- 6 minuti fa
Categoria
📺
TVTrascrizione
00:06Buongiorno a tutti i telespettatori di Classe MC e benvenuti all'interno dello spazio dedicato
00:11al segmento Growth. Oggi puntata speciale perché non andremo a parlare di una società proprio
00:17individuata e precisa, ma di quello che potrebbe avvenire, anzi di quello che sta già avvenendo
00:25con le modifiche normative legate all'intelligenza artificiale. Noi abbiamo il piacere di avere
00:30qui Raffaello Ascensionato Carnat, membro consigliere di AODV231. Buongiorno, buongiorno, grazie
00:38mille per la disponibilità. Magari al volo ricordiamo chi siete voi di AODV231 e poi parliamo del
00:44dettaglio di quello che sta succedendo a livello normativo con l'intelligenza artificiale.
00:49Grazie tantissimo. AODV231 è l'associazione dei componenti degli organismi di vigilanza
00:55un'associazione che ha una rilevanza nazionale, che raccoglie tutte le figure, i soggetti, i
01:04professionisti che operano la tua azienda nella compliance 231, nell'internal audit, ma in
01:11particolare i membri degli organismi di vigilanza, una funzione aziendale istituita dal decreto
01:18legislativo 231 del 2001. Quindi insomma, revisori contabili, collegi sindacali, commercialisti,
01:27tutti quelli che rischiano per colpa di qualcun altro. Allora, è arrivato il decreto legge 47
01:342026 che cerca di regolare la governance dell'intelligenza artificiale. Allora, quali sono le novità
01:42e quali sono soprattutto i nuovi obblighi per PMI. Noi qua, quando intendiamo PMI quotate,
01:48perché noi è la classe di sì, ok? Però ci sono anche le questioni legate alle PMI non quotate.
01:55Cerchiamo di fare entrambe le cose. Carnato, da cosa cominciamo?
01:58Iniziamo dal fatto che, come accennavi, il decreto legislativo ha introdotto delle regole di governance.
02:06E' anche una metodologia, un approccio che dia adeguate evidenze, adeguata considerazione
02:14anche all'utilizzo, se ormai sempre più frequente, invasivo, perversivo, dell'utilizzo di sistemi
02:21di intelligenza artificiale. Qui viene richiesto in particolare alle società quotate di farne
02:27una mappatura e darne anche una rendicontazione in occasione della prossima relazione, quindi
02:33successiva al bilancio del 2001-12-2026.
02:36Già c'è una novità, quindi un obbligo, chiamiamolo così, per le società quotate,
02:44devono rendicontare di come questa società utilizza l'intelligenza artificiale all'interno
02:52del loro bilancio?
02:53All'interno della relazione sulla gestione, quindi si aspettano le prime pubblicazioni
02:59con l'approvazione dei bilanci al 31-12-2026, quindi nella primavera 2026.
03:04Quindi praticamente il bilancio 2026, questo marzo-aprile arriveranno, con la presentazione
03:11dei bilanci arriveranno queste relazioni.
03:13Queste relazioni saranno delle relazioni di transizione, perché non tutte hanno lo stesso
03:20livello di governance dell'AI. Un tema importante è che nella relazione bisogna esattamente dire
03:28lo stato dell'arte, quindi non creare delle sovrastrutture con l'idea di adempiere a qualcosa,
03:33ma viceversa l'informativa che viene richiesta è su quanto davvero c'è un'azienda e occorrendo
03:41quanto si decide di fare, di implementare e di porre in età.
03:45Nessun eccesso di zelo.
03:46Nessun eccesso di zelo, nessun eccesso di zelo. Mi fa piacere il nessun eccesso di zelo,
03:53perché poi nella pratica sovente troviamo anche un approccio molto burocratico, dettato
03:58da eccessi di zelo tipici, che sono anche comprensibili, ma che poi non sono richiesti
04:05dalla norma e rischiano di essere anche controproduttivi, di tradursi in una burocrazia
04:10che non ha un effetto di effettivo.
04:14Ecco, questo mi piace. Il TUF non obbliga a usare l'IA, obbliga però a governarla
04:21e a dirlo al mercato, a renderla pubblica.
04:23È corretto, il TUF non obbliga nella maniera più assoluta a usare l'IA, però dice, prevede
04:30che qualora l'azienda utilizzasse dei sistemi di intelligenza artificiale, li deve conoscere,
04:37li deve individuare, li deve mappare, deve disciplinarne l'utilizzo e deve controllarne l'utilizzo.
04:45In tutte queste fasi c'è un elemento comune per cui l'IA non deve, non dovrà mai sostituirsi
04:55all'uomo. Quindi l'elemento decisionale, sottostante qualsiasi processo, deve rimanere
05:01non solo nella responsabilità giuridica dell'uomo, ma anche nella responsabilità sostanziale
05:07dell'uomo. Quindi questa è la prima forte indicazione che poi in realtà è coerente
05:14pure con l'IA, con la legge 123 del 2025, quindi va in un percorso di coerenza più ampio.
05:23Allora, trasparenza e proporzionalità. Allora, tolto tutte le questioni normative,
05:30le salto. Anzi no, forse decorrenza e sanzioni, forse questa vale la pena guardarla.
05:36Sì, sì, decorrenza e sanzioni, come accennavo di sicuro con l'entrata, con l'approvazione
05:43del bilancio 2025, quindi dal 2026.
05:45Di solito il legislatore il primo anno ha un filo di manica larga, si spera che anche
05:52adesso si può fare. Ha un filo di manica larga anche in questo caso, quindi sono più
06:00attenzionate le violazioni rilevanti, quindi delle mancanze significative, sia per negligenza
06:06ma anche per non aderenza alla normativa. Il principio che ormai nelle società quotate
06:14non solo siamo abituati nei complain or explain, quindi devi essere conforme oppure se non sei
06:20conforme, se non segui qualcosa spiega perché qui vale a maggior ragione al punto che viene
06:28richiesta trasparenza, cioè ciò che viene richiesto in questa fase all'azienda è di essere
06:34trasparenti, di essere chiare, di non lasciare dei dubbi.
06:40Anche perché in questo periodo la gente AI intendo che va un po' per i fatti suoi, insomma
06:48ne abbiamo avuto. Gente, io in questo momento è un problema serio, è un problema serio di cui
06:56le aziende serie di solito sono vittime, quindi nella prospettiva 231 magari non rileva perché
07:04la prospettiva del decreto legislativo 231 del 2001 imputa la colpa da organizzazione, quindi
07:12l'inadeguatezza organizzativa e quindi la responsabilità amministrativa dell'ente solo se dal reato
07:17trae un interesso vantaggio. Nel caso della frode l'azienda è danneggiata, ma il che non vuol dire
07:23che sia un minore problema, anzi tutt'altro. Quindi i presupposti della norma non sono una necessità
07:33e non devono essere viste all'azienda come una necessità normativa, sono una necessità
07:38di sopravvivenza, cioè conoscere, educare, formare i propri collaboratori sull'utilizzo
07:45dei sistemi di intelligenza artificiale è oggi fondamentale. Quindi non va affatto perché
07:51ce lo dice la norma, va affatto perché è una necessità.
07:55Anche perché le truffe che abbiamo visto anche ultimamente, e poi adesso sono arrivate
07:58a un livello di finezza, mi perdoni, con anche la voce camuffata, il volto, cioè io parlo
08:05con lei e spero sia lei.
08:07Ora perché sono fisicamente, ma se mi fossi collegato da remoto non è detto che fosse davvero
08:13io. Assolutamente sì. È un tema che osserviamo anche nelle organizzazioni che è richiamato
08:20diciamo come best practice anche dalle prime letture interpretative della normativa di cui
08:26ci interessa. È il fenomeno comune, molto comune delle aziende e per quanto è comune
08:31molto sottovalutato che si chiama tecnicamente shadow AI. Quindi questo utilizzo non autorizzato
08:38di sistemi di intelligenza artificiale da parte dei dipendenti. Immaginiamo un dipendente
08:43che debba redigere una nota, una relazione anche solo per la banca. Quindi copia i dati
08:51della bozza di bilancio in un chatbot di una intelligenza artificiale privata e quindi non
08:56autorizzata, controllata, censita dall'azienda, quei dati potenzialmente diventano di dominio
09:02pubblico. E possono anche essere utilizzati per frodo o comunque se ne perde il controllo.
09:07Oggi questa norma impone alle aziende con la formazione, con l'educazione e con i controlli
09:13anche la mitigazione di questi rischi. Lo dicevo poc'anzi, la formazione del dipendente
09:20o del manager sull'utilizzo dei sistemi di intelligenza artificiale è una forma di protezione
09:27per sé stesso, in quanto manager, quindi in quanto dirigente d'azienda, ma anche in
09:33quanto persona perché vengono condivisi i rischi e le modalità di protezione dei rischi
09:40da sistemi, diciamo, inappropriati che si basano sull'intelligenza artificiale.
09:45Allora, otto azioni per la relazione 20-27. Dall'inventario al test per il mercato. Io vado.
09:51Inventario dei sistemi, compreso lo Shadow AI, classificati per il rischio AI.
09:55Viene introdotta la necessità, ma è comprensibile, perché se noi dobbiamo governare qualcosa
10:01dobbiamo sapere cosa governare. Quindi capiamo, conosciamo quali sono i sistemi di intelligenza
10:08artificiale in uso in aziende. Molti non sono noti, perché ci sono dei software, dei dispositivi,
10:16delle attrezzature che incorpono loro stessi, dei sistemi di intelligenza artificiale che possono
10:21avere poi degli effetti anche su di noi. Immaginiamo nelle produzioni, ad esempio,
10:26quindi delle linee di produzione automatizzate e efficientate per effetto di sistemi di intelligenza
10:31artificiale. Conoscerli significa non solo mappare e mitigare il rischio connesso all'intelligenza
10:36artificiale, ma anche, ad esempio, quello derivato di salute e sicurezza loghi di lavoro,
10:40perché poi convivono agenti artificiali con persone fisi.
10:46Il primo punto è la mappatura. Mappa unitaria dei rischi.
10:50Esatto. Mappa unitaria... Ah, al 2, va bene.
10:54Sì, sì, ma è uguale, insomma. Quindi, a volte che l'abbiamo conosciuti, discipliniamoli.
10:59La policy AI, la policy o la procedura, il protocollo, chiamiamolo come ci piace, non è obbligatorio.
11:07Quindi, se lei mi dicesse che c'è un obbligo di adozione della policy AI, non c'è un obbligo,
11:12ma è una necessità. Cioè, è l'unico modo, non solo per dimostrare all'autorità che ci
11:19siamo fatti carico del problema e l'abbiamo disciplinato, perché con la procedura spieghiamo
11:23come l'abbiamo disciplinato, ma è una necessità manageriale, è una necessità di governo dei
11:29rischi aziendali per il Consiglio di amministrazione, per gli organi delegati, anche nel senso, nella
11:39definizione che ne viene data dal testo unico, dal codice...
11:43Cioè, le procedure.
11:44Le procedure, proprio le procedure organizzative.
11:47Bisogna, insomma, conviene farle.
11:50Mappa unitaria dei rischi, cercai di individuare, immagino, quali rischi...
11:54Individuare i rischi e metterli tutti a sistema, secondo un approccio di valutazione che poi
11:58serve sia per valutare se la policy è ancora o meno attuale, perché i rischi possono variare,
12:04così come varia l'organizzazione nel tempo, ma poi consente anche agli attori dei controlli,
12:09quindi al Collegio Sindacale, alla società di revisione, all'organismo di vigilanza, alle
12:14autorità, di verificare effettivamente quali siano e come sono stati gestiti i rischi.
12:20Quindi è proprio una mappa di indirizzo e di azione.
12:24Il modello 2.3.1 è aggiornato.
12:25Va aggiornato di conseguenza con i nuovi reati presupposti introdotti dalla normativa.
12:34E poi sul punto 5, i flussi informativi, perché poi è un sistema che impone anche
12:44la norma, la vigilanza da parte di taluni organi, organi di controllo, tipicamente il
12:50Collegio Sindacale, il Revisore, che sono espressamente richiamati nella normativa, è
12:56in derivata anche da parte dell'organismo di vigilanza.
12:59Come si può controllare?
13:00Si può controllare partendo dalla mappa e individuando per ciascun punto della mappa
13:06rischi, del rischio individuato, un flusso che la struttura, l'organizzazione manda, in
13:12modo da dare evidenza della normalità, quindi che tutto stia andando nella direzione voluta
13:17e auspicata, o viceversa che qualcosa stia andando diverso, così da dare la possibilità
13:21poi all'organismo di controllo di intervenire con le azioni.
13:24Torniamo un po' sulle procedure alla fine.
13:26Esatto, ritorniamo sulle procedure.
13:27Poi, piano del collegio con indicatori, vado veloce, che abbiamo ancora un flusino, formazione.
13:32Formazione è fondamentale, differenziata in base ai livelli di controllo e poi il punto
13:368, ero in dubbio se metterlo o meno, quindi non l'ho fatto solo per un tema.
13:40Meglio metterlo, è l'azione veritiera.
13:42Non l'ho fatto solo per un tema di armonia della slide, ma anche perché è importante.
13:49Io ho letto e riletto la norma, non dobbiamo inventare nulla, dichiariamo solo ciò che abbiamo.
13:56Anche con l'impegno di assumere, di implementare ciò che ancora non abbiamo e riteniamo possa
14:01essere utile sia implementato.
14:03Allora, Carna, noi siamo arrivati alla fine del tempo a disposizione, però chiaramente
14:07questo è un tema fondamentale per quello che stiamo vedendo, è fondamentale comunque
14:11sia anche per questo approfondimento che è dedicato alla società quotate, che hanno
14:15degli obblighi, le non quotate diciamo che c'è una moral sui...
14:19Una moral sui è necessario, è necessario.
14:22Non hanno obbligo.
14:22Non hanno un obbligo, non hanno un obbligo, la norma 231 impatta pure sulle non quotate,
14:28quindi in realtà su tutti gli enti, quindi una rivalutazione degli assetti per considerare
14:34l'impatto dei nuovi reati, sì, gli adempimenti previsti sono previsti solo per le società
14:41quotate, ma diventano una best practice, secondo un criterio di proporzionalità.
14:45Ecco, magari non è detto che venga poi allargata tutta la platea, eh?
14:48Esatto, esatto, non possiamo pensare di ingessare una piccola azienda con dei controlli che poi
14:52non...
14:52Anche perché la piccola azienda magari è il fornitore della grande azienda che ha i controlli.
14:56Il tema della filiera si ripropone ed è anche previsto nei normative ancillari, tipo
15:02la NIS-2 o la Dora, che hanno sempre tematiche di cyber security, quindi anche di utilizzo
15:08di intelligenza artificiali, dove viene richiesto una compliance a tutta...
15:12E tra l'altro sulla questione SG che doveva fare tutta la compliance di tutta la filiera,
15:18questa cosa qua, insomma, magari non è ancora normativamente regolata, ma ci arriviamo.
15:23Hai ragione.
15:24Raffaello Ascensionato Carnat a ODV231, è stato un piacere, grazie mille.
15:28Terminiamo qui il nostro approfondimento dedicato al growth oggi, per quanto riguardano gli
15:33obblighi legati all'AI.
15:34Grazie a tutti per l'attenzione, rimanete su Classi NBC.