Governance-as-Code: tradurre i requisiti tecnici dell’AI Act in pipeline eseguibili per la conformità dei sistemi di IA generativa

Abstract degli autori

L’AI Act dell’UE (Regolamento 2024/1689) impone obblighi tecnici ai fornitori di sistemi di IA ad alto rischio, ma gli articoli 8-15 sono stati redatti per l’IA predittiva e, quando vengono applicati ai sistemi generativi, lasciano irrisolte sette lacune tecniche: dalla governance dei dati non deterministica alla provenienza dei dati di addestramento, dalla conformità continua alla supervisione umana, fino alla robustezza in scenari aperti, ai rischi emergenti e all’equità generativa. Presentiamo Governance-as-Code (GaC), un framework composto da 43 criteri di accettazione verificabili automaticamente, suddivisi in sei moduli di conformità che operano in una pipeline CI/CD e producono prove di audit indicizzate per articolo; mostriamo inoltre il codice effettivo delle policy Rego, invece di limitarci a descriverlo. Il nostro impegno centrale è trasformare gli standard dell’AI Act formulati in termini aperti («livelli adeguati», «possibili distorsioni») in valori numerici dichiarati e verificabili in sede di audit: le soglie di robustezza derivano dalla baseline documentata del fornitore e da un livello minimo allineato allo stato dell’arte, mentre il bias di framing viene ricondotto a otto indicatori misurabili, verificati tramite test demografici controfattuali. Chiariamo inoltre a chi spettano i diversi obblighi: ai sensi dell’articolo 25 e del capo V, un deployer a valle si affida alla sintesi dei dati di addestramento prevista dall’articolo 53 e fornita dal provider a monte, e documenta soltanto i livelli che controlla; GaC verifica quindi tale sintesi, anziché esigere una documentazione campione per campione che il deployer non ha mai avuto. Convalidiamo il framework su due implementazioni aziendali, un chatbot di consulenza ad alto rischio e un generatore di contenuti a rischio limitato, confrontandolo con un audit manuale di esperti anziché con materiali documentali che non erano mai stati concepiti per garantire la conformità. GaC riproduce tutti i risultati dell’audit manuale, comprese tre violazioni che comportano sanzioni, riducendo al contempo di circa il 75% il lavoro necessario per l’audit.