AI Governance e uso responsabile

ISOPILOT utilizza AI come strumento di supporto alla raccolta, classificazione, analisi e redazione documentale. La governance si fonda su legalità, trasparenza, controllo umano, minimizzazione, sicurezza, qualità delle fonti, tracciabilità e responsabilità organizzativa.

La policy si applica a UESE, amministratori, utenti e consulenti che configurano o utilizzano funzioni AI. Il Cliente deve integrarla con proprie regole, valutazioni e formazione.

• UESE: governa la piattaforma, seleziona fornitori, protegge le chiavi, definisce controlli e monitora incidenti.
• Superadmin: configura modello, prompt, limiti e accessi, senza esporre segreti.
• Cliente: determina finalità, dati, utenti autorizzati e livello di revisione.
• Utente/consulente: formula richieste appropriate, verifica fonti e corregge Output.
• Approvatore: assume la responsabilità della pubblicazione della versione controllata.

Prima di utilizzare un Output in un processo rilevante, il Cliente valuta finalità, destinatari, dati, possibili effetti, necessità di AI, accuratezza richiesta, supervisione, vulnerabilità dei soggetti e conseguenze dell’errore. L’uso per documentazione ISO è normalmente assistivo; può diventare ad alto impatto se collegato a decisioni su persone, salute, sicurezza, lavoro, credito o accesso a servizi.

È vietato utilizzare ISOPILOT per pratiche proibite dalla normativa AI, manipolazione dannosa, social scoring, inferenze illecite di categorie sensibili, sorveglianza non autorizzata, contenuti ingannevoli o sostituzione fraudolenta di professionisti. Non sono supportate decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi.

Gli utenti devono preferire fonti attendibili, aggiornate e pertinenti, distinguere dati ufficiali da dichiarazioni commerciali e ridurre dati personali non necessari. Visura e sito possono essere combinati, ma le informazioni divergenti devono essere confermate. Documenti scansionati o immagini possono richiedere verifica manuale.

Quando opportuno, i documenti devono indicare che sono stati predisposti con assistenza AI e successivamente revisionati. Il nome del consulente virtuale non deve indurre a credere in una revisione umana inesistente. Contenuti sintetici destinati al pubblico devono essere identificati quando richiesto dalla legge.

Ogni Output destinato all’uso operativo deve essere controllato da persona competente, con possibilità reale di comprenderlo, contestarlo, correggerlo o respingerlo. Per salute e sicurezza, ambiente, privacy, cybersecurity, contratti e requisiti regolamentati occorre una verifica specialistica adeguata al rischio.

Il workflow bozza → revisione → approvazione → pubblicazione non deve essere aggirato. Le modifiche sincronizzate tra documenti richiedono analisi degli impatti.

I modelli possono inventare fatti, riferimenti o citazioni. Gli utenti devono verificare norme, edizioni degli standard, clausole, nomi, date, calcoli e obblighi presso fonti autorevoli. ISOPILOT deve segnalare incertezza e dati mancanti, ma tale segnalazione non è garantita in ogni caso.

La piattaforma può registrare configurazione, modello, prompt version, Input rilevanti, Output, autore, revisioni, approvazioni e hash. I log servono per ricostruzione, sicurezza e miglioramento; l’accesso è limitato. Il Cliente deve conservare evidenze coerenti con il proprio sistema di gestione.

Gli utenti devono ricevere istruzioni commisurate al ruolo su limiti dei modelli, protezione dati, prompt injection, verifica, riservatezza e segnalazione incidenti. Il Cliente mantiene evidenze di formazione quando richiesto dalla propria governance o dalla normativa.

Output pericolosi, divulgazioni, bias, accessi indebiti o comportamenti anomali devono essere segnalati. UESE può sospendere modelli o funzioni, correggere prompt, introdurre filtri e informare i clienti interessati. Le lezioni apprese alimentano valutazioni, controlli e documentazione.

La governance considera il Regolamento (UE) 2024/1689 (AI Act), come modificato e applicabile nel tempo, il GDPR, la normativa sulla cybersecurity, proprietà intellettuale, tutela dei consumatori e settore specifico. L’applicabilità concreta dipende da ruolo, uso e rischio; il Cliente deve svolgere una propria valutazione.