Maturità AI Act · Conformità alla legge europea sull’IA (uso dell’IA in azienda)
I vostri usi dell’IA classificati, la vostra maturità AI Act misurata, il vostro piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità AI Act · Conformità alla legge europea sull’IA (uso dell’IA in azienda)
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Regolamento (UE) 2024/1689 che stabilisce regole armonizzate sull’intelligenza artificiale (AI Act) avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
I sistemi di IA utilizzati nell’organizzazione sono censiti e qualificati in base al loro livello di rischio?
- N1
Nessun censimento. Gli usi dell’IA sono noti caso per caso, in base alle persone che li hanno introdotti.
- N2
Esiste un elenco, costituito in occasione di una raccolta puntuale. Copre i progetti gestiti dall’IT e non menziona alcun livello di rischio.
- N3
L’inventario copre tutte le entità, ogni sistema riporta una qualificazione di rischio e un responsabile identificato. L’aggiornamento è regolare.
- N4
L’inventario è alimentato da un processo dichiarativo obbligatorio all’avvio. Le qualificazioni sono convalidate dall’organo di governance e tracciate.
- N5
L’inventario viene riesaminato periodicamente in occasione delle evoluzioni funzionali e normative, con uno storico delle riclassificazioni e delle relative motivazioni.
Azione per passare da N2 a N3
Estendere la raccolta agli strumenti introdotti dalle funzioni aziendali e alle funzionalità di IA integrate nei software esistenti, aggiungere a ogni riga un responsabile e una qualificazione di rischio, e inserire la revisione dell’inventario all’ordine del giorno del comitato dati trimestrale.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu AI ACT.
Di cosa parla questo quadro di riferimento
Il regolamento (UE) 2024/1689, pubblicato nel luglio 2024 ed entrato in vigore il 1° agosto 2024, classifica i sistemi di IA secondo il rischio che presentano: pratiche vietate, sistemi ad alto rischio soggetti a un insieme completo di requisiti, sistemi con obblighi di trasparenza, modelli di IA per finalità generali con proprie regole. Distingue inoltre i ruoli: fornitore, deployer, importatore, distributore. Per un’azienda che acquista e utilizza l’IA piuttosto che svilupparla, la maggior parte degli obblighi rientra nello status di deployer, con un possibile passaggio allo status di fornitore in caso di modifica sostanziale o di apposizione del proprio marchio.
La difficoltà non sta nel leggere il testo, bensì nel collegarlo agli usi reali, spesso introdotti dalle funzioni aziendali senza passare dall’IT. Quanti sistemi di IA sono effettivamente in produzione nelle vostre entità, e chi ne tiene l’inventario? Quali rientrano nell’allegato III, in particolare nelle risorse umane, nell’accesso al credito o nella gestione dei lavoratori? Chi convalida l’avvio di un nuovo uso, e con quali criteri? Le risposte sono raramente centralizzate, e il perimetro cambia più rapidamente della documentazione.
Un punto di contesto merita di essere chiarito. Il calendario è scaglionato: divieti e obblighi di alfabetizzazione in materia di IA applicabili da febbraio 2025, regole sui modelli per finalità generali da agosto 2025, la maggior parte dei requisiti sui sistemi ad alto rischio a partire da agosto 2026, con un rinvio per alcuni sistemi integrati in prodotti regolamentati. Altra confusione frequente: l’AI Act non sostituisce il GDPR e non vi si sostituisce. I due testi si cumulano, e una valutazione d’impatto sui diritti fondamentali non esime da una valutazione d’impatto relativa alla protezione dei dati.
L’audit di conformità è netto: l’obbligo è rispettato o non lo è. La diagnosi di maturità risponde a una domanda diversa. A quale livello di controllo si trova l’inventario dei sistemi, la classificazione per rischio, la supervisione umana, la documentazione o la formazione dei team, e quale azione precisa consente di passare al livello successivo. È questa lettura che permette di scandire un programma di trasformazione su più entità, piuttosto che affrontare tutti gli scostamenti contemporaneamente.
In Datamensio, il quadro di riferimento è pronto all’uso. Potete anche adattarlo: l’IA regola gli ambiti, le domande e i livelli in base al vostro settore e al vostro status ai sensi del regolamento, oppure costruisce una variante a partire dalle vostre politiche interne e dal vostro inventario di usi esistente.
Norma di riferimento: Regolamento (UE) 2024/1689 che stabilisce regole armonizzate sull’intelligenza artificiale (AI Act)
Gli ambiti valutati
Governance dell’IA e ruoli
Organo decisionale, collocazione gerarchica, ruoli e responsabilità, qualificazione dello status di fornitore o deployer per ciascun sistema, politica interna di utilizzo dell’IA.
Inventario dei sistemi di IA
Censimento degli usi in produzione e in progetto, perimetro coperto, informazioni aggiornate, presa in considerazione degli strumenti introdotti dalle funzioni aziendali e delle funzionalità di IA integrate nei software di mercato.
Classificazione per livello di rischio
Metodo di qualificazione, identificazione delle pratiche vietate, esame dei casi dell’allegato III, sistemi soggetti agli obblighi di trasparenza, tracciabilità e revisione delle decisioni di classificazione.
Gestione dei rischi e qualità dei dati
Analisi dei rischi per sistema, dataset di addestramento e di test, rappresentatività, bias identificati e misure correttive, robustezza e accuratezza attese.
Documentazione tecnica e tracciabilità
Documentazione richiesta in base al ruolo, istruzioni per l’uso del fornitore, registrazione degli eventi, durata di conservazione dei log, elementi utilizzabili in caso di richiesta di un’autorità.
Supervisione umana
Punti di controllo umano effettivi, autorità della persona incaricata della supervisione, capacità di interrompere il sistema, competenza e disponibilità reali dei supervisori.
Trasparenza e informazione delle persone
Informazione delle persone esposte a un sistema di IA, marcatura dei contenuti generati, informazione dei lavoratori e dei loro rappresentanti, spiegabilità delle decisioni individuali.
Catena di fornitura e fornitori
Clausole contrattuali con i fornitori di sistemi e di modelli per finalità generali, elementi di conformità ottenuti, dipendenze tecniche, condizioni di reversibilità.
Alfabetizzazione e competenze
Sensibilizzazione degli utenti, formazione adeguata agli usi, competenze interne di valutazione dei modelli, dispositivo di accompagnamento delle funzioni aziendali.
Monitoraggio post distribuzione e incidenti
Monitoraggio del comportamento dei sistemi in esercizio, rilevamento delle derive, procedura di segnalazione e gestione degli incidenti gravi, ciclo di feedback verso il fornitore e verso la governance.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
Questa diagnosi rende la mia organizzazione conforme all’AI Act?
No. Misura la maturità del vostro dispositivo e identifica gli scostamenti da trattare. La conformità si stabilisce rispetto al regolamento, sistema per sistema, e la dimostrazione dipende dai vostri lavori e, se del caso, da una valutazione di conformità. La diagnosi prepara e struttura questo percorso.
Che differenza c’è tra questa diagnosi di maturità e un audit di conformità?
L’audit conclude con uno scostamento o una conformità su un requisito determinato. La diagnosi colloca le vostre pratiche su una scala progressiva e indica l’azione che fa salire di un livello. I due strumenti sono complementari: la diagnosi serve a scandire, l’audit a convalidare.
Il quadro di riferimento si rivolge ai fornitori o agli utilizzatori di sistemi di IA?
È costruito per le organizzazioni che utilizzano l’IA nelle proprie operazioni, status di deployer ai sensi del regolamento. Gli ambiti coprono anche le situazioni di passaggio allo status di fornitore, frequenti in caso di modifica sostanziale o di apposizione del proprio marchio.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20 30 minuti. La versione completa, in modalità collaborativa, si estende generalmente su una due settimane: la maggior parte del tempo serve a raccogliere gli elementi presso le funzioni aziendali, il legale e l’IT.
È possibile adattare il quadro di riferimento al nostro contesto?
Sì. Potete modificare le domande, i livelli e gli ambiti, oppure partire da una base vuota. L’IA può anche produrre una variante settoriale a partire dalle vostre politiche interne. Il controllo del quadro di riferimento resta vostro.
Come si integra questa diagnosi con ISO/IEC 42001 e il GDPR?
ISO/IEC 42001 fornisce il sistema di gestione che consente di mantenere gli obblighi nel tempo, il GDPR si applica non appena vi sono dati personali. Una roadmap trasversale consolida le tre valutazioni ed evita di duplicare le azioni comuni, in particolare su governance e documentazione.
È possibile confrontare più entità tra loro?
Sì. Gli audit possono essere avviati su scala industriale su più business unit, con un benchmark tra entità e rispetto alle campagne precedenti. L’IA raggruppa gli scostamenti ricorrenti in una roadmap prioritizzata a livello di gruppo.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.