azioni correttive.
- Documentazione dell’evento.
Approvazione e introduzione della Policy
- Analisi degli stakeholder.
- Coinvolgimento delle funzioni aziendali.
- Approvazione della Direzione.
- Coordinamento con il regolamento aziendale.
- Comunicazione a dipendenti e collaboratori.
- Presa visione e accettazione.
- Inserimento nei processi di onboarding.
- Formazione iniziale e aggiornamenti periodici.
- Supporto agli utilizzatori.
- Monitoraggio dell’applicazione.
Controlli e aggiornamento
- Indicatori di applicazione della Policy.
- Verifiche periodiche.
- Audit interni.
- Monitoraggio degli strumenti autorizzati.
- Riesame dei casi d’uso.
- Gestione delle eccezioni.
- Aggiornamento normativo e tecnologico.
- Revisione periodica del documento.
- Gestione delle versioni.
- Il corso è in modalità formazione a distanza, online live streaming, cioè con il docente in diretta che tiene la lezione.
- I partecipanti dovranno essere dotati di pc o laptop con accesso Internet.
- Le lezioni saranno registrate e le registrazioni verranno messe a disposizione dei partecipanti per 2 mesi dalla fine delle lezioni.
- Coloro che avranno frequentato almeno l'80% delle ore di corso riceveranno un attestato di frequenza.
Non sono richieste competenze tecniche di programmazione o sviluppo di sistemi di Intelligenza Artificiale.
È utile possedere:
- una conoscenza generale dei processi aziendali;
- una conoscenza di base degli strumenti di IA generativa;
- una conoscenza introduttiva del GDPR o dei sistemi di compliance aziendale.
Una Policy aziendale consente di:
- stabilire quali strumenti di IA possono essere utilizzati;
- definire quali informazioni possono essere inserite nei sistemi di IA;
- impedire la diffusione di dati personali, riservati o strategici;
- attribuire responsabilità chiare agli utilizzatori e ai responsabili dei processi;
- regolamentare la verifica dei contenuti generati;
- ridurre i rischi di errori, allucinazioni, discriminazioni e risultati non affidabili;
- tutelare la proprietà intellettuale dell’organizzazione e di terzi;
- garantire la supervisione umana nei processi decisionali;
- coordinare l’uso dell’IA con GDPR, cybersecurity e regolamenti aziendali;
- dimostrare l’adozione di misure organizzative per un uso responsabile dell’IA.
