liberlume-content-v3
lang: it
title: La cautela nel posto sbagliato
summary: Governare la AI pensando solo a rispettare le norme può rendere cauti dove il rischio è piccolo e sbadati dove è grande; preoccuparsi di essere in regola non significa necessariamente decidere con consapevolezza
btc-anchor: 956040,000000000000000000017f1cd57827c97c9e64392c6ab101a3c32a3443079787
prev: genesis
--- body ---
### Governare la AI pensando solo a rispettare le norme può rendere cauti dove il rischio è piccolo e sbadati dove è grande; preoccuparsi di essere in regola non significa necessariamente decidere con consapevolezza

## La stessa azienda, due tavoli

C'è una scena che si ripete, con poche varianti, in molte organizzazioni.

Su un tavolo qualcuno ha proposto di usare un modello linguistico per smaltire
una coda di richieste che oggi tiene occupate tre persone a tempo pieno. Il
progetto è fermo. Non perché non funzioni: funziona, lo si è provato. È fermo
perché «prima dobbiamo essere sicuri che sia tutto a norma», e nessuno sa bene
cosa voglia dire, né chi debba dirlo, né quando finirà l'attesa. Nel dubbio, si
aspetta. Le tre persone restano sulla coda.

Su un altro tavolo, intanto, la stessa azienda ha appena caricato i suoi
documenti interni dentro un servizio in abbonamento, comodo ed economico, gestito
da un fornitore dall'altra parte del mondo. Nessuno ha chiesto cosa succede se
quel fornitore domani raddoppia il prezzo, cambia le condizioni d'uso, chiude
quella funzione, o semplicemente non è raggiungibile il giorno in cui serve. La
cosa è andata liscia: nessuna riunione, nessun parere, nessun dubbio.

Due tavoli, due errori. E sono speculari. Dove il rischio è piccolo si è bloccato
tutto per prudenza. Dove il rischio è strutturale non si è alzato un sopracciglio.
La stessa azienda, lo stesso mese, è insieme troppo timida e troppo spregiudicata.

Vale la pena prendere sul serio la domanda che questa scena suggerisce: le
aziende ci stanno davvero pensando, alla AI e alla sua adozione? O stanno solo
cercando di non sbagliare nel modo che si vedrebbe di più?

## La cautela che si vede, la rinuncia che conta

Quando in un'azienda si parla di governare la AI, quasi sempre si intende una cosa
sola: stare in regola. Il rispetto delle norme, l'attenzione alla compliance,
l'esigenza di essere (e di sentirsi) a posto, di non trovarsi un domani qualcuno
che decide al posto nostro perché non l'abbiamo fatto noi. È una preoccupazione
legittima, e in molti casi fondata. Ma è una preoccupazione difensiva, e da una
preoccupazione difensiva nasce una domanda difensiva: cosa non possiamo fare.
Quasi mai la domanda opposta, cosa potremmo fare e non stiamo facendo.

La differenza non è di sfumatura. Chi parte dal «cosa non possiamo fare» misura
ogni progetto sul suo lato peggiore, e nel dubbio aspetta. C'è il pensiero alla
tutela degli utenti e degli stakeholder. L'attesa sembra la scelta sicura, quella
che non costa niente. Ed è qui l'errore: l'attesa costa, solo che il costo non
compare (in un primo momento) da nessuna parte.

La prudenza e la tutela sono legittime, se gestite con consapevolezza.

Una coda di richieste che resta lunga, tre persone che continuano a fare un lavoro
che una macchina sbrigherebbe in un quarto del tempo, un servizio che resta
mediocre quando potrebbe migliorare: niente di tutto questo finisce in un
bilancio. Non c'è una riga che dica «quest'anno abbiamo perso tot perché non
abbiamo adottato». Essere in regola è spesso uno stato che si può esibire e
rivendicare; il beneficio a cui si è rinunciato è, in molti casi, poco visibile
e non lo rivendica nessuno. Così una colonna pesa e l'altra no, anche quando,
messe sulla bilancia per davvero, peserebbero al contrario.

Rinunciare a un beneficio chiaro è una decisione, esattamente come adottarlo. Ha
conseguenze, ha un prezzo, e qualcuno dovrebbe metterlo a verbale. Quando invece
la rinuncia si traveste da non-decisione, da «stiamo solo aspettando di essere
sicuri», sparisce dal conto. Non è prudenza, è prudenza apparente: la prudenza
vera soppesa i due lati e sceglie, questa ne guarda uno solo e chiama sicurezza
il non scegliere.

E c'è un'asimmetria che rende il tutto quasi comico, se non fosse costoso. A un
piccolo esperimento interno, innocuo, che al massimo produce una bozza da
ricontrollare a mano, si finisce per chiedere una montagna di garanzie, pareri,
rassicurazioni, prima di dargli il via. Le stesse garanzie che, sull'altro
tavolo, non si chiedono affatto a una scelta molto più impegnativa. La cautela
non è proporzionata al rischio: è proporzionata a quanto quel rischio si vede.

## La sbadataggine che non si vede

Torniamo all'altro tavolo, quello dove invece non si era posto nessun problema.

Mettiamo che il servizio comodo ed economico abbia funzionato bene per mesi. Ci
si è appoggiata sopra una parte di lavoro vera: la prima risposta alle richieste
dei clienti, lo smistamento della posta in arrivo, una bozza di riassunto per
ogni pratica. Niente di vistoso, ma ormai il flusso ci gira sopra. Le persone si
sono riorganizzate intorno a quello strumento, e a quel punto lo strumento non è
più un esperimento: è un pezzo di infrastruttura, anche se nessuno l'ha mai
chiamato così.

Poi, una mattina, non funziona. Non per un guasto, non perché si è dimenticato di
pagare. Funziona benissimo, semplicemente non per voi. Il modello su cui era
costruito il flusso è stato reso indisponibile a chi si trova dalla vostra parte
del mondo: una decisione presa altrove, in un'altra giurisdizione, per ragioni
che non c'entrano nulla con la qualità del vostro lavoro e su cui non avete voce.
Aprite il servizio e leggete, più o meno, che quel modello potrebbe non esistere,
o che potreste non avervi accesso. [È già successo](/it/01-articolo/), e non è uno
scenario di fantasia.

Qui la dipendenza smette di essere un'astrazione. Non è paura del cloud, non è
sovranismo tecnologico: è una domanda molto concreta, che però andava posta
prima. Se quel pezzo si spegne, l'azienda si ferma? E se la risposta è sì, è una
risposta che qualcuno ha scelto, o è solo quello che è capitato perché non ci si
era pensato?

C'è una differenza enorme tra un sistema che si spegne e uno che degrada. Uno
smette di funzionare; l'altro continua a funzionare peggio: più lento, meno
brillante, magari ripiegando per qualche giorno su una soluzione più modesta
tenuta in casa, in attesa che la situazione si chiarisca. La seconda è quasi
sempre possibile. Ma è una possibilità che esiste solo se la si è preparata
prima. Il giorno in cui il servizio non risponde è troppo tardi per inventarsela.

E qui c'è una strada che si nomina di rado, proprio mentre la si invoca di
continuo. Si parla molto, in questi anni, di privacy, di sovranità tecnologica,
di non dipendere da chi sta lontano. Sono parole giuste. Ma spesso restano parole:
si sventolano come bandiere e poi non si va a vedere se esiste un modo concreto di
dar loro corpo. Esistono modelli che si possono far funzionare in casa, sulla
propria infrastruttura, senza spedire i dati da nessuna parte; e ci sono casi
d'uso, non tutti ma più di quanti si pensi, in cui un modello locale, magari meno
brillante del servizio alla moda, basterebbe e avanzerebbe. Quasi nessuno va a
verificarlo. È più comodo ripetere il principio che misurarsi col caso concreto.

Il sospetto, in certi contesti, è che parlare per slogan finisca per diventare
quasi inevitabile: è comodo, fa sembrare di aver preso posizione senza l'obbligo
di approfondire. Ma è un errore che si può pagare caro. Il giorno in cui il
servizio lontano viene staccato, lo slogan sulla sovranità non tiene acceso
nessun flusso. A tenerlo acceso sarebbe stato soltanto il lavoro, fatto per tempo,
di capire se un'alternativa in casa era davvero possibile.

E qui sta il punto che lega questa sezione alla precedente: questo rischio non
spaventa quanto lo stare in regola. È lento, è invisibile finché non si manifesta,
non ha un articolo di legge che lo nomini, e nessuno verrà a chiedervene conto.
Per questo nessuno lo mette a verbale. La dipendenza da una tecnologia che
qualcun altro può decidere di staccarci non è un rischio meno serio di una
violazione di norma. È solo un rischio che fa meno paura, perché non ha un volto
istituzionale che lo incarni. E così resta scoperto esattamente nel punto in cui
si era stati prudentissimi altrove.

## Non manca la buona volontà, manca un linguaggio

A questo punto verrebbe da pensare che le due linee descrivano due aziende
diverse: una troppo timida, l'altra troppo distratta. Invece sono la stessa
azienda, e i due comportamenti vengono dallo stesso punto. Non da cattiva volontà,
non da pigrizia. Da un vuoto.

Il vuoto è questo: manca un linguaggio comune per decidere. Mancano criteri
condivisi per dire, di un progetto qualsiasi, quanto è davvero rischioso, quanto
è critico per il lavoro di tutti i giorni, quanto dipende da qualcuno che sta
fuori e può cambiare idea. Senza questi criteri ogni progetto viene giudicato a
sensazione. E la sensazione non segue il peso reale delle cose: segue ciò che fa
più paura nel modo più visibile, cioè il non essere in regola, il doverne
rispondere a qualcuno. Il rischio che ha un volto riconoscibile vince sempre sul
rischio che non ce l'ha, anche quando il secondo pesa di più.

È la stessa cosa, vista dai due lati. Sul tavolo dell'esperimento interno la
sensazione dice «attenzione, qui si potrebbe sbagliare in un modo che si vede», e
si frena. Sul tavolo del servizio esterno la sensazione non dice niente, perché
quel pericolo non ha la forma che siamo abituati a temere, e si va avanti. Due
reazioni opposte, lo stesso identico criterio mancante.

Da qui una domanda che vale la pena fare a voce alta: esiste un modo condiviso di
parlare di queste cose? Una tassonomia comune, un vocabolario su cui due persone
della stessa azienda, o due aziende diverse, intendano lo stesso quando dicono
«ad alto rischio» o «critico» o «possiamo gestirlo in casa»? La risposta onesta,
oggi, è no, o non abbastanza. Mancano perfino i nomi per i diversi livelli a cui
ci si può avvicinare a queste tecnologie: c'è chi le usa di sfuggita, chi ci
costruisce sopra un processo, chi le porta dentro decisioni che riguardano le
persone, e tutto questo finisce spesso sotto un'unica parola, «AI», come se
fossero la stessa cosa. Non lo sono, e trattarle come se lo fossero è esattamente
ciò che porta a essere prudenti dove non serve e sbadati dove servirebbe.

## Non si governa ciò che non si conosce

Il linguaggio comune che manca, di cui si diceva, non è un modulo da compilare.
Non lo si costruisce comprando un template o convocando una riunione. Per
costruirlo bisogna conoscere la materia, e per conoscerla bisogna prima fare una
cosa che alle organizzazioni riesce difficile: ammettere di non conoscerla
ancora abbastanza.

Ammettere «questo non lo padroneggiamo» suona, dentro un'azienda, come una
debolezza, tanto più per chi quel tema dovrebbe governarlo. Così spesso si
preferisce andare avanti con un'aria di sicurezza, un po' di superficialità, un po'
di supponenza, come se bastasse averne sentito parlare. Ma non si governa ciò che
non si conosce bene. Governare una tecnologia che non si è capita non è
governarla: è sperare che vada bene, e chiamarlo governo.

Capire la AI vuol dire diverse cose, e quasi nessuna ha a che fare con le norme.
Vuol dire capire che cos'è e che cosa non è, smontare un po' della parola magica.
Vuol dire riconoscere i livelli con cui la si può integrare in un'organizzazione,
perché uno strumento usato di tanto in tanto e un sistema che entra dentro
decisioni che riguardano le persone non sono la stessa cosa, e non si governano
allo stesso modo. Vuol dire vederne le implicazioni: tecniche, di metodo, e anche
sociali, sul lavoro e su chi lo fa. Niente di tutto questo si improvvisa. Servono
competenze, studio, formazione, tempo.

Ed ecco il punto, quasi una provocazione. È giusto, giustissimo, dedicare risorse
a leggere le norme, a farsi seguire da chi le conosce, ad approfondire gli
aspetti giuridici: serve, va fatto. Ma è altrettanto giusto, e soprattutto si fa
altrettanto, dedicare risorse a capire la tecnologia, il metodo, le implicazioni
sociali? Spesso no. Spesso la colonna del diritto ha un budget e quella della
comprensione ha un paio di webinar e molta sicurezza di sé. Quello squilibrio è
già di per sé un sintomo: dice che l'organizzazione continua a pensare che
governare la AI sia una questione legale, e non anche, prima ancora, una questione
di sapere.

Non c'è niente di cui vergognarsi nel dire «su questo dobbiamo studiare, dobbiamo
formarci». Semmai, se un imbarazzo deve esserci, sta nel decidere su qualcosa che
si è scelto di non capire. Non si governa dall'esterno ciò che non si è mai
voluto guardare da dentro.

## La domanda vera

Quando un'azienda si chiede se sta governando bene la AI, la domanda che si pone,
quasi sempre, è una sola: siamo in regola? È una buona domanda, ma è la domanda
della base, non quella della direzione. Dice da dove non si può scendere, non
dove si vuole andare.

La domanda vera è un'altra: sappiamo decidere sulla AI? Sappiamo riconoscere dove
il rischio è reale e dove è solo immaginato, dove conviene aspettare e dove
aspettare costa più che muoversi, di quali strumenti possiamo fidarci e quali
invece ci stanno legando le mani senza che ce ne accorgiamo? Stare in regola è
un vincolo, e va rispettato. Ma è la base. La bussola è un'altra cosa, e
quasi nessuno la sta cercando, perché si è convinti che la base basti.

Torniamo, per chiudere, ai due tavoli dell'inizio, e alla domanda da cui eravamo
partiti: le aziende ci stanno davvero pensando? A guardarli, quei due tavoli, la
risposta è che per lo più non ci pensano: reagiscono. Rispondono a ciò che fa più
paura nel modo più visibile, e a quella reazione danno il nome di governo. Il
progetto fermo per prudenza e il servizio adottato senza domande non sono due
episodi scollegati: sono la stessa azienda che, non avendo un modo per pesare le
cose, mette la cautela dove si vede e la toglie dove non si vede. Finché la
domanda resta «siamo in regola?», quei due tavoli continueranno a convivere,
ciascuno cieco all'altro. La prima cosa da fare non è una nuova regola in più. È
accorgersi che la domanda che ci stiamo facendo non è quella giusta.