Bridging AI Risk Frameworks: Reconciling ISO/IEC 42001, the NIST AI Risk Management Framework, and the EU AI Act into a Uni ed Governance Taxonomy

Il groviglio dei grandi regolamenti dell'IA

Immaginate di voler costruire un robot che possa aiutare i medici a diagnosticare malattie o decidere chi riceve un prestito. Volete assicurarvi che il robot sia sicuro, equo e che non faccia danni accidentalmente. Ma ecco il problema: il mondo non ha un unico libro di regole per costruire robot. Al contrario, ha tre diversi bibliotecari molto rumorosi che urlano istruzioni da tre diversi angoli della stanza. Un bibliotecario è un giudice severo proveniente dall'Europa che dice: "Se il tuo robot svolge questo specifico lavoro, devi seguire queste 100 pagine di regole, altrimenti ti verranno fatte delle sanzioni". Un altro è un coach utile proveniente dagli Stati Uniti che dice: "Ecco un manuale flessibile per aiutarti a valutare i rischi, ma non devi usarlo a meno che tu non voglia apparire bravo". Il terzo è un'agenzia di certificazione globale che dice: "Se vuoi una stella d'oro per dimostrare che la tua azienda è organizzata, devi seguire questa specifica checklist".

Questo articolo vive nel mondo della Governance dell'Intelligenza Artificiale (IA). In termini semplici, questo è lo studio di come garantire che i sistemi di IA siano costruiti e utilizzati in modo responsabile. I tre concetti chiave che l'articolo mescola sono: ISO/IEC 42001 (uno standard per ottenere un certificato che provi che la tua azienda è ben organizzata), il NIST AI Risk Management Framework (una guida volontaria per aiutare i team a gestire i rischi) e l'EU AI Act (una vera legge che vieta l'IA pericolosa e stabilisce regole rigide per l'IA ad alto rischio). Tutti si interessano a questo perché l'IA è ormai ovunque. Se le aziende cercano di seguire tutti e tre i libri di regole contemporaneamente, finiscono per scrivere le stesse regole tre volte, confondersi e sprecare un sacco di soldi. La grande domanda è: possiamo far sì che questi tre diversi libri di regole lavorino insieme senza perdere la severità della legge o la flessibilità della guida?

La grande idea dell'articolo: Una mappa, tre destinazioni

Questo articolo, scritto da Vinod Dhiman, sostiene che cercare di fondere questi tre libri di regole in un unico elenco gigante e piatto sia una cattiva idea. È come cercare di fondere una mappa di una città, un elenco di leggi stradali e un manuale del conducente in un unico foglio di carta. Se lo fai, potresti non accorgerti del fatto che una regola è una legge che devi rispettare, mentre un'altra è solo un suggerimento. L'autore suggerisce che, invece di appiattirli, dovremmo costruire una Tassonomia Unificata della Governance dell'IA (UAGT). Pensate a questo come a un "super-organizzatore" o a un manuale di istruzioni LEGO che ha cinque diversi livelli.

Ecco come l'articolo lo suddivide:

1. I cinque livelli del "Super-Organizzatore"
L'articolo afferma che dobbiamo guardare la governance dell'IA attraverso cinque lenti diverse, impilate l'una sull'altra:

• Il livello del "Perché" (Scopo Normativo): Qual è l'obiettivo? (es. "Non essere razzista", "Essere sicuri").
• Il livello del "Chi" (Soggetto della Governance): Chi è responsabile? (es. L'intera azienda, il robot specifico o la persona che usa il robot).
• Il livello del "Rischio" (Logica del Rischio): Come misuriamo il pericolo? (es. È pericoloso perché è in una "lista negativa", o perché ha effettivamente causato un danno in una situazione specifica?).
• Il livello del "Come" (Architettura di Controllo): Quali regole specifiche seguiamo?
• Il livello della "Prova" (Evidenza): Quale documentazione mostriamo per dimostrare di averlo fatto?

L'articolo trova che questi tre libri di regole (ISO, NIST ed EU) concordano tutti sul "Perché" e sul "Come" per la maggior parte del tempo, ma discordano sul livello del "Chi" e del "Rischio". Ad esempio, la legge UE dice che un robot è "Ad alto rischio" solo perché viene utilizzato per l'assunzione di persone (una regola basata su una lista). Ma la guida statunitense potrebbe dire: "Beh, misuriamo quanto danno ha effettivamente causato questo specifico robot". L'articolo sostiene che non dovremmo forzare queste risposte a essere uguali. Invece, la UAGT le mantiene affiancate. È come avere uno zaino con due tasche: una per l'etichetta "Alto Rischio Legale" e una per l'etichetta "Rischio Misurato Basso". Porti entrambe, così non violi la legge, ma conosci anche la situazione reale.

2. Gli otto "Contenitori Stabili"
Per far funzionare questo sistema nel mondo reale, l'articolo organizza tutte le regole in otto contenitori stabili (domini di governance). Questi sono come otto diversi cassetti in un archivio che non cambieranno anche se le leggi vengono aggiornate. I contenitori sono:

1. Responsabilità (Accountability): Chi è a capo?
2. Valutazione del Rischio: Controllare i pericoli.
3. Governance dei Dati: Assicurarsi che i dati siano puliti ed equi.
4. Trasparenza: Essere aperti su come funziona l'IA.
5. Supervisione Umana: Assicurarsi che un essere umano stia controllando l'IA.
6. Robustezza e Sicurezza: Assicurarsi che l'IA non si blocchi o non venga hackerata.
7. Monitoraggio: Osservare l'IA dopo il suo lancio.
8. Terze Parti e Modelli di IA: Gestire strumenti esterni e grandi modelli di IA.

L'articolo suggerisce che le aziende possono inserire le proprie regole in questi otto cassetti. All'interno di ogni cassetto, possono avere una "libreria di controlli" che soddisfi tutti e tre i libri di regole contemporaneamente. Ad esempio, nel cassetto "Supervisione Umana", un'azienda scrive una regola che dice: "Un essere umano deve controllare la decisione". Questa singola regola può essere mostrata all'auditor ISO (per ottenere il certificato), al team NIST (per dimostrare che stanno gestendo il rischio) e al regolatore UE (per dimostrare che stanno seguendo la legge).

3. Esempi dal mondo reale
L'articolo testa questa idea con due esempi: un'IA medica che aiuta i medici a leggere le radiografie e un'IA di valutazione del credito che decide chi riceve un prestito.

• Nel caso medico, l'IA è "Ad alto rischio" secondo la legge UE perché è un dispositivo medico. L'articolo mostra come l'azienda possa utilizzare la UAGT per creare un unico insieme di documenti che provi che l'IA è sicura per il medico (NIST), sicura per il sistema gestionale dell'ospedale (ISO) e legale per l'UE.
• Nel caso del credito, l'IA è "Ad alto rischio" perché è in una "lista negativa" dell'UE per le decisioni finanziarie. L'articolo mostra che anche se i test interni dell'azienda dicono che l'IA è molto sicura, devono comunque seguire le rigide regole dell'UE. La UAGT li aiuta a mantenere la versione "Legge Rigida" e la versione "Test Interno" separate ma organizzate nella stessa cartella.

4. Cosa l'articolo dice che NON è possibile
L'articolo è molto attento a dire cosa questo sistema non può fare. Esclude esplicitamente l'idea che ottenere un certificato ISO significhi automaticamente che si sta seguendo la legge UE. È come dire che avere una patente di guida (ISO) non significa poter guidare un camion (Legge UE) senza un permesso speciale. L'articolo afferma che non si può "mappare via" le differenze. Se l'UE dice che un sistema è ad alto rischio, rimane ad alto rischio, anche se i vostri test interni dicono che è a basso rischio. L'articolo nota anche che questo sistema è un "progetto" o una "mappa", non un prodotto finito e testato. Non è ancora stato testato in un grande esperimento nel mondo reale; è una struttura proposta basata sull'analisi dei documenti.

5. L'Effetto Bruxelles e i cambiamenti futuri
L'articolo menziona che, poiché la legge UE è molto severa, le aziende di tutto il mondo spesso seguono semplicemente le regole UE per sicurezza (questo è chiamato l'Effetto Bruxelles). La UAGT aiuta le aziende a farlo in modo efficiente. Tuttavia, l'articolo avverte che le regole sono ancora in evoluzione. L'UE ha appena approvato un aggiornamento "Digital Omnibus" nel 2026 che ha spostato alcune scadenze, e gli Stati Uniti stanno aggiornando le loro guide. L'articolo suggerisce che, mentre gli otto contenitori rimarranno gli stessi, le regole specifiche al loro interno potrebbero dover essere aggiornate man mano che le leggi cambiano.

In sintesi
L'articolo conclude che non dovremmo cercare di forzare i tre libri di regole affinché siano identici. Invece, dovremmo usare questa "Tassonomia Unificata" per costruire un sistema di archiviazione intelligente. Questo sistema permette alle aziende di usare un unico set di regole e un unico set di prove per soddisfare contemporaneamente la rigorosa legge UE, la flessibile guida statunitense e lo standard di certificazione globale. Risparmia tempo e denaro, ma mantiene le rigide regole legali sicure e separate dalle regole interne dell'azienda. È un modo per porre fine al caos di avere tre diversi libri di regole senza pretendere che siano la stessa cosa.