Linee guida InterSystems sull'uso dell'intelligenza artificiale (AI)

Le presenti linee guida disciplinano la progettazione, lo sviluppo, l’implementazione e l’utilizzo di sistemi di AI nelle attività aziendali di InterSystems, nelle sue offerte di prodotti e servizi e nelle integrazioni con soluzioni di terze parti.

InterSystems si impegna a promuovere un utilizzo responsabile dell’AI e ad adottare le misure di tutela necessarie e appropriate. InterSystems promuove inoltre trasparenza e responsabilità nell’impiego dell’AI, in linea con i principi definiti nella pagina https://www.intersystems.com/it/fiducia-con-AI/ (Fiducia e responsabilità nell'utilizzo dell'Intelligenza Artificiale), nel rispetto delle normative applicabili. InterSystems ha adottato specifiche misure di tutela per il proprio utilizzo dell’AI e si aspetta che clienti e altri partner commerciali adottino lo stesso approccio. Le presenti Linee guida seguono le quattro funzioni fondamentali del NIST AI Risk Management Framework (AI RMF) — Govern, Map, Measure e Manage — e ne recepiscono le caratteristiche fondamentali per un’AI affidabile: validità e affidabilità; sicurezza; cybersecurity e resilienza; responsabilità e trasparenza; spiegabilità e interpretabilità; tutela della privacy; equità e gestione dei bias potenzialmente dannosi.

I riferimenti riportati tra parentesi, ad esempio GOVERN 1 o MAP 2, indicano le specifiche sottocategorie dell’AI RMF a cui corrisponde ciascuna pratica.

Le presenti Linee guida si applicano: (a) all’utilizzo interno dell’AI da parte di InterSystems nelle proprie attività aziendali, compresi lo sviluppo, i test e l’implementazione delle proprie offerte; (b) alle funzionalità di AI offerte da InterSystems nell’ambito dei propri prodotti o servizi; e (c) all’utilizzo dell’AI da parte di soggetti terzi che impiegano soluzioni di AI acquisite autonomamente insieme alle offerte InterSystems o nell’ambito della fornitura di prodotti o servizi a InterSystems.

Le presenti Linee guida devono essere lette congiuntamente a qualsiasi contratto di cui InterSystems sia parte. In caso di conflitto tra le disposizioni di tali contratti e le presenti Linee guida, prevalgono queste ultime, salvo che il contratto non preveda espressamente e specificamente disposizioni diverse.

Ai fini delle presenti Linee guida, si applicano le seguenti definizioni:

Intelligenza Artificiale: indica un sistema ingegnerizzato o basato su tecnologie informatiche in grado di generare output, quali previsioni, raccomandazioni o decisioni, che possono influenzare ambienti reali o virtuali e che opera con diversi livelli di autonomia. Ai fini delle presenti Linee guida, l’AI comprende il machine learning, i modelli di AI generativa e altri sistemi probabilistici analoghi.

Attori dell’AI: indica le organizzazioni e le persone che svolgono un ruolo attivo nel ciclo di vita dell’AI, inclusi coloro che progettano, sviluppano, forniscono, implementano, valutano o utilizzano sistemi di AI.

Ciclo di vita dell’AI: indica l’insieme delle fasi attraversate da un sistema di AI, dalla pianificazione e progettazione alla raccolta dei dati e allo sviluppo del modello, fino all’implementazione, all’utilizzo e alla successiva dismissione.

Fornitore di AI: indica un soggetto terzo i cui strumenti o funzionalità di AI sono inclusi in un’offerta InterSystems o collegati a essa.

Sviluppo AI su misura: indica funzionalità di AI sviluppate o implementate da InterSystems, o da un soggetto terzo incaricato, specificamente per un cliente o un altro soggetto terzo, e distinte dalle Funzionalità AI native o dai Servizi Runtime.

Spiegabilità: indica la capacità di fornire informazioni o motivazioni relative agli output di un sistema in una forma comprensibile e significativa per utenti, sviluppatori e soggetti incaricati delle attività di audit.

Interpretabilità: indica la capacità di comprendere gli output di un sistema di AI nel contesto delle finalità funzionali per le quali è stato progettato.

Equità: indica la progettazione, lo sviluppo, l’implementazione e il monitoraggio di un sistema di AI secondo modalità volte a gestire i bias potenzialmente dannosi e a ridurre il rischio di risultati discriminatori o iniqui, tenendo conto del contesto di utilizzo del sistema e dei suoi potenziali impatti su individui, gruppi, comunità, organizzazioni e sulla società nel suo complesso.

Bias potenzialmente dannoso: indica un bias consapevole o inconsapevole che determina un trattamento iniquo di determinati gruppi sociali. Le tre principali categorie sono il bias sistemico, il bias computazionale e statistico e il bias cognitivo umano.

Funzionalità AI nativa: indica una funzionalità di AI integrata in determinate offerte InterSystems.

Privacy: indica la tutela da intrusioni nella vita privata o negli affari personali di un individuo, compresa la protezione dalla raccolta e dall’utilizzo impropri o illeciti dei dati che lo riguardano.

Resilienza: indica la capacità di un sistema di prepararsi alle interruzioni, adattarsi a esse e ripristinare il proprio funzionamento.

Servizio Runtime: indica funzionalità o caratteristiche fornite da un soggetto terzo e incluse in un’offerta InterSystems, che possono comprendere strumenti o modelli di AI messi a disposizione da un Fornitore di AI terzo.

Sicurezza: indica la proprietà di un sistema per cui, in condizioni definite, il suo funzionamento non determina situazioni di pericolo per la vita o la salute delle persone, i beni o l’ambiente.
La sicurezza comprende la riduzione sia della probabilità di danni prevedibili sia della possibilità di danni imprevisti, nonché l’adozione di misure ragionevoli volte a mitigarli.

Sicurezza informatica: indica la capacità di resistere ad azioni non autorizzate finalizzate a provocare danni, compresa la protezione delle informazioni e dei dati attraverso adeguati controlli degli accessi.

In linea con la funzione GOVERN del NIST AI RMF, InterSystems adotta un modello interno di governance dell’AI articolato nei seguenti elementi principali.

L'AI Council, composto da rappresentanti delle divisioni aziendali interessate, definisce l’indirizzo strategico in materia di AI, stabilisce i livelli di tolleranza al rischio e assicura che le politiche di gestione dei rischi legati all’AI siano trasparenti ed efficaci (GOVERN 1). La leadership aziendale è responsabile delle decisioni relative ai rischi dell’AI e definisce l’approccio complessivo alla loro gestione; il management assicura che la gestione dei rischi tecnici legati all’AI sia coerente con le politiche e i processi operativi dell’organizzazione (GOVERN 2.3).

L'AITRUST Committee esamina le proposte per l’integrazione dell’AI nelle offerte InterSystems destinate all’esterno, inclusi i Servizi Runtime, le Funzionalità AI native e gli Sviluppi AI su misura, effettuando valutazioni dei rischi e formulando raccomandazioni sulle misure di mitigazione; tutte le offerte rivolte all’esterno possono essere soggette all’approvazione del senior management.

L'AI Enablement Team esamina invece le proposte relative all’utilizzo interno dell’AI, comprese le funzioni amministrative, i processi operativi, il supporto allo sviluppo e la supervisione delle soluzioni di AI fornite dai fornitori. Entrambi gli organismi verificano la conformità alle presenti Linee guida e alla normativa applicabile, valutano i rischi e coordinano le rispettive attività (GOVERN 2).

InterSystems svolge periodicamente attività di formazione sull’AI, con particolare attenzione alla conoscenza delle tecnologie di intelligenza artificiale, alla consapevolezza dei rischi, alla normativa applicabile, agli obiettivi aziendali di gestione del rischio e alle caratteristiche di un’AI affidabile (GOVERN 2.2). Le decisioni relative ai rischi dell’AI si basano sul contributo di team diversificati per background, discipline e competenze (GOVERN 3).

InterSystems mantiene un inventario dei sistemi di AI, gestito e dotato di risorse in funzione delle priorità di rischio dell’organizzazione, e adotta processi per la loro dismissione sicura, evitando che tale processo possa aumentare i rischi o ridurre l’affidabilità dei sistemi (GOVERN 1.6, GOVERN 1.7).

InterSystems utilizza l’AI nelle proprie attività interne, ad esempio per la sintesi di contenuti, la creazione di materiali di marketing e di formazione, la preparazione delle risposte alle richieste di offerta (RFP), la generazione di codice, l’integrazione della documentazione e la pianificazione dei progetti. InterSystems adotta inoltre policy che disciplinano l’utilizzo dell’AI da parte dei fornitori e richiedono trasparenza rispetto all’eventuale impiego dell’AI nella realizzazione dei contenuti e dei materiali forniti. L’utilizzo dell’AI nelle attività operative avviene a discrezione di InterSystems ed è riservato.

InterSystems riconosce tuttavia che tale utilizzo può contribuire alla realizzazione di prodotti o materiali successivamente destinati all’esterno; le presenti Linee guida forniscono pertanto garanzie in merito all’integrità dei relativi output (MAP 1, MAP 3).

InterSystems può includere funzionalità di AI nelle proprie offerte sotto forma di Servizi Runtime (strumenti forniti da Fornitori di AI terzi), Funzionalità AI native (sviluppate da InterSystems) o Sviluppi AI su misura (soluzioni di AI realizzate specificamente per un determinato cliente).

In tutti i casi, le organizzazioni che utilizzano tali soluzioni saranno informate e, ove possibile, avranno la possibilità di scegliere di non utilizzarle.

I clienti possono collegare le offerte InterSystems a soluzioni di AI di terze parti oppure, previa autorizzazione ove necessaria, sviluppare funzionalità di AI da utilizzare insieme alle offerte InterSystems. Tali attività vengono svolte a esclusiva discrezione, rischio e costo del cliente. I clienti sono tenuti a rispettare le presenti Linee guida e la normativa applicabile e sono gli unici responsabili delle soluzioni di AI utilizzate in combinazione con le offerte InterSystems, inclusi l’accuratezza dei dati, la sicurezza e la conformità alla legge. InterSystems non è responsabile di eventuali conseguenze negative derivanti da tali utilizzi. Qualora un cliente utilizzi l’AI in relazione a materiali proprietari di InterSystems, InterSystems non è responsabile dell’accuratezza o dell’affidabilità degli output così generati. Tale utilizzo non comporta inoltre alcun trasferimento di diritti di proprietà intellettuale e tutti gli eventuali lavori derivati restano di proprietà di InterSystems. Le disposizioni contrattuali potranno essere modificate, ove necessario, per riflettere correttamente la ripartizione delle responsabilità tra le parti interessate.

InterSystems si impegna a sviluppare e implementare sistemi di AI che presentino le caratteristiche di affidabilità definite dall’AI RMF e coerenti con i principi di Responsible AI. La realizzazione di sistemi di AI affidabili richiede di bilanciare tali caratteristiche in funzione del contesto di utilizzo del sistema (MEASURE 2). InterSystems si aspetta che clienti, partner e fornitori adottino pratiche analoghe per garantire un utilizzo affidabile dell’AI.

Per tutte le Funzionalità AI native, InterSystems verifica che la funzionalità fornita o implementata sia adeguata all’uso previsto, integra meccanismi di supervisione umana nei processi e, ove applicabile, assicura prestazioni affidabili attraverso misurazioni dell’accuratezza basate su set di test realistici, metodologie di test documentate e valutazioni continuative di validità, accuratezza, robustezza e affidabilità. Clienti e altri partner commerciali sono tenuti ad adottare lo stesso approccio per tutte le altre funzionalità di AI utilizzate.

I sistemi di AI devono rispettare i requisiti di Sicurezza definiti nella Sezione 2, attraverso attività rigorose di simulazione e test, monitoraggio in tempo reale, la possibilità di arrestare o modificare i sistemi che presentano comportamenti anomali e adeguate capacità di intervento umano.

InterSystems progetta i sistemi di AI affinché presentino caratteristiche di Resilienza e Sicurezza informatica, come definite nella Sezione 2, affrontando rischi quali esempi avversariali, avvelenamento dei dati, esfiltrazione di modelli o dati e accessi non autorizzati, in linea con il NIST Cybersecurity Framework.

InterSystems mira a garantire agli utenti dei propri sistemi di AI trasparenza rispetto alle modalità di interazione con lo strumento, così da favorire un giudizio consapevole da parte dell’utente durante l’utilizzo dell’AI nell’interfaccia. InterSystems progetta inoltre i sistemi di AI con l’obiettivo di aiutare gli utenti finali a comprenderne le finalità e i potenziali impatti, presentando gli output in una forma significativa e comprensibile. I rischi legati alla spiegabilità vengono gestiti descrivendo le funzioni del sistema di AI in modo adeguato al ruolo e al livello di competenza dell’utente, attraverso guide per l’utente e indicazioni chiare sulle finalità previste degli output dell’AI e del software associato.

Le offerte InterSystems e le implementazioni interne sono progettate tenendo conto dei principi di anonimato, riservatezza e controllo da parte dell’utente e adottano misure volte a rafforzare la tutela della privacy, tra cui de-identificazione, aggregazione dei dati e documentazione dei rischi relativi alla privacy.

InterSystems promuove l’Equità attraverso la gestione dei Bias potenzialmente dannosi — sistemici, computazionali e statistici e cognitivi umani — adottando misure per identificarli, valutarli e mitigarli lungo l’intero ciclo di vita dell’AI.

Per ciascuna offerta di AI, InterSystems fornisce informazioni sull’uso previsto, sulle limitazioni rilevanti, sulle categorie di dati utilizzati per l’addestramento, sulle misure di salvaguardia adottate e sulle modalità previste di supervisione umana (GOVERN 1.6, GOVERN 4). I Fornitori di AI terzi vengono identificati, in modo che i clienti possano richiedere direttamente ulteriori informazioni (MANAGE 4.1). Prima dell’avvio dello sviluppo, viene effettuata una valutazione dei rischi volta a definire il contesto di utilizzo e a individuare i rischi associati all’uso previsto (MAP 1, MAP 2). Durante lo sviluppo vengono valutati e documentati la provenienza dei dati, i rischi legali, l’accuratezza, la robustezza, i bias e la sicurezza informatica (MAP 4, MEASURE 2). Durante l’utilizzo, i sistemi implementati vengono monitorati per rilevare eventuali variazioni delle prestazioni o dei comportamenti nel tempo, gli incidenti vengono gestiti e le modifiche rilevanti vengono registrate e comunicate ai clienti (MANAGE 2, MANAGE 4). La documentazione relativa alla governance viene conservata al fine di dimostrare la conformità alle presenti Linee guida, alla normativa applicabile e agli obblighi previsti dall’articolo 26 dell’EU AI Act per i soggetti che utilizzano sistemi di AI.

InterSystems sviluppa e mantiene policy volte a gestire i rischi legati all’AI derivanti da software e dati di terze parti e dalla catena di fornitura. Tali policy riguardano, tra gli altri aspetti, i rischi di violazione dei diritti di proprietà intellettuale di terzi, la trasparenza sul funzionamento dei sistemi di terze parti, la conoscenza dei dati di addestramento e degli algoritmi utilizzati, le relative ipotesi e limitazioni e le attività di test sui sistemi di AI di terze parti (GOVERN 6; MANAGE 3). Sono inoltre previsti processi di gestione delle emergenze per far fronte a eventuali malfunzionamenti nell’utilizzo di sistemi di AI di terze parti ad alto rischio, accompagnati dal monitoraggio periodico dei rischi e dei benefici e dalla documentazione delle misure adottate per il controllo del rischio.

InterSystems, i suoi clienti e gli altri partner commerciali devono rispettare tutte le leggi e le normative applicabili in materia di AI (GOVERN 1.1, GOVERN 1.2).

Ad esempio, ai sensi dell’EU AI Act (Regolamento (UE) 2024/1689), i clienti devono attenersi all’uso previsto associato all’offerta InterSystems e comprendere la categoria di rischio normativo applicabile al sistema di AI e le modalità di utilizzo dei relativi output. Le diverse classificazioni comportano ulteriori obblighi per i soggetti che utilizzano i sistemi di AI. Eventuali modifiche alle modalità di utilizzo possono inoltre comportare una variazione della categoria di rischio del sistema di AI stesso e del ruolo delle parti coinvolte. In determinate circostanze, ad esempio, un utilizzatore, un importatore o un rivenditore può assumere il ruolo di fornitore ai sensi del Regolamento.

InterSystems documenta l’uso previsto e le istruzioni relative alle proprie offerte all’interno della Documentazione di prodotto. I clienti non possono utilizzare l’AI per finalità diverse da quelle espressamente previste. Per eventuali domande, si prega di rivolgersi a legal@intersystems.com.

Le presenti Linee guida non ampliano né modificano gli obblighi legali previsti dalla normativa applicabile.

I clienti e gli altri partner commerciali non devono utilizzare alcuna offerta InterSystems, né soluzioni di AI di terze parti in combinazione con tali offerte:

• per effettuare attività di reverse engineering, analizzare il modello o condurre test avversariali su sistemi di AI messi a disposizione da InterSystems;
• in sostituzione di una consulenza professionale, ad esempio in ambito clinico, legale o finanziario;
• per assumere decisioni automatizzate riguardanti persone fisiche in assenza di una base giuridica adeguata e di un’effettiva revisione e validazione da parte di una persona;
• per generare o diffondere contenuti dannosi, ingannevoli, illeciti o in violazione di diritti di terzi;
• per addestrare, migliorare, sviluppare o effettuare il fine-tuning di sistemi di AI indipendenti, salvo espressa autorizzazione scritta;
• per utilizzare Funzionalità AI native, Sviluppi AI su misura o Servizi Runtime di InterSystems — o i relativi modelli sottostanti, pesi, prompt, embedding, dati utilizzati per il fine-tuning o output non pubblici messi a disposizione attraverso tali funzionalità — al fine di addestrare o realizzare un modello o un’offerta destinati a sostituire la corrispondente offerta AI di InterSystems o di terze parti. La presente disposizione riguarda pratiche di estrazione quali la distillazione dei modelli, la ricostruzione dei pesi o dei prompt e l’acquisizione sistematica di output non pubblici. Non è invece intesa a limitare funzionalità o offerte di AI sviluppate autonomamente da un cliente o da un partner, già disponibili o sviluppate in futuro senza utilizzare i materiali sopra indicati, comprese quelle sviluppate dai partner consolidati di InterSystems nell’ambito di un accordo scritto. La presente disposizione non limita inoltre attività di benchmarking, test di interoperabilità o valutazioni interne, né l’utilizzo dei dati propri del cliente o del partner, dei dati dei rispettivi clienti, nel rispetto delle condizioni applicabili, o di informazioni disponibili pubblicamente; oppure
• per sfruttare commercialmente le offerte AI di InterSystems o di terze parti aggirando eventuali limitazioni previste dalle relative offerte o dai relativi contratti; oppure
• per elaborare, generare, classificare o filtrare contenuti secondo modalità che possano arrecare danni a persone, organizzazioni o alla società.

InterSystems non utilizzerà gli input o gli output AI dei clienti per addestrare alcun modello di AI e richiederà impegni analoghi ai propri Fornitori di AI. InterSystems potrà tuttavia analizzare tali input e output per finalità di ricerca di mercato e utilizzarli per migliorare le proprie offerte, funzionalità e caratteristiche, salvo diversa indicazione da parte del cliente (MANAGE 2).

Qualora una parte venga a conoscenza di un rischio rilevante derivante da, o connesso a, qualsiasi utilizzo dell’AI insieme a un’offerta InterSystems, in relazione a una delle circostanze indicate di seguito, dovrà inviare una segnalazione all’indirizzo incident@intersystems.com entro ventiquattro (24) ore:

• qualsiasi danno alle persone, inclusi danni fisici, psicologici, economici, reputazionali o di natura discriminatoria;
• una violazione delle presenti Linee guida, delle condizioni contrattuali applicabili o di qualsiasi legge, norma o regolamento applicabile;
• uno scostamento significativo dal comportamento atteso o previsto del sistema di AI o dei relativi output;
• la divulgazione non autorizzata o l’utilizzo improprio di dati personali o sensibili;
• un malfunzionamento critico o un utilizzo improprio dell’AI in contesti rilevanti sotto il profilo della Sicurezza, dei diritti delle persone o dell’assunzione di decisioni critiche, ad esempio in ambito occupazionale, di selezione del personale, sanitario, legale o finanziario;
• qualsiasi altro risultato connesso all’AI che richieda escalation, indagini, interventi correttivi o notifiche ai sensi dei modelli di governance, dei principi etici o delle disposizioni normative applicabili in materia di AI.

Gli incidenti e gli errori vengono comunicati agli Attori dell’AI interessati, comprese le parti coinvolte (MANAGE 4.3). I processi previsti per registrare, gestire e risolvere incidenti ed errori vengono applicati e documentati.

Ogni segnalazione effettuata ai sensi della presente Sezione 11 deve includere, nella misura in cui tali informazioni siano note al momento della segnalazione (MANAGE 4.1, MANAGE 4.2):

• Identificazione del sistema (nome, versione e categoria; natura e portata dell’incidente; cronologia degli eventi, incluse la data di individuazione, la data della prima occorrenza e la data di invio della segnalazione.
• Soggetti interessati: stakeholder coinvolti e numero stimato di persone interessate; valutazione del danno, comprendente tipologia, gravità ed effetti effettivi o potenziali; analisi preliminare delle cause.
• Azioni immediate: interventi già adottati, inclusi contenimento, mitigazione o arresto dei sistemi; azioni correttive pianificate e relative tempistiche stimate; recapiti del soggetto che effettua la segnalazione.

Le segnalazioni devono essere integrate qualora diventino disponibili ulteriori informazioni. InterSystems potrà richiedere ulteriori dettagli qualora ragionevolmente necessari.

Per domande o dubbi di carattere generale relativi all’AI, contattare legal@intersystems.com e ai-enablement@intersystems.com.

Le presenti linee guida possono essere aggiornate all'indirizzo www.intersystems.com/it/linee-guida-intersystems-sulluso-dellintelligenza-artificiale-ai/. InterSystems si impegna a mantenerle aggiornate in funzione dell’evoluzione delle tecnologie di AI, degli standard e del quadro normativo.

Per domande o dubbi relativi all'AI, si prega di contattare ai-enablement@intersystems.com.