La guida di Singapore sull’IA per i consigli di amministrazione: 7 regole per governarla in modo responsabile

La prova concreta non è la capacità di commentare l’ultimo modello disponibile. È capire dove e perché l’organizzazione utilizza l’IA, chiedersi che cosa potrebbe andare storto e verificare se la direzione abbia gli strumenti per reagire.

2. Misurare i risultati, non l’attività legata all’IA

Gli investimenti nell’IA dovrebbero essere valutati sulla base di risultati aziendali tangibili, non di semplici statistiche sull’adozione. La guida distingue tra attività — come progetti pilota, licenze, formazione e sperimentazione — e valore effettivo, che può comprendere processi migliorati, tempo risparmiato, esperienza dei clienti e impatto operativo.

Per il consiglio, questo si traduce in domande più utili:

• Quale problema aziendale risolve il sistema?
• Quale risultato dovrebbe migliorare e in quale misura?
• Come verrà misurato questo miglioramento?
• Quali prove giustificano il passaggio da un progetto pilota a un’implementazione più ampia?
• Quali sono i costi di supervisione, sicurezza, integrazione e gestione di eventuali errori?

Un numero elevato di esperimenti può dimostrare interesse, ma non prova di per sé l’esistenza di un ritorno sull’investimento.

3. Trasformare la sperimentazione dei dipendenti in una capacità governata

Spesso sono i dipendenti a individuare applicazioni utili dell’IA prima che vengano creati programmi formali. La guida invita consigli e direzioni a valorizzare questa conoscenza, portando però la sperimentazione all’interno dell’ambiente di controllo dell’organizzazione.

In pratica, occorre documentare gli strumenti creati con l’IA, chiarire chi può utilizzarli e per quali finalità, e verificare che rispettino i requisiti applicabili in materia di sicurezza e governance. L’obiettivo non è soffocare la sperimentazione, ma evitare che prototipi utili si trasformino in sistemi invisibili e privi di supporto, capaci di incidere su clienti, dipendenti o dati aziendali senza controlli adeguati.

4. Considerare il rischio IA come un rischio d’impresa

La governance dell’IA non riguarda soltanto le prestazioni di un modello. I consiglieri sono invitati a esaminare i rischi etici, informatici, legati ai dati, alla sicurezza, alla privacy e alle competenze, oltre agli effetti sulla resilienza e sulla creazione di valore nel lungo periodo.

Il consiglio dovrebbe quindi sapere dove viene utilizzata l’IA, quali dati e fornitori terzi sono coinvolti, chi è responsabile di ciascun sistema, come vengono segnalati gli incidenti e in quali casi un’implementazione deve essere sospesa o sottoposta a revisione. I controlli devono essere proporzionati alle conseguenze di un errore: uno strumento interno a basso impatto non richiede lo stesso livello di presidio di un sistema che influisce sull’accesso dei clienti, sul lavoro delle persone o sulla sicurezza.

5. Stabilire regole per la supervisione umana e limiti invalicabili

La guida chiede di definire confini decisionali espliciti. I consigli dovrebbero stabilire quando è obbligatoria una revisione umana e individuare i cosiddetti “hard red lines”, cioè i casi in cui le decisioni automatizzate non sono ammesse, soprattutto se riguardano clienti, dipendenti, sicurezza o privacy.

La supervisione umana è effettiva soltanto quando chi controlla dispone di informazioni, autorità e tempo sufficienti per contestare o ribaltare una raccomandazione basata sull’IA. Un passaggio di approvazione puramente formale non deve diventare un semplice timbro su un risultato automatizzato.

6. Aggiungere garanzie per le decisioni sul personale assistite dall’IA

L’uso dell’IA nella selezione, nelle promozioni o nella valutazione delle prestazioni può incidere sulle opportunità e sul sostentamento delle persone. La guida raccomanda, per questi impieghi, una revisione umana, test sui possibili bias e verifiche sulla qualità dei dati, insieme a una procedura chiara che consenta alle persone interessate di contestare una decisione o chiederne il riesame.

Per i consigli di amministrazione, questo trasforma l’equità da principio generale in una domanda di supervisione: quali prove dimostrano che il sistema funziona come previsto? Quali gruppi potrebbero essere penalizzati? Come può una persona contestare l’esito?

7. Mantenere a livello di consiglio la resilienza informatica e la responsabilità

La guida inserisce l’IA nella più ampia responsabilità di preservare la resilienza organizzativa e digitale. Le sue raccomandazioni riflettono l’aspettativa crescente che i consigli controllino attivamente anche i rischi legati all’IA e alle minacce informatiche, invece di presumere che possano essere gestiti soltanto dai team tecnici.

I consiglieri dovrebbero chiedere alla direzione in che modo l’IA modifica la superficie d’attacco dell’organizzazione, come vengono protetti i dati sensibili, come vengono valutati i fornitori e come l’azienda reagirebbe se un sistema fosse compromesso o producesse risultati dannosi. I controlli specifici varieranno da un’organizzazione all’altra, ma la responsabilità di porre queste domande resta al consiglio.

Da dove cominciare: cinque domande pratiche

Una prima verifica può partire da questi interrogativi:

1. Dove viene già utilizzata l’IA, compresi gli strumenti creati dai dipendenti?
2. Quali implementazioni sono strategiche o ad alto impatto?
3. Quali indicatori di valore e rischio presenta la direzione al consiglio?
4. Quando è obbligatoria la revisione umana e in quali casi le decisioni automatizzate sono vietate?
5. Le persone interessate possono contestare una decisione e l’organizzazione è in grado di sospendere un sistema in sicurezza?

La lezione più ampia della guida è che una governance responsabile dell’IA non si esaurisce in una policy approvata una volta per tutte. I consigli hanno bisogno di sufficiente preparazione per supervisionare la strategia, di dati concreti per giudicare il valore e dell’autorità necessaria per imporre limiti quando i rischi superano i benefici.