Solitamente l’implementazione di una nuova normativa parte con una corposa gap analysis fra la propria situazione attuale e quanto richiesto dalla normativa.
Questo tipo di approccio è limitato e rischioso se non è accompagnato da un’analoga gap analysis fra le normative esistenti e la nuova normativa.
Ecco perché con l’AI Act, una normativa anomala che interessa tutti e tutti devono applicarla, ma gli adempimenti previsti riguardano soli casi particolari, serve una gap analysis.
Indice degli argomenti
AI Act: perché serve una gap analysis
È necessario capire quanto in realtà un’azienda avrebbe dovuto fare per essere conforme alle normative già esistenti, prima di pensare di adeguarsi alla nuova.
Il rischio altrimenti, è di documentare nella gap analysis dello stato di fatto, una non conformità alle normative esistenti.
Fortunatamente questo aspetto non rileva per l’AI Act, che è la prima normativa sull’AI e quindi non ha precedenti normative con cui confrontarsi.
Cerchiamo allora di capire qual è il percorso migliore, più veloce e meno costoso per adeguarsi a questa normativa.
Ho visto progetti faraonici durati mesi per effettuare una gap analysis, salvo poi evidenziare che non era presente alcun sistema ad alto rischio e che quindi la quasi totalità degli adempimenti previsti dall’AI Act non si applicavano, ma solo qualche sistema a rischio limitato, per i quali le richieste dell’AI Act sono decisamente enormemente inferiori rispetto a quelle dei sistemi ad alto rischio.
AI Act, a cosa serve la gap analysis
È evidente che in questo caso il primo passo per un adeguamento all’AI Act non è una gap analysis, ma la mappatura dei sistemi di AI presenti in azienda e non è detto che questa sia un’attività facile.
Stiamo parlando anche di shadow AI, di agenti, di singoli casi d’uso per i sistemi di AI generativa, di componenti AI embedded in software di terzi o in componenti hardware.
Solo dopo questo censimento si può passare alla corretta classificazione dei sistemi di AI, rifacendosi non solo all’AI Act (ovviamente nella sua versione aggiornata), ma anche alle varie linee guida emesse dalle competenti strutture dell’UE.
Solo dopo questa classificazione si potrà capire quanto impatta l’AI Act sull’azienda.
“La stragrande maggioranza dei sistemi, anche se rientrano nella definizione di sistemi di IA ai sensi dell’articolo 3, paragrafo 1, della legge sull’IA, non sarà soggetta ad alcun obbligo normativo ai sensi della legge sull’IA“, come evidenziato anche dalla Commissione europea.
L’azienda non dovrà fare nulla che vada al di là di un censimento (ovviamente da rivedere periodicamente) e della classificazione dei sistemi di AI (oltre ovviamente attivare una procedura per la valutazione di ogni nuovo sistema implementato, o individuato come già presente, in azienda).
Gli errori da evitare
Se alla fine non si hanno sistemi ad alto rischio o sistemi a rischio limitato è assolutamente inutile procedere ad una gap analysis e, francamente, prima di imbarcarsi nella attivazione di un sistema ad alto rischio, sarà opportuno valutare effettivamente se il costo ed il rischio è giustificato o se sia più opportuno.
Per esempio, limitare le proprie ambizioni a sistemi di AI che si avvicinino al risultato desiderato, lasciano all’intervento umano o a software tradizionali, l’ultimo tratto di elaborazione.
In questo modo si otterranno risultati simili, ma senza doversi sobbarcare i pesanti oneri previsti dall’AI ACT.
L’approccio giusto
In sintesi, se i consulenti propongono un costosissimo approccio classico, che parte dalla gap analysis, non stanno facendo un buon lavoro e, a farne le spese, nel senso letterale del termine, è l’azienda a cui arrivano proposte simili.
Una struttura più dettagliata di un corretto piano di adeguamento è descritta nel libro “AI ACT: Analisi della normativa, implementazione e audit dell’AI ACT con l’aiuto di strumenti di AI gratuiti.”
Partecipa alla community