Conformità dell’IA: governare i sistemi di IA e usare l’IA per le attività di conformità

La conformità dell’IA ha due significati: il lavoro continuo per garantire che i sistemi di IA che la tua organizzazione sviluppa o utilizza rispettino leggi, standard e policy interne applicabili, e l’uso dell’IA per attività di compliance ripetitive e ad alto volume.

Questo articolo tratta entrambi i significati: i rischi che la conformità dell’IA affronta, i principali framework, come costruire un programma di conformità, i controlli per gli agenti IA e gli ambiti in cui l’IA aiuta i team di compliance. Si conclude con le domande da porsi prima di acquistare uno strumento di compliance.

Che cos’è la conformità dell’IA?

Per conformità dell’IA si intendono due cose: fare in modo che i sistemi di IA rispettino le regole stabilite dalle normative sull’IA e usare l’IA per svolgere attività di compliance.

Nella prima accezione, la conformità dell’IA garantisce che un sistema di IA rispetti leggi, regolamenti, standard etici e policy interne lungo tutto il ciclo di vita dell’IA, dai dati di addestramento alle prestazioni e all’utilizzo.

Ad esempio, la Local Law 144 di New York City impone ai datori di lavoro che utilizzano uno strumento automatizzato per le decisioni in materia di assunzione di sottoporlo a un audit sui bias entro un anno dall’utilizzo, di rendere pubbliche le informazioni sull’audit e di informare dipendenti o candidati.

La conformità normativa dell’IA è un lavoro continuo, perché le applicazioni di IA vengono aggiornate, i dati con cui operano cambiano e le normative evolvono.

Nella seconda accezione, i team di compliance usano l’IA per attività ripetitive e ad alto volume, come il monitoraggio delle transazioni, la revisione dei documenti e il tracciamento dei cambiamenti normativi.

Alcuni istituti finanziari, ad esempio, usano l’IA per esaminare le transazioni e ridurre i falsi positivi negli alert di monitoraggio delle transazioni, prima che gli analisti decidano quali richiedano una segnalazione di operazione sospetta.

Conformità dell’IA, governance dell’IA e gestione del rischio dell’IA a confronto

I tre termini si sovrappongono ma coprono ambiti diversi: la governance stabilisce le regole, la gestione del rischio individua cosa potrebbe andare storto e la conformità garantisce che le regole vengano rispettate.

Perché la conformità dell’IA è importante

Raggiungere la conformità dell’IA limita la tua esposizione alle sanzioni, tutela la privacy delle persone i cui dati vengono elaborati dalla tua IA e consente alla tua organizzazione di rendere conto dell’uso dei sistemi di IA in caso di audit.

• Sanzioni normative: ai sensi dell’AI Act dell’UE, il ricorso a una pratica di IA vietata, come dedurre le emozioni dei dipendenti sul luogo di lavoro, può costare fino a 35 milioni di euro o al 7% del fatturato mondiale annuo. Fornitori e deployer possono incorrere in sanzioni fino a 15 milioni di euro o al 3% per violazioni del regolamento.
• Protezione dei dati: un sistema di IA che tratta dati personali è soggetto alle leggi sulla protezione dei dati, come il GDPR nell’UE. Ciò include i dati di addestramento, i prompt e gli output che contengono dati personali.
• Preparazione agli audit: la documentazione su quali sistemi di IA utilizzi, chi li ha approvati e come li monitori ti permette di rispondere a enti regolatori, auditor e clienti.

I principali rischi affrontati dalla conformità dell’IA

La conformità dell’IA affronta cinque rischi principali: bias algoritmico, mancanza di spiegabilità, allucinazioni nei processi regolamentati, privacy e fughe di dati e shadow AI.

Espandi

Ecco come si manifestano i principali rischi, con esempi di controlli che permettono di contenerli:

• Bias algoritmico: un modello riproduce schemi presenti nei dati di addestramento che svantaggiano determinati gruppi. Uno strumento di selezione del personale, ad esempio, potrebbe collocare i candidati più in basso in classifica in base a un indicatore indiretto dell’età o dell’etnia, come l’anno di laurea o il CAP. Gli audit sui bias, che confrontano i risultati tra gruppi demografici, aiutano a individuare questi schemi.
• Mancanza di spiegabilità: l’organizzazione non è in grado di mostrare come un modello è arrivato a una decisione. Se un istituto di credito non sa spiegare perché un modello ha rifiutato un prestito, non può difendere l’esito. Le organizzazioni prevengono questo rischio documentando gli input e la logica decisionale dei modelli e scegliendo modelli con output tracciabili.
• Allucinazioni nei processi regolamentati: uno strumento di IA generativa afferma con sicurezza qualcosa di falso. Ad esempio, un avvocato potrebbe chiedere a uno strumento di IA dei precedenti giurisprudenziali a sostegno di un’argomentazione e ricevere citazioni di sentenze inesistenti. Richiedere le fonti per ogni output e farle verificare da una persona qualificata permette di intercettare questi errori.
• Privacy e fughe di dati: informazioni riservate o dei clienti finiscono in uno strumento al di fuori del controllo dell’organizzazione. Ad esempio, un dipendente potrebbe incollare dati dei clienti in uno strumento di IA pubblico che conserva gli input per addestrare modelli futuri. Usare solo strumenti approvati, con limiti contrattuali sull’addestramento e sulla conservazione dei dati, riduce il rischio.
• Shadow AI: i dipendenti usano strumenti di IA che l’organizzazione non ha approvato o di cui non ha visibilità. In un sondaggio di Compliance Week del 2026, il 42% dei partecipanti ha segnalato un uso non gestito dell’IA da parte dei dipendenti. Tra le possibili soluzioni ci sono un elenco di strumenti approvati, abbinato a un processo rapido di approvazione degli strumenti di IA, e i web gateway.

Principali framework per la conformità dell’IA

La conformità dell’IA si basa su framework di governance dell’IA vincolanti, come l’AI Act dell’UE, e su framework volontari, come il NIST AI Risk Management Framework e la ISO/IEC 42001, che aiutano le organizzazioni a rispettarli.

AI Act dell’UE

L’AI Act dell’UE (Regolamento (UE) 2024/1689) adotta un approccio alla regolamentazione dell’IA basato sul rischio: alcune pratiche sono vietate del tutto, i sistemi ad alto rischio sono soggetti a restrizioni rigorose, mentre gli altri devono rispettare solo obblighi di trasparenza leggeri. Si applica a fornitori e deployer ovunque si trovino, “laddove l’output prodotto dal sistema di IA sia utilizzato nell’Unione”.

Gli obblighi previsti dall’AI Act dell’UE dipendono dal ruolo dell’organizzazione:

• Chi sviluppa un sistema di IA ad alto rischio o lo immette sul mercato con il proprio nome (fornitori) deve completare una valutazione della conformità, apporre la marcatura CE, registrare il sistema, conservare la documentazione tecnica e monitorarlo dopo il rilascio.
• Chi utilizza un sistema sviluppato da altri (deployer) deve seguire le istruzioni del fornitore, affidare la sorveglianza a persone che dispongono “della competenza, della formazione e dell’autorità necessarie”, conservare i log per almeno sei mesi e informare i lavoratori e le altre persone interessate dalle decisioni del sistema.

Espandi

Il regolamento viene applicato per fasi. Le pratiche vietate, l’alfabetizzazione in materia di IA e le norme sull’IA per finalità generali si applicano dal 2025, mentre gli obblighi per i sistemi ad alto rischio decorrono dal 2 dicembre 2027 e, per l’IA integrata in prodotti disciplinati dalla normativa UE sulla sicurezza dei prodotti, dal 2 agosto 2028.

La EN 18286:2026 sui sistemi di gestione della qualità è la prima norma europea a supporto del regolamento. I fornitori che la seguono beneficiano di una presunzione di conformità al requisito del regolamento relativo alla gestione della qualità.

NIST AI Risk Management Framework

Il NIST AI RMF (Risk Management Framework), pubblicato a gennaio 2023, è un framework statunitense volontario strutturato in quattro funzioni: Govern, Map, Measure e Manage.

Il suo Generative AI Profile, pubblicato a luglio 2024, applica il framework ai rischi dell’IA generativa.

ISO/IEC 42001

La ISO/IEC 42001 è lo standard internazionale per i sistemi di gestione dell’IA e copre le policy, i ruoli e i processi che regolano lo sviluppo e l’uso responsabili dell’IA. La certificazione è volontaria e viene rilasciata da organismi di certificazione indipendenti, non dall’ISO stessa.

Un certificato riguarda il sistema di gestione dell’organizzazione, non uno specifico prodotto di IA.

Norme statunitensi e settoriali che si applicano all’IA

Negli Stati Uniti non esiste un’unica legge federale sull’IA. Le regole provengono da città, stati e da leggi e regolamenti esistenti che si applicano all’IA.

Ad esempio, la legge SB26-189 del Colorado, che entrerà in vigore il 1° gennaio 2027, disciplina le tecnologie decisionali automatizzate, mentre le leggi sulla privacy, come il California Consumer Privacy Act (CCPA) o l’HIPAA, si applicano ogni volta che l’IA tratta dati protetti.

Come costruire un programma di conformità dell’IA

Costruire un programma di conformità dell’IA richiede sei passaggi: censire i sistemi di IA, classificarli in base al rischio, mappare i controlli sulle regole applicabili, assegnare i responsabili, documentare ogni sistema e monitorarlo con registrazioni verificabili da un auditor.

Espandi

Ogni passaggio descritto di seguito si conclude con la documentazione che produce:

1. Censisci ogni sistema di IA. Elenca i sistemi che la tua organizzazione sviluppa, acquista o utilizza, comprese le funzionalità di IA integrate nei software esistenti e gli strumenti adottati dai dipendenti senza approvazione. Registra cosa fa ciascuno, chi lo usa e a quali dati accede.
   Output: un inventario dell’IA.
2. Classifica ogni caso d’uso in base al rischio. Valuta ogni sistema in base al danno che potrebbe causare, utilizzando uno schema come i livelli di rischio dell’AI Act dell’UE. Ad esempio, uno strumento che stabilisce i premi delle assicurazioni sulla vita è ad alto rischio ai sensi del regolamento, mentre uno che riassume le riunioni interne non lo è.
   Output: un registro dei rischi.
3. Mappa i controlli sulle regole applicabili. Elenca le leggi, gli standard e le policy interne che si applicano a ciascun sistema e il controllo che soddisfa ogni requisito di conformità. Ad esempio, una revisione umana documentata aiuta a soddisfare i requisiti di sorveglianza umana dell’AI Act dell’UE per i sistemi ad alto rischio e la richiesta del NIST AI RMF di processi documentati di supervisione umana.
   Output: una mappa dei controlli.
4. Assegna i responsabili e i punti di supervisione umana. Nomina un responsabile per ogni sistema e decidi in quali punti una persona ne verifica l’output. Ad esempio, l’ufficio legale e la compliance sono responsabili degli obblighi, la sicurezza dei controlli tecnici, i responsabili di business dei rispettivi casi d’uso, mentre un dirigente risponde del tutto a livello complessivo. Assicurati che le persone in tutta l’organizzazione ne siano consapevoli e stabilisci canali di comunicazione chiari.
   Output: responsabili designati per ogni sistema.
5. Documenta ogni sistema. Registra lo scopo, i dati di addestramento, i test e i limiti noti di ciascun sistema in formati come le model card e le valutazioni d’impatto. I fornitori di sistemi ad alto rischio devono inoltre predisporre la documentazione tecnica prevista dall’allegato IV dell’AI Act dell’UE.
   Output: un set di documentazione del sistema.
6. Monitora, registra i log e conserva le evidenze. Progetta i log fin dall’inizio come evidenze di audit, per dimostrare cosa ha fatto un sistema e chi lo ha verificato. L’AI Act dell’UE impone ai sistemi ad alto rischio di registrare automaticamente gli eventi per tutto il loro ciclo di vita. Un audit trail dovrebbe registrare:
   • Il modello e la versione in uso
   • Input e output, o un campione definito di essi
   • Dati di addestramento o di fine-tuning
   • I punti di revisione umana e i relativi esiti
   • Le azioni eseguite da un agente e le autorizzazioni utilizzate
   • Per quanto tempo viene conservata ogni registrazione

Output: registrazioni di monitoraggio e un audit trail.

Strumenti specializzati per la conformità dell’IA, come IBM watsonx.governance e OneTrust AI Governance, possono farsi carico di parti di questo programma, tra cui l’inventario dell’IA, le valutazioni dei rischi rispetto all’AI Act dell’UE e la documentazione.

Come approvare gli strumenti di IA che i dipendenti possono usare

Prima di approvare uno strumento di IA, verifica quattro aspetti:

• Accesso ai dati: quali file, sistemi e knowledge base collegate lo strumento può leggere e se contengono dati personali che potrebbe esporre.
• Addestramento sugli input: se il fornitore usa prompt, file o output per addestrare i propri modelli e se il tuo contratto con il fornitore lo vieta.
• Conservazione: per quanto tempo il fornitore conserva prompt, file e cronologia delle conversazioni e se puoi ridurre questo periodo.
• Hosting e trasferimenti: dove il fornitore archivia ed elabora i dati, compresi i trasferimenti al di fuori della tua regione.

Controlli di conformità per gli agenti IA

Gli agenti IA richiedono più controlli rispetto agli strumenti di chat, perché decidono autonomamente i propri passaggi e agiscono tramite gli strumenti e le autorizzazioni concessi. Tre controlli permettono di tenerli a bada:

• Accesso con privilegi minimi: concedi a un agente solo gli strumenti e le autorizzazioni necessari per il suo compito. L’Excessive Agency, ovvero la situazione in cui un agente può fare più di quanto richieda il suo compito, è uno dei principali rischi per la sicurezza secondo la OWASP Top 10 for LLM Applications 2026.
• Un log di ogni azione: registra ogni chiamata a strumenti, i dati consultati e le autorizzazioni utilizzate, per ricostruire cosa ha fatto un agente e per conto di chi.
• Approvazione umana per le azioni ad alto impatto: richiedi che una persona confermi i passaggi che inviano dati all’esterno dell’organizzazione, spostano denaro o sono irreversibili.

Come si usa l’IA nelle attività di compliance

I team di compliance e di gestione del rischio usano l’IA per monitorare i controlli, valutare i rischi, seguire i cambiamenti normativi, esaminare documenti ed effettuare il triage degli alert relativi ai reati finanziari.

In un sondaggio di Compliance Week del 2026 condotto su 193 responsabili di compliance, etica, rischio e audit, oltre l’83% ha dichiarato di usare l’IA e quasi il 40% ha affermato che la propria azienda l’ha implementata per la valutazione e il monitoraggio dei rischi.

Tra i casi d’uso più comuni dell’IA nella compliance figurano:

• Monitoraggio continuo della conformità e raccolta delle evidenze: l’IA esegue i controlli e raccoglie le prove del loro funzionamento (ad es. ispezioni di sicurezza delle attrezzature scadute in uno stabilimento).
• Valutazione e definizione delle priorità dei rischi: l’IA classifica unità aziendali o terze parti in base al rischio (ad es. fornitori soggetti a nuove sanzioni o esposti a contenziosi).
• Monitoraggio dei cambiamenti normativi: l’IA segue le pubblicazioni delle autorità di regolamentazione e ne riassume le modifiche (ad es. linee guida anticorruzione aggiornate che abbassano il limite per i regali nella policy sulle spese).
• Revisione di documenti e policy: l’IA confronta contratti e policy con i requisiti (ad es. contratti con fornitori privi di clausola sul diritto di audit).
• Screening dei reati finanziari: l’IA effettua il triage degli alert di monitoraggio delle transazioni e di verifica dei clienti (ad es. corrispondenze di nomi con le liste di sanzioni che si rivelano riferite a un’altra persona).

L’IA utilizzata per la compliance richiede la stessa governance degli altri sistemi di IA. Come ha dichiarato la Financial Conduct Authority del Regno Unito nell’ottobre 2026, “le aziende sono responsabili dei sistemi di IA che sviluppano, acquistano e implementano – compresi i loro output e risultati”, avvertendo di non trasformare la revisione umana in “un mero esercizio di ‘spunta delle caselle’”.

In pratica, gli strumenti di IA possono gestire attività di routine come la raccolta delle evidenze o la segnalazione dei cambiamenti normativi, ma non le decisioni che comportano una responsabilità legale, come stabilire se segnalare un’attività sospetta o come definire le policy.

Controlli sui dati in Perplexity Enterprise

Perplexity Enterprise offre agli amministratori controlli sull’addestramento sugli input, sull’accesso ai dati e sulla conservazione:

• Nessun addestramento sui tuoi dati: Perplexity non utilizza mai i contenuti aziendali per addestrare i propri modelli di IA e i suoi accordi con i fornitori di modelli terzi vietano a questi ultimi di usarli per l’addestramento.
• Controllo degli accessi: SSO, SCIM e autorizzazioni basate sui ruoli stabiliscono chi può caricare file e condividere risposte.
• Conservazione e log di audit: i file allegati alle sessioni vengono eliminati dopo sette giorni. Le organizzazioni con 50 o più posti, o con almeno un posto Enterprise Max, possono anche impostare la conservazione delle sessioni e ricevere i log di audit delle attività degli utenti.
• Certificazioni: Perplexity ha la certificazione SOC 2 Type II, è conforme al GDPR e consente di lavorare con informazioni sanitarie protette solo in base a un Business Associate Agreement firmato.

Per una presentazione guidata di questi controlli, contatta il nostro team commerciale e prenota una demo personalizzata.

Domande frequenti

Che cos’è la conformità UE in materia di IA?

La conformità UE in materia di IA consiste nel rispettare gli obblighi previsti dall’AI Act dell’UE per il proprio ruolo (fornitore o deployer) e per il livello di rischio di ciascun sistema. Gli obblighi si applicano in modo graduale e quelli relativi ai sistemi ad alto rischio decorrono dal 2 dicembre 2027.

Che cos’è un’IA conforme all’HIPAA?

Un’IA conforme all’HIPAA è uno strumento utilizzato nel rispetto delle misure di salvaguardia previste dall’HIPAA per le informazioni sanitarie protette. Se il fornitore archivia o elabora tali informazioni, il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti richiede prima la firma di un Business Associate Agreement.

L’AI Act dell’UE si applica alle aziende statunitensi?

Sì. L’AI Act si applica alle aziende statunitensi che immettono sistemi di IA sul mercato dell’UE e a quelle i cui output di IA vengono utilizzati nell’UE.

L’IA può sostituire i responsabili della conformità?

L’IA non può sostituire i responsabili della conformità. Le organizzazioni sono responsabili del proprio lavoro e le tecnologie di IA possono commettere errori, quindi i responsabili della conformità devono comunque esaminare attentamente e approvare gli output dell’IA.