L’intelligenza artificiale è sicuramente il tema di frontiera con il quale istituzioni, aziende e privati si confronteranno nel futuro. Ora siamo agli albori, ma con tempismo la ISO ha iniziato a pubblicare standard sul tema. L’ultimo documento è stato pubblicato il 18 dicembre 2023: è la ISO/IEC 42001:2023 – Information Technology – Artificial Intelligence – Management System.
La finalità dello standard è quello di “specificare i requisiti per stabilire, implementare, mantenere e migliorare continuamente il sistema di gestione dell’intelligenza artificiale (AIMS) dell’organizzazione. Il sistema è sviluppato per soggetti che forniscono o utilizzano prodotti o servizi basati sull’AI assicurando uno sviluppo ed uso responsabile di tali sistemi”.
A luglio 2022 è stata pubblicata la ISO/IEC 22989 “Information technology — Artificial intelligence — Artificial intelligence concepts and terminology”; tra i contenuti del documento vi è anche un ricco vocabolario, che riporta anche la definizione “3.5.16 Trustworthiness”, definita come: “capacità di soddisfare le aspettative degli stakeholder in modo verificabile”; essa è corredata dalle seguenti note:
- a seconda del contesto o del settore, ma anche del prodotto o servizio specifico, dei dati e della tecnologia utilizzati, si applicano caratteristiche diverse e necessitano di verifica per garantire che le aspettative delle parti interessate siano soddisfatte;
- le caratteristiche di “trustworthiness” includono, ad esempio, affidabilità, disponibilità, resilienza, sicurezza, privacy, protezione, responsabilità, trasparenza, integrità, autenticità, qualità e usabilità;
- l’affidabilità è un attributo che può essere applicato a servizi, prodotti, tecnologia, dati e informazioni, nonché, nel contesto della governance, alle organizzazioni.
Il termine “trustworthiness” è utilizzato nell’introduzione dello standard laddove specifica: “Il sistema di gestione dell’IA dovrebbe essere integrato con i processi dell’organizzazione e più in generale nella sua gestione”.
Le questioni specifiche relative all’IA dovrebbero essere prese in considerazione nella progettazione dei: processi, sistemi informativi e controlli. Esempi cruciali di tali processi di gestione sono:
- determinazione degli obiettivi organizzativi, coinvolgimento delle parti interessate e politica;
- gestione dei rischi e delle opportunità;
- processi per la gestione delle criticità relative all’“trustworthiness” dei sistemi di IA come sicurezza, protezione, equità, trasparenza, qualità dei dati e qualità dei sistemi di IA durante tutto il loro ciclo di vita;
- processi per la gestione di fornitori, partner e terze parti che forniscono o sviluppano AI sistemi per conto dell’l’organizzazione.
La IOS/IEC 42001:2023 definisce il sistema di gestione affinché si possano ottenere tali assicurazioni.
Prima di proseguire è comunque importante notare che il termine “trustworthiness” è comunemente tradotto con “affidabile”, ma nel contesto in esame risulta più appropriato il termine “attendibile”: una dichiarazione è “affidabile” se non verificata, in quanto formulata da un soggetto noto per la sua credibilità; è “attendibile” se è verificata da altri (si resta in “attesa” della verifica).
Indice degli argomenti
Gli obiettivi di un sistema di gestione dell’AI
Un AIMS deve poter assicurare che i sistemi di AI, sia in fase iniziale che ad intervalli regolari, e comunque quando necessario, siano valutati e rivalutati rispetto agli obiettivi organizzativi individuati tra quelli delineati nell’allegato C dello standard “Potenziali obiettivi organizzativi legati all’intelligenza artificiale e fonti di rischio”.
Gli obiettivi, che impattano in modo sostanziale alle caratteristiche di “trustworthiness”, sono ricondotti ai seguenti temi:
- equità;
- sicurezza;
- privacy;
- robustezza;
- trasparenza e comprensione;
- responsabilità;
- disponibilità;
- manutenibilità;
- disponibilità e qualità dei dati di addestramento;
- competenza nell’IA.
Le relative fonti di rischio indentificate comprendono:
- livello di automazione;
- mancanza di trasparenza e comprensione;
- complessità dell’ambiente IT;
- problemi relativi al ciclo di vita del sistema;
- problemi hardware del sistema;
- preparazione tecnologica;
- rischi legati al riciclaggio.
Il tema è ulteriormente approfondito nella ISO/IEC 23894:2023 Information technology – Artificial intelligence Guidance on risk management.
Il ruolo di un’organizzazione nel contesto AI
Di interesse è il ruolo (o i ruoli) che l’organizzazione a cui si applica AIMS può assumere. A seconda di tale ruolo/ruoli i requisiti, ma in particolare i controlli, possono assumere valenza differente.
I ruoli comprendono, ma ovviamente non sono limitati a:
- fornitori– piattaforme, prodotti o servizi di AI;
- produttori– sviluppatori, progettisti, operatori, soggetti incaricati dei test, dei controlli e delle valutazioni anche sull’impatto umano, esperti di settore, committenti, supervisori dell’AI;
- clienti, compresi gli utenti e gli utilizzatori dell’AI;
- partner, compresi integratori di sistemi AI e fornitori di dati;
- altri soggetti coinvolti o impattati dal sistema di AI, compresi gli interessati;
- autorità competenti, comprese quelle mandatorie e regolatorie.
Una descrizione dettagliata di questi ruoli è fornita dalla ISO/IEC 22989; si veda anche il framework di gestione del rischio dell’AI del NIST in cui sono decritti i tipi di ruoli di tali soggetti e la loro relazione con il ciclo di vita di un sistema di AI.
Conclusioni
In uno scenario in cui profitto e sicurezza rischiano di collidere con situazioni impreviste ed imprevedibili, si evidenzia la necessità di una regolamentazione che preveda componenti legislative e volontarie, senza con ciò sacrificare la componente di innovazione.
Lo standard ISO/IEC 42001:2023 va considerato in quest’ottica; gli elementi che la connotano, comunque, sono ancora tutti da esplorare ed approfondire nelle loro implicazioni.
Solo le prime applicazioni di un AIMS potranno fornire un riscontro della valenza e del valore dello standard.
NOTE
Laddove in questo articolo sono riportate parti della norma, esse sono tradotte dall’autrice; la norma è acquistabile nel sito ISO o UNI.
