Come organizzare l’uso dell’AI in azienda: dati ammessi, accessi, verifica degli output e responsabilità da definire prima di estendere il progetto.
Per usare l’AI nel lavoro quotidiano occorre definire quali attività sono consentite, quali dati possono entrare nel sistema e chi controlla i risultati prima del loro utilizzo. Le regole devono riferirsi al servizio e alla configurazione effettivamente adottati: il nome dello strumento non chiarisce, da solo, come saranno trattate le informazioni.
Una scheda per ciascun caso d’uso aiuta a rendere queste scelte comprensibili. Può riguardare, per esempio, la preparazione di una bozza interna o la classificazione preliminare di documenti. Sono esempi ipotetici, non attività o risultati attribuiti a USolve.
Descrivi il compito e il risultato atteso. «Preparare una bozza di risposta da verificare prima dell’invio» è più preciso di «usare l’AI per le email». Specifica anche ciò che il sistema non è autorizzato a fare nel flusso: inviare il messaggio, assumere un impegno economico o modificare un archivio possono richiedere approvazioni separate.
La CNIL, nelle domande e risposte sull’AI generativa, raccomanda di organizzare usi consentiti e vietati, formare gli utenti e verificare criticamente i risultati. Le indicazioni vanno adattate al servizio adottato e ai rischi dell’attività.
Conserva una versione delle regole e indica chi può aggiornarle. Quando cambia il compito, rivedi anche le condizioni d’uso: un’autorizzazione a lavorare su materiale pubblico non comprende automaticamente l’accesso a documenti interni.
Individua le informazioni realmente necessarie. Per preparare la struttura di una comunicazione può essere sufficiente una descrizione generica; allegare un’intera conversazione di cliente può esporre molti più dati di quelli utili al compito.
Per ciascuna categoria annota provenienza, finalità e condizioni di condivisione. L’EDPB richiama, tra i principi di protezione dei dati personali, la limitazione della finalità, la minimizzazione, l’accuratezza, la conservazione e la sicurezza. Se il caso coinvolge dati personali, queste domande vanno affrontate nell’ambito della valutazione del trattamento pertinente.
Controlla le condizioni del fornitore rispetto a conservazione delle richieste, eventuale riutilizzo, accessi e cancellazione. Non assumere che tutte le versioni di un prodotto abbiano le stesse condizioni. Per una prova iniziale, considera dati sintetici quando possono rappresentare il problema senza condividere documenti reali.
Se il sistema può cercare in archivi aziendali o usare strumenti collegati, identifica quali risorse deve raggiungere. Il progetto deve conservare una relazione chiara fra persona, ruolo e autorizzazioni.
Controlla l’accesso con utenti che abbiano permessi diversi. In una prova ipotetica, chi può leggere soltanto la documentazione commerciale non dovrebbe ottenere informazioni da un archivio amministrativo attraverso la ricerca AI. La verifica deve riguardare anche il risultato restituito, oltre alla schermata dei permessi.
Definisci come attivare, modificare e revocare gli accessi. Quando un collaboratore cambia mansione, il sistema collegato può richiedere un aggiornamento delle autorizzazioni. La gestione delle credenziali e dei permessi va affidata ai referenti previsti dall’organizzazione.
«Controllare l’output» deve diventare un’attività concreta. Per una bozza, il revisore può dover verificare fatti, nomi, destinatario e impegni contenuti nel testo. Per un dato estratto, il confronto può richiedere il documento originale e il campo di destinazione.
Il controllo funziona quando la persona sa che cosa osservare e può correggere o respingere il risultato. Prevedi tempo e informazioni sufficienti. Il NIST AI RMF Core propone di distinguere ruoli e responsabilità nella supervisione umana; è un framework volontario per la gestione dei rischi AI.
Stabilisci quali output restano bozze interne e quali possono essere utilizzati dopo approvazione. Se il risultato può incidere significativamente sulle persone, occorre una valutazione specifica del caso e delle regole applicabili, prima di definire il flusso.
| Campo | Decisione da registrare |
|---|---|
| Caso d’uso | Compito autorizzato e risultato previsto |
| Dati ammessi | Categorie utilizzabili e condizioni |
| Archivi e strumenti | Risorse raggiungibili e autorizzazioni necessarie |
| Revisore | Ruolo incaricato e controlli da eseguire |
| Uso dell’output | Bozza, proposta o risultato utilizzabile dopo approvazione |
| Anomalie | A chi segnalare errori e quando fermare il flusso |
| Revisione delle regole | Referente, data e motivi dell’ultimo aggiornamento |
La scheda può accompagnare una breve istruzione per gli utenti. Evita di trasformare il registro degli errori in una nuova raccolta indiscriminata di dati: annota quanto serve a comprendere e correggere il problema, rispettando le condizioni definite per il processo.
Raccogli gli errori utili a rivedere il lavoro: fonte non pertinente, informazione omessa, dato ricostruito senza riscontro oppure azione proposta fuori dal perimetro. Conserva esempi autorizzati o sintetici con cui ripetere le verifiche dopo una modifica.
Riesamina il flusso quando cambiano modello, impostazioni, archivi collegati o compito. Una configurazione adatta alla preparazione di bozze può richiedere controlli diversi quando le si aggiunge la possibilità di eseguire azioni. Prima dell’estensione, assegna chi deciderà se i nuovi risultati sono accettabili e come tornare al percorso precedente.
Per scegliere il primo ambito di prova, leggi come valutare un processo prima di automatizzarlo con l’AI. Puoi approfondire le applicazioni descritte da USolve nella pagina sui servizi di intelligenza artificiale per le aziende.