Caso di studio · Servizi finanziari regolamentati · Gestione patrimoniale e previdenza · Svizzera
Mandato reale, cliente anonimizzato. Cifre misurate con il cliente e arrotondate; nessuna verifica di terzi.
Una società finanziaria di 120 persone regola tutti i suoi 68 usi dell’IA in quattro mesi e mezzo
Inventario degli usi dell’IA, regole secondo il rischio, strumenti approvati con accesso controllato e approvazione in meno di 48 ore per gli usi semplici.
Ambito e limiti
Cifre arrotondate. Mandato reale: il nome del cliente e i dettagli che permetterebbero di riconoscerlo sono stati tolti.
- Azienda
- Società svizzera di servizi finanziari regolamentati (gestione patrimoniale e previdenza), circa 120 persone
- Ambito
- L’uso dell’IA generativa in tutta l’azienda e i dati che passano in questi strumenti
- Software in uso
- Microsoft 365 e applicativi di settore; nessuno strumento di IA scelto dall’azienda
- Punto di partenza
- Strumenti di IA consumer usati ovunque, senza inventario, senza regole e senza approvazione
Situazione di partenza
Gli strumenti di IA consumer si erano diffusi nei team senza che fosse mai stata presa una decisione: lettere, sintesi di pratiche, preparazione di analisi. Nessuno sapeva chi usasse cosa, né con quali dati. Poi un collaboratore ha copiato i dati di un cliente in uno di questi strumenti. L’incidente è stato evitato per poco, ma mostrava che il percorso rischioso era diventato quello abituale.
La direzione ha pensato prima a un divieto totale. Non avrebbe risolto nulla: l’uso si sarebbe spostato sui telefoni personali, fuori vista, e l’azienda avrebbe perso ciò che questi strumenti davano davvero. Il consiglio di amministrazione non chiedeva una carta: voleva la prova che l’uso fosse sotto controllo, in un’attività in cui i dati previdenziali non ammettono approssimazioni.
La domanda posta
Vietare tutto e perdere l’uso utile, o fissare regole e rendere il percorso sicuro più rapido della scorciatoia?
Vincoli
Regolamentazione finanziaria e nLPD
Attività regolamentata e dati personali soggetti alla nLPD: ogni regola d’uso doveva essere scritta, tracciabile e difendibile, non una semplice raccomandazione.
Dati previdenziali
I dati previdenziali dei clienti sono tra i più sensibili dell’azienda. Esporli a uno strumento non approvato era il primo scenario da escludere.
Un consiglio che vuole prove
Una policy firmata non bastava: il consiglio chiedeva inventario, controlli, registri e indicatori verificati a scadenze fisse.
Nessuna abitudine al rischio informatico
L’azienda gestiva con rigore i rischi finanziari, ma non aveva una pratica scritta per i rischi degli strumenti digitali. Le regole dovevano poter essere fatte proprie dai team, non imposte.
Cosa abbiamo messo in opera
Due risultati: regole d’uso e gli strumenti che le rendono concrete. Un principio dal primo all’ultimo giorno: ogni uso riceve un livello di rischio, ogni livello controlli adeguati, e il percorso approvato deve essere più rapido della scorciatoia.
Gli elementi
Tappe del mandato
Inventario e analisi dei rischi 4 settimane
Colloqui team per team e osservazione della pratica reale: 68 usi dell’IA generativa censiti, dati coinvolti individuati, scenari di fuga e di errore descritti.
Regole e controlli 4 settimane
Classificazione degli usi in quattro livelli di rischio, controlli per livello, regole d’uso redatte con il giurista esterno, approvazione della direzione.
Avvio degli strumenti approvati 6 settimane
Strumenti approvati accessibili con gli account aziendali, diritti per ruolo, registro d’uso, approvazione a due velocità in funzione.
Formazione e passaggio di consegne 4 settimane
Formazione per ruolo (utenti, approvatori, direzione), pubblicazione interna delle decisioni di approvazione, primo cruscotto completo, seguito affidato al cliente.
- Usi consentiti definiti per livello di rischio
- Nessun dato dei clienti in strumenti non approvati
- Approvazione in meno di 48 ore per un uso a basso rischio
- Registri d’uso esaminati ogni mese
- In caso di incidente è scritto chi avvisa chi, ed entro quando
- Revisione trimestrale delle regole con la direzione
Risultati misurati
All’inizio non c’era nulla: né inventario, né controlli, né un percorso di approvazione. Le cifre qui sotto misurano ciò che le regole hanno reso visibile e poi controllabile, compresi sei mesi di uso dopo l’avvio.
Cifre arrotondate. Mandato reale: il nome del cliente e i dettagli che permetterebbero di riconoscerlo sono stati tolti.
Cosa faremmo diversamente
Ogni caso dice anche cosa si sarebbe potuto fare meglio.
- 01
Formare prima di consegnare gli strumenti, non dopo. I team sapevano che gli strumenti approvati stavano arrivando e l’attesa ha creato frustrazione; formare durante l’avvio avrebbe trasformato quel tempo in preparazione.
- 02
Coinvolgere il giurista fin dall’inventario, non solo nella stesura delle regole. Due rifacimenti si sarebbero evitati se i vincoli giuridici avessero guidato la classificazione dall’inizio.
- 03
Pubblicare le decisioni di approvazione dal primo giorno. Abbiamo iniziato a mandato in corso, ed è questa trasparenza che ha fatto adottare il percorso: tutti vedevano che si decideva in fretta, e perché.