Governance
Registro dei casi d'uso AI: cos'è e come costruirlo
Redazione Delphis · Pubblicato il · 6 min di lettura
Il registro dei casi d'uso AI è l'archivio strutturato in cui l'azienda censisce ogni impiego dell'intelligenza artificiale: che compito svolge, in quale reparto, con quale strumento, su quali dati, sotto la responsabilità di chi e con quale livello di rischio. È il punto in cui si incontrano controllo della spesa, adozione e conformità, perché risponde a una domanda che tutte e tre le funzioni si pongono: che cosa stiamo usando, davvero?
Perché serve un registro dei casi d'uso
Molte aziende conoscono gli strumenti che hanno acquistato, ma non i modi in cui vengono usati. Sono due cose diverse. Lo stesso strumento può servire a riformulare un testo interno oppure a elaborare dati personali di clienti, e il rischio cambia radicalmente.
Un registro dei casi d'uso risolve tre problemi:
- Visibilità. Dà una mappa unica degli usi, anche di quelli nati spontaneamente nei reparti.
- Priorità. Permette di concentrare controlli e formazione dove il rischio o il valore sono maggiori.
- Coerenza. Offre a IT, DPO, CISO, HR e finanza una base condivisa, invece di elenchi diversi in ciascuna funzione.
Il passaggio chiave è spostare l'unità di analisi dallo strumento al caso d'uso. Lo strumento è un mezzo; il caso d'uso è ciò che genera valore, costo e rischio.
Quali campi servono: il set minimo
Un registro troppo ambizioso non viene compilato. Meglio partire da sette campi, quelli che servono per decidere.
- Caso d'uso. Una descrizione breve e concreta del compito (ad esempio "sintesi di verbali di riunione"), non il nome dello strumento.
- Reparto. L'unità organizzativa che lo svolge. Va indicato il reparto o il ruolo, non le singole persone.
- Strumento. Il servizio o modello usato, incluso se si tratta di uno strumento aziendale approvato o di un servizio non ufficiale.
- Dati trattati. Il tipo di informazioni che entrano nello strumento: pubbliche, interne, riservate, dati personali, categorie particolari di dati.
- Responsabile. La persona che risponde del caso d'uso, che ne conosce lo scopo e può dirne l'esito.
- Stato. Ad esempio: proposto, in pilota, in produzione, sospeso, dismesso.
- Livello di rischio. Una classificazione interna (ad esempio basso, medio, alto), da affinare con le categorie previste dalle norme.
Quando il registro funziona, si possono aggiungere campi come numero di utenti, data di revisione, beneficio atteso e misura di impatto. Ma ogni campo in più riduce il tasso di compilazione: aggiungetelo solo se qualcuno lo userà per decidere.
Come si assegna il livello di rischio
Il livello di rischio è il campo più delicato, perché richiede un criterio. Un approccio ragionevole combina due fattori: la sensibilità dei dati e le conseguenze di un errore dell'output.
Alcuni esempi di criteri:
- se entrano dati personali, il caso d'uso rientra nell'ambito del GDPR e può richiedere una base giuridica (art. 6), informative (artt. 13 e 14) e, nei casi a rischio elevato, una valutazione d'impatto (art. 35);
- se l'output influenza decisioni su persone (selezione, valutazione, accesso a servizi), il rischio sale e può avvicinarsi alle categorie dell'AI Act;
- se l'uso rientra tra le pratiche vietate dall'art. 5 dell'AI Act, va fermato: i divieti si applicano dal 02/02/2025;
- se lo strumento è un fornitore critico per servizi essenziali, entra in gioco la gestione del rischio della catena di fornitura prevista dalla NIS2.
L'AI Act classifica i sistemi per livelli di rischio e prevede, per i sistemi ad alto rischio, obblighi specifici per chi li utilizza (i deployer), oltre a obblighi di trasparenza in alcuni casi. Il calendario di applicazione degli altri obblighi va verificato negli aggiornamenti ufficiali. Queste indicazioni sono informative e non sostituiscono un parere legale.
Come popolare il registro
Il rischio più grande è un registro compilato una volta e mai più aggiornato. Per evitarlo, combinate più fonti.
- Partite dagli strumenti noti. Gli elenchi di licenze e contratti danno un primo nucleo di casi d'uso da confermare con i reparti.
- Intervistate i responsabili di reparto. Una breve conversazione strutturata fa emergere gli usi che non compaiono in nessun contratto.
- Somministrate un questionario. Una rilevazione aggregata aiuta a far emergere anche l'uso su strumenti non approvati. È il percorso descritto in shadow AI: rischi e gestione.
- Verificate con i dati di utilizzo. Le console dei fornitori espongono, in misura diversa, dati di attività che confermano o smentiscono quanto dichiarato.
- Aprite un canale per le nuove richieste. Chi vuole avviare un nuovo uso lo registra prima di partire, con un processo di approvazione leggero.
- Fissate una revisione periodica. Ad esempio trimestrale, con scadenze per ogni responsabile.
Un principio utile: rendere facile dichiarare, non punitivo. Se registrare un uso espone a sanzioni interne, le persone smetteranno di dichiararlo. Anche per questo i dati sulle persone vanno trattati in forma aggregata per ruolo o reparto.
Come collegare il registro alla spesa
Il registro diventa potente quando incrocia i costi. Associando ogni caso d'uso agli strumenti e ai seat che lo servono, si ottengono tre risposte che altrimenti mancano:
- quali strumenti servono lo stesso caso d'uso (sovrapposizioni);
- quali licenze non sono collegate a nessun caso d'uso registrato (candidate alla revoca);
- quanto costa, in sostanza, ciascun caso d'uso.
Questa lettura è la base per un consolidamento ragionato, descritto in come ridurre la spesa per le licenze AI aziendali, e per capire se il costo è proporzionato al beneficio.
Come collegare il registro alla compliance
Per la conformità, il registro è il punto di partenza di quasi ogni adempimento. Ogni riga permette di porre le domande giuste:
- GDPR: quali casi d'uso trattano dati personali, con quale base giuridica, quali fornitori agiscono come responsabili del trattamento (art. 28), se ci sono trasferimenti extra UE (capo V).
- AI Act: a quale categoria di rischio appartiene il caso d'uso, se valgono obblighi di trasparenza o di deployer, se serve la formazione prevista dall'art. 4 sull'alfabetizzazione in materia di AI, applicabile dal 02/02/2025 (vedi AI literacy e formazione).
- NIS2: quali fornitori di AI sono parte della catena di fornitura da valutare.
Una mappatura di questo tipo aiuta a capire obblighi e gap, ma non è un parere legale: le conclusioni vanno validate con DPO e consulenti.
Errori comuni
- Registrare gli strumenti invece dei casi d'uso. Si perde il legame con rischio e valore.
- Troppi campi all'inizio. La compilazione si ferma e il registro invecchia.
- Nessun responsabile. Senza un nome, nessuno aggiorna né risponde.
- Valutare il rischio una sola volta. Cambiano dati, strumenti e norme: la classificazione va rivista.
- Registro separato da spesa e compliance. Se vive in un foglio isolato, non guida nessuna decisione.
Dove si colloca Delphis
Delphis è una piattaforma indipendente dai fornitori di AI che collega spesa, adozione, impatto e obblighi normativi. Il registro dei casi d'uso è uno dei suoi elementi: censisce casi d'uso e strumenti, li lega ai costi e agli utilizzi osservati e mappa gli obblighi GDPR, NIS2 e AI Act con una checklist dei gap. La mappatura orienta il lavoro, ma non è un parere legale. Maggiori dettagli nella pagina Compliance.
Fonti
Domande frequenti
- Che cos'è un registro dei casi d'uso AI?
- È un archivio strutturato che elenca ogni uso dell'AI in azienda con i suoi attributi essenziali: reparto, strumento, dati trattati, responsabile, stato e livello di rischio. Serve a sapere cosa si usa, perché e con quali rischi.
- Quali campi deve contenere almeno un registro dei casi d'uso?
- I campi minimi sono: descrizione del caso d'uso, reparto, strumento, dati trattati, responsabile, stato e livello di rischio. Si possono aggiungere campi opzionali, ma partire da pochi campi favorisce la compilazione.
- Il registro dei casi d'uso è obbligatorio?
- Le norme richiamate in materia di AI non impongono un registro con questo nome, ma obblighi come la classificazione del rischio, la trasparenza e la gestione dei dati personali richiedono di sapere cosa si usa. In pratica il registro è lo strumento più semplice per farlo. Per il vostro caso, consultate il DPO o un consulente legale.
- Chi deve compilare e aggiornare il registro?
- La compilazione è affidata ai responsabili dei singoli casi d'uso, sotto il coordinamento di una funzione centrale (ad esempio il Chief AI Officer, l'IT o la governance). L'aggiornamento va previsto a cadenza regolare e a ogni nuovo caso d'uso.
Vuoi vederlo sui tuoi strumenti AI?
Una demo sui tuoi casi d'uso, con il nostro team e senza impegno.
Richiedi la mappa dei tuoi obblighi