Prima di addentrarvi in questa parte, assicuratevi di aver letto l'articolo Come le OSC possono condurre verso un'IA responsabile, l'Introduzione a questa Guida pratica, la Parte 1: OSSERVARE - Preparare il terreno, la Parte 2: CREARE - Identificare e definire i propri principi, la Parte 3: Mettere in pratica, la Parte 4: CREARE - Definire le responsabilità nella governance dell'IA per le OSC e la Parte 5: Come le OSC possono creare policy sull'IA che funzionino davvero.
Due scenari, una sola competenza.
Immaginate un program manager di una OSC davanti a uno scenario da "semaforo giallo" previsto dalla neonata policy aziendale sull'IA. Il suo obiettivo è usare uno strumento di IA per gestire la selezione delle richieste in arrivo da parte di beneficiari vulnerabili. La policy parla chiaro: fermati e chiedi. Ma cosa bisogna chiedere, esattamente? E a chi?
Nel frattempo a Malaga, in Spagna, una donna di nome Lina si presenta alla polizia per denunciare le minacce dell'ex partner. Il suo caso viene inserito in VioGén, il sistema algoritmico utilizzato in Spagna per valutare il rischio di violenza di genere. L'algoritmo formula 35 domande e classifica il livello di minaccia come "medio". La richiesta di un ordine di restrizione viene respinta. Tre settimane dopo Lina muore, vittima di un incendio doloso appiccato, secondo le accuse, proprio dall'ex partner, che possedeva ancora le chiavi di casa sua.
Questi due scenari così distanti condividono la stessa identica domanda: chi sta analizzando con attenzione l'impatto di questo algoritmo sulle persone?
I semafori gialli della vostra policy sono il punto di partenza della valutazione dei rischi. Se la policy vi dice quando fermarvi, la valutazione dei rischi vi spiega come guardare più a fondo. Si tratta di una competenza straordinaria per la società civile: le stesse capacità di analisi e senso critico che applichi nell'utilizzo dei tuoi strumenti di IA sono quelle che ti permettono di chiedere trasparenza e responsabilità a chi introduce sistemi di intelligenza artificiale nelle comunità con cui lavori.
Siamo nella fase COSTRUIRE del percorso, il momento in cui tutto ciò che avete pianificato diventa operativo. Questo articolo serve a consolidare entrambi i fronti: quello interno e quello esterno.
Perché i rischi dell'IA sono diversi: la realtà sociotecnica
L'IA non opera nel vuoto, ma si inserisce all'interno di sistemi umani e sociali complessi e imprevedibili. Questo la rende una tecnologia sociotecnica, un fattore che rivoluziona completamente il modo in cui dobbiamo valutarne i rischi.
Prendiamo il caso del System Risk Indication (SyRI) dei Paesi Bassi, un algoritmo per la prevenzione delle frodi nel welfare che incrociava i dati personali dei cittadini presenti in varie banche dati governative. Il SyRI veniva impiegato esclusivamente nei quartieri a basso reddito e ad alta densità migratoria. Nel febbraio 2020, il Tribunale distrettuale dell'Aia ha stabilito che il sistema violava l'articolo 8 della Convenzione europea dei diritti dell'uomo, riscontrando tutele insufficienti contro la discriminazione. Cosa ha reso possibile questa sentenza? Una coalizione di sei organizzazioni per i diritti umani e del più grande sindacato olandese, supportato dall'analisi del Relatore speciale delle Nazioni Unite sulla povertà estrema. È stata la società civile a svolgere il lavoro investigativo, bloccando un sistema dannoso.
Oppure si pensi alla Giordania, dove il programma di assistenza economica Takaful, finanziato dalla Banca Mondiale, utilizza un algoritmo basato su 57 indicatori socio-economici per stilare una classifica della povertà delle famiglie e decidere a chi assegnare i fondi. Un'indagine di Human Rights Watch ha dimostrato come l'algoritmo integrasse presupposti del tutto errati su cosa significhi vivere in povertà. Molte famiglie sono state penalizzate perché possedevano un'auto (indispensabile per trasportare l'acqua potabile) o per consumi elettrici elevati causati dallo scarso isolamento termico delle abitazioni, che non potevano permettersi di ristrutturare. Una donna di uno dei villaggi più poveri della Giordania ha dichiarato agli investigatori: "Quella macchina ci ha rovinati".
Il concetto chiave è questo: il danno dipende dallo specifico caso d'uso. Lo stesso identico strumento può essere sicuro per uno scopo e pericoloso per un altro. Non esistono soluzioni universali, ma solo domande legate al contesto. Più le OSC acquistano dimestichezza con la valutazione dei rischi, più saranno efficaci nel proteggere le persone.
Cos'è davvero la valutazione dei rischi e quando serve
Il settore è pieno di acronimi che possono spaventare: FRIA, AIA, ARIA. I nomi cambiano, ma la struttura di fondo rimane la stessa. Valutare i rischi significa trasformarsi in detective del proprio sistema di IA: porre domande intelligenti e curiose, documentare i risultati e decidere come agire.
Il modello CIDA (Contesto, Input, Decisione, Azione) offre una struttura chiara per questa indagine. Qual è il contesto sociale e politico in cui opera l'algoritmo? Quali dati vengono inseriti e quali bias potrebbero nascondere? In che modo vengono prese le decisioni? Quali sono le ricadute concrete? Questo approccio funziona sempre, sia che l'algoritmo sia vostro, sia che appartenga a un'istituzione pubblica che delibera sul futuro delle persone di cui vi occupate.
Per prevedere i potenziali impatti negativi non dovete partire da zero. Esistono database internazionali come l'AI Incident Database, l'OECD AI Incidents Monitore l'AI Risk Repository che documentano i casi reali in cui la tecnologia ha fallito. Considerateli come i vostri fascicoli d'indagine prima di iniziare la vostra verifica.
Se tutto questo vi sembra complicato, ricordate una cosa che ripeto spesso nei miei workshop: se spiegassi la gestione dei rischi a mia nonna, mi risponderebbe: "Mi parli come se avessi scoperto l'acqua calda. Noi umani facciamo così da sempre". Prima di agire, riflettiamo su chi potrebbe subire le conseguenze delle nostre azioni. Chiediamo in giro. Immaginiamo lo scenario peggiore. La valutazione dei rischi si limita a dare una struttura a questo istinto naturale.
Quando serve farlo? Dipende dal vostro rapporto con il sistema di IA: se state acquistando uno strumento di terze parti — lo scenario più comune per una OSC — la valutazione rientra nei normali processi di due diligence. Se state già usando strumenti di IA senza aver mai fatto valutazioni — probabilmente il punto di partenza più onesto per molte organizzazioni — è urgente un'analisi retrospettiva. Se i sistemi di IA vengono applicati direttamente alle comunità che servire (es. calcolo del punteggio per il welfare o decisioni automatizzate sull'immigrazione), vi servono queste competenze per analizzare i sistemi in modo critico e promuovere la tutela dei diritti. Questo è un compito che spetta unicamente alla società civile. Inoltre, nell'UE, l'AI Act rende obbligatoria la valutazione dell'impatto sui diritti fondamentali per i sistemi considerati ad alto rischio.
Due approcci pratici per le OSC
Non si tratta di metodi in competizione tra loro, ma di prospettive complementari che mettono in luce aspetti diversi.
L'approccio incentrato sui valori parte dai vostri principi. È la strada scelta da Khan Academy quando ha adottato i nove punti dell'Ethical Framework for AI in Education, traducendoli in linee guida pratiche per i team di sviluppo. Il loro primo principio, "Raggiungere gli obiettivi educativi", ha dato vita al "guardrail" 1.4: "meccanismi per impedire usi dell'IA non educativi". Su queste basi, il team ha quantificato il rischio e strutturato azioni di mitigazione specifiche. Principio → "Guardrail" → Rischio → Mitigazione. La vostra OSC può seguire il medesimo schema per valutare i propri flussi o i sistemi esterni.
Caption: Tabella 1. Esempio del modello creato e utilizzato da Khan Academy. Fonte: Khan Academy’s Framework for Responsible AI in Education, Khan Academy Blog, 3 aprile 2025. © 2025 Khan Academy. Tutti i diritti riservati. Contenuto escluso dalla licenza CC BY 4.0 International di questo articolo. È possibile consultare il testo completo della tabella nel file disponibile qui.
L'approccio focalizzato sugli stakeholder parte invece dalle persone direttamente interessate da questi sistemi. Durante una sessione condotta con circa 70 leader di 30 ONG del settore educativo in collaborazione con Tech To The Rescue, abbiamo analizzato il Wisconsin Dropout Early Warning System: un algoritmo che utilizzava dati sensibili (inclusi l'etnia e i precedenti disciplinari) per prevedere quali studenti fossero a rischio di abbandono scolastico. Abbiamo chiesto ai partecipanti di immedesimarsi in vari ruoli: il preside, il genitore, il data scientist, il provveditore e l'insegnante. In soli 30 minuti hanno adottato una strategia completa per rivoluzionare il sistema.
Quando il "genitore scettico" seduto al tavolo ha domandato perché l'etnia di suo figlio dovesse decretarne il fallimento precoce, la prospettiva di tutti è cambiata: il data scientist ha proposto di eliminare l'etnia e il codice postale dai dati di input; l'insegnante ha suggerito di sostituire l'etichetta stigmatizzante di "soggetto ad alto rischio" con indicazioni pratiche come "potrebbe beneficiare di un supporto supplementare in algebra"; il preside ha ridefinito la finalità stessa del sistema, trasformandola da "prevedere l'abbandono" a "individuare percorsi di successo". La domanda di un singolo ruolo ha ridisegnato l'intero progetto. Includere punti di vista diversi non migliora semplicemente la valutazione dei rischi: la trasforma.
Entrambi gli approcci convergono sulla stessa formula fondamentale: Probabilità × Entità = Livello di rischio. Non si tratta di matematica complessa, ma di un dialogo onesto e strutturato.
La valutazione dei rischi sul campo
Proviamo a essere più concreti. Immaginiamo che una OSC che offre servizi di assistenza legale stia valutando di adottare un chatbot per il primo screening degli utenti. Analizziamo il caso applicando il modello CIDA:
Contesto: Qual è l'obiettivo? Chi ha deciso di adottare lo strumento? Qual è il quadro normativo?
Input: Quali dati raccoglie il chatbot? Come vengono tutelate le persone che hanno difficoltà a muoversi tra le interfacce digitali?
Decisione: Cosa raccomanda il chatbot? È prevista una supervisione umana? Cosa accade se il sistema non riconosce l'urgenza di un caso?
Azione: Quali sono le ricadute concrete? C'è il rischio di negare un aiuto tempestivo a chi ne ha diritto?
Mappare queste domande fa emergere rischi specifici (perdita di opportunità, lesione della dignità, violazione della privacy) che il vostro team potrà classificare e ordinare per priorità. Successivamente si passa alla definizione delle misure di mitigazione: una supervisione umana nei passaggi decisionali critici, un canale manuale alternativo per chi non riesce a usare il chatbot e protocolli di anonimizzazione dei dati.
Siamo onesti: non è possibile azzerare il rischio. Anche dopo aver applicato tutte le tutele, rimarrà sempre una percentuale di rischio residuo. Questa è la realtà, non un fallimento. È qui che entrano in gioco i controlli di governance dell'IA: monitoraggio continuo e indicatori chiari per procedere a una nuova valutazione. I risultati vanno inseriti nel registro dei rischi, un documento dinamico che diventerà lo strumento di lavoro dell'Albero e la base di riferimento per i futuri aggiornamenti della policy.
Un ciclo continuo
La valutazione dei rischi non è un documento da compilare una volta e dimenticare in un cassetto. È un processo in continua evoluzione che unisce tutti i passaggi analizzati in questa serie di articoli. I risultati guideranno l'evoluzione della vostra policy: gli scenari da semaforo giallo diventeranno più chiari, emergeranno nuovi semafori rossi e si confermeranno i semafori verdi. Man mano che l'IA si confronta con il mondo reale, i nuovi rischi emergenti verranno integrati nel registro.
Quando questa mentalità diventa parte integrante della vostra cultura, si passa da un approccio reattivo a uno proattivo: l'etica fin dalla progettazione (Ethics by Design). Con il tempo, la riflessione sul rischio si trasforma in una riflessione sull'impatto, dove le scelte tecnologiche non servono più solo a evitare danni, ma a creare valore positivo per le comunità.
Un invito all'azione
I vostri principi hanno definito ciò in cui credete. Il vostro Albero ha stabilito chi deve guidare il dialogo. La vostra policy ha fissato le regole condivise. La valutazione dei rischi determina cosa dovete monitorare, chiudendo il cerchio e alimentando il sistema con l'esperienza sul campo.
Scegliete un semaforo giallo. Riunite il vostro Albero. Sottoponetegli le domande.
Ricordate che questa competenza non si esaurisce all'interno della vostra organizzazione. Nei Paesi Bassi, una coalizione di ONG ha bloccato in tribunale un algoritmo discriminatorio per il welfare. In Spagna, Eticas, un'organizzazione della società civile, ha condotto un audit indipendente su VioGén dopo il rifiuto del Ministero dell'Interno di consentire verifiche esterne. Incrociando dati pubblici e interviste alle donne sopravvissute insieme alla Fondazione Ana Bella, hanno scoperto che la polizia accettava la classificazione del rischio dell'algoritmo nel 95% dei casi, delegando di fatto decisioni di vita o di morte a una formula matematica. Tra il 2003 e il 2021, 71 donne che avevano denunciato abusi sono state uccise mentre erano inserite nel sistema, tutte classificate a rischio "trascurabile" o "medio".
Le stesse domande, gli stessi modelli e la stessa richiesta di includere voci diverse sono le armi di cui la società civile ha bisogno per chiedere trasparenza alle istituzioni più potenti. Il lavoro investigativo guarda sia all'interno che all'esterno della vostra organizzazione. È questo che lo rende unico e indispensabile.
La guida di accompagnamento offre un percorso dettagliato e i modelli pronti all'uso per condurre la prima valutazione dei rischi con il vostro team, sia per analizzare la vostra IA sia per esaminare un sistema esterno che ha un impatto sulla vostra comunità.
Il tuo feedback è importante
Cosa ne pensi di questo testo? Dedica 30 secondi per condividere il tuo feedback e aiutarci a creare contenuti significativi per la società civile.
Note e Disclaimer
Questa risorsa è stata creata nell'ambito del progetto AI for Social Change del Digital Activism Program di TechSoup, con il supporto di Google.org.
L'autrice ha utilizzato l'IA per creare questo contenuto. Tuttavia, l'intero articolo è stato ideato, revisionato e verificato dall'autrice e dal team di TechSoup.
Gli strumenti di IA si evolvono rapidamente e, sebbene facciamo il possibile per garantire l'accuratezza dei contenuti, alcuni elementi potrebbero non essere più aggiornati. Se noti informazioni superate, segnalacelo all'indirizzo contact@hive-mind.community
Informazioni sull'autrice
Ayşegül Güzel è Responsible AI Governance Architect, ossia un'esperta di progettazione di governance per un utilizzo responsabile dell'AI, e aiuta le organizzazioni a trasformare l'ansia da IA in sistemi affidabili e degni di fiducia. La sua carriera unisce ruoli di vertice nel settore sociale - tra cui la fondazione di Zumbara, la più grande rete di banche del tempo al mondo - a una solida esperienza tecnica maturata come auditor IA certificata ed ex data scientist. Accompagna le organizzazioni attraverso percorsi completi di trasformazione della governance dell'IA e conduce audit tecnici sull'intelligenza artificiale. Insegna presso ELISAVA e interviene a livello internazionale su approcci alla tecnologia incentrati sull'uomo. Per saperne di più:https://aysegulguzel.info oppure iscriviti alla sua newsletter AI of Your Choice suhttps://aysegulguzel.substack.com.