Come si integra l’utilizzo dell’AI nel modello 231? Non basta semplicemente adottare generiche linee guida sulla sua adozione. È sempre più cruciale definire il suo possibile utilizzo, ben identificato i process owner e i livelli di autonomia della componente umana.  

Lindo Lungaro, illustra quali possono essere i passaggi fondamentali di questa integrazione sempre più articolata.

---

---

L’intelligenza artificiale non è, e probabilmente non sarà, solo uno stress test per i processi aziendali e di business. Può diventare anche un potente enabler per migliorare l’affidabilità dei Modelli 231, l’adeguatezza degli assetti organizzativi e, più in generale, la qualità dell’intero sistema di controllo interno.

Si parla molto di “adeguare” il Modello 231 all’AI. Ma il vero tema, a mio avviso, non è aggiornare un documento. Il vero tema è capire se i protocolli di controllo 231 già esistenti siano davvero in grado di reggere quando l’intelligenza artificiale entra concretamente nei processi sensibili e nei meccanismi decisionali dell’organizzazione.

Perché l’AI:

• accelera attività e flussi decisionali;
• automatizza passaggi operativi;
• genera contenuti e simulazioni;
• produce analisi e classificazioni;
• gestisce interazioni;
• orienta decisioni preparatorie;
• aumenta la scala e la velocità dei processi.

E dentro i processi aziendali tutto questo può rendere il rischio 231:

• più veloce;
• meno visibile;
• più distribuito;
• più difficile da presidiare;
• meno immediatamente verificabile;
• più complesso da ricondurre a una catena decisionale chiara.

In questo senso, l’AI può diventare un vero stress test della qualità sostanziale del Modello 231 e della tenuta dei controlli costruiti negli anni.

Uno stress test molto concreto. 

Ci dirà se la mappatura dei processi sensibili è stata costruita immaginando davvero gli eventi e i comportamenti concreti a rischio-reato per quella specifica organizzazione. 
Ci dirà se i controlli sono stati calibrati in modo sostanziale oppure solo formalmente adeguati.
Ci dirà se i flussi informativi sono realmente affidabili, verificabili e auditabili anche quando parte delle attività preparatorie, documentali o decisionali viene supportata o accelerata da sistemi intelligenti.

Per questo la domanda corretta non è:
“Dove inseriamo l’AI nel Modello 231?”

La domanda corretta è un’altra:
“In quali processi l’AI entra come acceleratore del rischio-reato, e come modifica concretamente la dinamica di quel rischio?”

È qui che si gioca la qualità del lavoro.

Non basta:

• richiamare l’AI in una policy;
• aggiungere una clausola;
• scrivere che il Modello 231 è stato aggiornato;
• adottare genericamente linee guida sull’uso responsabile dell’AI.

Occorre tornare alla “ABC” della 231:

• rileggere i processi sensibili;
• identificare i nuovi punti di vulnerabilità;
• comprendere dove l’AI possa facilitare, amplificare, accelerare o occultare condotte rilevanti ai fini 231;
• verificare se i presidi esistenti siano ancora adeguati.

Per questo motivo la governance AI non potrà limitarsi a una compliance normativa astratta.

Richiederà:

• inventory dei sistemi AI utilizzati;
• classificazione dei casi d’uso;
• identificazione dei process owner;
• definizione dei livelli di autonomia e human oversight;
• logging e tracciabilità delle decisioni;
• monitoraggio continuo dei modelli più sensibili;
• auditabilità dei flussi informativi e degli output generati dall’AI.

In questa prospettiva, l’AI non è soltanto una novità normativa o tecnologica.

È soprattutto un’occasione per misurare la tenuta sostanziale dei Modelli 231, degli assetti organizzativi e dell’intero sistema di controllo interno.