Il nuovo paradigma: l’Advanced-Strategic-Data-Governance e la “software selection”
Con l’avvento della IV rivoluzione industriale, è indubbio che la partita che stiamo giocando è il bilanciamento tra la centralità della «persona umana» e quella dei dati e della informazione, richiedendo un nuovo (e più adeguato) modello di Governance.
(Nella foto: il Prof. Manlio d'Agostino Panebianco, membro del Comitato Scientifico di Federprivacy)
Il nuovo paradigma - che possiamo concettualmente ritrovare nel titolo del GPDR, ossia «la protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati» - impone di assumere quella responsabilità degli “orientatori della tecnologia” (spesso Stefano Rodotà spesso richiamava l’attenzione sul non farsi trascinare dagli effetti della tecnologia, come sovente sottolineato da Guido Scorza, Garante per la protezione dei dati personali), compendiandone la grande potenzialità sociale ed economica dell’innovazione tecnologica.
È bene, innanzitutto, comprendere il significato strategico di molte normative che sono state approvate negli ultimi anni (AI-Act, GDPR, Data Governance Act, Accessibility Act, NIS-2 Directive, DORA, MOGC ex D.Lgs. 231/01, ESG, etc.): va ben oltre il mero adeguamento di compliance, in una ottica di efficace consapevolezza delle nuove sfide della dimensione digitale (Sustainability, Business Continuity, Cybersecurity, Cyber-resilience) e della relativa crescita culturale. Invero, queste offrono molteplici spunti interessanti in termini di “investimento strutturale” e di «Advanced-Strategic-Data-Governance», sia pubblica che privata.
Quindi, è palese quanto sia necessario declinare - in modo pragmatico - l’antropocentrismo (richiamato tanto dall’AI-Act, quanto dalla Legge 23 settembre 2025, n. 132, recentemente approvata), in una prospettiva di società ed economia “AI/Tech/data Boosted” (in luogo di “Driven”), in cui ogni device e strumento andrebbe “normalmente” (e non come una eccezione) considerato a “contenuto AI”.
In tale contesto - ed in particolare in quello dell’AI - in primis, sembra opportuno ricordare e ritornare al significato di “Intelligence” ossia, «una disciplina (molto ampia nelle sue forme ed applicazioni) che attraverso un processo sistematico e scientifico, punta ad individuare, raccogliere ed elaborare una ampia gamma di dati ed informazioni, con la finalità di “rappresentare” uno (o più) scenario potenziale al decisore, al fine di consentirgli l’assunzione di una determinazione maggiormente consapevole» .
Da cui: sia sempre una persona umana ad utilizzare un “AI-based-tool”, facendo perno su i set di elementi quali-quantitativi (approccio, peraltro, chiaramente espresso nella Legge italiana sull’AI).
Dal punto di vista applicativo, inter alia, diventa sempre più palese il cambiamento del “decision making model”, con evidenti interazioni ed effetti sulla “responsabilità” (liability ed accountability) del decisore.
Invero, è sempre maggiore l’impatto del supporto tecnologico di qualsivoglia AI-based-tool nel processo sistematico di (a) individuazione, (b) raccolta ed (c) elaborazione di una ampia gamma di informazioni e dati (non sono di natura personale ), con la finalità di “delineare” e “rappresentare” al decisore uno o più scenari (attesi, ipotetici e potenziali), al fine di consentirgli l’assunzione di una determinazione (maggiormente consapevole), basandosi su una più ampia base dati e di possibilità di elaborazione, a fronte di un lasso di tempo sempre più ridotto (che, addirittura, potremmo ricondurre al concetto di almost-real-time). Tematica che andrebbe approfondita e rivista, se affrontassimo il tema dei sistemi quantistici.
Se da un lato, l’introduzione della tecnologia informatica (prima) e della AI (poi) ha consentito di velocizzare i processi decisionali, offrendo soluzioni sempre più “profilate” (smart), dall’altro, queste sono in numero sempre più limitato, con almeno due effetti significativi.
Invero, sul processo decisionale, la persona umana non è più portata a “decidere”, ossia, a declinare integralmente quella “libertà” (sarebbe opportuno riferirsi, inter alia, all’art.3 e 41 della Costituzione Italiana, nonché all’art.2082 CC) basandosi sulla infinita possibilità di opzioni, che vengono organizzate e messe insieme applicando, inter alia, quell’ars combinatoria di Leibniz, che è alla base della creatività e dell’ingegno. Al contrario, oggigiorno siamo in un modello di “scelta”, ossia di possibilità e di opzioni in un numero sempre più limitato, che l’AI circoscrive a quantità “minime”, sebbene più facilmente utilizzabili (definite, smart), poiché maggiormente profilate e raffinate dal punto di vista qualitativo.
Ma qual è la contropartita?
Dalla prospettiva di compliance (e legal), si ha uno spostamento del “cursore della responsabilizzazione decisionale” (tanto, con riferimento a quella in eligendo, quanto a quella in vigilando): le opzioni proposte (scenari) sono frutto di una elaborazione dell’AI di base o avanzata, in cui è opportuno porre una attenzione maggiore sul processo (tanto di scelta, quanto di monitoraggio di funzionamento del tool utilizzato, in specie quando correlato a logiche di Machine Learning o Deep Learning).
In tale prospettiva, ne deriva che il significato intrinseco dell’esecuzione della “software selection” presuppone una responsabilizazione in eligendo che va ben oltre il perimetro della mera libertà di “scelta tecnologica”, riconducendola alla strategia dell’intera Organizzazione: soprattutto - del “top management”, lato sensu, le cui determinazioni sono palesemente influenzate dalle logiche di un AI-based-tool (spesso poco conosciuto), ma anche e nello specifico della funzione “owner” (tattica) che ne richiede l’introduzione.
Proprio per tali ragioni, le valutazioni di rischio - richieste dall’AI-ACT et al. - non devono essere considerate un mero adempimento, ma un atto di responsabilità: la software selection che presuppone l’introduzione di un AI-based-tool, comporta una modificazione dei criteri decisionali e, di conseguenza, delle relative responsabilità derivanti, sia ex ante (ossia, in eligendo) che in itinere (ossia, in vigilando, in specie se queste si basano sul Machine Learning e/o Deep Learning).
Questo, ha un impatto significativo, tanto sulla implementazione di una organica «Advanced-Strategic-Data-Governance»: questa dovrebbe essere, sia convergente e coerente rispetto alle singole normative applicabili (in modo tale da garantire la corretta compliance “individuale”), quanto altrettanto integrabile gestionalmente, così da renderla efficace e non solo “formalistica”.
