Abbiamo scelto la terza strada, che è la più faticosa: fare il lavoro.
Perché siamo nati
Siamo nati da una constatazione semplice: le aziende italiane hanno cominciato a usare l’intelligenza artificiale molto più in fretta di quanto abbiano imparato a governarla, e il mercato che si è formato intorno agli obblighi dell’AI Act si sta dividendo fra chi vende paura e chi vende moduli precompilati.
Abbiamo scelto una terza strada: trovare i sistemi davvero in uso, classificarli motivando per iscritto ogni decisione, e restare accanto all’azienda mentre il perimetro cambia.
Facciamo parte di un gruppo che sviluppa e mette in esercizio sistemi di intelligenza artificiale e robotica. Questo ci dà un vantaggio raro fra i consulenti di conformità: conosciamo i sistemi dall’interno, perché li abbiamo visti costruire. E ci impone una regola che rispettiamo senza eccezioni: non valutiamo la conformità di sistemi che abbiamo contribuito a sviluppare senza dichiararlo, e non prendiamo provvigioni dai produttori dei sistemi che analizziamo.
Tre parole, dichiarate prima di cominciare
Non sono valori da pagina istituzionale. Sono tre vincoli che ci siamo dati e che, presi sul serio, costano fatica e a volte fatturato.
Proporzionalità
Significa dire con chiarezza al cliente anche quando non deve fare nulla. Il regolamento europeo è costruito attorno a un principio di proporzionalità: non chiede alla piccola impresa lo stesso livello di controllo che chiede a chi sviluppa sistemi ad alto rischio su larga scala. La prima domanda non è «cosa devo fare per essere in regola», ma «quanto rischio genera davvero il modo in cui la mia azienda usa l’AI».
Verificabilità
Significa che ogni affermazione fatta durante un audit deve poter essere controllata, non presa sulla fiducia. Quali obblighi scattano, su quali usi, e perché gli altri non si applicano a questa azienda: se un preventivo non ti permette di chiedere quel ragionamento — in un senso o nell’altro — ti sta chiedendo fiducia su una cosa che è verificabile.
Indipendenza
Significa non essere legati a nessun fornitore specifico di tecnologia, per poter dare un parere che non sia condizionato dall’interesse a vendere qualcos’altro. Non rivendiamo licenze, non abbiamo accordi di canale, e il nostro giudizio su uno strumento non cambia a seconda di chi lo produce.
Riccardo Biolo
Ingegnere gestionale, imprenditore, autore. VerifAIAct nasce dal suo lavoro e da un errore che ha commesso per primo: credere che bastasse mettere ordine nella tecnologia prima di aver capito come un’azienda lavora davvero.
Laureato in Ingegneria Gestionale all’Università di Padova nel 2004. Per i nove anni successivi ha lavorato nell’azienda di famiglia, cinquecento persone, occupandosi dell’ottimizzazione dei processi interni: capire dove il lavoro si inceppa, perché due reparti si passano la stessa informazione tre volte, quanto costa davvero una procedura che sulla carta sembra impeccabile. Quel rapporto non si è mai interrotto: ancora oggi segue il controllo dei processi principali di quell’azienda attraverso consulenze specifiche — il che significa che quando parliamo di organizzazioni complesse non attingiamo a un ricordo di vent’anni fa, ma a una realtà da cinquecento persone guardata da dentro mentre cambia.
In parallelo ha costruito un gruppo di cinque società, ciascuna specializzata in un settore diverso, che gestiscono centinaia di immobili in tutto il Nord Italia sotto marchi distinti per pubblici distinti. Negli stessi anni ha affiancato diverse consulenze presso altre aziende, in settori spesso lontani dal proprio — ed è stata quella la scuola migliore, perché entrare in un’organizzazione che non è la tua costringe a capire come funziona davvero invece di darlo per scontato. Di questo mestiere ha scritto quattro libri, alcuni arrivati in cima alle classifiche di categoria; il quinto è quello da cui nasce questo lavoro.
Gestire centinaia di unità immobiliari, con contratti diversi, scadenze diverse, inquilini diversi, non è un problema immobiliare: è un problema di organizzazione a scala, e a un certo punto smette di essere risolvibile a colpi di fogli di calcolo e telefonate. Da lì è nato un secondo lavoro, meno visibile: costruire software per risolvere i problemi che il primo continuava a generare. Piccoli automatismi, prima. Poi sistemi più strutturati. Poi, quando la tecnologia lo ha reso possibile, sistemi che non eseguono soltanto, ma imparano.
Quel secondo binario è diventato una cosa a sé. Ha fondato LIBERSOLUTION, il marchio con cui lavora sulla programmazione di sistemi di intelligenza artificiale, con lo scopo dichiarato di risolvere per altre aziende gli stessi problemi che aveva già risolto — o tentato di risolvere, con più di un errore lungo la strada — per la propria. E ha fondato due startup innovative: una dedicata all’intelligenza artificiale applicata al settore immobiliare, l’altra alla consulenza aziendale condotta attraverso strumenti di AI avanzati.
Un ingegnere gestionale che ha passato vent’anni a guardare come si organizza il lavoro, e che poi si è messo a costruire software, tende a vedere l’intelligenza artificiale in modo diverso da chi ci arriva dall’informatica pura: non come una tecnologia da applicare, ma come un pezzo di un’organizzazione che o si incastra con tutto il resto, o non serve a niente.
M.I.T.O.S.
Mappare, ispezionare, trasferire, ottemperare, supervisionare. Cinque passaggi che descrivono come un’azienda passa dal non sapere chi fa cosa all’avere un’intelligenza artificiale che decide con lo stesso criterio di chi la guida — e continua a farlo anche quando quella persona non c’è.
Non è un catalogo di tecniche intercambiabili da cui scegliere le due che sembrano più adatte. È una sequenza, e l’ordine è il contenuto. Ogni passaggio prepara il terreno di quello dopo, e saltarne uno non fa arrivare prima: fa arrivare a un punto che sembra più avanti e non lo è. Il metodo non è legato a un solo strumento né a un solo fornitore, e vale anche per chi ne percorre un passaggio soltanto — a una condizione: sapere quale sta facendo, e quali altri sta lasciando indietro.
- M
Mappare — preparare il terreno
Chi fa cosa, con quali strumenti, dentro quale processo, e soprattutto dove la mappa smette di descrivere come si lavora davvero. È oggettivamente il meno interessante dei cinque: non produce niente di visibile il giorno dopo e nessuno lo finanzia volentieri. Viene prima per una ragione che conviene ricordare nel momento in cui arriverà la tentazione di saltarlo: un’intelligenza artificiale addestrata su un’organizzazione confusa eredita la confusione invece di ridurla. Non la segnala e non la corregge — la esegue più in fretta.
- I
Ispezionare — raccogliere il materiale
Tre righe al giorno, ogni volta che qualcuno decide a istinto senza consultare una procedura: cosa ha deciso, e cosa lo ha fatto propendere in quella direzione. Si chiama ispezionare e non chiedere perché la differenza sta tutta lì: chiedere produce la versione che una persona crede di seguire, quasi sempre diversa da quella che segue davvero. Il criterio si vede nel comportamento ripetuto, non nella spiegazione che se ne dà a mente fredda — e per vederlo bisogna guardare dove il lavoro accade, con continuità, non una volta sola.
- T
Trasferire — accumulare il criterio
Accumulare quel criterio nel tempo — mesi, non settimane — perché il sistema impari cosa concludere, e non soltanto come suonare. Lo stile si copia in fretta, il giudizio richiede continuità. Si chiama trasferire e non addestrare perché quello che passa non è una competenza tecnica: è un modo di decidere che qualcuno ha costruito in anni e che, fino a ieri, si trasmetteva soltanto stando accanto a chi lo possedeva. È il passaggio più lungo, e l’unico su cui la potenza non offre scorciatoie.
- O
Ottemperare — tenere sotto controllo
Quali strumenti di intelligenza artificiale l’azienda sta davvero usando, con quali dati, e se la fiducia che dichiarano corrisponde a quanto sono affidabili davvero. È il passaggio di cui ci occupiamo noi. Arriva qui — non prima — perché ha senso proteggere qualcosa che esiste già: costruire regole su un uso dell’AI che l’azienda non ha ancora significa produrre esattamente quel genere di documentazione che nessuno rilegge.
- S
Supervisionare — rivedere cosa ha imparato
Il criterio non resta fermo. Contraddirsi nel tempo è normale, e un sistema addestrato sul passato deve saper distinguere un cambiamento da un errore. È il passaggio che quasi nessuno fa, perché il rischio che copre non ha sintomi: un sistema che sbaglia in modo evidente viene corretto subito; un sistema che ha ragione per mesi ottiene qualcosa di più pericoloso di un errore — ottiene che si smetta di controllarlo.
Si comincia dal primo. Si arriva al quinto solo quando i precedenti reggono davvero — e da lì si ricomincia, perché il quinto non è una fine: è il primo che riparte, con più informazioni di quante ce ne fossero il giro prima.
Tre problemi diversi, tre strumenti diversi
Non sosteniamo che a un’azienda servano tre strumenti. Sosteniamo che esistano tre problemi diversi, e che confonderli — chiedere al software sbagliato di risolvere il problema di un altro — sia la ragione più comune per cui tanti progetti di intelligenza artificiale non hanno prodotto quello che promettevano.
ExoCo
Mappa chi fa cosa, tiene aggiornata da sola la documentazione che descrive come l’azienda funziona — job description, procedure, mansionari, report sugli indicatori — e segnala quando un documento è invecchiato o quando due documenti si contraddicono. Verifica che ogni attività critica abbia più di una persona in grado di svolgerla, forma chi entra e controlla chi c’è già. Tecnicamente è composto da oltre trenta agenti specializzati coordinati da un agente principale.
Il nome nasce da un’immagine: un esoscheletro. Non sostituisce le persone che fanno funzionare l’azienda, le sorregge — distribuendo su una struttura esterna un peso che altrimenti ricadrebbe tutto sulle stesse poche schiene.
IdemMind
Osserva come decidi nei casi che nessuna procedura ha previsto, accumula quel modo di decidere giorno dopo giorno, e a un certo punto comincia a poterlo applicare al posto tuo su casi che somigliano a quelli già visti. L’intervista fondativa apre il registro; poi il registro si riempie ogni giorno con le decisioni vere, raccolte a caldo, e segnala anche gli scostamenti tra quello che una persona crede di fare e quello che effettivamente fa.
Il nome nasce dall’idea centrale del progetto: non un’identità nuova generata da un algoritmo, ma la mente di chi lo usa, resa continuativa e consultabile — idem, lo stesso, non un’imitazione.
VerifAIAct
Quali strumenti di intelligenza artificiale l’azienda sta davvero usando, con quali dati, e cosa serve fare — spesso molto meno di quanto venga raccontato in giro. Il percorso è accompagnato da un software dedicato che va dalla schedatura dei sistemi usati in azienda fino a un indice di valutazione tracciabile: uno strumento di lavoro, non un generatore automatico di documenti da mostrare senza che nessuno li abbia davvero verificati.
È il livello dell’immunità: non aggiunge capacità, protegge quelle che ci sono. Un sistema immunitario non serve principalmente ad attaccare — serve a distinguere.
Se non sai da dove partire, l’indicazione è questa: guarda quale delle quattro diagnosi ti ha messo più a disagio — i dati che non circolano, le decisioni che risalgono tutte in alto, gli automatismi che eseguono bene la cosa sbagliata, gli strumenti che nessuno sa di avere in casa. Quella è la tua risposta, molto più di qualunque cosa possiamo consigliarti senza conoscere la tua azienda.
L’AI è addestrata su tutto.
Tranne sulla tua azienda.
Prompt, agenti, gemelli virtuali: crea un’AI che decide con i criteri di chi guida l’azienda.
Il ragionamento completo da cui nasce questo lavoro — i cinque strati di profondità, i quattro sistemi dell’azienda come organismo, il metodo M.I.T.O.S. e i due errori che abbiamo dovuto correggere da capo — è scritto per intero in un libro, con le fonti di ricerca citate e più di un capitolo in cui ammettiamo apertamente dove i nostri stessi strumenti si fermano.
È il quinto libro di Riccardo Biolo: i quattro precedenti raccontano l’organizzazione d’impresa vista da dentro, e alcuni sono arrivati in cima alle classifiche di categoria. Questo è il primo in cui il mestiere di organizzare incontra l’intelligenza artificiale.
Un libro che ti chiede di verificare le affermazioni degli altri non può poi chiederti di credere alle proprie sulla fiducia.
Verificabili, su richiesta
Lead auditor ISO/IEC 42001, la norma sui sistemi di gestione dell’intelligenza artificiale. Qualifica di auditor sulla ISO/IEC 27001 per la sicurezza delle informazioni. Polizza di responsabilità civile professionale sulle attività di consulenza.
Se ti servono ente rilasciante, numero e data, li chiedi e te li mandiamo. Questa pagina va online solo quando tutte e tre esistono davvero: finché una manca, non la scriviamo.
I confini, dichiarati
Non siamo un organismo di certificazione: non rilasciamo certificati e non possiamo farlo, perché la norma sull’imparzialità vieta di certificare chi si è assistito.
Non siamo uno studio legale: quando serve un parere giuridico formale o un’assistenza in contenzioso lavoriamo con studi partner e te lo diciamo apertamente.
Non siamo un fornitore di software di AI, e non lo diventeremo: è la condizione perché il nostro giudizio valga qualcosa.
Le cinque domande da fare al tuo fornitore di AI
Cinque domande da porre a chiunque ti proponga uno strumento di intelligenza artificiale per la tua azienda — noi compresi. Nessuna richiede competenze tecniche. Tutte hanno una risposta verificabile, non un’opinione. Se a una di queste non ottieni una risposta chiara, quella reticenza è un’informazione preziosa quanto una risposta convincente.
1 · A quale strato di profondità appartiene davvero quello che mi state vendendo?
Non quanto è potente il modello sotto il cofano — quanto della mia azienda specifica riuscirà a contenere. È come valutare un’auto solo dai cavalli del motore senza chiedere quanti bagagli entrano nel portabagagli: la domanda sulla potenza è legittima, ma da sola non dice nulla su cosa potrai farci davvero. Diffida di chi risponde parlando solo di potenza del modello, e mai di quanto contesto specifico della tua azienda quel sistema arriverà a possedere.
2 · Se smettessi di usarvi tra un anno, cosa mi porterei via, e in che formato?
La risposta va vista all’opera su un caso reale prima di firmare, non solo raccontata a voce.
3 · Se questo sistema decide male, chi ne risponde?
Non accontentarti di un «noi vi supportiamo» generico: chiedi con quale livello di supervisione umana il sistema è pensato per funzionare, e su quali decisioni quel controllo è, per progetto, più stretto. La responsabilità resta sempre di una persona, non di un sistema: un software ha comportamento, non intenzione. Delegare l’esecuzione di un criterio si può; delegare la responsabilità della sua conseguenza no.
4 · Cosa succede ai miei dati più sensibili?
Restano su un dispositivo che controllo io, o transitano su server di terzi — e se sì, con quale consenso esplicito, revocabile quando lo decido io e non quando lo decide il fornitore?
5 · Cosa, di preciso, questo sistema non dovrebbe mai decidere al posto mio?
È la domanda che quasi nessun fornitore si aspetta, e per questo vale più di tutte le altre. Un fornitore che non sa rispondere — che non ha mai pensato ai limiti del proprio prodotto — ti sta vendendo qualcosa che non ha ancora capito fino in fondo lui per primo.
Mezz’ora per capire se ti serviamo
Se la risposta è no, te lo diciamo in quella mezz’ora.