Funzionalità di AI Governance
Gestione delle policy sull'IA
Quando policy e standard sono frammentati tra documenti e sistemi diversi, i processi di governance dell'IA diventano più lenti e soggetti a interpretazioni incoerenti. OneTrust centralizza regole di utilizzo accettabile, requisiti di controllo e criteri di rischio in policy aggiornabili e collegate a sistemi, casi d'uso e normative. Questo consente ai team di definire le regole una sola volta e applicarle in modo coerente durante le fasi di revisione, convalida, reporting e controllo.
Definisci le policy che supportano i controlli sull'IA
Le funzionalità di gestione delle policy sull'IA di OneTrust trasformano le policy sull'IA da documenti statici a policy aggiornabili con ambito, requisiti e ciclo di vita ben definiti. Ogni policy documenta chiaramente l'ambito di applicazione, i controlli obbligatori, le eventuali deroghe concesse e la cronologia delle modifiche tra una versione e l'altra. Questo consente ai team di gestire in modo coerente revisioni, approvazioni, eccezioni e riconvalide, mantenendo sempre il collegamento con i sistemi di IA e i casi d'uso interessati.
Trasforma le policy di utilizzo accettabile in policy operative
Definire principi come equità, trasparenza e supervisione umana è relativamente semplice. La vera sfida è tradurli in decisioni concrete. I team devono poter stabilire quando è consentito utilizzare dati sensibili, quali modelli possono essere impiegati in contesti rivolti ai clienti e quali verifiche sono necessarie nei casi ad alto rischio.
Le regole di utilizzo accettabile sono strutturate in quattro categorie di policy, ciascuna con un nome specifico.
- Dichiarazioni di policy: regole con ambito di applicazione ben definito, organizzate per argomento, quali il trattamento dei dati, l'utilizzo dei modelli, i casi d'uso soggetti a restrizioni, la revisione umana o l'IA di terze parti. Definiscono ciò che è consentito, limitato o vietato per un determinato sistema o caso d'uso.
- Condizioni di applicabilità: regole logiche associate a ciascuna dichiarazione che determinano quando la regola si applica, in base al livello di rischio, all'area geografica, alla sensibilità dei dati o al tipo di implementazione. Ad esempio, una dichiarazione relativa ai requisiti di supervisione umana può essere configurata in modo da applicarsi solo ai sistemi a contatto con i clienti che superano un determinato livello di rischio.
- Requisiti di controllo: le evidenze e le fasi di convalida richieste da una dichiarazione prima che un sistema possa essere approvato. Queste vengono verificate durante il processo di revisione e monitorate ai fini della riconvalida a seguito di modifiche sostanziali.
- Registri delle eccezioni: processo strutturato di deviazione che documenta la regola della policy, la motivazione, i controlli compensativi, l'autorità che ne gestisce l'approvazione, la data di scadenza e i criteri di chiusura per i casi in cui un sistema non sia in grado di soddisfare un requisito di controllo così come formulato.
Questa struttura converte il linguaggio delle policy in un formato che la piattaforma può applicare, monitorare e verificare in modo coerente nei diversi casi d'uso.
Collega le policy ai livelli di rischio, ai quadri e alle normative
Le policy sull'IA devono riflettere sia le regole interne dell'organizzazione sia gli obblighi imposti dalle normative esterne. Ad esempio, una policy può richiedere una revisione umana per i sistemi di IA utilizzati in ambito occupazionale, verifiche aggiuntive per applicazioni di IA generativa che trattano informazioni riservate o limitazioni alla distribuzione di sistemi che rientrano nelle categorie ad alto rischio previste dalla legge europea sull'intelligenza artificiale.
OneTrust allinea la propria policy alla classificazione dei rischi e agli obblighi previsti dal quadro normativo, il che significa che un assistente interno a basso rischio e un sistema di supporto decisionale a contatto con i clienti non vengono valutati secondo la stessa logica normativa.
Verifica l'efficacia dei controlli lungo tutto il ciclo di vita
Il valore di una policy dipende dalla capacità di dimostrarne l'applicazione. Prima della distribuzione, i team di revisione dovrebbero poter verificare che tutti i controlli previsti siano stati implementati, compresi responsabilità, fonti dati approvate, requisiti di supervisione umana, documentazione del modello e verifiche relative a terze parti.
Un'approvazione ottenuta oggi non garantisce che il sistema rimanga conforme domani. Modelli, dati e casi d'uso evolvono nel tempo e anche cambiamenti apparentemente limitati possono influire sul rischio. Per questo le policy devono aiutare i team a capire quali controlli sono richiesti, quali restano validi e quando è necessario effettuare una nuova verifica.
La gestione delle policy e i controlli in fase di esecuzione svolgono ruoli complementari ma distinti. I controlli in fase di esecuzione intervengono direttamente sui sistemi in produzione, mentre la gestione delle policy definisce i requisiti, ne determina l'ambito di applicazione e ne documenta le motivazioni e le evidenze a supporto.
Gestisci eccezioni, azioni correttive e modifiche alle policy
Le policy sull'IA devono evolvere insieme alle normative, ai rischi e ai sistemi che disciplinano. Per questo, le organizzazioni necessitano di processi strutturati per gestire eccezioni e aggiornamenti delle policy. Ogni deroga deve essere documentata con motivazioni, controlli compensativi, approvazioni, scadenze e criteri di chiusura. In assenza di questa struttura, le eccezioni possono accumularsi nel corso del tempo e compromettere l'efficacia della governance.
OneTrust associa le eccezioni alle policy a casi d'uso, sistemi e responsabili specifici, consentendo ai team di individuare problemi ricorrenti relativi alle policy e di stabilire se una regola, un controllo o un flusso di lavoro richieda una modifica.
Riconosci le esigenze specifiche della governance dell'IA
Le piattaforme tradizionali di conformità sono progettate per monitorare controlli, evidenze e attività correttive. La governance dell'IA richiede invece un livello aggiuntivo, in cui le policy sono direttamente collegate a finalità, modelli, dati, supervisione umana e profili di rischio specifici dei sistemi di IA.
Secondo Gartner, la gestione e l'applicazione delle policy rappresentano una capacità specifica della governance dell'IA. Non basta dimostrare che i controlli esistono: è necessario disporre di un quadro di policy formalizzato e aggiornato, in grado di adattarsi all'evoluzione dei sistemi, dei rischi e delle normative.
La gestione delle policy sull'IA consente di definire in modo chiaro le regole di utilizzo dell'intelligenza artificiale, allinearle alle classi di rischio e agli obblighi normativi applicabili e collegarle ai controlli e ai processi necessari per garantirne l'applicazione. Esplora il ruolo della gestione delle policy all'interno della soluzione AI Governance.
OneTrust nominata ''Visionary'' nel rapporto Magic Quadrant™ di Gartner® del 2026 sulle piattaforme di governance dell'IA
Scopri perché Gartner ha riconosciuto OneTrust come azienda visionaria nel primo rapporto Magic Quadrant sulle piattaforme di governance dell'IA.
Domande frequenti
OneTrust struttura le policy sull'IA come oggetti denominati anziché come documenti. Ogni policy contiene una dichiarazione relativa a un argomento specifico, come il trattamento dei dati, l'uso dei modelli o la supervisione umana. Contiene inoltre condizioni di applicabilità che determinano quando la regola si applica, in base a fattori quali il livello di rischio, l'area geografica o il tipo di implementazione. I requisiti di controllo specificano le prove o le fasi di convalida richieste dalla regola, e viene fornito un registro delle eccezioni nei casi in cui il sistema non possa soddisfare i requisiti di controllo così come definiti. Il controllo delle versioni viene tracciato a livello di oggetto, consentendo ai team di vedere esattamente cosa prevedeva la regola al momento dell'approvazione del sistema e come è cambiata da allora.
Quando si verifica una modifica significativa, come un aggiornamento del modello, una nuova fonte di grounding, l'aggiunta di una nuova azione disponibile in output o un diverso contesto di utilizzo, OneTrust identifica le policy coinvolte e i relativi controlli che richiedono una nuova validazione. La piattaforma tiene traccia dei controlli verificati al momento dell'approvazione iniziale, di quelli ancora validi e di quelli che devono essere riesaminati a seguito della modifica. In questo modo, i team non sono costretti a ripetere l'intero processo di revisione da zero, ma possono concentrare la rivalutazione esclusivamente sui controlli effettivamente interessati dal cambiamento.
OneTrust supporta la conformità alla legge europea sull'IA collegando le policy interne sull'intelligenza artificiale ai requisiti relativi alla gestione del rischio, alla governance dei dati, alla supervisione umana e alla qualità dei sistemi. I team possono associare ogni policy ai controlli richiesti, alle evidenze necessarie e alle attività di revisione pertinenti, rendendo più semplice dimostrare come le regole interne contribuiscano al rispetto degli obblighi normativi esterni.
OneTrust supporta l'allineamento a quadri come il NIST AI RMF e l'ISO/IEC 42001, centralizzando policy, controlli e responsabilità in un'unica struttura di governance. In questo modo, i team possono definire le regole una sola volta, associarle ai requisiti di controllo e dimostrarne l'attuazione attraverso evidenze e processi verificabili. Ciò rende le policy più facili da amministrare e più efficaci nel supportare la governance operativa dell'IA.
La gestione delle policy sull'IA definisce le regole, ne stabilisce l'ambito di applicazione e identifica i controlli necessari. I controlli in fase di esecuzione, invece, traducono tali regole in azioni concrete, come bloccare, limitare, reindirizzare o mascherare determinati comportamenti e flussi di dati. La gestione delle policy stabilisce cosa deve essere applicato; i controlli ne garantiscono l'esecuzione. Entrambi sono essenziali per una governance efficace dell'IA, ma svolgono funzioni diverse e complementari.
Altre risorse che potrebbero interessarti
Definisci regole chiare per l'uso dell'IA, collegale ai rischi e agli obblighi normativi e aggiorna i controlli ogni volta che i sistemi o i casi d'uso cambiano.